Die wahren Kosten eines Ransomware-Angriffs (und wie Sie sie senken)

7

Viele Unternehmen schätzen die Kosten von Ransomware, indem sie die Lösegeldforderung zu einigen Tagen Ausfallzeit addieren. Die Realität ist weit umfassender. Jede zusätzliche Stunde der Wiederherstellung erhöht entgangene Umsätze, Produktivitätsverluste, Beeinträchtigungen für Kunden, regulatorische Risiken und Wiederherstellungskosten. Bis die Systeme vollständig wiederhergestellt sind, macht das Lösegeld selbst womöglich nur einen kleinen Teil der gesamten finanziellen Auswirkungen aus.

Was die Daten über die Kosten von Ransomware sagen

Branchenstudien liefern nützliche Richtwerte für eine Schätzung, auch wenn jeder Vorfall anders ist:

• Die durchschnittlichen Kosten einer Datenpanne durch Ransomware oder Erpressung betrugen 5,08 Mio. US-Dollar im IBM Cost of a Data Breach Report 2025 (auf Englisch) – damit gehört sie zu den teuersten Arten von Datenpannen.
• Über alle Datenpannen hinweg lag der weltweite Durchschnitt bei 4,44 Mio. US-Dollar und stieg in den USA auf 10,22 Mio. US-Dollar (IBM, 2025).
• Die durchschnittlichen Kosten für die Wiederherstellung nach einem Ransomware-Angriff, ohne gezahltes Lösegeld, lagen bei 1,53 Mio. US-Dollar – so die Umfrage Sophos State of Ransomware 2025 (auf Englisch) unter 3.400 Organisationen.
• Die mittlere Lösegeldzahlung betrug etwa 1 Mio. US-Dollar, und die meisten zahlenden Organisationen handelten den Betrag unter die ursprüngliche Forderung herunter (Sophos, 2025).
• Die Mehrheit der Opfer, 63 %, verweigerte die Zahlung des Lösegelds, nach 59 % im Vorjahr (IBM, 2025).
• Die Wiederherstellung geht selten schnell. Die meisten betroffenen Organisationen gaben an, mehr als 100 Tage für die Wiederherstellung gebraucht zu haben (IBM, 2025).

Diese Zahlen sind Durchschnittswerte über Tausende Organisationen und Branchen. Ihr eigener Wert hängt von Ihrem Umsatz, Ihrer Branche und vor allem davon ab, wie schnell Sie sich erholen können – und genau dabei hilft Ihnen der Rest dieses Leitfadens.

Die Scheinersparnis der Lösegeldzahlung

Letztlich ist eine Zahlung ein zusätzlicher Kostenpunkt, der sich auf die übrigen stapelt, und kein Ersatz für sie. Die Zahlung eines Lösegelds gilt oft als Abkürzung zur Wiederherstellung, senkt die Endabrechnung aber selten. Der Großteil der Kosten eines Ransomware-Vorfalls entsteht unabhängig davon, ob Sie die Angreifer bezahlen. Selbst wenn ein Entschlüsselungsschlüssel gekauft wird, bleiben enorme finanzielle Belastungen:

Die Entschlüsselung ist notorisch langsam: Bereitgestellte Entschlüsselungstools sind oft schwerfällig und unvollständig. Systeme leiden dennoch tage- oder wochenlang unter betrieblichen Ausfallzeiten, während Daten mühsam wiederhergestellt, validiert und wieder online gebracht werden.

Die Gefahr eines Datenlecks bleibt: Wurden Daten vor der Verschlüsselung exfiltriert, garantiert die Lösegeldzahlung rein gar nichts. Angreifer veröffentlichen oder verkaufen die Daten häufig trotzdem – mit denselben Folgen: Bußgelder und rechtliche Risiken.

Die langfristigen Kosten bleiben: Ein Entschlüsselungsschlüssel repariert weder Reputationsschäden, noch stellt er verlorenes Kundenvertrauen wieder her oder verhindert, dass Ihre Prämien für Cyberversicherungen bei der nächsten Verlängerung in die Höhe schnellen.

Warum Angreifer es auf Backups abgesehen haben

Moderne Ransomware verschlüsselt nicht einfach Produktivdaten. Sie sucht zuerst den Wiederherstellungsmechanismus und setzt ihn außer Kraft, denn ein Unternehmen, das sauber wiederherstellen kann, hat keinen Grund zu zahlen.

Branchenstudien unterstreichen, wie gezielt das geschieht. Der Veeam Ransomware Trends Report (auf Englisch) ergab, dass die große Mehrheit der Angriffe versucht, Backup-Repositorys zu kompromittieren, dass die meisten betroffenen Unternehmen zumindest einen Teil ihrer Backups verloren haben und dass im Durchschnitt nur ein Teil der betroffenen Daten wiederhergestellt wurde. Wenn das Backup erreichbar und veränderbar ist, wird es Teil der Angriffsfläche statt Schutz davor.

Deshalb ist Unveränderlichkeit von einer Funktion zu einer Anforderung geworden. Ein Backup, das innerhalb seines Aufbewahrungsfensters unabhängig von Zugangsdaten weder geändert noch gelöscht werden kann, nimmt dem Angreifer die Möglichkeit, die Wiederherstellung auszuschalten. Unser Überblick zum Aufbau Ransomware-sicherer Backups erläutert die Mechanismen im Detail.

Die Wiederherstellungsgeschwindigkeit ist die entscheidende Kostengröße

Die Kosten von Ransomware sind größtenteils eine Funktion der Zeit. Je länger Systeme ausfallen, desto größer werden die betrieblichen, produktivitätsbezogenen und reputationsbezogenen Verluste. Damit ist die Wiederherstellungsgeschwindigkeit der wichtigste Faktor, den ein Unternehmen beeinflussen kann – und sie hängt direkt davon ab, wie Backups gespeichert werden.

Zwei Backup-Architekturen können dieselben Daten halten und dennoch sehr unterschiedlich schnell wiederherstellen. Ein Ziel, das Wiederherstellungen parallel streamt, bringt Systeme schneller zurück in den Betrieb als eines, das deduplizierte Daten erst wieder zusammensetzen muss, bevor sie nutzbar sind. Bei einer normalen Wiederherstellung ist dieser Unterschied eine Frage des Komforts. Bei einer vollständigen Wiederherstellung einer angegriffenen IT-Landschaft ist es der Unterschied zwischen Tagen und Wochen – und die Kosten skalieren entsprechend.

Die praktischen Auswirkungen zeigen sich in realen Vorfällen. Ein Service Provider mit unveränderlichem Speicher stellte alle gesperrten Server eines Kunden an einem einzigen Wochenende aus unveränderlichen Backups wieder her, weil der Angriff die Wiederherstellungskopie nicht antasten konnte und sie sich schnell zurücklesen ließ. Eine so schnelle Wiederherstellung begrenzt die Kosten, bevor sie sich aufschaukeln.

Die Kosten für Ihr Unternehmen schätzen

Eine belastbare Schätzung kombiniert zwei Werte: die Kosten der Störung pro Stunde oder pro Tag und eine realistische Wiederherstellungsdauer auf Basis Ihrer Backup-Architektur.

Faktor	Beispiel
Tägliche Kosten der Störung	300.000 $
Realistische Wiederherstellungsdauer	10 Tage
Zwischensumme betriebliche Verluste	3.000.000 $
Wiederherstellung und Behebung	500.000 $
Regulierung, Recht, Versicherung	750.000 $
Richtwert gesamt	4.250.000 $

Die Zahlen sind beispielhaft, doch die Struktur gilt: Die betrieblichen Verluste, getrieben von der Wiederherstellungsdauer, dominieren die Gesamtsumme. Deshalb wirken sich Investitionen, die die Wiederherstellung verkürzen – insbesondere schnell wiederherstellbare, unveränderliche Backups –, so stark auf die erwarteten Kosten eines Vorfalls aus. Mehr Kontext zur Bedrohung bietet unsere Analyse zu Ransomware-Angriffen auf US-Bundesstaaten.

Die erwarteten Kosten senken

Da Wiederherstellungsgeschwindigkeit und Integrität der Backups den Großteil der Kosten bestimmen, setzen die wirksamsten Investitionen bei beidem an:

• Unveränderlichkeit beim Schreiben, damit der Angriff die Wiederherstellungskopie nicht ausschalten kann
• Schnelle Wiederherstellung ohne Rehydrierung, damit die Wiederherstellungsdauer kurz bleibt
• Mehrschichtige Kontrollen, damit einzelne kompromittierte Zugangsdaten die Backups nicht erreichen
• Getestete Wiederherstellung, damit die Wiederherstellung unter realen Bedingungen wie erwartet funktioniert

Diese Maßnahmen verhindern nicht jeden Angriff, senken aber seine erwarteten Kosten deutlich, weil das Unternehmen sich schnell erholen kann, ohne zu zahlen. Einen strukturierten Ansatz bietet unser Leitfaden Strategie für die Ransomware-Wiederherstellung mit konkreten Schritten.

Warum frühe Schätzungen die Gesamtkosten unterschätzen

Ein erheblicher Teil der finanziellen Auswirkungen eines Ransomware-Vorfalls tritt erst Monate oder sogar Jahre nach dem eigentlichen Angriff auf. Da sich diese langfristigen Kosten lange nach der Wiederinbetriebnahme der Systeme summieren, unterschätzen frühe Schätzungen die Gesamtsumme fast immer. Diesen längeren Zeitraum zu berücksichtigen, ist wichtig, weil er die Investitionsrechnung grundlegend verändert. Liegen die vollständigen, mehrjährigen Kosten eines Ausfalls auf dem Tisch, lassen sich Maßnahmen, die eine schnelle Wiederherstellung garantieren, deutlich leichter rechtfertigen. Das Gespräch verlagert sich von einer IT-Ausgabe hin zu einer zentralen Strategie für das Risikomanagement.

Wer dieses Risiko beziffert, macht den Business Case unwiderlegbar. Um die tatsächlichen Kosten eines Ausfalls gegen die Investition in ein resilientes Backup-Ziel mit unveränderlichen Backups abzuwägen, modellieren Sie Ihren eigenen Fünfjahreswert mit dem ARTESCA TCO-Rechner – und gewinnen Sie die Gewissheit, dass Ihre Daten abgesichert sind: durch die ARTESCA Cyber Guarantee über 100.000 US-Dollar.

Häufig gestellte Fragen

Sollten wir das Lösegeld in unsere Kostenschätzung einbeziehen?

Es kann einbezogen werden, sollte das Modell aber nicht dominieren. Die betrieblichen, wiederherstellungsbezogenen, regulatorischen und reputationsbezogenen Kosten sind in der Regel weit höher – und sie fallen an, ob das Lösegeld gezahlt wird oder nicht.

Deckt eine Cyberversicherung die gesamten Kosten ab?

Der Deckungsumfang variiert, und Versicherer verlangen zunehmend bestimmte Kontrollen wie unveränderliche Backups als Voraussetzung für den Versicherungsschutz. Eine Versicherung gleicht einen Teil der Kosten aus, doch die betrieblichen und reputationsbezogenen Folgen trägt weiterhin das Unternehmen.

Welche einzelne Änderung senkt die erwarteten Kosten am stärksten?

Sicherzustellen, dass Backups unveränderlich sind und schnell wiederhergestellt werden können. Zusammen nehmen diese beiden Maßnahmen dem Angreifer das Druckmittel über die Wiederherstellung und verkürzen die Störung – und genau dort entsteht der Großteil der Kosten.