Wenn Unternehmen die finanziellen Folgen eines Ransomware-Angriffs bewerten, steht meist die Lösegeldzahlung im Mittelpunkt der öffentlichen Debatte. Diese Zahlung ist jedoch nur ein Bruchteil der tatsächlichen Gesamtkosten, die durch einen solchen Vorfall entstehen. Wer die volle finanzielle Bedrohung verstehen will, muss über das Lösegeld hinausblicken und die weitreichenden betriebswirtschaftlichen Konsequenzen analysieren.
Der Cost of a Data Breach Report 2025 von IBM beziffert die durchschnittlichen Gesamtkosten eines Ransomware-Vorfalls auf 5,08 Millionen US-Dollar – wenn man Ausfallzeiten, Sanierung, rechtliche Arbeit und Geschäftsunterbrechungen einbezieht. Demgegenüber steht eine mediane Lösegeldzahlung von lediglich 139.875 US-Dollar, wie der Verizon Data Breach Investigations Report 2026 zeigt. Diese enorme Diskrepanz verdeutlicht, dass die größten Kosten bei weitem nicht mit der Zahlung des Lösegelds enden, sondern danach erst richtig anlaufen.
Die versteckten Kostenlawinen nach einem Ransomware-Angriff
Ein Ransomware-Angriff erzeugt keine einzelne Rechnung, sondern parallel mehrere Kostenströme. Diese setzen sich aus entgangenen Umsätzen während des Systemausfalls, Aufwänden für Wiederherstellung und Sanierung, rechtlichen und regulatorischen Auflagen sowie der anhaltenden Betriebsunterbrechung zusammen.
Ausfallzeiten treiben die Kosten in die Höhe
Die längste und teuerste Phase eines Angriffs ist die Zeit, in der kritische Systeme nicht verfügbar sind. Der Datto State of BCDR Report 2025 zeigt eine eklatante Diskrepanz zwischen Annahme und Realität: Über 60 Prozent der Organisationen glaubten, einen Vorfall innerhalb eines Tages beheben zu können – doch nur 35 Prozent schafften dies tatsächlich. Jede zusätzliche Stunde Ausfall bedeutet nicht nur Produktivitätsverlust und verzögerte Transaktionen, sondern auch unterbrochenen Kundenservice und IT-Teams, die aus dem Normalbetrieb gerissen werden. Für mittelständische Unternehmen ist die Wiederherstellungszeit kein reiner IT-Kennwert mehr, sondern eine handfeste Finanzkennzahl.
Die Wiederherstellung als zweite Kostenwelle
Angreifer zielen zunehmend direkt auf die Backup-Infrastruktur ab. Sind die Sicherungen kompromittiert, entstehen erhebliche Zusatzkosten für forensische Untersuchungen, spezialisierte Incident-Response-Teams, Systemneubauten und neue Softwarelizenzen. Entscheidend ist hier nicht die bloße Existenz eines Backups, sondern dessen Sauberkeit, Zugänglichkeit und Wiederherstellbarkeit. Ein Backup dokumentiert nur die Datensicherung, eine getestete Wiederherstellungsstrategie definiert jedoch die Geschwindigkeit, mit der diese Daten wieder in ein funktionierendes Geschäft überführt werden können.
Die regulatorische Uhr tickt ab dem ersten Vorfall
Sobald die IT-Teams mit der Schadensbegrenzung beginnen, läuft die gesetzliche Meldefrist. Die EU-Datenschutz-Grundverordnung (DSGVO) verlangt eine Benachrichtigung über eine qualifizierte Datenpanne innerhalb von 72 Stunden nach Bekanntwerden. Die US-Börsenaufsicht SEC schreibt Unternehmen eine Offenlegung wesentlicher Cybersicherheitsvorfälle innerhalb von vier Geschäftstagen vor. Auch andere Regularien wie HIPAA haben eigene Anforderungen. Diese Pflichten erzeugen zusätzliche Kosten für rechtliche Beratung, Untersuchung, Benachrichtigung, Berichterstattung und regulatorische Risiken. Je länger die Wiederherstellung dauert und je weniger vorbereitet die Organisation ist, desto schwerer wird es, diese Verpflichtungen parallel zum technischen Krisenmanagement zu erfüllen.
Schnellere Wiederherstellung senkt die Gesamtrechnung
Die zentrale Frage der Ransomware-Ökonomie lautet daher nicht, ob ein Unternehmen angegriffen wird, sondern wie schnell es sich erholen kann. Ein ausgereifter Business Continuity & Disaster Recovery (BCDR)-Ansatz kann einen Angriff nicht zwangsläufig verhindern, aber er verringert die Dauer der Unterbrechung, begrenzt die Komplexität der Sanierung und schafft einen vorhersagbaren Weg zurück in den Betrieb.
Ein Beispiel verdeutlicht den Unterschied: Als der Datto MSP-Partner Techify von einem Ransomware-Angriff bei einem Kunden erfuhr, der über einen kompromittierten Drucker erfolgte, stellte das Team 19 Terabyte Daten wieder her und hatte das Unternehmen in weniger als zwei Stunden voll funktionsfähig. Der Kunde zahlte kein Lösegeld und musste nicht wochenlang auf den Wiederaufbau seiner Systeme warten. Das ist der Unterschied zwischen einem verlängerten Geschäftskrisen-Szenario und einem kontrollierten IT-Vorfall.
Wiederherstellung in Minuten statt Tagen
Datto BCDR reduziert das Wiederherstellungsfenster, indem es vollständige System-Snapshots in Intervallen von bis zu fünf Minuten erstellt. Im Angriffsfall können betroffene Systeme auf dem Backup-Appliance oder in der Datto-Cloud virtualisiert werden, während die kompromittierte Umgebung isoliert bleibt. So können Unternehmen ihre kritischen Abläufe sofort wieder aufnehmen, während das IT-Team im Hintergrund die vollständige Wiederherstellung durchführt.
Unveränderliche Backups als sauberer Wiederherstellungspfad
Geschwindigkeit nützt nur etwas, wenn ein sauberer Wiederherstellungspunkt existiert. Ransomware-Operateure zielen zunehmend auf die Backup-Infrastruktur ab. Datto schützt Cloud-Backups durch Write-Once-Read-Many (WORM)-Speicher, der Manipulationen und Löschungen durch Ransomware verhindert. Eine maschinenlernbasierte Anomalieerkennung überwacht zudem die Backup-Aktivitäten auf ungewöhnliche Muster.
Ausfallzeiten berechenbar machen
Das wichtigste Gespräch über BCDR sollte vor dem Ransomware-Anruf stattfinden. Statt der Frage „Was würde uns ein Angriff kosten?“ sollte jedes Unternehmen berechnen, was eine Stunde Ausfall tatsächlich kostet. Diese Zahl, verglichen mit der angestrebten Wiederherstellungszeit (RTO) und dem Datenverlusttoleranz (RPO), ergibt eine klare Rechnung: Kosten pro Ausfallstunde × Wiederherstellungszeit + Sanierungskosten + regulatorische Risiken = potenzielle Geschäftsauswirkung. Ist diese Summe erst einmal beziffert, wird das Investment in BCDR zu einer betriebswirtschaftlichen Notwendigkeit.
Ob Unternehmen sich als strategischer BCDR-Partner positionieren oder die eigene Resilienz stärken wollen – der Datto State of BCDR Report 2025 bietet konkrete Handlungsempfehlungen, um Cyberangriffen einen Schritt voraus zu sein.
