Cyberangriffe treffen Unternehmen oft unvorbereitet. Dabei geht es längst nicht mehr um „ob“, sondern nur noch um „wann“ ein Cyberangriff erfolgt. Der Schaden und der Aufwand für den Wiederanlauf des Geschäftsbetriebs nach einer erfolgreichen Verschlüsselung ist enorm hoch – sowohl zeitlich als auch finanziell. Trotzdem tun sich viele Firmen schwer, in Prävention zu investieren. Warum? Weil der Nutzen schwer einzuschätzen ist. Doch das ist ein Trugschluss, denn der Nutzen von IT-Security lässt sich messen, bewerten und wirtschaftlich begründen. Unser Beitrag zeigt anhand konkreter Zahlen, welchen Schaden Unternehmen mit den richtigen IT-Security-Maßnahmen vermeiden.
ROSI: Der ROI der IT-Security
Welche tatsächlichen Kosten ein erfolgreicher Cyberangriff verursacht, hängt von mehreren Faktoren ab. Entscheidend ist, verschiedene Szenarien und Wahrscheinlichkeiten in die Bewertung einzubeziehen, genauso wie qualitative Faktoren, zum Beispiel Image oder Compliance. Dem gegenüber stehen Investitionen in präventive IT-Security-Maßnahmen. Man investiert, um unkalkulierbare Kosten – und letztlich auch Verluste – zu vermeiden. Eine bewährte Methode, um den Nutzen zu messen, ist der Return on Security Investment (ROSI), eine spezifische Variante des ROI. Er setzt die Risikoreduktion (R), den potenziellen Schaden (A) und die Kosten der Maßnahmen (C) zueinander ins Verhältnis.
R = Risikoreduktion (z. B. 75 %)
A = Potenzieller Schaden (z. B. 500.000 €)
C = Kosten der Maßnahme (z. B. 100.000 €)
Die Kennzahl ROSI zeigt, wie viel Geld durch eine Investition in IT-Sicherheit potenziell gespart werden kann, weil Unternehmen Schäden durch Cyberangriffe vermeiden. Ein ROSI von 100% sagt aus, dass Investitionen in die IT-Sicherheit voraussichtlich eine finanzielle Rendite durch die Reduzierung potenzieller Verluste erzielen. Eine niedrigere Prozentzahl bedeutet, dass die Kosten den Nutzen überwiegen.
IT-Sicherheit kostet – aber wie viel spart sie eigentlich?
Eine Verschlüsselung der Systeme hat weitreichende Auswirkungen. Erfahrungsgemäß beträgt die durchschnittliche Ausfallzeit der IT-Systeme nach einem Cybervorfall zwei bis vier Wochen, bei schweren Vorfällen teilweise mehrere Monate. Wir haben die Auswirkungen einer erfolgreichen Verschlüsselung, den zu erwartenden Aufwänden für Forensik und Wiederanlauf, sowie verschiedene Szenarien der Cyber-Vorfallsbewältigung für Sie zusammengefasst:
Direkte Auswirkung von Betriebsunterbrechungen
- Stillstand von IT-Systemen (z. B. ERP, E-Mail, Produktion)
- Mitarbeiter können oft tage- bis wochenlang nicht arbeiten
- Produktionsausfälle, Lieferverzögerungen, Kundenverluste
Aufwand und Wiederherstellungskosten
- Technische Wiederherstellung
- Forensik, Systembereinigung
- Neuaufsetzen von Servern, Clients, Netzwerken
- Datenwiederherstellung aus Backups (falls vorhanden)
- Neuverteilung von Zugangsdaten, Zertifikaten, Software
- Personalaufwand für IT, externe Dienstleister, Krisenteams arbeiten im 24/7-Betrieb
- Internes Management gebunden durch Krisenkommunikation, Regulierung, Stakeholder-Management
- Rechtsberatung, Datenschutzbeauftragte, PR-Teams
Regulatorische und rechtliche Folgen
- DSGVO-Meldung bei Datenabfluss innerhalb von 72 Stunden
- Eventuelle Bußgelder bei Compliance-Verstößen
- Reputationsschäden, Kunden- oder Partnerverluste
Unsichere Datenlage: verlorene oder beschädigte Daten
- Sind keine (aktuellen) Backups vorhanden, ist der Datenverlust oft irreversibel. Auch mit Backups kann es zu Dateninkonsistenz kommen. Der Validierungsaufwand ist hoch.
| Szenario 1 | Szenario 2 | Szenario 3 | |
| MFA* für VPN | Nein | Ja | Nein |
| Next-Generation Antivirus EDR/XDR mit Trend Micro | Nein | Ja | Nein |
| Backupkonzept | Ja | Ja | Unvollständig |
| Angreifer verschaffte sich unberechtigten Zugang zum System über exponierte VPN-Systeme | Angreifer verschaffte sich unberechtigten Zugang zum System über exponierte VPN-Systeme | Angreifer verschaffte sich unberechtigten Zugang zum System über exponierte VPN-Systeme | |
| Ransomware | Platziert und ausgeführt | Nicht platziert, nicht ausgeführt | Platziert, ausgeführt, Backup nicht nutzbar |
| Invest | ca. 15.000 € | ca. 50.000 € | ca. 5.000 € |
| Kosten zur Auswertung/Wiederherstellung/Bereinigung | 90.000 € | 10.000 € | 250.000 € |
* Multi-Faktor-Authentifizierung
IT-Security schützt nicht nur Systeme, sondern auch wirtschaftliche Stabilität
Diese Übersicht zeigt eindeutig, dass IT-Security-Maßnahmen für Prävention, Backup und Notfallplan deutlich günstiger sind als die Reaktion auf den Ernstfall. Anstatt lediglich abstrakte Bedrohungen zu diskutieren, können Unternehmen mithilfe von Methoden wie dem Return on Security Investment (ROSI) berechnen, wie viel potenziellen Schaden sie durch gezielte Investitionen vermeiden.
Das schafft Transparenz und eine fundierte Grundlage für Entscheidungen. Zudem trägt eine durchdachte IT-Security-Strategie dazu bei, Sicherheit nicht mehr nur als Kostenfaktor, sondern als notwendigen Beitrag zum Unternehmenserfolg zu verstehen. Beitriebe, die IT-Systeme, Daten und Geschäftsprozesse wirksam schützen, sichern die Betriebsfähigkeit, das Vertrauen, die Reputation und die Wettbewerbsfähigkeit des Unternehmens.
Sicherheit als strategischer Erfolgsfaktor
Zudem zeigt sich: IT-Security ist weit mehr als ein Kostenfaktor. Eine durchdachte Sicherheitsstrategie trägt aktiv zum Unternehmenserfolg bei.
Betriebe, die IT-Systeme, Daten und Geschäftsprozesse gezielt schützen, sichern nicht nur ihre Betriebsfähigkeit, sondern auch Vertrauen, Reputation und Wettbewerbsfähigkeit.
Welche Rolle das Active Directory für die IT-Sicherheit spielt und warum Active Directory Hardening wichtig ist, erfahren Sie in diesem Beitrag:
Mehr Infos zum Active Directory
Sie haben weitere Fragen zum Thema IT-Security? Gerne informieren wir Sie individuell und auf Ihre Bedürfnisse abgestimmt.