Kurz gesagt: Die Kosten eines Hackerangriffs für ein Unternehmen setzen sich aus drei Gruppen zusammen: direkte Kosten für Vorfallsbearbeitung, Bereinigung und Beratung, indirekte Kosten durch Ausfall, Arbeitszeit und Vertrauensverlust und Folgekosten für Härtung, Migration und Nacharbeit. Pauschale Summen sind unseriös. Belastbar ist eine eigene Rechnung, die jeden Posten mit Ihren Zahlen füllt und so Vorsorge begründbar macht.
Die Rechnung, die keiner aufstellt
In vielen Budgetrunden steht Sicherheit als Kostenstelle auf der einen Seite. Auf der anderen Seite steht nichts, weil der Schaden noch nicht eingetreten ist. Erst wenn ein Server übernommen wurde, wird sichtbar, was alles zusammenkommt, und meist ist es mehr als die Rechnung des Dienstleisters.
PHP2Shell hat viele Unternehmen diese Woche zu einer Abwägung gezwungen: Website sofort vom Netz nehmen, wie es das BSI für nicht patchbare Systeme empfahl, oder weiterlaufen lassen? Auch diese Entscheidung ist eine Kostenfrage. Wer weiss, was ein Tag Ausfall kostet und was ein Einbruch kosten könnte, entscheidet ruhiger. Laut Medien hat etwa die Stadt Mainz ihr zentrales Webportal vorsorglich abgeschaltet; die Ämter blieben telefonisch und per E-Mail erreichbar. Auch ein solcher Ausfall hat einen Preis, nur einen planbaren.
Die Kosten eines Hackerangriffs im Überblick
Die folgende Aufstellung nennt die typischen Posten. Nicht jeder fällt bei jedem Vorfall an, aber jeder sollte geprüft werden.
| Gruppe | Kostenposten | Wovon er abhängt |
|---|---|---|
| Direkt | Vorfallsbearbeitung und technische Notfallhilfe | Dauer, Zahl der Systeme, Tageszeit |
| Direkt | IT-Forensik und Beweissicherung | Umfang, Bedarf an gerichtsfester Dokumentation |
| Direkt | Bereinigung oder Neuaufbau von Servern | Zustand der Backups, Dokumentation |
| Direkt | Rechtsberatung und Datenschutzberatung | Meldepflichten, Verträge, Forderungen |
| Direkt | Benachrichtigung Betroffener, Kundenservice | Zahl der Betroffenen, Kanäle |
| Indirekt | Umsatzausfall während der Abschaltung | Abhängigkeit vom System, Dauer |
| Indirekt | interne Arbeitszeit von Leitung, IT, Vertrieb | Vorbereitung, Klarheit der Rollen |
| Indirekt | Verlust von Sichtbarkeit in Suchmaschinen | Warnhinweise, eingeschleuster Spam |
| Indirekt | gesperrter Mailversand | Missbrauch des Servers für Spam |
| Indirekt | Vertrauensverlust bei Kunden und Partnern | Kommunikation, Art der Daten |
| Folge | Härtung, Monitoring, neue Prozesse | Ausgangszustand |
| Folge | Migration veralteter Software | z. B. PHP 8.1 und älter |
| Folge | Vertragsanpassungen mit Dienstleistern | bestehende Regelungen |
| Folge | mögliche Forderungen Dritter oder Bussgelder | Einzelfall, rechtliche Bewertung |
Direkte Kosten: was auf Rechnungen steht
Die direkten Kosten sind am leichtesten zu erfassen, weil sie als Rechnung kommen. Dazu zählen technische Hilfe, Forensik, Bereinigung und Beratung. Ihr Umfang hängt stark von der Vorbereitung ab. Gibt es ein aktuelles Inventar, getestete Backups und gesicherte Logs, geht die Analyse schneller. Fehlt das, wird ein Teil der Arbeit Spurensuche nach Grundlagen. Was eine gründliche Untersuchung umfasst, beschreibt IT-Forensik nach einem Webserver-Angriff.
Hinzu kommen Posten, an die man zunächst nicht denkt: Überstunden externer Dienstleister am Wochenende, ein Ersatzserver für die Übergangszeit oder Druck und Versand von Briefen, wenn Betroffene so informiert werden müssen.
Indirekte Kosten: was nicht auf Rechnungen steht
Die indirekten Kosten sind oft grösser und schwerer zu greifen. Der Umsatzausfall eines Shops lässt sich aus eigenen Zahlen ableiten. Die Arbeitszeit von Geschäftsführung, IT, Vertrieb und Kundenservice dagegen wird selten erfasst, obwohl ein Vorfall viele Personen über Tage bindet.
Zwei Folgen treffen Websites besonders. Findet Google Schadcode, kann ein Warnhinweis Besucher abschrecken, bis die Bereinigung bestätigt ist; wie Sie ihn entfernen lassen, steht unter Google-Warnung entfernen. Wird der Server für Spam missbraucht, landen Mails des Unternehmens auf Sperrlisten und erreichen Kunden nicht mehr. Beides wirkt oft noch Wochen nach der technischen Bereinigung.
Folgekosten: was nach der Bereinigung kommt
Ist der Server wieder sauber, ist die Rechnung noch nicht abgeschlossen. Fast jeder Vorfall deckt Versäumnisse auf, die jetzt nachgeholt werden müssen: Härtung der Server, ein Monitoring, das künftig früher warnt, getestete Backups, neue Zugänge für alle Beteiligten. Läuft ein System auf PHP 8.1 oder älter, für das es keine offiziellen Updates mehr gibt, steht häufig eine Migration an, die ohnehin fällig gewesen wäre, nun aber unter Zeitdruck.
Hinzu kommen organisatorische Folgekosten. Verträge mit Hoster und Agentur werden überarbeitet, der Notfallplan angepasst, Mitarbeitende geschult. Manche dieser Posten sind sinnvolle Investitionen, die ohne den Vorfall günstiger gewesen wären. Genau das ist das Argument für Vorsorge.
Die eigene Rechnung aufstellen
Statt fremder Statistiken hilft eine Rechnung mit eigenen Zahlen. So gehen Sie vor:
- Kritische Systeme benennen: Welche Websites, Shops und Portale tragen Umsatz oder Prozesse?
- Ausfallkosten je Tag schätzen: aus Umsatzdaten, Auftragseingang oder Arbeitszeit, die ohne das System nicht geleistet werden kann.
- Interne Stunden ansetzen: Wer wäre wie lange gebunden? Mit internen Stundensätzen bewerten.
- Direkte Posten erfragen: Rahmenangebote von Dienstleistern für Notfallhilfe und Forensik einholen.
- Versicherungsschutz abgleichen: Welche Posten deckt die Police, welche Selbstbeteiligungen und Bedingungen gelten?
- Mit Vorsorge vergleichen: Was kosten Inventar, Patch-Prozess, Backups, Monitoring und Wartung im Jahr?
Rechnen Sie mit einer Spanne statt mit einer Zahl: ein Vorfall, der am selben Tag entdeckt wird, und einer, der erst nach Wochen auffällt. Der Unterschied zeigt, was frühe Erkennung wert ist.
Ob eine Cyberversicherung einzelne Posten trägt, regeln ausschliesslich Ihre Versicherungsbedingungen; Hinweise zu typischen Obliegenheiten gibt Cyberversicherung: Was im Schadensfall zählt. Mögliche Forderungen Dritter, Vertragsstrafen oder Bussgelder lassen sich nicht vorab beziffern; das ist eine rechtliche Frage für Anwalt und Datenschutzbeauftragten. Diese Seite ist keine Rechtsberatung.
Wie hilft PHP SOS konkret?
- Wir benennen mit Ihnen die kritischen Systeme und zeigen, welche Kostenposten bei einem Vorfall dort realistisch anfallen würden.
- Wir prüfen, wie gut Backups, Logs und Inventar vorbereitet sind, denn davon hängen die direkten Kosten stark ab.
- Wir erstellen ein schriftliches Angebot für die Vorsorge, das Sie Ihrer eigenen Rechnung gegenüberstellen können.
- Dauerhafte Vorsorge übernehmen wir über einen Security-Wartungsvertrag mit klar beschriebenem Umfang.
Fazit: Die teuersten Posten eines Hacks stehen selten auf einer Rechnung. Wer sie vorher mit eigenen Zahlen sichtbar macht, kann Vorsorge begründen und im Ernstfall schneller entscheiden.
Häufige Fragen
Was kostet ein Hackerangriff ein Unternehmen?
Das lässt sich nicht pauschal beantworten. Die Kosten hängen von Art und Dauer des Vorfalls, betroffenen Daten, Abhängigkeit vom System und Vorbereitung ab. Seriös ist nur eine Aufstellung der Kostenposten, die Sie mit eigenen Zahlen füllen.
Welche Kosten übernimmt eine Cyberversicherung?
Das regeln die Versicherungsbedingungen Ihres Vertrags. Häufig geht es um Kosten der Vorfallsbearbeitung, Betriebsunterbrechung und bestimmte Haftungsfälle, jeweils mit Bedingungen und Obliegenheiten. Klären Sie den Umfang vorab mit Ihrem Versicherer oder Makler.
Welche Kosten werden am häufigsten übersehen?
Die interne Arbeitszeit, die Wochen nach dem Vorfall, Folgen für Mailversand und Suchmaschinen sowie Kosten für Massnahmen, die eigentlich schon vorher fällig gewesen wären, etwa die Migration einer veralteten PHP-Version.
Kann man Bussgelder oder Schadensersatz vorab beziffern?
Nein. Ob und in welcher Höhe solche Forderungen entstehen, hängt vom Einzelfall ab und ist eine rechtliche Frage. Für eine Einschätzung sind Datenschutzbeauftragte und Anwalt zuständig; diese Seite ist keine Rechtsberatung.