Was ein Cyberangriff ein Unternehmen wirklich kostet:
Zahlen und Fakten 2026
Bitkom und BSI beziffern die Cyberschäden der deutschen Wirtschaft. Wir ordnen die Zahlen ein und zeigen, was das für dein Unternehmen bedeutet.
Wir ordnen hier die Zahlen von Bitkom und vom BSI ein, so wie sie in der jeweiligen Studie beziehungsweise im jeweiligen Lagebericht veröffentlicht sind. Das ist keine eigene Erhebung von uns und keine Prognose, sondern eine Einordnung amtlicher und verbandsseitiger Quellen, mit Verweis auf die jeweilige Fundstelle. Eine belastbare Durchschnittszahl dafür, was ein einzelner Cyberangriff ein konkretes Unternehmen kostet, veröffentlicht keine deutsche Behörde. Das steht weiter unten ausdrücklich so da.
Das Wichtigste auf einen Blick
- Laut der Bitkom-Studie „Wirtschaftsschutz 2026″ liegt der Gesamtschaden durch Datendiebstahl, Industriespionage und Sabotage für die deutsche Wirtschaft 2026 bei geschätzt 211 bis 270,8 Milliarden Euro, erstmals als Bandbreite statt Einzelwert ausgewiesen.
- Rund 76 Prozent davon, also 160,4 bis 205,8 Milliarden Euro, entfallen laut Bitkom auf Cyberangriffe im engeren Sinn, nach 70 Prozent im Vorjahr.
- Der BSI-Lagebericht 2025 zählt durchschnittlich rund 280.000 neue Schadprogrammvarianten pro Tag, 9 Prozent weniger als im Vorjahreszeitraum. Die Bedrohungslage bleibt laut BSI trotzdem angespannt.
- Für ein einzelnes Unternehmen zählen vor allem Forensik, Betriebsunterbrechung, Krisenkommunikation und mögliche Haftpflichtansprüche Dritter zu den Kostenarten.
- Eine Cyberversicherung deckt typischerweise Service-, Eigenschaden- und Haftpflichtbausteine ab. Ein DSGVO-Bußgeld selbst ist in vielen Bedingungswerken dagegen nicht oder nur eingeschränkt versicherbar.
Die Schadenssumme für die deutsche Wirtschaft in Zahlen
Die Bitkom-Studie „Wirtschaftsschutz 2026″ untersucht seit 2015 jährlich die Sicherheitslage der deutschen Wirtschaft. Grundlage ist eine repräsentative CATI-Befragung von 1.003 Unternehmen. Für 2026 weist Bitkom erstmals einen Schadenskorridor statt einer Einzelzahl aus: Er reicht von 211 bis 270,8 Milliarden Euro. Begründet wird das mit der deutlich gewachsenen Unsicherheit in den Unternehmen: Der Anteil vermutlich betroffener Unternehmen ist von durchschnittlich 10 Prozent in den Jahren 2021 bis 2025 auf 29 Prozent im Jahr 2026 gestiegen.
Die Studie wurde gemeinsam mit dem Bundesamt für Verfassungsschutz vorgestellt. Bitkom beziffert dort den auf Cyberangriffe im engeren Sinn entfallenden Anteil mit 76 Prozent der Gesamtschäden, also 160,4 bis 205,8 Milliarden Euro, nach 70 Prozent im Vorjahr. Das Bundesamt selbst nennt in der Kurzmeldung keine eigene Schadenszahl.
Ein zweiter, separat erhobener Baustein zur Bedrohungslage kommt vom BSI: Im Berichtszeitraum des Lageberichts 2025 entstanden täglich durchschnittlich rund 280.000 neue Schadprogrammvarianten, das sind 9 Prozent weniger als im vorherigen Berichtszeitraum mit damals durchschnittlich 309.000 Varianten täglich. Das BSI selbst ordnet diesen Rückgang vorsichtig ein: Das unterdurchschnittliche Aktivitätsniveau der Angreifer habe sich vor allem im zweiten Halbjahr 2024 bemerkbar gemacht und dürfte eine Folge verschiedener nationaler und internationaler Strafverfolgungsmaßnahmen gewesen sein. Sicher ist das ausdrücklich nicht. Die Lage der IT-Sicherheit in Deutschland bleibt laut BSI weiterhin angespannt, und weniger neue Varianten heißen für den einzelnen Betrieb nicht weniger Risiko.
Was ein Cyberangriff für ein einzelnes Kleinunternehmen konkret kostet
Eine amtliche Durchschnittszahl je Einzelunternehmen gibt es bewusst nicht, dafür ist die Schadenshöhe von Betriebsgröße, Branche, Digitalisierungsgrad und Reaktionszeit zu unterschiedlich. Was sich aber klar benennen lässt, sind die Kostenarten, die bei einem Vorfall typischerweise anfallen:
- IT-Forensik und Wiederherstellung: Die Ursache muss gefunden, Systeme müssen bereinigt und Daten wiederhergestellt werden, oft unter Zeitdruck und mit externer Unterstützung.
- Betriebsunterbrechung: Steht die IT still, steht häufig auch der Betrieb still. Wie du den Ertragsausfall in deinem Kleinunternehmen grundsätzlich absicherst, erklären wir im Artikel zur Betriebsunterbrechungsversicherung für Kleinunternehmen.
- Krisenkommunikation und Meldepflichten: Betroffene Kunden und Behörden müssen informiert werden, das kostet Zeit und oft auch externe Beratung.
- Haftpflichtansprüche Dritter: Wenn Kunden- oder Partnerdaten betroffen waren, können Schadenersatzforderungen entstehen. Dafür ist der Drittschaden-Baustein der Cyberversicherung da. Eine IT-Haftpflichtversicherung deckt etwas anderes ab, nämlich finanzielle Schäden beim Kunden aus einem fachlichen Fehler, etwa fehlerhaftem Code. Beide Sparten greifen an verschiedenen Stellen, und wo genau die Grenze verläuft, ist eine der häufigsten Rückfragen im Erstgespräch.
- Mögliche Bußgelder: Dazu mehr im Abschnitt zur DSGVO weiter unten.
Was eine Cyberversicherung davon tatsächlich übernimmt und was nicht
Üblich sind bei einer Cyberversicherung drei Leistungsbausteine: Serviceleistungen wie IT-Forensik und die Unterstützung bei Meldepflichten, der eigene Schaden durch Betriebsunterbrechung und Datenwiederherstellung, sowie ein Haftpflicht-Baustein für Ansprüche Dritter aus demselben Vorfall. Welche Leistungen im Detail enthalten sind, unterscheidet sich deutlich zwischen den Tarifen und sollte vor Abschluss verglichen werden, insbesondere bei Fragen wie der Wartezeit bis zur Erstattung, der Haftzeit, also wie lange der Unterbrechungsschaden überhaupt ersetzt wird, oder dem Umfang der Forensik-Deckung. Wie diese drei Bausteine im Detail funktionieren und für wen sich eine Cyberversicherung überhaupt lohnt, haben wir ausführlich im Artikel zur Cyberversicherung für Freelancer beschrieben, ein Überblick über das Produkt selbst steht auf der Seite zur Cyberversicherung.
DSGVO-Bußgelder und Cyberversicherung: was gilt
Nach Art. 83 DSGVO können Aufsichtsbehörden Bußgelder von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängen, je nachdem, welcher Betrag höher ist, bei den schwerwiegendsten Verstößen. Für weniger schwere Verstöße liegt die Obergrenze bei 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs. Den vollständigen Gesetzestext findest du direkt bei EUR-Lex, Art. 83 DSGVO.
Für die Cyberversicherung sind das zwei getrennte Fragen. Die Kosten rund um einen Datenschutzvorfall, also die Erfüllung der Meldepflichten und die Rechtsberatung, sind je nach Tarif oft mitversichert. Beim Bußgeld selbst gehen die Bedingungswerke drei verschiedene Wege: Ein Teil des Marktes schließt Bußgelder grundsätzlich aus. Ein anderer Teil deckt sie nur, wenn sie im Ausland verhängt werden und die dortige Rechtsordnung das zulässt. Und einige Bedingungswerke schließen Bußgelder wegen Datenschutzverstößen ausdrücklich ein, allerdings immer unter demselben Vorbehalt: soweit kein gesetzliches Versicherungsverbot entgegensteht. Genau daran hängt es nämlich, nicht an der Frage, ob ein Bußgeld ein Schaden ist. Ob dein Tarif dazugehört, sehen wir dir im Bedingungswerk nach, statt hier eine pauschale Zusage zu machen.
Lohnt sich eine Cyberversicherung schon für ein Kleinunternehmen?
Ja, die Überlegung lohnt sich auch für kleine Betriebe, nur lässt sie sich nicht mit den Bitkom-Zahlen begründen. Deren Befragung erfasst Unternehmen ab zehn Beschäftigten und einer Million Euro Jahresumsatz, Soloselbstständige und Kleinstbetriebe kommen darin gar nicht vor. Über sie sagen die großen Schadenszahlen also nichts. Was sich sagen lässt: Die Kostenarten, die ein Vorfall auslöst, von der Forensik über den Betriebsstillstand bis zu Ansprüchen Dritter, hängen nicht an der Betriebsgröße. Ein Zwei-Personen-Betrieb braucht genauso einen Forensiker, und er trägt den Ausfall aus einer dünneren Decke.
Die Entscheidung hängt deshalb weniger von der Unternehmensgröße ab als von zwei anderen Faktoren: wie stark dein Betrieb digitalisiert ist und wie viele Kundendaten du verarbeitest. Ein Onlineshop mit Zahlungsdaten hat ein anderes Risikoprofil als ein Handwerksbetrieb ohne digitale Kundendatenbank. Das schauen wir uns im Erstgespräch gemeinsam mit dir an, statt hier pauschal etwas zu empfehlen.
Was das für deine Planung bedeutet
Diese Übersicht ersetzt keine individuelle Beratung und keine rechtliche Prüfung deines konkreten Bedingungswerks. Die Schadenszahlen von Bitkom und BSI zeigen vor allem eines: Die Bedrohungslage betrifft nicht nur Konzerne, und die genannten Kostenarten, von Forensik über Betriebsunterbrechung bis zu möglichen Haftpflichtansprüchen, können auch ein kleines Unternehmen empfindlich treffen.
Quellen
- Bitkom e. V., Studie „Wirtschaftsschutz 2026″ (vorgestellt 26.08.2026 gemeinsam mit dem Bundesamt für Verfassungsschutz): bitkom.org/Bitkom/Publikationen/Wirtschaftsschutz, Studienübersicht mit Zahlen: bitkom-research.de/studien/wirtschaftsschutz-2026
- Bundesamt für Verfassungsschutz, Kurzmeldung vom 26.08.2026 zur Vorstellung der Bitkom-Studie: verfassungsschutz.de/SharedDocs/kurzmeldungen/DE/2026/2026-08-26-studie-bitkom.html
- Bundesamt für Sicherheit in der Informationstechnik (BSI), „Die Lage der IT-Sicherheit in Deutschland 2025″, Abschnitt neue Schadsoftware-Varianten: medien.bsi.bund.de/lagebericht/de/neue-schadsoftware-varianten/, vollständiger Bericht: bsi.bund.de, Lagebericht-Übersicht
- Verordnung (EU) 2016/679 (DSGVO), Art. 83: eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
Häufige Fragen
Was kostet ein Cyberangriff ein Unternehmen im Durchschnitt?
Belastbare Durchschnittszahlen pro Einzelunternehmen veröffentlicht keine deutsche Behörde, wohl aber Gesamtschadenszahlen für die Wirtschaft: Laut Bitkom-Studie 2026 summieren sich die jährlichen Schäden durch Cyberkriminalität und verwandte Delikte in Deutschland auf geschätzt 211 bis 270,8 Milliarden Euro. Davon entfallen laut Bitkom rund 76 Prozent auf Cyberangriffe im engeren Sinn. Für ein einzelnes Unternehmen hängt die tatsächliche Schadenshöhe stark von Betriebsgröße, Branche und Reaktionszeit ab.
Was zahlt eine Cyberversicherung bei einem Hackerangriff auf mein Unternehmen?
Üblich sind drei Leistungsbausteine: Serviceleistungen wie IT-Forensik und Meldepflichten, der eigene Schaden durch Betriebsunterbrechung und Datenwiederherstellung, sowie ein Haftpflicht-Baustein für Ansprüche Dritter aus demselben Vorfall. Welche Leistungen konkret enthalten sind, unterscheidet sich deutlich zwischen den Tarifen und sollte vor Abschluss verglichen werden.
Ist ein DSGVO-Verstoß über eine Cyberversicherung abgedeckt?
Die Kosten für die Erfüllung von DSGVO-Meldepflichten sowie Rechtsberatung sind je nach Tarif oft mitversichert. Beim Bußgeld selbst gehen die Bedingungswerke unterschiedliche Wege: Ein Teil schließt es grundsätzlich aus, ein anderer deckt es nur im Ausland, und einige schließen es unter dem Vorbehalt ausdrücklich ein, dass kein gesetzliches Versicherungsverbot entgegensteht. Ob dein Tarif dazugehört, prüfen wir im Einzelfall mit dir.
Lohnt sich eine Cyberversicherung schon für ein Kleinunternehmen?
Ja, auch wenn sich das nicht direkt mit den Bitkom-Zahlen belegen lässt: Deren Befragung deckt nur Unternehmen ab zehn Beschäftigten ab, Kleinstbetriebe kommen darin nicht vor. Die Kostenarten eines Vorfalls, von Forensik bis Betriebsausfall, treffen aber jeden Betrieb, ganz gleich wie groß er ist, und ein kleiner trägt sie aus einer dünneren Decke. Die Entscheidung hängt deshalb weniger von der Unternehmensgröße ab als vom Digitalisierungsgrad und der Menge verarbeiteter Kundendaten.
Wie unterscheidet sich der Eigenschaden vom Drittschaden bei einer Cyberversicherung?
Der Eigenschaden umfasst die eigenen Kosten wie Betriebsausfall, Datenwiederherstellung und Krisenkommunikation. Der Drittschaden-Baustein dagegen greift, wenn Dritte wegen desselben Vorfalls Ansprüche gegen dein Unternehmen stellen, etwa weil deren Daten betroffen waren.
Sebastian Steinhuber
Geschäftsführer ENV Versicherungsmakler, Berlin. Berät Gründer, Selbstständige und Unternehmen zu betrieblichen und privaten Versicherungen.
Dieser Artikel ist eine allgemeine Information und ersetzt keine Beratung zu deinem Einzelfall.