Was ein Datenleck ein kleines Unternehmen wirklich kostet

„Das wird uns nicht passieren. Wir sind zu klein."

Wenn ich das höre, denke ich immer an Autoversicherungen. Niemand rechnet damit, einen Unfall zu haben. Trotzdem schliesst du eine Versicherung ab. Warum? Weil ein Unfall nicht relevant ist – bis du einen hast. Dito mit Krankenversicherung. Und überhaupt jeder Versicherung. Wir wünschen uns keinen Schaden, versichern uns aber trotzdem. Eben.

Bei Cyberangriffen ist es genau gleich. Die meisten KMU-Geschäftsführer denken: „Hacker interessieren sich nicht für uns. Wir haben keine sensiblen Daten. Wir sind kein attraktives Ziel."

Dann passiert es. Und plötzlich stehst du vor einer Rechnung, die dein Geschäftsjahr ruinieren kann. Oder die Firma.

Schauen wir uns an, was ein Cyberangriff ein typisches Schweizer Unternehmen wirklich kostet. Keine Theorie. Keine Horrorszenarien. Einfach die nüchterne Rechnung eines realistischen Falls.

‍

‍

Nehmen wir ein typisches Schweizer Industrieunternehmen:

• Grösse: 100 Mitarbeiter

• Aufteilung: 80 Produktionsmitarbeiter, 15 Verwaltung, 5 Verkauf

• Jahresumsatz: ca. 15 Millionen CHF

• Branche: Metallverarbeitung / Präzisionsteile

• Kunden: Automotive, Medizintechnik, Maschinenbau

• IT-Setup: Mischung aus Cloud (Microsoft 365) und lokaler Infrastruktur

Also eine ganz normale Firma, wie es in der Schweiz viele davon gibt.

Ein Freitagabend, 18:30 Uhr. Die letzte Schicht ist gerade zu Ende. Der IT-Verantwortliche (Teilzeit, noch drei andere Aufgaben, kennen wir) bemerkt, dass Dateien sich nicht mehr öffnen lassen. Bis Montagmorgen ist klar: Ransomware hat alle Produktionsdaten, Auftragsverwaltung und Kundendatenbank verschlüsselt.

Schauen wir uns an, was das wirklich kostet.

‍

Die offensichtlichen Kosten (die jeder sieht)

1. Produktionsausfall: CHF 96'000

Drei Tage Stillstand. 80 Produktionsmitarbeiter können nicht arbeiten.

Berechnung:

• Durchschnittlicher Stundensatz Produktion (inkl. Lohnnebenkosten): CHF 50

• 80 Mitarbeiter × 8 Stunden × 3 Tage = 1'920 Stunden

• 1'920 Stunden × CHF 50 = CHF 96'000

Das ist nur der Lohn. Die eigentlichen Umsatzverluste sind höher:

• Produktionswert pro Tag: ca. CHF 60'000

• 3 Tage = CHF 180'000 entgangener Umsatz

Können sie alles aufholen? Nein. Manche Aufträge gehen an Konkurrenten. Manche Kunden verlieren das Vertrauen. Realistisch: Du holst vielleicht 60% auf – mit Überstunden und Mehrkosten.

‍

2. Lösegeld: CHF 18'000

Die Angreifer verlangten CHF 25'000 in Crypto. Nach Verhandlung (ja, es gibt spezialisierte Verhandler) wurde auf CHF 18'000 heruntergehandelt.

Solltest du zahlen? Die Empfehlung lautet: Nein. Aber 51% der kleinen Unternehmen zahlen trotzdem. Warum? Weil sie keine funktionierenden Backups haben und die Alternative – kompletter Datenverlust – noch teurer ist.

In diesem Fall: Bezahlt. In Bitcoin. Keine Garantie, dass die Daten wirklich entschlüsselt werden.

‍

3. Incident Response & Forensik: CHF 35'000

Ein Schweizer Cybersecurity-Unternehmen wird angerufen:

• Notfall-Erstanalyse (Wochenende): CHF 8'000

• Forensische Untersuchung: CHF 15'000

• System-Wiederherstellung: CHF 12'000

Das ist konservativ gerechnet. Komplexere Fälle können CHF 100'000+ kosten.

‍

4. Hardware & Software Ersatz: CHF 12'000

Manche Systeme mussten komplett neu aufgesetzt werden:

• Ersatz kompromittierter Server

• Neue Workstations für kritische Bereiche

• Zusätzliche Sicherheitstools

Zwischensumme offensichtliche Kosten: CHF 161'000

Aber jetzt kommen die Kosten, die niemand erwartet.

Die versteckten Kosten (die dich umbringen können)

‍

5. Verwaltungsaufwand & Management-Zeit: CHF 45'000

Der Geschäftsführer hat drei Wochen lang fast nur mit der Krise zu tun:

• Koordination mit IT-Dienstleistern

• Kommunikation mit Kunden

• Gespräche mit Versicherung

• Meetings mit Anwälten

• Krisenkommunikation intern

3 Wochen à 60 Stunden × CHF 250/Stunde (sein kalkulatorischer Wert für das Unternehmen) = CHF 45'000

Plus: 2 Verwaltungsmitarbeiter zu je 40 Stunden für Schadensdokumentation, Kundenbenachrichtigung, Versicherungsabwicklung = zusätzlich CHF 6'000.

‍

6. Überstunden zum Aufholen: CHF 32'000

Um die verlorene Produktion aufzuholen:

• 4 Wochen mit durchschnittlich 10 Überstunden pro Produktionsmitarbeiter

• 80 Mitarbeiter × 40 Stunden × CHF 10 Zuschlag = CHF 32'000

‍

7. Verlorene Aufträge & Kundenabwanderung: CHF 85'000

Zwei mittlere Kunden sind zu Konkurrenten gewechselt. Warum?

„Wir können es uns nicht leisten, dass unsere Lieferkette ausfällt. Tut uns leid."

• Verlorener Jahresumsatz mit diesen Kunden: ca. CHF 300'000

• Geschätzter Gewinnausfall: ca. CHF 45'000 pro Jahr

• Kurzfristige Strafzahlungen für nicht eingehaltene Liefertermine: CHF 40'000

‍

8. Rechtliche Kosten & Compliance: CHF 28'000

• Anwalt für Datenschutz-Compliance: CHF 15'000

• Benachrichtigung betroffener Kunden (DSGVO-Pflicht): CHF 8'000

• Meldung an Bundesamt für Cybersicherheit: CHF 5'000

Glück gehabt: Keine Bussgelder. Aber die DSGVO erlaubt Bussen bis zu 4% des Jahresumsatzes – in diesem Fall theoretisch bis zu CHF 600'000.

‍

9. Versicherungsprämien-Erhöhung: CHF 18'000 (über 3 Jahre)

Die Cyberversicherung springt teilweise ein – deckt CHF 120'000 der Kosten.

Aber: Die Prämie steigt ab nächstem Jahr um CHF 6'000 pro Jahr. Über drei Jahre: CHF 18'000 zusätzliche Kosten.

‍

10. Mitarbeiter-Burnout & Fluktuation: CHF 45'000

Der IT-Verantwortliche kündigt zwei Monate später. Burnout. Er hat drei Wochen lang 80-Stunden-Wochen gearbeitet, wurde von allen Seiten unter Druck gesetzt, und fühlte sich verantwortlich für den Angriff.

• Recruiting-Kosten für Ersatz: CHF 15'000

• Produktivitätsverlust während Übergangszeit: CHF 20'000

• Schulungskosten neuer Mitarbeiter: CHF 10'000

Studien zeigen: 60% der kleinen Unternehmen, die angegriffen werden, erleben erhöhte Mitarbeiterfluktuation in IT und Management.

‍

11. Reputationsschaden: Schwer zu beziffern

Kunden fragen jetzt nach Sicherheitszertifikaten. Lieferanten sind nervöser. Bei zwei Ausschreibungen wurde das Unternehmen nicht berücksichtigt – „wegen der jüngsten Sicherheitsvorfälle".

Laut einer Studie verlieren 80% der KMU nach einem Angriff Zeit damit, Vertrauen bei Kunden und Partnern wiederaufzubauen. Dieser immaterielle Schaden zeigt sich über Jahre.

‍

Die Gesamtrechnung: CHF 376'000  - CHF 120'000 Abzüglich Versicherung = Netto-Belastung CHF 294'000

Und das ist ein „guter" Fall. Das Unternehmen hatte eine Cyberversicherung. Sie hatten zumindest Teile der Daten in Backups (wenn auch nicht aktuell). Niemand wurde verletzt. Es gab keine öffentliche Berichterstattung.

Was uns die Zahlen wirklich sagen

Schauen wir uns an, was diese Kosten im Kontext bedeuten:

Jahresgewinn dieses Unternehmens: ca. CHF 900'000

Netto-Belastung durch den Angriff: CHF 294'000

Das entspricht: 32% des Jahresgewinns

Ein Drittel des Jahresgewinns. Weg. In drei Tagen plus Nachwehen.

Und jetzt kommt die erschreckende Statistik: 60% der kleinen Unternehmen, die einen Cyberangriff erleben, schliessen innerhalb von sechs Monaten.

Warum? Weil viele nicht die Reserven haben, um einen Schlag in dieser Grössenordnung aufzufangen. Weil Kunden das Vertrauen verlieren. Weil die Führungsebene nicht mehr die Energie hat weiterzumachen.

Warum ist Prävention so viel günstiger?

ROI der Prävention: Positiv ab dem ersten verhinderten Angriff.

Genau das ist der Punkt. Jetzt könnt ihr sagen, hier hat sich Lukas um 10% verschätzt, da um 20%, ok, aber liegt Lukas komplett falsch mit seiner Rechnung? Eben.

‍

Was KMU konkret tun sollten

‍

Ich spreche hier als COO, nicht als Techniker. Mich interessieren Geschäftsergebnisse. Und das Geschäftsergebnis ist glasklar: Prävention ist eine Investition mit messbarem Return.

‍

1. Bestandesaufnahme

Wo sind deine Schwachstellen? Ein externes Audit kostet CHF 10'000–20'000. Wert: Du weisst, wo du angreifbar bist.

‍

2. Implementiere die Grundlagen

• Backup-Strategie: Offline-Backups, regelmässig getestet. Nicht verhandelbar.

• Multi-Faktor-Authentifizierung: Überall. Für alle.

• Patch-Management: Systeme aktuell halten. 60% der Angriffe nutzen bekannte Schwachstellen, für die Patches verfügbar waren.

• Netzwerk-Segmentierung: Produktionssysteme getrennt von Verwaltung.

‍

3. Schule die Mitarbeiter Mitarbeiterschulung

Menschliches Versagen verursacht 74% der Cybersecurity-Verstösse. Deine Mitarbeiter sind deine erste Verteidigungslinie.

• Regelmässige Phishing-Simulationen

• Awareness-Training für alle

• Klare Richtlinien, was im Verdachtsfall zu tun ist

‍

4. Hol dir professionelle Hilfe (Professionelle Hilfe holen)

Die meisten KMU haben nicht die Ressourcen für ein vollständiges internes Security-Team. Das ist in Ordnung. Managed Security Service Provider (MSSPs) können das übernehmen.

Ja, es kostet. Aber weniger als ein einziger erfolgreicher Angriff.

‍

5. Es gibt auch Versicherungen

Aber – und das ist wichtig – die Versicherung ist keine Alternative zu guter Sicherheit. Sie ist eine Ergänzung.

Versicherer verlangen mittlerweile oft:

• Beweis für regelmässige Penetrationstests

• Nachweis funktionierender Backups

• Incident Response Plan

‍

6. Gibt es einen Incident Response Plan?

Was passiert, wenn es trotzdem passiert? Wer wird angerufen? Wer kommuniziert mit Kunden? Wer mit Behörden?

Ein Plan kostet CHF 10'000–20'000 in der Erstellung. Und kann im Ernstfall Wochen an Reaktionszeit sparen.

‍

Die unbequeme Wahrheit

Viele Geschäftsführer von KMU denken: „Cybersecurity ist ein IT-Problem." Das ist falsch.

Cybersecurity ist ein Geschäftsrisiko-Problem. Es gehört auf die Agenda jeder Geschäftsleitungssitzung, genau wie Liquidität, Kundenakquise und Personalplanung.

Die Frage ist nicht „Werden wir angegriffen?" Die Frage ist „Wann werden wir angegriffen, und sind wir darauf vorbereitet?"

Immer nur aus den eigenen Fehlern lernen ist gut, aber geht lange. Von den Fehlern von anderen lernen geht schneller. Und tut weniger weh.

‍

Lukas ist Chief Operating Officer und Mitinhaber bei Nettrust. Dort hilft er Schweizer KMU dabei, robuste Cybersecurity-Strategien aufzubauen, die das Geschäft schützen, ohne Wachstum zu bremsen.

‍