Wenn Unternehmen über Sicherheitsvorfälle sprechen, denken sie zuerst an Bussgelder. Die Sanktionen der Datenschutz-Grundverordnung bestimmen die Schlagzeilen, und sie sind real. In der Rechnung eines mittelständischen Vorfalls sind sie aber häufig nicht der grösste Posten – oft nicht einmal der zweitgrösste.
Die teuren Posten stehen an anderer Stelle: bei der Aufklärung, bei der Wiederherstellung, beim Stillstand im Betrieb und bei den Kunden, die nicht wiederkommen. Dieser Beitrag sortiert die Kostenarten und nennt Zahlen dort, wo belastbare Quellen existieren. Wo keine existieren, sagen wir das ausdrücklich – denn frei geschätzte Eurobeträge helfen niemandem bei einer Investitionsentscheidung.
„Die meisten Unternehmen unterschätzen nicht das Bussgeld. Sie unterschätzen die Wochen, in denen nichts läuft, und die Kunden, die danach nicht mehr anfragen.“ – Thomas Werner, CCO Eucerta AG und Lead Auditor
Was belegt ist: Die Kosten steigen, und die Ziele sind kleiner geworden
Der IBM Cost of a Data Breach Report 2026 nennt für Datenpannen weltweit durchschnittliche Kosten von 4,99 Millionen US-Dollar – zwölf Prozent mehr als im Vorjahr und ein Höchstwert. Der Bericht führt den Anstieg unter anderem auf höhere Kosten für Erkennung, Eskalation und Betriebsunterbrechung zurück. Ausserdem weist er einen Anstieg KI-gestützter Angriffe um 56 Prozent aus.
Zwei Einschränkungen gehören dazu. Erstens ist dieser Durchschnitt von grossen Organisationen geprägt und lässt sich nicht auf einen Betrieb mit 25 Mitarbeitenden übertragen. Zweitens beschreibt er Datenpannen, nicht jeden Betriebsausfall. Für die Frage, in welche Richtung sich das Risiko entwickelt, ist er dennoch die belastbarste verfügbare Referenz.
Wer tatsächlich getroffen wird, zeigt der Lagebericht des BSI zur Lage der IT-Sicherheit in Deutschland 2025. Für den Berichtszeitraum vom 1. Juli 2024 bis 30. Juni 2025 beschreibt das BSI eine Verschiebung weg von grossen, aufwendigen Angriffen hin zu vielen kleinen, einfach durchzuführenden: Rund 80 Prozent der angezeigten Angriffe, etwa mit Ransomware, richteten sich gegen kleine und mittlere Unternehmen, denen häufig die Mittel und das Wissen fehlen, um sich selbstständig zu schützen. Zusätzlich wurden im Berichtszeitraum durchschnittlich 119 neue Schwachstellen pro Tag bekannt, rund 24 Prozent mehr als im Zeitraum davor.
Die Botschaft aus beiden Quellen zusammen: Die Angreifer suchen bevorzugt schlecht geschützte Ziele, und die Kosten pro Vorfall wachsen.
Die vier Kostenarten, die tatsächlich anfallen
Statt eines Gesamtbetrags, den niemand seriös für ein einzelnes KMU beziffern kann, lohnt der Blick auf die Struktur. Vier Blöcke entstehen fast immer.
Aufklärung und Wiederherstellung
Sobald ein Vorfall auffällt, beginnt die Arbeit: Systeme isolieren, Ursache finden, Umfang bestimmen, betroffene Daten identifizieren. Diese Arbeit erfordert in den meisten KMU externe Unterstützung, weil intern das Spezialwissen fehlt. Danach folgt die Wiederherstellung – Systeme neu aufsetzen, Daten zurückspielen, Zugänge neu vergeben, Lücken schliessen.
Der wesentliche Kostentreiber hier ist die Vorbereitung. Wer aktuelle, getestete Backups hat und weiss, welche Systeme in welcher Reihenfolge wieder laufen müssen, verkürzt diese Phase erheblich. Wer beides erst im Vorfall klärt, bezahlt Stunden für Suche statt für Wiederherstellung.
Betriebsausfall
Der oft unterschätzte Block. Bei einem verschlüsselten Netzwerk steht nicht die IT still, sondern das Geschäft: keine Aufträge, keine Lieferungen, keine Abrechnung. Diesen Posten kann jedes Unternehmen selbst überschlagen, und zwar genauer als jede Studie: Nehmen Sie Ihren durchschnittlichen Tagesumsatz und multiplizieren Sie ihn mit der Zahl der Tage, die Sie ohne Ihre zentralen Systeme arbeitsfähig wären. Das Ergebnis ist Ihre persönliche Risikozahl – und meist überzeugender als jeder internationale Durchschnittswert.
Meldepflichten und Rechtsfolgen
Die Datenschutz-Grundverordnung verlangt bei Verletzungen des Schutzes personenbezogener Daten eine Meldung an die Aufsichtsbehörde binnen 72 Stunden, und unter bestimmten Voraussetzungen auch die Benachrichtigung der betroffenen Personen. Zugleich fordert sie geeignete technische und organisatorische Massnahmen, die dem Risiko angemessen sind. Daraus entstehen Aufwände für Rechtsberatung, Kommunikation und Rückfragen – unabhängig davon, ob am Ende ein Bussgeld verhängt wird.
Für die Bemessung eines Bussgeldes ist unter anderem relevant, welche technischen und organisatorischen Massnahmen ein Unternehmen getroffen hatte. Genau an diesem Punkt zahlt sich ein dokumentiertes Managementsystem doppelt aus: Es reduziert die Eintrittswahrscheinlichkeit und es belegt im Ernstfall die getroffene Sorgfalt.
Vertrauensverlust
Der am schwersten zu beziffernde und am längsten wirkende Block. Kunden, die einen Vorfall mitbekommen, stellen Fragen, verlängern später oder wechseln. Bei Geschäftskunden kommt hinzu, dass der Vorfall in deren Lieferantenbewertung landet.
`[PRÜFEN: Hier wäre eine belegte Aussage stark. Vorschlag: entweder eine Quelle zur Kundenabwanderung nach Sicherheitsvorfällen ergänzen oder – falls vorhanden – eine anonymisierte Beobachtung aus Eucerta-Audits. Ohne Beleg bleibt der Absatz qualitativ, so wie er jetzt steht.]`
Was ISO 27001 an dieser Rechnung ändert
ISO 27001 wirkt an zwei Stellen, und es ist ehrlich, beide auseinanderzuhalten.
Vorbeugend: Ein Informationssicherheits-Managementsystem zwingt zu den Schritten, die im Alltag liegen bleiben. Sie legen fest, welche Informationen und Systeme überhaupt schützenswert sind, bewerten die Risiken nachvollziehbar und entscheiden begründet über Massnahmen. Die 93 Massnahmen des Anhang A werden dabei einzeln durchgearbeitet – jede mit einer begründeten Entscheidung, auch die Entscheidung gegen eine Massnahme. Zugangsverwaltung, Updates, Schulung und Umgang mit Dienstleistern sind darin keine Empfehlungen, sondern Bestandteile des Systems. Das deckt sich mit dem, was das BSI als entscheidenden Hebel benennt: konsequentes Management der eigenen Angriffsflächen.
Schadensbegrenzend: Wenn es passiert, entscheidet die Vorbereitung über die Kosten. Ein ISMS verlangt geregelte Abläufe für Sicherheitsvorfälle, benannte Verantwortliche, geprüfte Wiederherstellung und dokumentierte Kommunikationswege. Statt Improvisation in den ersten Stunden gibt es eine Reihenfolge. Das verkürzt Ausfallzeiten und damit den teuersten Block der Rechnung.
Was ISO 27001 nicht leistet, gehört genauso dazu: Es ist keine Garantie gegen Angriffe, und ein Zertifikat, das nur auf dem Papier existiert, schützt niemanden. Geprüft wird deshalb nicht der Ordner, sondern die Wirksamkeit – mehr dazu auf unserer Seite zu ISO 27001.
Wie die Investitionsseite aussieht
Die Gegenrechnung ist bei Eucerta transparent: 179 Euro im Monat für die erste Norm, 149 Euro für jede weitere, Laufzeit 36 Monate, Festpreis für Unternehmen bis 30 Mitarbeitende. Prüfung und Registrierung sind enthalten, das Zertifikat gilt drei Jahre ab dem Auditdatum, und zwischen den Audits bleibt das System in der Plattform aktuell. Nachrechnen lässt sich das im Kostenrechner.
Häufig sinnvoll ist die Kombination mit ISO 9001, weil beide Normen dieselbe Grundstruktur teilen und Kontext, Führung, interne Audits und Managementbewertung nur einmal anfallen – das Prinzip beschreibt unsere Seite zum integrierten Managementsystem. Wer sein ISMS bereits betreibt und nur den Nachweis braucht, findet die Bedingungen bei der Express-Zertifizierung.
Fazit
Die ehrliche Antwort auf die Titelfrage lautet: Es hängt von Ihrem Tagesumsatz, Ihren Backups und Ihrer Vorbereitung ab – und genau deshalb können Sie die Rechnung selbst aufstellen, besser als jede Studie es für Sie tut.
Was belegt ist: Die Kosten pro Vorfall steigen, und rund 80 Prozent der angezeigten Angriffe treffen kleine und mittlere Unternehmen. Was daraus folgt, ist keine Panik, sondern eine Priorität. Ein Managementsystem für Informationssicherheit ist die strukturierte Antwort auf beide Befunde – und es kostet planbar, während ein Vorfall das nie tut.
Ihr nächster Schritt: Rechnen Sie Ihre eigene Zahl aus – Tagesumsatz mal Ausfalltage – und stellen Sie sie im Kostenrechner dem Preis Ihrer Zertifizierung gegenüber.
Weiterführend:
