289 Milliarden Euro Schaden – und dein Unternehmen mittendrin?

In Gesprächen mit Kunden und in Coachings höre ich immer wieder dieselbe Frage: „Wir wissen, dass wir mehr für IT-Sicherheit tun sollten – aber wie überzeugen wir die Geschäftsführung?“ Manchmal kommt der Zweifel auch von oben: „Ist das wirklich so schlimm? Oder wird hier übertrieben?“

Das Problem dabei ist weniger fehlendes Problembewusstsein als vielmehr die Art, wie wir Risiken wahrnehmen. Auf der einen Seite stehen reale Berichte über Ransomware, Produktionsstillstände und Insolvenzen. Auf der anderen Seite gibt es Unternehmen, die sagen: „Uns ist noch nie etwas passiert.“ Beides fühlt sich durch soziale Medien und Dauerberichterstattung gleich nah an – unabhängig davon, ob es statistisch relevant ist oder nicht.

Genau hier helfen keine Anekdoten mehr, sondern belastbare Zahlen. Und genau deshalb lohnt sich jedes Jahr ein Blick in die Studie Wirtschaftsschutz von Bitkom.

Bevor wir über Prozentzahlen sprechen, müssen wir den Rahmen klären. Die Bitkom-Studie Wirtschaftsschutz 2025 basiert auf der Befragung von rund 1.000 Unternehmen in Deutschland. Voraussetzung: mindestens zehn Mitarbeitende und mindestens eine Million Euro Jahresumsatz. Kleinstunternehmen fallen also heraus – was die Zahlen eher konservativ macht, denn gerade dort ist die Sicherheitslage oft schlechter.

Befragt wurden keine zufälligen Mitarbeitenden, sondern Geschäftsführungen oder leitende Personen mit IT-Verantwortung. Die Aussagen stammen also von Menschen, die entweder entscheiden oder die Auswirkungen von Sicherheitsvorfällen unmittelbar erleben.

Die Gesamtschäden für die deutsche Wirtschaft liegen laut Studie bei rund 289 Milliarden Euro pro Jahr. Das ist kein reiner Cyberwert, sondern umfasst verschiedene Schadensarten. Entscheidend ist jedoch: Rund 70 % dieser Schäden sind auf Cyberangriffe zurückzuführen. Wir sprechen also von etwa 200 Milliarden Euro jährlich.

Besonders deutlich ist der Anstieg bei Ausfall, Diebstahl oder Sabotage von Informations- und Produktionssystemen. Innerhalb weniger Jahre ist dieser Wert von rund 35 Milliarden auf zuletzt 73 Milliarden Euro gestiegen. Das ist kein Ausreißer, sondern ein klarer Trend. Jahr für Jahr wächst der Schaden um weitere 20 bis 30 Milliarden Euro.

Wenn man diese Zahlen einmal nüchtern mit der oft zitierten Angst vor Datenschutz-Bußgeldern vergleicht, wird das Missverhältnis deutlich. DSGVO-Bußgelder bewegen sich deutschlandweit im niedrigen zweistelligen Millionenbereich pro Jahr. Die realen wirtschaftlichen Schäden durch Cybervorfälle liegen um ein Vielfaches höher.

Ein weiterer Punkt, der in der Praxis oft verdrängt wird, sind Lösegeldzahlungen nach Ransomware-Angriffen. 15 % der befragten Unternehmen geben an, bereits mindestens einmal gezahlt zu haben. Die typischen Beträge liegen zwischen 100.000 und 500.000 Euro, in einzelnen Fällen deutlich darüber.

Auffällig ist dabei die hohe Dunkelziffer. Knapp 30 % der Unternehmen machen keine Angaben zur Höhe der Zahlung. Das ist nachvollziehbar, denn kaum jemand möchte öffentlich eingestehen, dass Systeme verschlüsselt waren oder Daten abgeflossen sind. Für die Risikobewertung bedeutet das jedoch: Die tatsächlichen Schäden dürften eher höher als niedriger liegen.

97 % der Unternehmen gehen heute davon aus, dass sie bereits angegriffen wurden oder zumindest sehr wahrscheinlich betroffen waren. Das ist keine theoretische Bedrohung mehr, sondern Alltag. Parallel dazu fühlen sich rund drei Viertel der Unternehmen konkret bedroht – ein Wert, der weiter steigt.

Besonders relevant ist die Einschätzung zur Rolle von KI. Zwei Drittel der Befragten gehen davon aus, dass künstliche Intelligenz bei Angriffen eine Rolle spielt. Ob bei täuschend echten Phishing-Mails, automatisierten Angriffswerkzeugen oder Social-Engineering-Angriffen – die Qualität und Skalierbarkeit von Angriffen nimmt messbar zu.

Gleichzeitig halten noch immer rund 59 % der Unternehmen Cyberangriffe für existenzbedrohend. 2022 lag dieser Wert bei unter 10 %. Dieser Sprung zeigt, wie stark sich die Lage in kurzer Zeit verändert hat.

Ransomware bleibt mit rund einem Drittel aller Vorfälle die häufigste Angriffsmethode. Stark zugenommen haben jedoch auch DDoS-Angriffe, die mittlerweile bei etwa einem Viertel der Unternehmen eine Rolle spielen. Neu, aber konstant vorhanden, sind KI-gestützte Betrugsversuche wie Deepfakes oder automatisierte Anrufe.

Bei den Zielen geht es längst nicht mehr nur um Daten. Sabotage von Produktions- und Informationssystemen, Störungen von Betriebsabläufen und das Ausspähen von Kommunikation nehmen weiter zu. Besonders auffällig ist der starke Anstieg bei gestohlenen Finanzdaten.

Die Studie zeigt erneut eine starke Konzentration auf staatliche und staatsnahe Akteure, insbesondere aus Russland und China. Gleichzeitig verbessern sich die Möglichkeiten zur Täterermittlung, etwa durch bessere Auswertung von Logdaten und stärkere Zusammenarbeit mit Behörden.

Für Unternehmen bedeutet das jedoch nicht Entwarnung. Im Gegenteil: Die Professionalisierung der Angreifer geht schneller voran als viele interne Sicherheitsstrukturen.

Der Anteil der IT-Sicherheitsausgaben am gesamten IT-Budget hat sich innerhalb weniger Jahre von etwa 9 % auf rund 18 % verdoppelt. Jeder fünfte IT-Euro fließt inzwischen in Schutzmaßnahmen. Trotzdem reicht das in vielen Fällen nicht aus, um mit der Bedrohungslage Schritt zu halten.

Hinzu kommt die wachsende Abhängigkeit von außereuropäischen Anbietern. Zwei Drittel der Unternehmen sehen sich bei sicherheitskritischer Software auf US-Dienstleister angewiesen, während gleichzeitig der Wunsch nach europäischen Alternativen wächst.

Besonders kritisch ist ein scheinbarer Widerspruch in den Zahlen. Während die Bedrohungslage zunimmt, geben weniger Unternehmen an, sehr gut vorbereitet zu sein. Der Wert ist von 53 % auf rund 50 % gesunken.

Das bedeutet übersetzt: Die Angriffe werden professioneller, häufiger und teurer – gleichzeitig verlieren Unternehmen Vertrauen in ihre eigene Abwehrfähigkeit. Aus meiner Sicht ist das eines der deutlichsten Warnsignale der gesamten Studie.

Die Bitkom-Studie Wirtschaftsschutz 2025 zeigt sehr klar: Cyberangriffe sind kein Ausnahmeereignis, sondern ein strukturelles Risiko für nahezu jedes Unternehmen. Die Schäden steigen weiter, die Angriffsmethoden werden ausgefeilter und die eigene Vorbereitung wird kritischer hinterfragt.

Wenn 97 % der Unternehmen davon ausgehen, betroffen zu sein, dann ist die Wahrscheinlichkeit hoch, dass auch dein Unternehmen dazugehört – möglicherweise ohne es bereits zu wissen.

Statt über einzelne Maßnahmen oder Zertifizierungen zu diskutieren, lohnt sich zunächst ein ehrlicher Blick auf den aktuellen Stand. Wo stehst du wirklich? Welche Risiken sind real, welche eher theoretisch? Ein strukturierter Einstieg, etwa über einen CyberRisikoCheck, schafft Klarheit und belastbare Entscheidungsgrundlagen – auch gegenüber der Geschäftsführung.