HDI-Studie: Durchschnittliche Schadenhöhe bei Cyberangriffen sinkt deutlich

Durch etablierte Präventionsmaßnahmen und routinierteres Krisenmanagement können Cyber-Angriffe offenbar schneller eingegrenzt werden. Das ist das Ergebnis der neuen „Cyberstudie 2026“ von HDI. Die Schadenhöhen sinken und die Betriebsunterbrechungen werden kürzer, doch der Bericht warnt vor verfrühtem Optimismus. Wenn aus Routine Nachlässigkeit wird und der Fokus auf die Cybersicherheit schwindet, drohen neue Gefahren.

Mit dem Wachstum der Cyberversicherungs-Sparte boomen auch Marktstudien und Umfragen. So analysierte zuletzt der Makler WTW rund 5.500 Cyber-Schadensfälle aus 95 Ländern im Zeitraum von Januar 2013 bis Januar 2026, die ein Gesamt-Auszahlungsvolumen von rund einer Milliarde US-Dollar umfassen. Die Kernbotschaft: Bei klassischen Datenpannen übernimmt die Cyber-Police im Schnitt mehr als 95 Prozent des entstandenen Schadens; bei sogenannten Eigenschäden (First-Party-Losses) liegt die Quote bei rund 90 Prozent, VWheute berichtete.

Einige Versicherer hierzulande veröffentlichen regelmäßig Reports zu Cybertrends. Konkret auf den deutschen Mittelstand bezogen publiziert etwa die BarmeniaGothaer periodisch solche Studien, aus denen etwa hervorgeht, dass Hackerangriffe als das bedrohlichste Risiko für KMU angesehen werden, aber gleichzeitig die Unternehmen in diesem Bereich Nachholbedarf beim Versicherungsschutz haben.

Auch HDI liefert mit seiner neuesten „Cyberstudie 2026“, für die das Marktforschungsunternehmen Sirius Campus rund 1.100 IT- und Versicherungsentscheider befragt hat, ähnliche Ergebnisse. Das Bewusstsein in den Chefetagen ist hoch: 60 Prozent der Befragten stufen Cyberschäden als relevantes Risiko ein; knapp ein Drittel befürchtet, in den kommenden zwei Jahren selbst Opfer einer Attacke zu werden. Tatsächlich berichteten rund 35 Prozent der Unternehmen, in den vergangenen fünf Jahren mindestens einmal angegriffen worden zu sein.

Die Studie liefert jedoch auch eine überraschend positive Nachricht: Die finanzielle Wucht erfolgreicher Angriffe hat deutlich nachgelassen. Lag die durchschnittliche Schadenhöhe in den Vorjahren seit 2022 noch bei mindestens 68.000 Euro, so sank sie laut den aktuellen Daten auf rund 25.000 Euro.

Experten führen dies auf einen Lerneffekt in den Betrieben zurück. Durch etablierte Präventionsmaßnahmen und routinierteres Krisenmanagement können Angriffe offenbar schneller eingegrenzt werden. Wer vorsorgt, spart bares Geld: Der finanzielle Schaden lässt sich durchschnittlich um 33 % senken, wenn ein Unternehmen der Prävention einen hohen Stellenwert beimisst. Diese weisen einen durchschnittlichen Cyberschaden von lediglich rund 17.000 Euro auf. Unternehmen, die präventive Maßnahmen nicht so stringent verfolgen, haben einen knapp 38 % höheren durchschnittlichen Cyberschaden.

Auch die Schadendauer wird offenbar begrenzt: So erleiden Unternehmen mit einem hohen Umsetzungsgrad präventiver Maßnahmen im Durchschnitt nur eine Betriebsunterbrechung von etwa zwei Tagen (2,1 Tage), während Unternehmen ohne entsprechende Maßnahmen fünf bis sechs Tage (5,7 Tage) benötigen, um nach einem Cybervorfall wieder arbeitsfähig zu sein. Zum Vergleich: Die durchschnittliche Betriebsunterbrechung beträgt circa vier Tage. In vielen Branchen kann ein solcher Unterschied über Vertragsstrafen, Kundenbeziehungen und Liquidität entscheiden.

Gleichzeitig warnen Brancheninsider vor verfrühtem Optimismus. Wenn aus Routine Nachlässigkeit wird und der Fokus auf die Cybersicherheit schwindet, drohen neue Gefahren. Das gilt besonders für kleinere Unternehmen mit einem Jahresumsatz zwischen 2,5 und 10 Millionen Euro: Sie können die finanziellen Folgen oft schlechter kompensieren als Großkonzerne – für sie steht bei einem massiven Vorfall schnell die Existenz auf dem Spiel.

Einzelne Branchen und ihre durchschnittlichen Schadenhöhen im Überblick:

• Freiberufliche, wissensintensive und technische Dienstleistungen:
  rund 51.000 Euro
• Produzierendes und verarbeitendes Gewerbe: rund 18.000 Euro
• Bau-Haupt- oder -Nebengewerbe: rund 22.000 Euro
• Besonders kritisch sei laut HDI die Unternehmensgrößenklasse mit
  500.000 Euro bis 2,5 Mio. Euro Jahresumsatz. „Hier liegt der durchschnittliche Schaden bei rund 33.000 Euro – eine Größenordnung, die finanzielle Reserven oft deutlich überfordert“, heißt es im Bericht.
  

Der Faktor Mensch und das Einfallstor Cloud

Bei den Angriffsmethoden zeigt sich: Der Mensch bleibt das schwächste Glied in der Sicherheitskette. Klassische Phishing-Mails (64 Prozent), verseuchte E-Anhänge (47 Prozent) und unbedachte Downloads (30 Prozent) führen die Rangliste der Einfallstore an.

Um sich zu schützen, setzen 87 Prozent der KMU auf technische Schutzwälle wie Firewalls oder automatische Back-ups. Zudem gewinnen Cloud-Lösungen an Bedeutung – mehr als die Hälfte der Betriebe arbeitet inzwischen cloudbasiert. Neben Flexibilität und Kosteneinsparungen versprechen sich viele Unternehmen davon vor allem eine professionellere Datensicherheit.

Doch die Cloud erweist sich als zweischneidiges Schwert: Sie kann dazu verleiten, die Gefahr zu unterschätzen. Werden Sicherheitskonzepte vernachlässigt, entstehen neue Angriffsflächen. Die Zahlen sprechen eine deutliche Sprache: 31 Prozent der Cloud-Nutzer meldeten bereits Betriebsunterbrechungen nach einem Cybervorfall – bei Unternehmen ohne Cloud-Infrastruktur waren es lediglich 14 Prozent.

Künstliche Intelligenz: Zwischen Wettrüsten und Resilienz

Ein neuer Dynamikfaktor ist die Künstliche Intelligenz (KI). Kriminelle nutzen KI zunehmend für hochgradig personalisierte Täuschungsmanöver wie den sogenannten „CEO-Fraud“ (Chef-Betrug) oder Deepfakes. 27 Prozent der Befragten sehen im CEO-Fraud bereits ein relevantes Risiko, sieben Prozent wurden bereits konkret damit konfrontiert.

Dennoch überwiegt im Mittelstand der Optimismus: Eine deutliche Mehrheit von 55 Prozent begreift KI primär als Chance, während nur 21 Prozent die Risiken im Vordergrund sehen. Viele Entscheider setzen darauf, KI künftig für die automatisierte Erkennung und Abwehr von Cyberattacken zu nutzen, um die eigene digitale Widerstandskraft zu stärken. Auffällig ist hierbei ein Größengefälle: Je größer das Unternehmen, desto positiver wird der Einfluss von KI bewertet, während Kleinbetriebe der Entwicklung noch skeptischer gegenüberstehen.

Über das wachstumsstarke Segment Cyber diskutierte kürzlich auch der VersicherungswirtschaftCLUB. Signal-Iduna-Vorstand Fabian Schneider erläuterte, wie profitabel die Sparte in seinem Haus sei. Jens Krickhahn, Cyberchef von Allianz Commercial, erklärte, warum die Münchener ihr Neugeschäft an den Assekuradeur Coalition auslagern – und Marcel Armon von Aon sowie Laura Selbach-Otto von der Bankengruppe ODDO BHF schilderten ihre Erwartungen an die Versicherer.

Autor: VW-Redaktion