Was zehn große Studien zusammen zeigen, und warum der Mittelstand die höchste Rechnung zahlt
Ich habe die wichtigsten empirischen Cybercrime-Studien der letzten Jahre nebeneinandergelegt, vom FBI-Lagebericht über Verizon und IBM bis Bitkom und ENISA. Das Bild, das daraus entsteht, ist unbequem und ziemlich klar. Die Verluste steigen, die Angriffe werden billiger, und der Mittelstand trägt den größten Anteil am Schaden.
Zahlen, die man kaum fassen kann
Das FBI verzeichnete für 2025 über eine Million Meldungen mit 20,9 Milliarden Dollar gemeldetem Schaden, ein Plus von 26 Prozent. Und das ist ein Land und nur das, was überhaupt gemeldet wurde. Weltweit lag der Schaden 2024 schon über 9,5 Billionen Dollar, grob so viel wie die Wirtschaftsleistung von Japan, Deutschland und Großbritannien zusammen. In Deutschland beziffert Bitkom den Schaden für 2025 auf 202,4 Milliarden Euro, 87 Prozent der Unternehmen waren betroffen.
Das Problem ist nicht Unwissen, es ist Untätigkeit
Man könnte meinen, es fehle an Aufklärung. Tut es nicht. Die Daten sind öffentlich, die Leitfäden gibt es im Dutzend. Trotzdem passiert zu wenig. Deutsche Firmen geben im Schnitt 18 Prozent ihres IT-Budgets für Sicherheit aus, vor drei Jahren waren es neun. Die Ausgaben steigen, die Schäden steigen schneller.
Das macht Cybersicherheit zu einer Führungsfrage und erst in zweiter Linie zu einer technischen. Budgets werden falsch verteilt, seltene Großschäden unterschätzt, Sicherheit als Kostenstelle gesehen statt als Risikovorsorge mit messbarem Nutzen.
Warum der Mittelstand am härtesten zahlt
Ransomware steckte 2025 in 44 Prozent aller untersuchten Datenschutzvorfälle, bei kleinen und mittleren Firmen aber in 88 Prozent. Der Mittelstand wird nicht häufiger angegriffen. Er kann einen erfolgreichen Einbruch nur deutlich schlechter erkennen, eindämmen und sich davon erholen. Kein eigenes Sicherheitsteam, nicht verwaltete Geräte, weniger Werkzeuge zur Erkennung. Jede dieser Lücken vergrößert den Schaden, wenn es einmal passiert.
Das Tempo ist das eigentliche Problem
Angreifer sind heute in durchschnittlich 48 Minuten vom ersten Zugang zur Ausbreitung im Netz, der schnellste beobachtete Fall lag bei 51 Sekunden. In einer Firma ohne aktive Überwachung heißt das: Der Angreifer hat praktisch unbegrenzt Zeit.
Dazu kommt die KI. Über 80 Prozent der Phishing-Mails nutzen inzwischen KI in irgendeiner Form. Den holprigen Ton, an dem man früher eine Betrugsmail erkannt hat, gibt es nicht mehr. Du kannst nicht länger erwarten, dass ein Mitarbeiter die Fälschung am schlechten Deutsch erkennt.
Fünf Maßnahmen, die belegbar wirken
Die gute Nachricht steckt in denselben Studien. Ein kleiner Satz an Maßnahmen bringt den größten Teil der Schadensreduktion.
Ein getesteter Notfallplan senkt die durchschnittlichen Kosten eines Vorfalls um rund zwei Millionen Dollar. Sicherheitsautomatisierung noch einmal um 2,2 Millionen. Die Zwei-Faktor-Anmeldung blockiert laut Microsoft über 99 Prozent der automatisierten Angriffe auf Zugangsdaten.
Daraus wird eine Minimalausstattung, die für fast jede Firma machbar ist. Erstens Zwei-Faktor-Anmeldung überall, wo es nach außen geht. Zweitens Backups, offline und getestet. Drittens eine Erkennung auf den Endgeräten, damit sich ein Angreifer nicht ungestört ausbreitet. Viertens Updates für kritische Lücken binnen 30 Tagen. Fünftens ein Notfallplan, den du einmal durchgespielt hast.
Investiere nach Risiko, nicht nach Nachbarschaft
Der Rahmen dahinter ist einfach. Ordne deine Firma einem Risiko-Level zu, nach Branche, Datenmenge, Angriffsfläche und bisherigen Vorfällen. Investiere proportional zu diesem Risiko, nicht zu dem, was der Nachbar macht oder was die Compliance gerade verlangt. Und miss nicht nur, ob du Angriffe abwehrst, sondern auch, wie schnell du dich erholst.
Genau hier liegt der verbreitete Denkfehler. Firmen orientieren sich an Mindeststandards und daran, was die Branche so tut, statt am echten Risiko. Deshalb bleibt die Lücke bestehen, obwohl jeder die Zahlen kennt. NIS2 drückt die Mindeststandards nach oben, aber Compliance allein ist nicht das Ziel.
Zum Mitnehmen
Nichtstun ist auch eine Entscheidung. Eine Firma ohne Zwei-Faktor-Anmeldung, mit ungetesteten Backups und ohne Notfallplan hat ihr Risiko längst gewählt, auch wenn das im Vorstand niemand so sagen würde. Wenn ein Angreifer im Schnitt nach 48 Minuten tief im Netz sitzt, lautet die nützlichere Frage nicht, ob es dich trifft, sondern wie lange du brauchen würdest, um es überhaupt zu merken.
Zur Studie
Das vollständige Paper „Cybercrime as a Systemic Business Risk: Organizational Exposure, Economic Consequences, and a Strategic Resilience Framework for the Mid-Market“ ist am 2. November 2026 im Global Journal of Business and Integral Security, Vol. 9, Nr. 2, erschienen und frei zugänglich: zum Paper bei GBIS.
So zitierst du das Paper (APA, Angabe von GBIS):
Wilfahrt, P. (2026). Cybercrime As A Systemic Business Risk: Organizational Exposure, Economic Consequences, And A Strategic Resilience Framework For The Mid-market. Global Journal of Business and Integral Security, 9(2). Retrieved from https://gbis.ch/index.php/gbis/article/view/1029