Cybersicherheit ist eine Investition, kein Kostenfaktor: So berechnen Sie den ROI Ihres Schutzes

Ein Cyberangriff ist heute ein wirtschaftliches Risiko

Unternehmen laufen heute auf digitaler Infrastruktur. Ein Cyberangriff ist ein wirtschaftliches Risiko, das in der Bilanz auftaucht. Die globalen Verluste durch Cyberkriminalität erreichten 2024 rund 9,5 Billionen Dollar.

Polen entwickelt sich in dieselbe Richtung. 2024 stiegen die gemeldeten Verstöße um 60 Prozent gegenüber 2023, die Zahl bestätigter Vorfälle um 23 Prozent. Das CSIRT NASK bearbeitete 103.449 Fälle, 29 Prozent mehr als im Vorjahr, und die durchschnittliche Zahl täglicher Vorfälle kletterte von 220 auf 283. Einen Angriffsversuch verzeichneten 83 Prozent der polnischen Unternehmen, 16 Prozentpunkte mehr als im Jahr zuvor.

Bei solchen Zahlen ist es überholt und riskant, Cybersicherheit nur als Kostenfaktor zu sehen. Sie ist eine Investition, die Ihre wichtigsten Werte schützt, Widerstandsfähigkeit aufbaut und neue Aufträge öffnet. Dieser Beitrag zeigt: Proaktive Ausgaben für Schutz liegen um ein Vielfaches unter den Kosten eines Vorfalls.

Die realen Kosten fehlender Cybersicherheit

Fehlende Absicherung ist ein reales Risiko mit vielen Gesichtern. Die Kosten eines Angriffs enden selten bei der Reparatur der Systeme. Hinzu kommen Bußgelder, Ausfälle und der am schwersten wiederzugewinnende Verlust: das Vertrauen.

Vorfallszahlen in Polen: was sie kosten

Angriffe auf polnische Unternehmen sind häufig. Ein Vorfall ist heute die Regel: Mehr als die Hälfte der Betriebe hat bereits einen erlebt.

Die Folgen sind konkret. Ein einzelner Vorfall kostet ein polnisches Unternehmen im Schnitt mehr als eine Million Złoty, und je länger die Erkennung und Eindämmung eines Verstoßes dauert, desto schneller wächst die Rechnung. Dazu kommt eine Lehre aus der Ransomware: Unternehmen, die das Lösegeld zahlten, trugen ähnlich hohe Verluste wie jene, die sich weigerten. Der Erpressung nachzugeben lohnt sich selten.

Der Trend ist eindeutig. 2024 registrierte das CSIRT NASK zudem 57 Prozent mehr schwere Vorfälle, also solche, die den Fortbestand des Betriebs einer Einrichtung gefährden.

Trotzdem unterschätzt ein Teil der Unternehmen das Risiko. Fast 25 Prozent der Betriebe in Polen führten 2025 keinerlei Verbesserungen ihrer Sicherheit ein, und 54 Prozent geben an, im vergangenen Jahr keine schwere Störung gehabt zu haben, was häufiger unerkannte Vorfälle bedeutet als echte Ruhe.

Das Fazit ist einfach: Ein Unternehmen, das Sicherheit aufschiebt, häuft genau das Risiko an, das es zu vermeiden glaubt. Prävention kostet meist deutlich weniger als die Reaktion, und die kann die Liquidität und sogar den Fortbestand eines kleinen oder mittleren Unternehmens gefährden.

Bußgelder, Schadenersatz und direkte Verluste

Die direkten finanziellen Folgen können verheerend sein, und sie beginnen bei regulatorischen Bußgeldern. Nach Artikel 83 Absatz 5 DSGVO reicht ein Bußgeld für einen Datenabfluss bis 20 Millionen Euro oder 4 Prozent des gesamten weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Das ist keine Theorie. Die polnische Datenschutzbehörde UODO verhängte gegen Morele.net ein Bußgeld von 3,8 Millionen Złoty für den Abfluss der Daten von 2,2 Millionen Personen. Der Fall ging über Jahre zurück vor Gericht und verursachte weitere Rechtskosten. Ein einziges solches Bußgeld kann die Ersparnisse aus jahrelang vermiedenen Sicherheitsausgaben zunichtemachen.

Die zweite große Last ist Ransomware. Das durchschnittliche Lösegeld erreichte 2023 rund 3,9 Millionen Dollar, mehr als 250 Prozent mehr als im Vorjahr. Eine Zahlung garantiert nicht, dass Sie die Daten zurückbekommen, und die Verluste wachsen ohnehin: Wiederaufbau der Systeme, Schadenersatz, Bewältigung der Rechts- und PR-Krise.

Für die Geschäftsleitung heißt das: Die Investition in DSGVO-Konformität, bald auch NIS2 und DORA, wirkt wie eine Versicherung. Ein einziges vermiedenes Bußgeld kann die Kosten vieler Jahre Absicherung zurückzahlen. Das ist ein Return, gemessen an vermiedenen Kosten.

Verlust von Reputation und Vertrauen

Geld ist die eine Seite. Die andere, oft schmerzhaftere, ist der Verlust von Reputation und Vertrauen. Im digitalen Geschäft ist Glaubwürdigkeit ein Wert, der direkt auf den Umsatz durchschlägt.

Die Folgen sind auf beiden Seiten der Beziehung real. 59 Prozent der Unternehmen nannten einen Verlust des Vertrauens ihrer Partner, und Kunden wechseln nach einem Datenabfluss zur Konkurrenz. Der polnische Markt liefert deutliche Beispiele:

• ALAB Laboratoria (November 2023). Der größte Abfluss medizinischer Daten in der Geschichte Polens: 246 GB, darunter Befunde und personenbezogene Daten von rund 200.000 Kunden. Die Folge waren das Risiko von Identitätsdiebstahl und eine Phishing-Welle, die sich als das Labor ausgab.
• Allegro (2023). Eine geteilte Datei enthielt mehr als 6 Millionen Zeilen mit Zugangsdaten für Konten in neun Domains, darunter Banken, und gesondert flossen die Daten von 88.000 Nutzern ab. Solche Vorfälle erreichen die Medien binnen Stunden.
• Santander Bank Polska (Juni 2024). Die Gruppe ShinyHunters nutzte eine Schwachstelle in den Systemen der Bank aus und drohte, die Daten von Millionen Kunden offenzulegen und Phishing-Angriffe zu verstärken.

Ein Datenabfluss trifft auch die Lieferkette: Partner fürchten den nächsten Verstoß und ziehen sich aus der Zusammenarbeit zurück. Die Investition in Sicherheit ist damit eine Investition in Vertrauenskapital und den langfristigen Wert der Marke.

Betriebsausfälle: lahmgelegtes Geschäft und entgangener Gewinn

Ein Angriff kann ein Unternehmen zum Stillstand bringen, und Ausfall ist unmittelbar entgangener Umsatz. Für die meisten Unternehmen ist die Verfügbarkeit der Dienste kritisch.

Häufigster Auslöser von Ausfällen sind DDoS-Angriffe, die Server und Leitungen überlasten. Im Februar 2024 trafen sie polnische Einrichtungen, darunter die Systeme der Bahn PKP und Regierungsseiten. Im Juli 2024 waren die Websites der Flughäfen in Gdańsk, Rzeszów-Jasionka und Poznań-Ławica das Ziel, was Reisenden den Zugang zu Informationen erschwerte.

Ransomware kann ein Unternehmen lahmlegen, indem sie die wichtigsten Systeme verschlüsselt. Im Dezember 2024 störte ein Angriff auf den Krakauer Nahverkehrsbetrieb MPK den Online-Ticketverkauf, die Website und weitere Systeme, mit dem Risiko eines Abflusses der Daten von Fahrgästen und Beschäftigten.

Die Kosten sind direkt. Die Beseitigung der Folgen eines Verstoßes dauert im Schnitt bis zu 85 Tage, also Wochen mit eingeschränktem Verkauf und Betrieb. Die Investition in Sicherheit ist eine Investition in Kontinuität, und die lässt sich leicht beziffern: Rechnen Sie den Verlust einer Stunde oder eines Tages Ausfall zusammen.

Cybersicherheit als Investition: ein messbarer Return (ROSI)

Um vom Kostendenken zum Investitionsdenken zu wechseln, müssen Sie den Nutzen berechnen können. Dafür gibt es die Kennzahl ROSI, die den realen Return auf Sicherheitsausgaben zeigt.

So berechnen Sie den ROI Ihres Unternehmensschutzes (ROSI)

ROI (Return on Investment) misst die Wirksamkeit einer Investition als Verhältnis von Nettogewinn zu eingesetztem Kapital. In der Sicherheit nutzen wir eine Variante davon, den ROSI (Return on Security Investment). ROSI zeigt, um wie viel Ihre möglichen Verluste durch eine bestimmte Maßnahme sinken, im Verhältnis zu deren Kosten.

Sie berechnen ihn aus drei Variablen:

• ALE (Annual Loss Expectancy). Der jährlich erwartete Verlust aus einem bestimmten Risiko. Er ergibt sich aus zwei Teilen: SLE (der Verlust aus einem einzelnen Vorfall, direkte und indirekte Kosten) und ARO (die jährliche Häufigkeit des Ereignisses). Formel: ALE = SLE x ARO.
• Risikoreduktion. Die prozentuale Senkung der Wahrscheinlichkeit oder der Folgen eines Vorfalls durch die eingeführte Maßnahme.
• Die Kosten der Lösung. Alle Kosten der Einführung: Lizenzen, Hardware, Schulungen, Verfahren und Betrieb.

Die ROSI-Formel lautet: ROSI = (die Senkung der finanziellen Verluste minus die Kosten der Lösung) geteilt durch die Kosten der Lösung, mal 100 Prozent.

Voraussetzung für eine sinnvolle Rechnung ist eine ehrliche Bewertung der Verluste: entgangener Umsatz, Ausfälle, Bußgelder, Datenwiederherstellung und abwandernde Kunden. Ohne sie lässt sich kein realistisches Budget für Prävention aufstellen.

ROSI verwandelt abstraktes Risiko in Zahlen, die Geschäftsleitung und Finanzabteilung lesen können. Es begründet die Ausgabe und setzt Prioritäten: zuerst die Maßnahme, die pro ausgegebenem Złoty die größte Verlustsenkung bringt.

Das folgende Beispiel zeigt den ROSI für eine Investition in Penetrationstests.

Tabelle 1. Eine Beispielrechnung des ROSI für Penetrationstests

Interpretation: Ein ROSI über null bedeutet, dass sich die Investition lohnt. Hier kommt jeder investierte Złoty als 1,40 Złoty in Form vermiedener Verluste zurück.

Auch offensive Sicherheit beeinflusst dieses Ergebnis. Penetrationstests und Red Teaming simulieren einen echten Angriff und finden die Lücken, auch in Ihren eigenen Abwehrsystemen, bevor es ein Angreifer tut. Sie vorab zu schließen senkt mögliche Verluste unmittelbar.

Der langfristige finanzielle Nutzen

Sicherheitsausgaben fallen sofort auf, zahlen sich über einen längeren Zeitraum aber vor allem durch vermiedene Kosten aus.

Solide Absicherung hilft, Bußgelder (DSGVO, bald NIS2 und DORA), Schadenersatz und die Kosten des Wiederaufbaus der Systeme nach Ransomware zu vermeiden. Unternehmen, die auf KI und Sicherheitsautomatisierung setzten, verloren im Schnitt 3,05 Millionen Dollar weniger als solche mit herkömmlichen Lösungen.

Sicherheit senkt auch die Prämien für Cyberversicherungen. Ein Unternehmen mit eingeführten Maßnahmen und einem geschulten Team ist für den Versicherer weniger riskant und zahlt daher weniger. Die Policen selbst decken unter anderem entgangenen Gewinn, Datenwiederherstellung, Krisenbewältigung, DSGVO-Bußgelder und Diebstahl von Geldern ab; sie ergänzen die Absicherung, können sie aber nicht ersetzen.

Der Markt hat das bereits eingepreist. Polnische Unternehmen stecken 6 bis 10 Prozent ihres Umsatzes in die IT, davon 6 bis 13 Prozent in Cybersicherheit, und diese Budgets wachsen jährlich um rund 30 Prozent. Die globalen Sicherheitsausgaben steigen 2025 um 12,2 Prozent und erreichen bis 2028 rund 377 Milliarden Dollar, während allein die Kosten der Cyberkriminalität 10 Billionen Dollar pro Jahr übersteigen. Sicherheit ist eine planbare Ausgabe statt eines unplanbaren Verlusts.

Geschäftliche Widerstandsfähigkeit und Kontinuität

Bei steigender Zahl der Angriffe ist der wichtigste Nutzen die geschäftliche Widerstandsfähigkeit und Kontinuität, also die Fähigkeit der Systeme, Vertraulichkeit, Integrität und Verfügbarkeit der Daten trotz Angriffsversuchen zu wahren.

Es geht um mehr als das Abwehren eines Angriffs. Es geht darum, die Folgen zu begrenzen und schnell zum normalen Betrieb zurückzukehren. Gut geschützte kritische Infrastruktur und zentrale Prozesse laufen selbst unter Druck weiter.

Im Gesundheitswesen zeigt sich das deutlich. Die Investition in Sicherheit schützt Patientendaten und hält Systeme und Finanzen einer Einrichtung funktionsfähig, und jede Minute Ausfall beim Zugang zu medizinischen Leistungen wirkt sich unmittelbar auf die Gesundheit der Patienten und auf die Reputation aus.

Widerstandsfähigkeit, also die Fähigkeit, eine Störung zu überstehen und schnell wieder hochzufahren, ist ein echter Wettbewerbsvorteil. Ein Unternehmen, das sie hat, schützt seinen Umsatz auch mitten in der Krise. Das gehört in die Geschäftsplanung, weit über die Aufgabenliste der IT-Abteilung hinaus.

Vertrauen, Reputation und Wettbewerbsvorteil

Daten sind zur Währung geworden, Datenschutz zur Priorität. Sicherheit ist deshalb längst mehr als eine technische Anforderung; sie schafft Vertrauen, Reputation und Vorsprung.

Kunden prüfen, ob Sie mit ihren Daten sorgsam umgehen, und wählen die Anbieter, die das belegen können. Sicherheit schlägt direkt auf Kaufentscheidungen durch und öffnet die Tür zu neuen Partnerschaften.

Zum Nachweis werden Zertifikate. Das nationale Siegel „Firma Bezpieczna Cyfrowo“ (NASK) bestätigt einen reifen Umgang mit dem Schutz, und die Common-Criteria-Zertifikate, die NASK vergeben darf, sind in 32 Ländern anerkannt und in NATO-Verfahren im Einsatz. Der Sejm verabschiedete zudem ein Gesetz über ein nationales System der Cybersicherheitszertifizierung, mit Zertifikaten, die in der gesamten EU anerkannt sind.

Die Führungsetagen sehen das: 85 Prozent der Vorstandsvorsitzenden halten Cybersicherheit für wichtig für das Wachstum des Unternehmens. Sie ist kein „Abwehrkosten“-Posten mehr, sondern eine Investition, die Marktanteile gewinnt, besonders in regulierten und datensensiblen Branchen.

Tabelle 2. Zentrale Vorteile einer Investition in Cybersicherheit

Die wichtigsten Investitionsbereiche und die Herausforderungen

Wirksamer Schutz erfordert Investitionen in mehreren Bereichen zugleich: Technologie, Menschen und regulatorische Konformität. Polnische Unternehmen stehen hier vor echten Herausforderungen und haben zugleich die Chance auf einen Vorsprung.

Technologie: KI und offensive Tests

Künstliche Intelligenz verändert die Sicherheit auf beiden Seiten. KI-Systeme verarbeiten riesige Datenmengen in Echtzeit, erkennen feine Muster, verkürzen die durchschnittliche Zeit bis zur Erkennung eines Vorfalls von 101 auf 20 Tage, steigern die Erkennungsgenauigkeit um 12 Prozent und sparen Analysten 39 Prozent der Zeit für Routineaufgaben.

KI ist allerdings ein zweischneidiges Schwert. Angreifer nutzen sie, um Angriffe zu automatisieren und Deepfakes zu erzeugen, die kaum von der Realität zu unterscheiden sind, und der unvorsichtige Einsatz von GenAI-Werkzeugen riskiert den Abfluss von Unternehmensdaten. Die Einführung von KI erfordert deshalb eine eigene Risikoanalyse.

Hier kommen Penetrationstests und Red Teaming ins Spiel, die notwendige Ergänzung Ihrer Verteidigung. Ein Pentest ist eine kontrollierte Simulation eines Angriffs auf Systeme und Anwendungen, während Red Teaming die gesamte Organisation testet: Technologie, Verfahren, die Reaktion des Teams und die Wachsamkeit der Beschäftigten.

Das ist nötig, denn selbst fortgeschrittene Systeme wie EDR werden umgangen, etwa mit dem Werkzeug HRSword, das den Schutz abschaltet. Regelmäßige Tests prüfen, wie gut Ihre Maßnahmen unter realen Bedingungen standhalten, und KI-gestützte Simulationen steigern die Trefferquote beim Finden von Lücken um bis zu 55 Prozent. Sicherheit mit KI ist ein andauerndes Rennen; ein einmaliger Kauf hält damit nicht Schritt.

Der Faktor Mensch: Schulung und Kompetenzen

Trotz aller Technik bleibt der Mensch die häufigste Ursache von Vorfällen. 84 Prozent der Unternehmen und sogar 94 Prozent der polnischen KMU nannten fehlendes Sicherheitsbewusstsein der Beschäftigten. Phishing und Social Engineering sind heute die größte Bedrohung, weil sie auf menschliche Reflexe zielen, gegen die kein Patch hilft.

Hinzu kommt der Fachkräftemangel. In Polen fehlen bis zu 17.500 Spezialisten, auf einen Kandidaten kommen sieben offene Stellen, und 68 Prozent der Unternehmen melden Lücken in ihren Teams.

Die Antwort ist eine Kombination aus Schulungen, Rekrutierung außerhalb der IT und Outsourcing. Zentral sind regelmäßige Simulationen von Social-Engineering-Angriffen und Red Teaming, die die Widerstandsfähigkeit der Beschäftigten gegen Phishing und Vishing realistisch prüfen und die schwächsten Glieder aufzeigen. Ein gutes Beispiel sind die Übungen Cyber-EXE Polska, an denen 2024 18 Einrichtungen teilnahmen, darunter die größten Banken.

Die Investition in Menschen senkt das Risiko unmittelbar. Ein Mensch kann das schwächste Glied sein, doch gut vorbereitet wird er zur ersten Verteidigungslinie.

Regulatorische Konformität: NIS2, KSC, DORA

Neue Vorschriften prägen die Sicherheit in Polen und der EU immer stärker und heben die Latte in den wichtigsten Sektoren an.

Die NIS2-Richtlinie weitet die Regeln auf Tausende „wesentliche“ und „wichtige“ Einrichtungen aus und legt ihnen Pflichten zu Risikoanalyse, Sicherheitsrichtlinien, Schutz der Lieferkette und Meldung von Vorfällen auf.

Der Finanzsektor fällt unter die DORA-Verordnung mit einer Frist zur Konformität bis zum 17. Januar 2025. Sie verlangt die Erfassung von IKT-Vorfällen und erheblichen Bedrohungen sowie den Vorrang der Betriebskontinuität nach einem Vorfall.

Parallel soll die Novelle des Gesetzes über das Nationale Cybersicherheitssystem (KSC) bis Ende 2025 in Kraft treten, unter anderem mit der Pflicht, Vorfälle an zentrale Register zu melden.

Das Problem ist, dass viele Unternehmen zögern und fast jeder dritte IT-Leiter die Widerstandsfähigkeit seiner Organisation überschätzt. Hier helfen Penetrationstests und Angriffssimulationen: Sie decken die Lücken auf und belegen, dass die eingeführten Maßnahmen tatsächlich wirken, was Audits für DSGVO, NIS2 und DORA häufig verlangen.

Die Bußgelder erreichen 4 Prozent des globalen Umsatzes, Konformität ist damit eine rechtliche und wirtschaftliche Pflicht. Ein Unternehmen, das sich frühzeitig anpasst, vermeidet die Kosten und zeigt Marktreife.

Zusammenarbeit: mit wem Sie an einem Strang ziehen

Im Kampf gegen die Bedrohungen agiert kein Unternehmen allein. In Polen besteht ein breites Netz aus Institutionen, Organisationen und Unternehmen, die Wissen, Werkzeuge und Unterstützung liefern.

Das Rückgrat ist das Nationale Cybersicherheitssystem, koordiniert vom Ministerium für Digitalisierung, mit drei CSIRT-Teams auf nationaler Ebene: NASK (Bürger, Unternehmen, Anbieter digitaler Dienste), GOV (Verwaltung und kritische Infrastruktur) und MON (militärische Systeme). Im Finanzsektor wirken der Bankencybersicherheitsausschuss des ZBP und die Einheit FinCERT.pl, die führende Stelle für den Austausch von Bedrohungsinformationen unter Banken.

Auch private Unternehmen treiben den Markt. Das Auslagern von Sicherheitsaufgaben ist verbreitet: 2024 nutzten es 81 Prozent der Organisationen. Einen Teil des Schutzes zertifizierten Partnern zu übergeben, erlaubt Ihnen, sich auf das eigene Geschäft zu konzentrieren, ohne alles von Grund auf aufzubauen.

Die besten Ergebnisse bringt die Kombination dreier Quellen: die Nutzung öffentlicher Ressourcen, die Zusammenarbeit mit branchenspezifischen ISACs (wie FinCERT.pl) und die Partnerschaft mit externen Fachleuten. Das ist besonders wichtig bei knappem Fachpersonal, denn es hebt das Sicherheitsniveau schneller und zu vertretbaren Kosten.

Investieren Sie klug, gewinnen Sie sicher

Angriffe werden häufiger, raffinierter und teurer, weshalb Cybersicherheit die Rolle eines gewöhnlichen Betriebskostenpostens hinter sich gelassen hat. Sie ist eine strategische Investition, die das Unternehmen vor Bußgeldern, Reputationsverlust, Ausfällen und entgangenem Umsatz schützt. In Polen ist dieses Risiko verbreitet und wächst, und es zu ignorieren kann für ein Unternehmen fatale Folgen haben.

Wenn Sie in Sicherheit investieren, senken Sie das Risiko, bauen Widerstandsfähigkeit auf, gewinnen das Vertrauen von Kunden und Partnern und erfüllen die Anforderungen von DSGVO, NIS2 und DORA. Und mit ROSI begründen Sie jede Ausgabe mit Zahlen statt mit Allgemeinplätzen.

Der Schlüssel ist, proaktiv zu bleiben: den Ausbau der Absicherung (einschließlich KI), das Bewusstsein und die Kompetenzen des Teams, regelmäßige Penetrationstests und Red Teaming sowie den klugen Einsatz der verfügbaren Unterstützung. Investieren Sie heute mit Augenmaß, um Ihr Unternehmen morgen weiterzuentwickeln, ohne auf den nächsten Angriff schielen zu müssen.