1. Kosten einer Cyberkrise: Zahlen und Auswirkungen
Die durchschnittlichen Kosten eines Cyberangriffs sind eine zentrale Frage für alle Organisationen, unabhängig von ihrer Größe. Die finanziellen Folgen eines Angriffs werden oft unterschätzt, während sie sich über mehrere Monate oder sogar ein ganzes Jahr erstrecken können.
1.1. Zeitlicher Verlauf und Ausmaß der Verluste
Die Bewältigung einer Ransomware-Attacke gleicht für das betroffene Unternehmen einem Dauerlauf, mit kritischen Phasen in den ersten beiden Monaten.
1.2. Versteckte Kosten und indirekte Auswirkungen
Die durchschnittlichen Kosten eines Cyberangriffs beschränken sich nicht auf die Lösegeldforderung oder den unmittelbaren Umsatzverlust. Sie umfassen alle direkten und indirekten Auswirkungen auf die Geschäftstätigkeit, den Ruf, die Personalressourcen und die Regenerationsfähigkeit.
Ein Cyberangriff führt zu:
- Einem massiven Einsatz von Personalressourcen: Überlastung der IT-Abteilung, Kurzarbeit, erhöhte Fluktuation.
- Einer Schädigung des Rufs: Vertrauensverlust bei Kunden, Partnern und Investoren.
- Behördliche Sanktionen im Falle eines Datenlecks (DSGVO).
- Kosten für die Wiederherstellung: Audits, Beratung, Aufrüstung der Systeme, Krisenkommunikation.
- Versicherungskosten: hohe Selbstbehalte, Teilabdeckung, Prämienerhöhungen.
2. Reaktion auf Vorfälle: 4 Phasen zur Bewältigung eines Cyberangriffs
Unsere Teams haben die Einsatzzeiten bei der Bewältigung eines Sicherheitsvorfall bei einem Kunden geschätzt, der Opfer einer Ransomware-Attacke wurde und über eine IT-Abteilung mit etwa zehn Mitarbeitern verfügt. Über ein Jahr hinweg entspricht dies insgesamt 850 Personentagen für den Kunden, 40 Personentagen für das CSIRT des CERT aDvens und 300 Personentagen für einen externen Dienstleister, der mit der Verbesserung der Infrastruktur beauftragt wurde.
Unsere Experten haben die durchzuführenden Maßnahmen sowie den benötigten Zeitaufwand für jeden einzelne Phase der Reaktion auf einen Sicherheitsvorfall detailliert aufgeführt.
2.1. Isolieren und identifizieren
- Isolierung der Netzwerke inkl. Remote-Standorten und innerbetrieblicher Standorte;
- Isolierung vom Internet;
- Abschalten aller Endgeräte, Server und Telefone sowie physisches Trennen der Netzwerkanschlüsse;
- Analyse der Server;
- Extraktion der Indikatoren (IOCs);
- Überprüfung der Backups;
- Priorisierung der wiederherzustellenden Dienste;
- Analyse von „Zombie“-Systemen;
- Härtung des Active Directory (ORADAD, ADTimeline usw.);
- Härtung des Netzwerks.
Zeitaufwand:
- +100 Personentage: Kunde
- 25 Personentage: aDvens
- 20 Personentage: Externer Dienstleister
2.2. Eindämmung und Beseitigung
- Einrichtung von Vertrauenszonen (Active Directory, WSUS, Anwendungen usw.);
- Implementierung von Netzwerkfiltern;
- Anwendung der neuen Netzwerksegmentierungsregeln;
- Rollout eines EDR-Lösung mit Indikatoren und standardmäßigem aktivem Präventionsschutz;
- Härtung der Konfigurationen mithilfe von GPOs;
- Durchführung von Antivirenscans (AV, NGAV, EDR);
- Einschränkung des Internetzugangs;
- Beschränkung des Zugriffs auf bestimmte Benutzer zum Testen und Wiederaufnahme der Aktivitäten;
- Wiederanbindung der Nutzer mit einem Teil der Dienste.
Zeitaufwand:
- +250 Personentage: Kunde
- 15 Personentage: aDvens
- 80 Personentage: Externer Dienstleister
2.3. Konsolidieren und Beheben
- Konsolidierung der bisher geleisteten Arbeit;
- Fortsetzung der Härtung von Netzwerken (WLAN usw.) und Systemen;
- Fortführung der Isolierung und Segmentierung anhand der Flussmatrix;
- Benutzerverwaltung;
- Anpassung der Prozesse für das Dienstleistermanagement mit neuen Methoden für Remote-Zugriffe (z. B. isolierte virtuelle Maschinen);
- Schutz und Überwachung mit EDR;
- Schutz der Anwendungen und der bestehenden Architektur;
- Umsetzung aller Best Practices der Behörden.
Zeitaufwand:
- +500 Personentage: Kunde
- 0 Personentage: aDvens
- 200 Personentage: Externer Dienstleister
2.4. Wiederherstellung und Abschluss
- Die bereits geleistete Arbeit konsolidieren;
- Die Härtung von Netzwerken (WLAN usw.) und Systemen weiter vorantreiben;
- Die Isolierung und Segmentierung mithilfe einer Kommunikationsflussmatrix weiter ausbauen;
- Benutzer verwalten;
- Verfahren und Prozesse für das Dienstleistermanagement mit neuen Methoden für den Fernzugriff (isolierte VM) einführen;
- Schutz und Überwachung mit EDR;
- Schutz der Anwendungen und der bestehenden Architektur;
- Umsetzung aller Best Practices der ANSSI.
3. EDR und SOC: Instrumente zur Senkung der durchschnittlichen Kosten eines Cyberangriffs
Schnelligkeit und Effizienz der Reaktion auf den Cyberangriff beeinflussen maßgeblich die Kosten. Unternehmen, die mit einem EDR (Endpoint Detection & Response) mit aktivem Präventionsschutz und einem SOC (Security Operations Center) ausgestattet sind, können ihre Wiederherstellungszeiten und Verluste drastisch reduzieren.
3.1. Rolle des EDR
EDR bietet eine kontinuierliche Überwachung von Endgeräten und Servern und stellt eines der wirksamsten technischen Mittel dar, um die initiale Auswirkung eines Angriffs zu begrenzen, insbesondere in einer Bedrohungslandschaft, in der die Zahl der ausnutzbaren Schwachstellen stark zunimmt.
Die konkreten Vorteile eines EDR:
- Echtzeit-Erkennung ungewöhnlicher Verhaltensmuster bei einer steigenden Anzahl von Angriffen.
- Automatische Blockierung bestimmter schädlicher Aktionen (verdächtige Aktivitäten).
- Schnelle Isolierung eines kompromittierten Endgeräts, um die laterale Bewegung einzudämmen.
- Vollständige Nachverfolgbarkeit, die trotz der zunehmender Komplexität der Angriffe eine beschleunigte Forensik ermöglicht.
Ein EDR ermöglicht es somit, den betroffenen Bereich zu verkleinern und die Anzahl der wiederherzustellenden Systeme zu begrenzen. Beides sin entscheidende Faktoren für die Gesamtkosten eines Cyberangriffs.
3.2. Rolle des SOC
Das SOC ergänzt das EDR, indem es das gesamte IT-System kontinuierlich überwacht und die Reaktion auf Vorfälle zentral koordiniert. In einer Bedrohungslandschaft, in der z. B. im Zeitraum 2025 bis 2026 insgesamt 244 Schwachstellen ausgenutzt wurden (Quelle: Bericht zum Stand der Bedrohungslage 2025–2026), ermöglicht diese kontinuierliche Überwachung eine sofortige Reaktion auf Angriffe:
- Sofortige Erkennung von Ausnutzungsversuchen;
- Schnelle Einleitung von Eindämmungsmaßnahmen;
- Einschränkung der Aktivierung von Payloads oder Verschlüsselung;
- Reduzierung der Ausfallzeit;
- Bündelung von Erfahrungswerten: Wenn bei einem Kunden ein Angriffsvektor beobachtet wird, werden die Erkennungsregeln für alle anderen verschärft.
Das SOC bietet zudem unverzichtbare menschliche Unterstützung: Analysten, SOC-Manager, Incident-Response-Experten, Echtzeit-Monitoring, etc. All das ermöglicht es Unternehmen, auch in den kritischsten Phasen die Kontrolle über die Situation zu behalten.
Fazit
Die durchschnittlichen Kosten eines Cyberangriffs gehen weit über das reine Lösegeld oder den unmittelbaren Umsatzverlust hinaus. Sie umfassen die Bindung interner Teams, die Wiederherstellung der Systeme, die Wiederinbetriebnahme der Dienste und das Reputationsmanagement.
Der Einsatz eines leistungsfähigen EDR und einem rund um die Uhr einsatzbereiten SOC sowie robuste Incident-Response-Prozesse ermöglichen es, diese Kosten zu senken, indem Ausfallzeiten und der Umfang betroffener Systeme begrenzt werden.
Prävention, schnelle Erkennung und die Unterstützung durch Experten bleiben die wirksamsten Maßnahmen, um die Gesamtkosten eines Cyberangriffs in den Griff zu bekommen.
