Stoïk Cyber Schadensbericht 2025 Cyberschäden verdoppeln sich, nicht nur wegen mehr Angriffen

Anbieter zum Thema

Stoïk GmbH

secunet Security Networks AG

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

Wer sich für zu klein hält, um Cyberkriminelle zu interessieren, unterschätzt das Risiko. Der Stoïk Cyber Schadensbericht 2025 zeigt, dass Angreifer ver­wund­ba­re Ziele suchen, ob über Betrugsmails, gestohlene Zugangsdaten oder kompromittierte Dienstleister. Wie schnell der Betrieb nach einem Vorfall wieder läuft, entscheidet sich lange vorher.

Viele Unternehmen gehen davon aus, dass sie kein lohnendes Ziel für Cyberkriminelle sind. Sie halten sich für zu klein, zu unbekannt, zu wenig interessant. Die Schadendaten der vergangenen Jahre zeichnen aber ein anderes Bild. Angreifer suchen heute keine prominenten Ziele, sondern verwundbare. Laut dem im Frühjahr veröffentlichten Stoïk-„Cyber Schadensbericht“ stieg die globale Schadenfrequenz im EU-Cyberversicherungsportfolio des Unternehmens von 3,87 Prozent im Jahr 2023 auf 4,34 Prozent im Jahr 2024. Im Jahr 2025 sprang sie auf 10,56 Prozent.

Bei diesem Anstieg kommen mehrere Entwicklungen zusammen. Zunächst einmal sind Angriffe schneller und stärker automatisiert. Phishing-Kits, Infostealer, gefälschte CAPTCHAs und der Missbrauch legitimer Tools haben die Einstiegshürde für Angreifer deutlich gesenkt. Ebenso werden Vorfälle früher und breiter erfasst. Ereignisse, die bisher unbemerkt geblieben wären, erscheinen in der Statistik. All diese Cybervorfälle sind wiederkehrende operative Ereignisse, die Organisationen aktiv einplanen und managen müssen.

Bitkom Wirtschaftsschutz-Studie 2026

Wachsende Unsicherheit und Angriffe durch ausländische Geheimdienste

BEC und Betrug: kein Zufallsproblem

Sommerzeit ist in vielen Unternehmen Urlaubszeit. Wenn der Buchhalter abwesend ist, über­nimmt ein Kollege aus einer anderen Abteilung. Hier kann eine E-Mail, die scheinbar vom Geschäftsführer kommt, großen Schaden anrichten. Die Vertretung überweist, der Ge­schäfts­füh­rer weiß von nichts, und das Geld ist weg. Das ist ein typisches Muster.

Business Email Compromise (BEC) und Betrug machen laut Cyber Schadensbericht rund 50 Prozent aller bearbeiteten Cyberschäden aus, E-Mail-gestützte Vorfälle insgesamt 60 Prozent aller gemeldeten Fälle. Etwa 10 Prozent der betroffenen Unternehmen erlitten im selben Jahr mehrere BEC-Vorfälle. Das zeigt strukturelle Verwundbarkeit. Ein Grund dafür liegt in der Art, wie Angreifer nach einem erfolgreichen Erstzugriff vorgehen. Sie sichern sich verdeckten Zugang über Weiterleitungsregeln, gestohlene Sitzungsschlüssel oder dauerhaft aktive Anmeldungen. Ein Passwort-Reset allein schließt diese Lücke nicht.

Verstärkt wird die Bedrohung durch den breiten Einsatz generativer KI auf Angreiferseite. Betrugs- und BEC-Kampagnen nutzen inzwischen routinemäßig KI-generierte Inhalte, die Tonalität und Stil eines Unternehmens präzise nachahmen. Eine immer häufigere Variante sind geklonte Stimmen von Führungskräften, eingesetzt per Sprachnachricht oder Anruf, um Überweisungen unter Zeitdruck durchzusetzen. Technisch reichen dafür wenige öffentlich verfügbare Audioclips wie ein LinkedIn-Video oder Podcasts.

Angreifer kapern Konten statt Systeme

MFA stoppt 79 Prozent der BEC-Angriffe nicht mehr

Ransomware: selten, aber schwerwiegend

Wer sich im Sommer remote aus dem Urlaub ins Firmennetz einwählt, denkt selten an Risiken. Ein typischer Fall in dieser Zeit: Ein Vertriebsmitarbeiter arbeitet über das WLAN seines Ferienhauses. Allerdings bemerkt er nicht, dass seit Monaten ein Infostealer Zugangsdaten über sein Privatgerät abgreift. Erst einige Zeit später stellt die IT fest, dass seit Wochen eine unbekannte Session im System aktiv war. Kundendaten wurden kopiert, die interne Kom­mu­ni­ka­ti­on wurde mitgelesen und ausgewertet. Die wirkliche Attacke mit Ransomware kann jederzeit starten.

Dieses Szenario illustriert, wie Ransomware-Angriffe mittlerweile häufig beginnen. Der Angreifer muss die Tür nicht aufbrechen, er besitzt bereits den Schlüssel. Technische Schwachstellen und kompromittierte Zugangsdaten erklären je 40 Prozent der initialen Intrusionen. Ransomware macht volumenmäßig nur 5 Prozent der Vorfälle aus. Sie bleibt aber die ressourcenintensivste Bedrohungskategorie. Der Aufwand pro Schadensfall stieg von 28 Manntagen im Jahr 2023 auf 48 Manntage im Jahr 2025, ein Anstieg von rund 71 Prozent. Das spiegelt tiefere Kompromittierungen von Kernsystemen und Cloud-Umgebungen sowie den höheren Aufwand durch Datendiebstahl und Erpressung wider.

Ob ein Vorfall in Tagen oder Wochen bewältigt wird, hängt dabei oft von den Backups ab. Unternehmen mit korrekt konfigurierten und regelmäßig getesteten Backups bewältigten Ransomware-Vorfälle durchschnittlich in unter drei Tagen. Ohne resiliente Backups verlängerte sich die Wiederherstellung auf 15 Tage und mehr.

182 Ransomware-Opfer in Deutschland bis Mai 2026

Infostealer-Malware wird zum Einfallstor für Ransomware

Abhängigkeiten: ein grundsätzliches Risiko

Cyberrisiko endet nicht am eigenen Netzwerkperimeter. Ein Bauunternehmen wartete beispielsweise im Herbst auf eine größere Rechnung eines langjährigen Lieferanten. Kurz darauf kam eine E-Mail. Sie hatte das richtige Logo, den richtigen Ansprechpartner und war professionell geschrieben. Der Inhalt: Die Bankverbindung habe sich geändert und es gebe eine neue IBAN. Der zuständige Einkäufer war im Urlaub, seine Vertretung leitete die IBAN an die Buchhaltung weiter. Als der echte Lieferant Wochen später mahnte, war der Betrug längst vollzogen.

Softwarelieferketten sind etablierte Einstiegspunkte. Eine kompromittierte Komponente kann eine gesamte Entwicklungskette kontaminieren, bevor das Problem überhaupt sichtbar wird. Dienstleister-Kompromittierungen folgen derselben Logik. Angreifer nutzen Provider-Zugänge, um kaskadierende Krisen über mehrere Unternehmen gleichzeitig auszulösen. Störungen bei großen Cloud-Anbietern erzeugen außerdem denselben operativen Druck wie echte Angriffe. Wer diese Szenarien nicht in sein Resilienzkonzept integriert, plant an der Realität vorbei.

Cyber Insurance Report von Arctic Wolf

Viele Versicherungen, aber wenig Schadensmeldungen

Strukturelles Risiko in der DACH-Region

Im europäischen Vergleich liegt die DACH-Region nach dem Stoïk-Schadensbericht mit einer Schadenfrequenz von 9,24 Prozent unter dem Gesamtschnitt von 10,56 Prozent. Doch die niedrigere Frequenz täuscht über die Schwere der Vorfälle hinweg. In Deutschland und Österreich sind technisch komplexere Fälle überproportional vertreten, insbesondere Ransomware und Datenabfluss.

Strukturell erklärt das die Kombination aus technischer Altlast, proprietärer Software und On-Premise-Infrastrukturen, die eine große Angriffsfläche mit geringer Sicherheitstiefe verbindet. Die ausgeprägte Compliance-Kultur, getrieben durch DSGVO und NIS2, begrenzt zwar die Schadenhöhe. Sie verlängert aber auch die Untersuchungs- und Abstimmungsprozesse erheblich. Besonders relevant ist das sogenannte DSGVO-Ransomware-Paradox. Der hohe Datenschutzdruck erhöht die Zahlungsbereitschaft bei Drohungen mit Datenveröffentlichung, weil Unternehmen die Meldepflichten und Reputationsrisiken fürchten.

Allianz Risk Barometer 2026

KI-Risiken wachsen rasant

Handlungsempfehlungen für Unternehmen

All diese Einblicke in die aktuelle Bedrohungslandschaft legen einige Prioritäten für Maß­nah­men nahe. Backups müssen nicht nur existieren, sondern regelmäßig auf tatsächliche Wiederherstellbarkeit geprüft werden. Zugangsdaten sollten umsichtig genutzt und gespeichert werden. Dementsprechend müssen Benutzer vorsichtig mit privaten und mobilen Geräten umgehen. Multi-Faktor-Authentifizierung (MFA) sollte als Unternehmensstandard eingeführt werden. Denn Infostealer setzen bevorzugt dort an, wo keine unternehmensweite EDR-Abdeckung (Endpoint Detection and Response) besteht.

Ein weiterer wichtiger Punkt ist, dass Incident-Response-Strukturen vor einem Vorfall definiert sein sollten. Krisenentscheidungswege und Kommunikationsketten, die erst unter Druck entwickelt werden, kommen zu spät. Und schließlich müssen Softwarelieferkette, Cloud-Zugänge und kritische Dienstleister aktiv in das eigene Sicherheitskonzept integriert werden, statt als separate Risikobereiche behandelt zu werden. Digitale Resilienz bedeutet heute, Abhängigkeiten zu kennen und zu steuern. Und das lange bevor ein Vorfall dazu zwingt, sich mit ihnen auseinanderzusetzen.

Über den Autor: Jannik Stuckstätte ist Leiter des Incident Response Teams in Deutschland und Österreich bei Stoïk.

Bundeslagebild Cybercrime 2025

Die Bedrohung steigt, die Abwehr zieht nach

(ID:51007699)