Sicherheitsvorfall – na und?

Jede Woche liest man von einem neuen Cyberangriff, einer neuen Datenpanne, einem neuen Ransomware-Vorfall. Die Schlagzeilen klingen dramatisch, die betroffenen Organisationen versprechen „lückenlose Aufklärung“ und „verstärkte Sicherheitsmassnahmen“, und zwei Wochen später redet niemand mehr davon. Aber was passiert eigentlich wirklich nach einem Sicherheitsvorfall, jenseits der Medienmitteilungen? Und stimmt der Eindruck dass die meisten Unternehmen einfach weitermachen als wäre nichts gewesen?

Die Antwort ist komplizierter als man denkt, weil sie je nach Branche, Land und Schwere des Vorfalls völlig unterschiedlich ausfällt.

Die ersten Wochen

Unmittelbar nach einem Vorfall geht es vor allem um Schadensbegrenzung und Wiederherstellung, und die Kosten dafür sind erheblich. Der IBM Cost of Data Breach Report 2026 beziffert die durchschnittlichen Gesamtkosten eines Datenlecks auf 4,99 Millionen Dollar global (ein neuer Rekordwert, 12 Prozent höher als im Vorjahr), wobei die USA mit 11,5 Millionen Dollar das Doppelte des globalen Durchschnitts erreichen. Im Gesundheitswesen liegt der Schnitt bei 6,64 Millionen, im Finanzsektor bei 6,29 Millionen, und der öffentliche Sektor kommt mit 2,86 Millionen am günstigsten davon (was allerdings auch daran liegt, dass Behörden bestimmte Kosten anders verbuchen).

Was in diesen Zahlen oft untergeht: 63 Prozent der Gesamtkosten entfallen auf die Erkennung des Vorfalls und den Geschäftsausfall, nicht auf die eigentliche Behebung. Im Schnitt dauert es 183 Tage bis ein Einbruch überhaupt bemerkt wird und weitere 64 Tage bis er eingedämmt ist, also zusammen fast 8 Monate vom Einbruch bis zur Bereinigung.

Im Gesundheitswesen ist der operative Schaden besonders gravierend: bei Ransomware Angriffen fallen Spitäler im Schnitt 24 Tage aus, das Patientenvolumen sinkt in der ersten Woche um 17 bis 24 Prozent, und die Kosten für den Ausfall liegen bei rund 1,9 Millionen Dollar pro Tag. Der Change Healthcare Vorfall in den USA (Februar 2024) hat gezeigt was im Extremfall passiert: das Unternehmen wickelt die Hälfte aller medizinischen Abrechnungen in den USA ab, 74 Prozent der Spitäler meldeten direkte Auswirkungen auf die Patientenversorgung, und die Gesamtkosten beliefen sich auf 2,5 Milliarden Dollar. UnitedHealth-CEO Andrew Witty bestätigte vor dem US-Kongress dass das Unternehmen 22 Millionen Dollar Lösegeld an die ALPHV/BlackCat-Gruppe bezahlt hat („eine der schwierigsten Entscheidungen meines Lebens“), wobei sie die Daten trotz Zahlung nicht zurückbekamen und am Ende 192,7 Millionen Betroffene informieren mussten.

In der Schweiz sind die Dimensionen kleiner aber die Muster identisch: als im Dezember 2023 die Praxisgruppe Vidymed angegriffen wurde, konnten rund 100 Ärzte nicht mehr auf Patientendaten zugreifen und mussten tagelang analog arbeiten. In Neuenburg landeten 2022 über 20000 Patientenakten im Darknet. Das GZO Spital Wetzikon wurde im Oktober 2019 von Emotet getroffen: ein IT-Mitarbeitender bemerkte Unregelmässigkeiten an der Firewall, der Trojaner war über eine gefälschte E-Mail eingeschleust worden, medizinische Geräte mussten temporär ausser Betrieb genommen werden, Ärzte verloren den Zugriff auf Patientenakten, und die Aufräumarbeiten zogen sich über Wochen hin. Kosten: rund 300000 Franken für Abwehr und neue Sicherheitsmassnahmen. Immerhin wurden keine Patientendaten verschlüsselt oder gestohlen, aber das Spital selbst bezeichnete den Ausgang als „Riesenglück“.

Mittelfristig: Bussen, Klagen, Kundenverlust

Nach der akuten Phase beginnt die Phase die für viele Organisationen schmerzhafter ist als der Vorfall selbst, weil sie länger dauert und schwerer zu kontrollieren ist.

Regulatorisch sind die Konsequenzen sehr unterschiedlich je nach Jurisdiktion: in der EU können DSGVO-Bussen in die Millionen gehen (Equifax zahlte insgesamt 575 bis 700 Millionen Dollar an Vergleichen und Strafen), in der Schweiz sieht das revDSG strafrechtliche Bussen bis 250000 Franken gegen verantwortliche Einzelpersonen vor, nicht gegen Unternehmen. Wenn die verantwortliche Person nicht identifiziert werden kann, haftet das Unternehmen mit bis zu 50000 Franken. Der EDÖB verzeichnete 2024/25 einen Anstieg der Schlichtungsgesuche um 53 Prozent gegenüber dem Vorjahr, was zumindest darauf hindeutet dass Betroffene zunehmend aktiv werden.

Im Finanzsektor ist die FINMA deutlich strenger: die Meldungen von Cyberangriffen stiegen 2024 um 30 Prozent, und in fast der Hälfte der Fälle war ein externer Dienstleister das eigentliche Ziel (was zeigt wie weit die Angriffsfläche durch Outsourcing reicht, wenn 9 von 10 Banken kritische Funktionen auslagern).

Beim Kundenverlust klaffen Theorie und Praxis auseinander: laut Umfragen sagen 7 von 10 Konsumenten dass sie nach einem Sicherheitsvorfall nicht mehr bei der betroffenen Firma einkaufen würden, und Ponemon beziffert den tatsächlichen Kundenverlust auf rund ein Drittel. Aber die Realität ist differenzierter. Im Schweizer Gesundheitswesen z.B. gibt es praktisch keinen „Kundenverlust“ nach einem Cyberangriff, weil Patienten ihr Regionalspital nicht einfach wechseln können: wer in Wetzikon wohnt, geht ins GZO, egal ob dort letzte Woche Emotet gewütet hat oder nicht, und in der Notfallversorgung hat man sowieso keine Wahl. Bei Behörden und Gemeinden ist es dasselbe: die Einwohner von Rolle konnten nach dem Vice-Society-Angriff ja schlecht in eine andere Gemeinde ziehen. Der klassische Kundenverlust trifft vor allem den Retail und E-Commerce, und selbst dort haben Unternehmen mit quasi-monopolistischer Marktstellung (Equifax, Change Healthcare) das Problem dass ihre Kunden schlicht keine Alternative haben..

An der Börse zeigt sich ein ähnliches Muster: Equifax verlor in der Woche nach dem Vorfall 35 Prozent des Aktienkurses (5 Milliarden Dollar Marktkapitalisierung), erholte sich aber innert zwei Jahren vollständig und erzielte 2022 einen Rekordumsatz von über 5 Milliarden. Capital One verlor zunächst 14 Prozent, der langfristige Umsatz blieb aber praktisch unberührt. 54 Prozent der Unternehmen glauben laut Ponemon dass die Wiederherstellung der Reputation 10 Monate bis über 2 Jahre dauert.

Wer überlebt und wer nicht

Die oft zitierte Statistik dass „60 Prozent der KMU innerhalb von 6 Monaten nach einem Cyberangriff schliessen“ ist übrigens falsch. Die National Cybersecurity Alliance hat diese Zahl offiziell zurückgezogen weil sie die Quelle nicht verifizieren konnte. Die tatsächliche Insolvenzrate liegt gemäss dem Verizon Data Breach Investigations Report 2025 bei rund 19 Prozent, was immer noch bedeutet dass knapp jedes fünfte betroffene KMU den Angriff nicht überlebt.

Die Liste der Unternehmen die nach Cybervorfällen aufgeben mussten ist trotzdem eindrücklich, und es gibt auch ein prominentes Schweizer Beispiel: die Plattform meineimpfungen.ch wurde im Mai 2021 wegen gravierender Sicherheitslücken abgeschaltet (Unbefugte konnten sich als Gesundheitsfachpersonen registrieren und Impfdaten von rund 450000 Nutzern einsehen und manipulieren), die dahinterstehende Stiftung ging im November 2021 in Konkurs, und der EDÖB ordnete schliesslich die Löschung aller Daten an. Das Konkursamt wollte die Impfdaten zwischenzeitlich sogar für 15000 Franken an ein privates Unternehmen verkaufen, was der Datenschützer im letzten Moment verhinderte. International sieht es nicht besser aus: die Stoli Group USA meldete im August 2024 Konkurs an nachdem ein Ransomware Angriff die ERP-Systeme monatelang lahmgelegt hatte, TravelEx schloss 2020 nach einem Ransomware Angriff an Silvester 2019 (über 1300 Mitarbeitende verloren ihren Job), und die American Medical Collection Agency, zuständig für die Abrechnung von 25 Millionen Patienten in den USA, war innerhalb weniger Monate nach dem Vorfall zahlungsunfähig.

Auf der anderen Seite stehen Unternehmen die trotz massiver Vorfälle nicht nur überlebt, sondern einfach weitergemacht haben. In der Schweiz ist Comparis das bekannteste Beispiel: die Vergleichsplattform zahlte 2021 Lösegeld (gemäss Medienberichten rund 370000 Franken), die Website war innert Tagen wieder online, und trotz bestätigtem Zugriff auf Kundendaten der Tochter Credaris hat das Unternehmen keinen messbaren Marktanteil verloren. Winbiz, ein Genfer Buchhaltungssoftware Anbieter, fiel nach einem Angriff auf den Hoster Infopro wochenlang aus (8700 Unternehmen betroffen), wechselte den Hosting-Provider und operiert heute normal weiter. Und international: Equifax erzielte nach dem Breach 7 aufeinanderfolgende Quartale mit zweistelligem Umsatzwachstum und 2022 einen Rekordumsatz von über 5 Milliarden Dollar. 63 Prozent aller betroffenen Unternehmen sind laut Studien innerhalb eines Monats wieder operativ funktionsfähig.

Der Unterschied zwischen Überleben und Scheitern hängt oft weniger vom Ausmass des Vorfalls ab als von der finanziellen Resilienz und davon ob das Unternehmen ein Produkt hat das die Kunden brauchen: ein Grosskonzern kann 2,5 Milliarden Dollar Schaden absorbieren, ein KMU mit 50 Mitarbeitenden nicht, und eine Plattform deren einziges Asset die Daten waren ist nach dem Verlust dieser Daten schlicht wertlos.

Schweiz: Behörden und Gesundheitswesen

In der Schweiz meldet das BACS (vormals NCSC) für 2025 über 70000 Meldungen, ein Anstieg von 30 Prozent gegenüber dem Vorjahr (2024 waren es noch rund 63000). Ransomware bleibt finanziell am schädlichsten, gefolgt von CEO Fraud und Supply Chain Angriffen.

Die beiden prominentesten Schweizer Fälle der letzten Jahre sind Xplain und Concevis, beides IT-Dienstleister des Bundes. Beim Xplain Hack im Mai 2023 durch die Gruppe Play wurden 65000 Dateien veröffentlicht, darunter Daten der Armee, des Zolls und der Bundespolizei (Fedpol). Die Untersuchung des EDÖB (abgeschlossen April 2024) stellte Fehler bei beiden Seiten fest, sowohl beim Bund als auch bei Xplain, insbesondere fehlende vertragliche Einschränkungen zur Datenhaltung. Der Bundesrat verordnete daraufhin strengere Sicherheitsanforderungen für externe IT-Dienstleister, aber das VBS (Verteidigungsdepartement) muss gemäss dem Bericht vom März 2025 „dringend aufholen“.

Was bei diesen Fällen auffällt: die konkreten Konsequenzen für die betroffenen Organisationen bleiben überschaubar. Xplain wurde im Oktober 2024 von der deutschen Chapters Group übernommen (also nicht etwa geschlossen), der Bund arbeitet weiterhin mit externen IT-Dienstleistern, und die verordneten Verbesserungen sind zwar auf dem Papier beschlossen, aber die Umsetzung zieht sich.

Die Gemeinde Rolle im Kanton Waadt ist ein besonders lehrreiches Beispiel: nach einem Angriff der Vice Society im Mai 2021 bezeichnete die Gemeinde den Vorfall zunächst als „schwachen Angriff“ der nur E-Mail betroffen habe. In Wirklichkeit wurden Namen, Adressen, Geburtsdaten, AHV-Nummern, Steuerdaten, Mitarbeiterbewertungen und Schülerdaten im Darknet veröffentlicht. Die Gemeinde musste später einräumen, die Schwere des Vorfalls „unterschätzt“ zu haben.

Im Gesundheitswesen ist die Schweiz besonders exponiert, weil viele Spitäler und Praxen mit veralteter IT-Infrastruktur arbeiten und die Digitalisierung (elektronisches Patientendossier etc) schneller vorangetrieben wird als die Absicherung. Im Juni 2026 traf es die Stiftung Radix, wobei die Ransomware Gruppe Sarcoma 1,3 Terabyte stahl, darunter auch Bundesdaten.

Vergleich mit Deutschland

In Deutschland ist die Lage gemäss dem BSI-Lagebericht 2025 „weiterhin sehr angespannt“: 119 neue Schwachstellen pro Tag (24 Prozent mehr als im Vorjahr). Im Gesundheitswesen gab es zwischen Oktober 2024 und September 2025 insgesamt 138 sicherheitsrelevante Vorfälle, wobei Gesundheitsdienstleister mit 43 Vorfällen die zweitgrösste Kategorie bilden.

Der bekannteste Fall ist das Universitätsklinikum Düsseldorf (September 2020): nach einem DoppelPaymer Ransomware Angriff über eine Citrix-Schwachstelle wurden 30 Server verschlüsselt, das Spital musste sich von der Notfallversorgung abmelden, und eine 78-jährige Patientin starb nachdem sie 32 Kilometer in ein anderes Krankenhaus umgeleitet werden musste. Die Staatsanwaltschaft leitete ein Verfahren wegen fahrlässiger Tötung ein (das später eingestellt wurde weil der Kausalzusammenhang nicht zweifelsfrei nachgewiesen werden konnte). Die Angreifer hatten es eigentlich auf die Heinrich-Heine-Universität abgesehen; als sie erfuhren dass sie ein Spital getroffen hatten, zogen sie die Erpressung zurück und lieferten den Entschlüsselungs-Key.

Interessant ist allerdings dass die Zahl der Ransomware Angriffe auf grosse Spitäler in Deutschland deutlich rückläufig ist: von 35 (2021/22) auf 21 (2023) auf nur noch 3 im Jahr 2024, was vermutlich auf die verschärften Regulierungen (KRITIS-Verordnung, NIS2) zurückzuführen ist. Die Schweiz hat vergleichbare Regulierungen noch nicht vollständig umgesetzt.

Breach Fatigue: interessiert es überhaupt noch jemanden?

Und dann ist da noch die Frage ob Sicherheitsvorfälle überhaupt noch einen Reputationsschaden verursachen wenn sie so alltäglich geworden sind. Die Zahlen deuten auf ein wachsendes Problem hin: 80 Prozent der US-Konsumenten haben innerhalb von 12 Monaten mindestens eine Benachrichtigung über eine Datenpanne erhalten, 40 Prozent sogar drei bis fünf. Fast die Hälfte (46 Prozent) hat nach der Benachrichtigung gar nichts unternommen, weil sie das Gefühl hatten dass man ohnehin nichts tun kann.

Der Anteil der Konsumenten die angeben, dass Datenpannen ihr Vertrauen in Unternehmen beeinflussen, ist von 62 Prozent (2023) auf 58 Prozent (2024) gesunken, ein schleichender Vertrauensverlust in den Vertrauensverlust sozusagen. Carlos Morales von Vercara brachte es auf den Punkt: „Die grösste Überraschung ist der Beginn der Apathie… die Leute akzeptieren es vielleicht einfach als neue Realität.“

Gleichzeitig besteht eine Lücke zwischen dem was Konsumenten sagen und dem was sie tun: 7 von 10 sagen sie würden nach einem Vorfall nicht mehr bei der betroffenen Firma einkaufen, aber die tatsächlichen Umsatzzahlen der betroffenen Unternehmen erzählen oft eine andere Geschichte. Schwere Vorfälle mit Kreditkarten- oder Gesundheitsdaten bleiben allerdings über 10 Monate im öffentlichen Gedächtnis (70 Prozent erinnerten sich nach 10 Monaten noch an den Target-Breach), während „gewöhnliche“ Datenlecks schnell vergessen werden…

Generationenunterschiede spielen ebenfalls eine Rolle: Baby Boomer ändern nach einem Vorfall am ehesten ihr Verhalten, während die Generation Z am wenigsten besorgt ist (was ev. daran liegt dass sie mit permanenten Datenpannen aufgewachsen ist und es schlicht nicht anders kennt).

Was bleibt

Die Daten zeichnen ein differenziertes Bild: ein Sicherheitsvorfall ist für die wenigsten Organisationen ein existenzbedrohendes Ereignis, aber auch nicht die Nebensächlichkeit als die er oft behandelt wird. Rund 19 Prozent der KMU überleben den Angriff nicht, Grossunternehmen erholen sich finanziell fast immer, und der öffentliche Sektor leidet am wenigsten unter direkten Kosten aber am meisten unter dem (langsamen) Vertrauensverlust.

Der eigentliche Skandal ist nicht der einzelne Vorfall, sondern die systematische Wiederholung derselben Fehler: fehlende Segmentierung, schwache Passwörter, ungeschütze Endpoints, mangelhaftes Patch Management und Dienstleister die Produktionsdaten auf ihren eigenen Systemen horten ohne dass vertraglich geregelt ist was damit passieren darf. Die Xplain-Untersuchung hat das für die Schweiz klar dokumentiert, und trotzdem wird das VBS zwei Jahre später immer noch gemahnt „dringend aufzuholen“.

Ob das reicht um die nächste Schlagzeile zu verhindern…

Wenn Sie wissen möchten wo Ihre Organisation tatsächlich steht und ob die Basics wirklich sitzen: Kontaktieren Sie uns für ein unverbindliches Security Assessment.

Quellen:

Autor: Andriu Isenring CISSP