Eine einzige erfolgreiche Phishing-Nachricht kann ausreichen, um Zugangsdaten zu stehlen, Schadsoftware einzuschleusen oder betrügerische Zahlungen auszulösen. Die finanziellen Folgen beschränken sich dabei selten auf den unmittelbar gestohlenen Betrag. Häufig entstehen zusätzlich erhebliche Kosten für Wiederherstellung, Betriebsunterbrechungen und die Aufarbeitung des Vorfalls.
Welche Kosten verursacht ein Phishing-Angriff?
Wie teuer ein Phishing-Angriff wird, hängt von der Art des Angriffs, der Größe des Unternehmens und den betroffenen Systemen ab. Wurde lediglich ein einzelnes Passwort offengelegt, kann der Schaden begrenzt bleiben. Erhalten Angreifer dagegen Zugriff auf geschäftskritische Konten, Zahlungsprozesse oder sensible Daten, können die Folgen erheblich sein.
Typische Kosten entstehen unter anderem durch:
- betrügerische Überweisungen und manipulierte Rechnungen,
- Diebstahl von Kunden-, Mitarbeiter- oder Unternehmensdaten,
- Ausfall von IT-Systemen und Geschäftsprozessen,
- Untersuchung und Bereinigung des Sicherheitsvorfalls,
- Wiederherstellung kompromittierter Konten und Systeme,
- Benachrichtigung betroffener Personen und Geschäftspartner,
- rechtliche Beratung und mögliche regulatorische Folgen,
- Vertrauensverlust bei Kunden und Partnern.
Direkte finanzielle Schäden
Besonders deutlich ist der Schaden, wenn Mitarbeitende aufgrund einer manipulierten Nachricht eine Zahlung veranlassen. Angreifer geben sich dabei beispielsweise als Geschäftsführung, Lieferant oder langjähriger Partner aus. Sie ändern Kontodaten auf einer Rechnung oder fordern unter Zeitdruck eine angeblich dringende Überweisung.
Auch gestohlene Kreditkarten-, Konto- oder Zugangsdaten können unmittelbar finanziell missbraucht werden. Wird ein privilegiertes Benutzerkonto übernommen, kann der Angreifer außerdem weitere Beschäftigte oder Kunden im Namen des Unternehmens kontaktieren.
Indirekte Kosten werden häufig unterschätzt
Der unmittelbar gestohlene Geldbetrag ist oft nur ein Teil des Gesamtschadens. Nach einem erfolgreichen Angriff müssen interne IT-Teams oder externe Sicherheitsspezialisten den Vorfall untersuchen. Passwörter müssen zurückgesetzt, Systeme überprüft und möglicherweise vollständig neu eingerichtet werden.
Während dieser Arbeiten stehen bestimmte Dienste unter Umständen nur eingeschränkt oder gar nicht zur Verfügung. Dadurch sinkt die Produktivität, Aufträge verzögern sich und Beschäftigte können ihre regulären Aufgaben nicht ausführen.
Mögliche langfristige Folgen
Ein Phishing-Angriff kann das Vertrauen in ein Unternehmen nachhaltig beschädigen. Kunden und Geschäftspartner erwarten, dass ihre Daten und die gemeinsame Kommunikation geschützt werden. Werden vertrauliche Informationen veröffentlicht oder betrügerische Nachrichten über ein gehacktes Firmenkonto verschickt, kann dies zu Kundenverlusten und einer Beeinträchtigung der Reputation führen.
Abhängig von den betroffenen Daten können außerdem Meldepflichten, Datenschutzverfahren, Schadenersatzforderungen oder weitere rechtliche Konsequenzen entstehen.
Historische Studien zeigen die Größenordnung
Der zugrunde liegende englischsprachige Beitrag verweist auf eine ältere Gartner-Erhebung. Nach den dort genannten historischen Ergebnissen verursachten Phishing-Angriffe Gesamtschäden in Milliardenhöhe. Millionen erwachsene Internetnutzer hätten finanzielle Verluste erlitten. Der durchschnittliche Verlust eines dort betrachteten Vorfalls wurde mit 886 US-Dollar angegeben.
Diese Werte sind nicht als aktuelle Marktstatistik zu verstehen. Sie zeigen jedoch, dass Phishing bereits vor Jahren ein erhebliches wirtschaftliches Problem war. Seitdem sind die Angriffsmethoden professioneller geworden und werden zunehmend automatisiert, personalisiert und über mehrere Kommunikationskanäle hinweg eingesetzt.
Warum bereits eine einzige Nachricht gefährlich sein kann
Angreifer müssen nicht jede angeschriebene Person täuschen. Bei umfangreichen Kampagnen genügt es, wenn ein kleiner Anteil der Empfänger auf einen Link klickt, Zugangsdaten eingibt oder einen schädlichen Anhang öffnet. Der Aufwand für den Versand ist gering, während ein einziges kompromittiertes Konto einen hohen Ertrag ermöglichen kann.
Besonders riskant sind Konten mit Zugriff auf Zahlungsdaten, Personalakten, Kundendaten oder zentrale IT-Systeme. Deshalb sollten Berechtigungen auf das notwendige Maß begrenzt und wichtige Vorgänge durch zusätzliche Freigaben abgesichert werden.
Wie Unternehmen das finanzielle Risiko reduzieren
Einen vollständigen Schutz vor Phishing gibt es nicht. Eine Kombination aus technischen, organisatorischen und personellen Maßnahmen kann die Wahrscheinlichkeit eines erfolgreichen Angriffs jedoch deutlich senken.
- Mitarbeitende sensibilisieren: Regelmäßige Schulungen vermitteln typische Warnsignale und sichere Verhaltensweisen.
- Phishing-Simulationen durchführen: Realistische Übungen zeigen, an welchen Stellen zusätzlicher Schulungsbedarf besteht.
- Mehrfaktor-Authentifizierung einsetzen: Ein gestohlenes Passwort allein ermöglicht dann nicht automatisch den Zugriff.
- Zahlungen unabhängig bestätigen: Neue Bankverbindungen und ungewöhnliche Zahlungsaufforderungen sollten über einen zweiten Kommunikationsweg geprüft werden.
- SPF, DKIM und DMARC konfigurieren: Diese Verfahren erschweren den direkten Missbrauch der eigenen Domain als E-Mail-Absender.
- Einfache Meldewege schaffen: Verdächtige Nachrichten sollten mit wenigen Schritten an die zuständige Stelle weitergeleitet werden können.
- Notfallabläufe vorbereiten: Klare Zuständigkeiten verkürzen die Reaktionszeit, wenn ein Konto oder System kompromittiert wurde.
Fazit
Die tatsächlichen Kosten eines Phishing-Angriffs gehen weit über einen möglichen Geldverlust hinaus. Arbeitsausfälle, technische Wiederherstellung, rechtliche Folgen und ein beschädigtes Vertrauen können den Gesamtschaden erheblich vergrößern.
Investitionen in technische Schutzmaßnahmen, Sicherheitsschulungen und vorbereitete Reaktionsprozesse sind daher meist deutlich günstiger als die Bewältigung eines erfolgreichen Angriffs.