Cyber-Risiken: 14 Billionen Euro Schaden bis 2028 drohen

Eine Studie prognostiziert einen massiven Anstieg der wirtschaftlichen Schäden durch Cyberangriffe. Gleichzeitig fühlen sich die meisten Unternehmen unzureichend geschützt, während neue EU-Regularien den Druck erhöhen.

Die globale Bedrohungslage für Unternehmen hat einen kritischen Wendepunkt erreicht. Eine heute von Munich Re veröffentlichte Studie prognostiziert: Der wirtschaftliche Schaden durch Cyberkriminalität wird bis 2028 auf 14 Billionen US-Dollar jährlich ansteigen. Diese Summe übertrifft die kombinierte Wirtschaftsleistung Deutschlands, Japans und Indiens. Fast 90 Prozent der Führungskräfte fühlen sich gegen Angriffe unzureichend geschützt. Cyber-Versicherungen entwickeln sich vom finanziellen Sicherheitsnetz zur Säule der Unternehmensführung.

Anzeige

Angesichts der prognostizierten Schäden von 14 Billionen US-Dollar sind 73 % der deutschen Unternehmen unzureichend auf Cyberangriffe vorbereitet. Dieser kostenlose Leitfaden zeigt Geschäftsführern, wie sie ihr Unternehmen mit einfachen Maßnahmen vor aktuellen Bedrohungen schützen. IT-Sicherheit jetzt ohne hohe Investitionen stärken

KI als Brandbeschleuniger der Cyberkriminalität

Die größte Veränderung im Bedrohungsjahr 2026 ist der Aufstieg autonomer KI-Systeme. Diese „agentische KI“ kann eigenständig Sicherheitsprotokolle umgehen und erhöht so Häufigkeit und Raffinesse von Angriffen massiv. Munich Re-Experten sehen KI als zweischneidiges Schwert: Zwar biete sie neue Abwehrmöglichkeiten, doch derzeit befeuere sie vor allem die Industrialisierung der Cyberkriminalität.

Spezialisierte Banden, sogenannte „Initial Access Broker“, nutzen automatisierte Tools, um Schwachstellen zu finden und den Zugang dann an andere Gruppen zu verkaufen. Diese führen die Erpressung oder den Datendiebstahl durch.

Die Schadendaten spiegeln diesen Wandel wider: Erstparteien-Schäden machen mittlerweile rund 62 Prozent aller aktiv verwalteten Cyber-Versicherungsfälle aus. Haupttreiber bleiben Ransomware, betrügerische E-Mails (BEC) und DDoS-Angriffe. Doch die Grenzen zwischen staatlich gesteuerten und finanziell motivierten Akteuren verschwimmen. Ransomware wird zunehmend für geopolitische Ziele eingesetzt. Eine einzige Schwachstelle in einer gemeinsamen Digitaldienstleistung kann so eine Kettenreaktion von Betriebsunterbrechungen auslösen – das Aggregationsrisiko.

Die massive Schutzlücke: Warum 90 Prozent der Manager sich verwundbar fühlen

Trotz eines reifer werdenden Marktes klafft eine riesige Lücke. Nur etwa 10 Prozent der Vorstände halten ihr Unternehmen für vollständig auf einen großen Cyber-Vorfall vorbereitet. Besonders akut ist dieses Gefühl bei kleinen und mittleren Unternehmen (KMU), die zunehmend Ziel automatisierter Angriffe sind.

Versicherer reagieren mit strengeren Underwriting-Anforderungen. Einfache Jahresfragebögen genügen längst nicht mehr. Unternehmen müssen heute fortgeschrittene Fähigkeiten nachweisen: Multi-Faktor-Authentifizierung (MFA), umfassende Incident-Response-Pläne und robustes Identitätsmanagement. Die Prämien könnten künftig direkt an die Echtzeit-Sicherheitsperformance gekoppelt werden. Für Unternehmen, die die Standards nicht erfüllen, droht Unversicherbarkeit oder exorbitant hohe Selbstbehalte.

Regulatorischer Druck: Cyber Resilience Act und deutsches BSIG

Die Regulierung verschärft sich europaweit. Am 30. März 2026 diskutierten EU-Kommission und die Cybersicherheitsagentur ENISA in einem Workshop die Umsetzung des Cyber Resilience Act (CRA). Das Gesetz, seit Ende 2024 in Kraft, tritt in eine entscheidende Phase: Ab September 2026 müssen Hersteller digitaler Produkte strenge Meldepflichten für Schwachstellen einhalten. Der CRA setzt damit einen globalen Mindeststandard, denn jeder Anbieter auf dem EU-Markt muss diese Vorgaben im gesamten Lebenszyklus erfüllen.

In Deutschland kommt der Entwurf zum Gesetz zur Stärkung der Cybersicherheit (BSIG) hinzu. Das Bundesinnenministerium will Informations- und Kooperationspflichten auf deutlich mehr digitale Dienstleister und Telekommunikationsunternehmen ausweiten. Verstöße gegen die erhöhten Resilienzanforderungen könnten Bußgelder von bis zu 20 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes nach sich ziehen. Cybersicherheit wird so zur Pflichtaufgabe, nicht zur freiwilligen Geschäftsentscheidung.

Anzeige

Die neuen EU-Regularien fordern von Unternehmen klare Strukturen bei der Risikobewertung digitaler Prozesse. Dieser kostenlose Experten-Leitfaden hilft Ihnen, die gesetzlichen Anforderungen rechtssicher umzusetzen und hohe Bußgelder zu vermeiden. Kostenlose Muster-Vorlagen und Checklisten zur DSFA sichern

Marktdynamik: Fallende Preise bei steigender Schwere der Vorfälle

Paradoxerweise bleibt der Versicherungsmarkt Anfang 2026 bei den Preisen „käuferfreundlich“, obwohl die Schwere einzelner Vorfälle zunimmt. Die globalen Cyber-Versicherungsprämien fielen im vierten Quartal 2025 um etwa 7 Prozent – ein Trend, der sich 2026 stabilisiert hat. Grund sind höhere Kapazitäten der Versicherer und mehr Managing General Agents (MGAs) auf dem Markt. Experten warnen jedoch, dass diese wettbewerbsintensiven Preise nach einem großen systemischen Ereignis nicht haltbar sein könnten.

Der Markt ist von hoher Frequenz und hoher Schwere geprägt. Zwar zahlen weniger Unternehmen Lösegelder – ein Zeichen verbesserter Resilienz und effektiverer Strafverfolgung. Doch die Summen, die doch fließen, erreichen Rekordhöhen. Einzelne Lösegeldforderungen 2026 beliefen sich Berichten zufolge auf bis zu 150 Millionen Dollar. Versicherer werden wählerischer und setzen auf „positive Risikoselektion“. Unternehmen mit nachweislich hohen Sicherheitsstandards profitieren von stabilen oder sinkenden Prämien. Hochrisikosektoren wie das Gesundheitswesen oder die Industrie stehen dagegen unter verschärfter Beobachtung.

Ausblick: Die Compliance-Welle 2026/2027

Für die kommenden 18 Monate müssen sich Unternehmen auf eine Welle neuer Compliance-Fristen einstellen. Neben den EU-Meldepflichten ab September tritt in den USA im Mai 2026 der Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) in Kraft. Er verlangt Meldung von Vorfällen in kritischen Sektoren innerhalb von 72 Stunden. Diese überlappenden internationalen Vorschriften erfordern einen harmonisierten Risikomanagement-Ansatz.

Die Zukunft der Cyber-Versicherung wird von der Integration von KI in den Underwriting-Prozess geprägt sein. Versicherer nutzen zunehmend KI-Modelle, um Aggregationsrisiken vorherzusagen und die Gefahren durch Deepfakes oder Social Engineering zu bewerten. Für Unternehmen ist die Botschaft klar: Die Ära, in der Cyber-Versicherung ein isoliertes Finanzprodukt war, ist vorbei. Um in einer 14-Billionen-Dollar-Bedrohungslage versicherbar und resilient zu bleiben, müssen Versicherungsstrategie, IT-Sicherheit und regulatorische Compliance verschmelzen.