Wenn du an die Kosten eines Datenlecks denkst, denkst du wahrscheinlich zuerst an Bußgelder von Aufsichtsbehörden. Doch realistisch gesehen sind Bußgelder nur ein Teil der weitaus größeren finanziellen Auswirkungen. Ein Datenleck kann Rechts- und Forensikkosten nach sich ziehen, den Geschäftsbetrieb stören, Teams ausbremsen, das Vertrauen der Kunden schädigen und monatelange Arbeit zur Wiederherstellung verursachen.

Diese Kosten beschränken sich selten auf eine einzige Rechnung oder eine Schlagzeile. Sie spiegeln sich in Rechnungen für forensische Untersuchungen, Rechtsberatung, der Benachrichtigung von Kunden, der Systemwiederherstellung, Betriebsunterbrechungen, Produktivitätsverlusten und der Zeit wider, die Führungsteams mit der Eindämmung des Vorfalls verbringen, anstatt das Unternehmen zu führen.

Wir werden untersuchen, was ein Datenleck wirklich kostet, und blicken dabei insbesondere auf Großbritannien, wo Datenlecks erheblich zunehmen(neues Fenster). Wir erklären, wo diese Kosten meist anfallen und warum Vorbeugung in der Regel weitaus einfacher zu steuern ist als die Reaktion auf einen Vorfall.

Was ein Datenleck in Großbritannien kostet

Daten der britischen Regierung bieten uns nützliche Einblicke, müssen jedoch im richtigen Kontext betrachtet werden. Im Bericht Cyber Security Breaches Survey 2025(neues Fenster) schätzten Unternehmen die durchschnittlichen Kosten ihres schwerwiegendsten Datenlecks oder Angriffs in den letzten 12 Monaten auf insgesamt £1.600, was auf £3.550 steigt, wenn man Organisationen ausschließt, die Kosten von £0 gemeldet haben.

In derselben Umfrage wird darauf hingewiesen, dass es sich hierbei um selbst gemeldete Schätzungen handelt, die die gesamten finanziellen Auswirkungen möglicherweise unterbewerten. Die Kosten von Datenlecks werden oft unterschätzt, wenn Unternehmen sich nur auf den unmittelbaren Vorfall konzentrieren, da die tatsächlichen finanziellen Folgen auch Betriebsunterbrechungen, Wiederherstellungsarbeiten, Zeitverlust und längerfristige geschäftliche Konsequenzen umfassen.

Für britische Unternehmen, insbesondere KMU, führt nicht jedes Datenleck zu einer Krise multinationalen Ausmaßes. Aber selbst ein weniger dramatischer Vorfall kann eine echte finanzielle und betriebliche Belastung darstellen. Das Data Breach Observatory von Proton und dessen Analyse für 2026, What Proton’s Data Breach Observatory reveals in 2026, unterstreichen, wie beständig und weit verbreitet dieses Risiko ist. Seit Anfang 2025 wurden 512 Datenlecks gemeldet, bei denen mehr als 902 Millionen Datensätze offengelegt wurden – und auf KMU entfielen 63 % dieser erfassten Datenlecks.

Die direkten finanziellen Kosten eines Datenlecks sind erst der Anfang

Die offensichtlichsten Kosten eines Datenlecks sind diejenigen, die ein Unternehmen direkt in Rechnung gestellt bekommt. Wenn beispielsweise Kunden- oder Mitarbeiterdaten offengelegen wurden, muss die Organisation möglicherweise Dienstleistungen von Drittanbietern in Anspruch nehmen. Dies kann Rechtsberatung, forensische Untersuchungen, Unterstützung bei der Reaktion auf Vorfälle, Eindämmungsmaßnahmen, Systemwiederherstellung und die Kommunikation mit Kunden umfassen.

Ist das Datenleck meldepflichtig, kommen zudem die umfangreichen Anforderungen des regulatorischen Prozesses selbst hinzu, einschließlich Bewertung, Dokumentation und Berichterstattung. Das ICO schreibt vor, dass Organisationen es innerhalb von 72 Stunden nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten benachrichtigen müssen, wenn diese voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt.

Diese direkten Kosten steigen oft rasant an, da mehrere Prozesse gleichzeitig ablaufen. Ein Unternehmen muss möglicherweise untersuchen, was passiert ist, Beweise sichern, Versicherer einschalten, betroffene Benutzer unterstützen, Systeme patchen, Anmeldedaten zurücksetzen, Zugriffskontrollen überprüfen und parallel dazu den normalen Betrieb aufrechterhalten. Das ist einer der Gründe, warum Datenlecks selten als eine einzige Rechnung wahrgenommen werden. Sie kommen als eine Flut dringender und sich überschneidender Aufgaben auf einen zu.

Regulatorische Risiken können zu weiteren Kosten führen. Gemäß der UK GDPR und dem Data Protection Act 2018 kann der höhere Rahmen für Geldbußen je nach Verstoß bis zu 17,5 Millionen £ oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Wert höher ist. Auf der Enforcement-Seite(neues Fenster) des ICO wird zudem darauf hingewiesen, dass weiterhin Bußgelder für Versäumnisse bei der Sicherheit und dem Datenschutz verhängt werden. Daher sollte man in einer Unterhaltung über die Kosten behördliche Maßnahmen nicht als rein theoretisch behandeln.

Das bedeutet nicht, dass jedes Datenleck zu einer Geldstrafe führt oder dass jede Geldstrafe nahe an das gesetzliche Höchstmaß heranreicht. Es bedeutet jedoch, dass die direkten finanziellen Kosten eines Datenlecks in Großbritannien schnell über die reine Schadensbehebung hinausgehen und regulatorische Risiken, rechtlichen Support und eine externe Überprüfung nach sich ziehen können.

Die größeren Kosten sind oft indirekt

Direkte Kosten von Datenlecks sind einfacher zu beziffern, da sie messbar sind. Der schwieriger zu bewertende Aspekt sind die indirekten Auswirkungen, die oft größer und hartnäckiger sind.

  • Betriebsausfall: Ein Datenleck kann den Vertrieb, die Servicebereitstellung, Finanztransaktionen, den Kundensupport, die Gehaltsabrechnung oder den Zugriff der Mitarbeiter auf Kernsysteme unterbrechen. Selbst wenn der Vorfall selbst relativ schnell eingedämmt werden kann, kann sich die Wiederherstellungsphase hinziehen, während Teams Systeme neu aufbauen, die Datenintegrität überprüfen, Anmeldedaten aktualisieren, den Zugriff wiederherstellen und einen Rückstand aufarbeiten.
  • Kundenabwanderung: Nicht jeder Kunde geht direkt nach einem Datenleck, aber einige tun es, und der Schaden kann weit über unmittelbare Kündigungen hinausgehen. Unternehmen, die stark auf das Vertrauen der Kunden angewiesen sind, können die Auswirkungen bei Verlängerungen, geschäftlichen Unterhaltungen oder dem Vertrauen von Partnern spüren. Wenn sich Teams nur auf die Benachrichtigung und Behebung konzentrieren, unterschätzen sie die finanziellen Auswirkungen eines Datenlecks.
  • Steigende Versicherungskosten: Ein schwerwiegender Vorfall kann sich auf künftige Cyberversicherungsprämien, Deckungsbedingungen oder die Überprüfung der Sicherheitskontrollen durch den Versicherer auswirken. Selbst wenn weiterhin Deckung besteht, kann die Organisation nach dem Ereignis mit einem anspruchsvolleren Verlängerungsprozess und zusätzlichen Sicherheitsanforderungen konfrontiert werden. Dies ist Teil der langfristigen Folgen der Kosten eines Datenlecks, die viele Unternehmen erst dann richtig einschätzen, wenn die unmittelbare Krise vorbei ist.

Warum KMU die Auswirkungen oft deutlicher spüren

Man nimmt leicht an, dass größere Unternehmen immer mehr leiden, weil sie mehr zu verlieren haben. Finanziell gesehen ist das oft richtig. Aber kleinere Organisationen können unverhältnismäßig stark betroffen sein, weil dieselben Kostenkategorien auf einer viel dünneren betrieblichen Basis landen.

Unternehmen mit größeren betrieblichen und finanziellen Ressourcen können Rechtsausgaben, externen technischen Support, Ausfallzeiten und anhaltende Störungen oft besser verkraften. Ein kleines Unternehmen verfügt möglicherweise nicht über eigenes Sicherheitspersonal, Unterstützung bei der Krisenkommunikation oder freie Betriebskapazitäten. Wenn ein kleines Team selbst für kurze Zeit den Zugriff auf E-Mails, CRM-Software, Finanzsysteme, Dateispeicher oder Kundendaten verliert, kann der Schaden den Umsatz und die Kontinuität des Service direkt beeinträchtigen.

Deshalb müssen durchschnittliche Zahlen zu den Kosten von Datenlecks im Kontext betrachtet werden. Eine relativ bescheidene Zahl in den Schlagzeilen kann dennoch schwerwiegende Störungen für ein kleines Unternehmen kaschieren, insbesondere wenn die tatsächliche Last auf verlorener Zeit, unterbrochenen Abläufen, Notfallmaßnahmen und internen Kapazitäten liegt. Der Bericht Cyber Security Breaches Survey 2025 der britischen Regierung stellt explizit fest, dass die selbst gemeldeten Schätzungen der Kosten für Datenlecks die tatsächlichen wirtschaftlichen Auswirkungen möglicherweise unterbewerten.

Das Data Breach Observatory von Proton untermauert diesen Punkt. Es stellte fest, dass KMU die häufigsten Opfer der seit Januar 2025 erfassten Datenlecks waren und 63 % der Vorfälle ausmachten. Bei Datenlecks, bei denen mehr als 100.000 Datensätze offengelegt wurden, machten KMU laut Proton immer noch 60 % der Vorfälle aus, wobei kleine Unternehmen – hier definiert als Organisationen mit 1–49 Mitarbeitern – 42 % repräsentierten.

Kleinere Unternehmen zögern präventive Investitionen oft hinaus, weil sie davon ausgehen, dass Angreifer mehr Interesse an größeren Organisationen haben. Wenn ein Unternehmen sich selbst nicht als wahrscheinliches Ziel sieht, können sich eine zentrale Verwaltung von Anmeldedaten, die Überwachung von Datenlecks, Zugriffskontrollen und eine stärkere Authentifizierung wie Kosten anfühlen, die schwer zu rechtfertigen sind. Das Problem ist, dass das Fehlen dieser Kontrollen den Vorfall nach einem Datenleck noch störender und teurer in der Eindämmung machen kann.

Das Risiko ist nicht theoretisch. Die Studie „2025 SMB Threat Landscape“ von VikingCloud ergab, dass fast jedes fünfte KMU angab, ein erfolgreicher Cyberangriff würde es zur Schließung zwingen, während Mastercard berichtete, dass fast jedes fünfte Unternehmen, das bereits einen Angriff erlitten hatte, später Insolvenz anmeldete oder schloss. Diese Zahlen erklären, warum die Auswirkungen von Datenlecks bei kleineren Unternehmen oft weniger an den Durchschnittswerten der Schlagzeilen gemessen werden, sondern eher daran, wie viel Störung das Unternehmen realistisch überleben kann.

Was britische Gesetze und Vorschriften zu den Kosten beitragen

Der regulatorische Kontext im Vereinigten Königreich ist zwar nicht für alle Kosten von Datenlecks verantwortlich, kann diese jedoch erheblich vergrößern.

Benachrichtigung

Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem Risiko für die Rechte und Freiheiten von Personen führt, muss die ICO innerhalb von 72 Stunden nach Bekanntwerden benachrichtigt werden. Ist das Risiko hoch, müssen die betroffenen Personen unter Umständen ebenfalls unverzüglich informiert werden. Das verursacht bereits Kosten, bevor überhaupt Durchsetzungsmaßnahmen im Raum stehen, da die Organisation den Vorfall bewerten, herausfinden muss, welche Daten betroffen waren, die Fakten dokumentieren und eine Kommunikation vorbereiten muss, die der Prüfung durch Aufsichtsbehörden und Kunden standhält.

Risiko von Durchsetzungsmaßnahmen

Für Unternehmen, die große Mengen personenbezogener Daten verarbeiten oder stark auf das Vertrauen der Kunden angewiesen sind, endet das finanzielle Risiko nicht mit der technischen Behebung. Es erstreckt sich auch auf die Folgen des Eindrucks, beim Schutz personenbezogener Daten versagt zu haben.

Kosten behördlicher Verfahren

Sobald die ICO eingeschaltet ist, benötigen Unternehmen unter Umständen rechtlichen Support, Zeit für interne Untersuchungen, Berichte an den Vorstand, eine externe Kommunikationsplanung und Nachweise über die Behebung. Selbst wenn ein Datenleck nicht zu einer hohen Geldstrafe führt, verschlingt das Verfahren dennoch viel Zeit und Geld.

Präventionskosten sind in der Regel leichter zu kontrollieren als die Kosten von Datenlecks

Das wirtschaftliche Argument für präventive Sicherheit ist einfach: Prävention ist in der Regel besser kontrollierbar als die Reaktion auf ein Datenleck.

Ein Unternehmen kann ein Budget für einen Passwort-Manager für Unternehmen, bessere Zugriffskontrollen, die Durchsetzung der Zwei-Faktor-Authentifizierung (2FA), die Überwachung von Datenlecks, die Planung von Reaktionen auf Vorfälle und Benutzerschulungen einplanen. Für ein echtes Datenleck, das den Betrieb unterbricht, Notfallausgaben erzwingt und das Vertrauen schädigt, lässt sich ein Budget weitaus weniger präzise planen. Beim ROI-Argument geht es darum, die Wahrscheinlichkeit zu verringern, dass sich eine häufige, vermeidbare Schwachstelle in ein teures, störendes Ereignis verwandelt.

Deshalb ist die Sicherheit von Anmeldedaten besonders wichtig. Die Offenlegung von E-Mail-Adressen, Benutzernamen und Passwörtern bei Vorfällen ist eine erhebliche Bedrohung für Unternehmen. Wenn Anmeldedaten gefährdet sind, geht der Schaden oft weit über das ursprüngliche Datenleck hinaus. Schwache, wiederverwendete oder schlecht kontrollierte Passwörter können Angreifern Zugriff auf andere Konten, Systeme und Dienste verschaffen, was die Wahrscheinlichkeit einer Folgekompromittierung erhöht. Aus diesem Grund sollte sich die Kostendiskussion deiner Organisation auf Prävention konzentrieren und nicht nur auf die Reaktion.

Wenn einer der häufigsten Angriffsvektoren für Datenlecks gefährdete Anmeldedaten oder Daten umfasst, die den Missbrauch von Anmeldedaten ermöglichen, dann packen Investitionen, die die Wiederverwendung von Passwörtern verhindern, die Sichtbarkeit verbessern und die Hygiene von Anmeldedaten optimieren, einen direkten Kostentreiber anstelle eines theoretischen an.

Proton Pass for Business ist ein Passwort-Manager für Unternehmen, der genau auf dieser Art von praktischer Kontrolle aufbaut: Er hilft Teams dabei, starke, einzigartige Anmeldedaten sicherer in der gesamten Organisation zu erstellen, zu speichern und zu verwalten.

Sei Datenlecks einen Schritt voraus, bevor sie dein Unternehmen Geld kosten

Die Kosten von Datenlecks sind am besten als kumulativ zu verstehen. Ein Teil davon entsteht schnell durch Rechtsberatung, forensische Untersuchungen, Benachrichtigungsarbeiten und die Wiederherstellung von Systemen. Ein großer Teil baut sich jedoch allmählicher auf – durch Produktivitätsverluste, verzögerte Arbeit, geschäftliche und rufschädigende Belastungen sowie den längeren Aufwand, der zur Wiederherstellung des Vertrauens erforderlich ist. Insbesondere für kleinere Organisationen kann diese weitreichendere Störung eher existenzbedrohend als lediglich unangenehm sein: VikingClouds Studie 2025 SMB Threat Landscape ergab, dass fast jedes fünfte KMU angab, ein erfolgreicher Cyberangriff würde es zur Schließung zwingen.

Deshalb kann die Kostendiskussion nicht bei Bußgeldern oder Benachrichtigungspflichten aufhören. Sie sollte zu praktischeren Fragen führen: Welche Risiken lassen sich verringern, bevor ein Vorfall eintritt? Und welche Kontrollen machen es einfacher, die Folgen einzudämmen, wenn es doch dazu kommt?

Prävention ist in der Regel einfacher zu bewältigen als die Reaktion. Die Sicherheit von Anmeldedaten ist die beste Option für deine Organisation, wenn es um die Minimierung von Kosten geht. Wenn deine Organisation von einem Datenleck betroffen ist, führt dies bei verschiedenen Vorfällen zu einer wiederholten Offenlegung von E-Mail-Adressen, Benutzernamen und Passwörtern. Schwache oder wiederverwendete Anmeldedaten können es Angreifern erleichtern, nach der ersten Gefährdung auf zusätzliche Konten oder Dienste zuzugreifen.

Eine stärkere Hygiene von Anmeldedaten, bessere Zugriffskontrollen und praktische Sicherheitswerkzeuge werden nicht jedes Risiko ausschließen, aber sie können die Wahrscheinlichkeit verringern, dass sich ein offengelegtes oder wiederverwendetes Passwort in einen größeren und teureren Vorfall verwandelt. Beginne mit der Überwachung offengelegter Anmeldedaten und verringere das Risiko von Datenlecks im Zusammenhang mit Anmeldedaten in deiner Organisation mit unserem sicheren Passwort-Manager für Unternehmen oder kontaktiere unser Vertriebsteam, um mehr zu erfahren.