Fünf Kennzahlen, mit denen Anleger die wahren Kosten von Cyberrisiken bewerten

Ich habe mir angewöhnt, Sicherheitsberichte so zu lesen wie früher Bilanzen eines Zulieferers: nicht wegen der Zahlen, die dort stehen, sondern wegen der Zahlen, die fehlen. Wenn ein Unternehmen sein Cyberrisiko auf einer einzigen Folie abhandelt — meist mit einem Balkendiagramm, das nach links unten zeigt —, weiß ich, dass ich selbst rechnen muss. Und dafür brauche ich keine Firewall-Diagramme. Ich brauche fünf Werte, die fast jeder Geschäftsbericht irgendwo versteckt.

Die erste ist die Kosten pro Vorfall. Klingt banal, ist es aber nicht, weil die Branche jahrelang eine Scheinkennzahl gepflegt hat: Kosten pro kompromittiertem Datensatz. Diese Zahl ist bequem und sie ist irreführend. Ein Datensatz, der in einem Ordner lag, verursacht keine Kosten. Kosten entstehen durch Stillstand: Forensik, externe Anwälte, Benachrichtigungen, Callcenter, Wochenendarbeit von Menschen, die eigentlich andere Dinge tun sollten. Bei kleineren Vorfällen dominieren diese Fixkosten so stark, dass die Zahl der betroffenen Datensätze fast irrelevant wird. Ein Unternehmen mit 20.000 Kunden zahlt für einen Vorfall schnell einen mittleren einstelligen Millionenbetrag, obwohl rechnerisch nur ein Bruchteil der Daten betroffen war. Genau deshalb schaue ich lieber auf die Summe der Vorfälle der letzten drei Jahre, geteilt durch drei. Wer diese Zahl kennt, weiß, wie hoch die „Grundmiete” des Risikos ist.

Die zweite Kennzahl ist der Umsatzverlust durch Betriebsunterbrechung, und hier machen fast alle Anleger denselben Fehler. Sie nehmen den ausgefallenen Umsatz und nennen ihn Schaden. Aber Umsatz ist keine Marge. Wenn ein Einzelhändler drei Wochen lang sein Kassensystem nicht bedienen kann, verliert er nicht die 40 Millionen Euro Umsatz, die in diesem Fenster gelegen hätten, sondern den Deckungsbeitrag darauf — vielleicht acht Millionen. Das ist deutlich weniger dramatisch, aber es kommt etwas hinzu, das in keiner Umsatzstatistik auftaucht: Kunden, die in der Zwischenzeit beim Wettbewerber gekauft haben und nicht zurückkommen. Ein mittelgroßer Händler, dessen Online-Shop nach einem Angriff zehn Tage dunkel blieb, verlor in diesen Tagen einen mittleren einstelligen Millionenbetrag an Umsatz. Der eigentliche Schaden zeigte sich erst im Quartal danach, als die Wiederkäuferate um mehrere Punkte fiel und niemand im Unternehmen das mit dem Vorfall in Verbindung brachte.

Damit bin ich bei der dritten Kennzahl, und sie ist die am meisten unterschätzte: die Abwanderung von Kunden nach einem Datenleck. Sie ist so schwer zu messen, weil sie sich perfekt tarnen lässt. In den Quartalsberichten heißt sie dann „verändertes Marktumfeld” oder „höhere Preissensibilität”. Ich habe gelernt, auf drei Dinge zu achten: die Retention Rate im Segment, in dem der Vorfall stattfand, die Kosten für Neukundengewinnung im Vergleich zum Vorjahr und die durchschnittliche Lebensdauer eines Kunden. Wenn alle drei sich gleichzeitig bewegen, ist das selten Zufall. Besonders hart trifft es Dienstleister mit Wechselkosten, die niedriger sind als ihr Management glaubt. Ein Finanzdienstleister, dessen Kundenportal nach einem Vorfall zwei Wochen gesperrt war, verlor nicht viele Kunden — aber er verlor die richtigen. Wer viel Geld bewegt, wechselt schnell. Wer wenig bewegt, bleibt und beschwert sich. Die Abwanderung nach Datenlecks ist deshalb oft eine Abwanderung nach oben, gemessen am Kundenwert.

Die vierte Kennzahl sind regulatorische Strafen und die dazugehörigen Rechtskosten, und hier lohnt ein zweiter Blick, weil die öffentliche Wahrnehmung in die Irre führt. Die größten Geldbußen der vergangenen Jahre hatten erstaunlich wenig mit Hackern zu tun. Sie entstanden aus der Art, wie Daten zwischen Jurisdiktionen bewegt wurden, aus fehlenden Rechtsgrundlagen, aus Verträgen, die niemand juristisch geprüft hatte. Das eigentliche Risiko liegt selten im Einbruch, sondern in der Dokumentation danach. Ich rechne daher nicht mit der theoretischen Höchststrafe — die liegt bei vier Prozent des Weltumsatzes und ist praktisch eine Fiktion —, sondern mit drei realistischen Größen: der erwarteten Geldbuße, den Anwaltskosten über zwei bis drei Jahre und dem internen Aufwand, der während dieser Zeit gebunden ist. Diese Summe kann bei einem Unternehmen mit 500 Millionen Euro Umsatz leicht einen zweistelligen Millionenbetrag erreichen, ohne dass ein einziger Datensatz gestohlen wurde.

Die fünfte Kennzahl ist die Veränderung der Cyberversicherungsprämien, und sie ist die ehrlichste von allen. Versicherer sind die einzigen Marktteilnehmer, die für Fehleinschätzungen echtes Geld verlieren, und sie haben in den vergangenen Jahren ihre Modelle mehrfach umgebaut. Nach einer Phase steigender Prämien hat sich der Markt entspannt, aber die Struktur der Verträge ist deutlich härter geworden: höhere Selbstbehalte, niedrigere Sublimits, Ausschlüsse für staatlich unterstützte Angriffe und Wartezeiten, die viele Unternehmen überfordern. Ich schaue deshalb nicht auf die Prämie allein, sondern auf das Verhältnis von Prämie zu Selbstbehalt zu Deckungssumme. Ein Finanzdienstleister, der nach zwei Jahren in MFA, Segmentierung und Übungsangriffe seine Prämie um knapp ein Fünftel senken konnte und gleichzeitig seinen Selbstbehalt halbierte, hat mir mehr über seine Sicherheitslage erzählt als jedes Audit. Der Versicherer hat mit eigenem Geld bestätigt, was das Unternehmen behauptet.

Jetzt der Vergleich der Branchen, weil dieselben fünf Kennzahlen je nach Geschäftsmodell völlig unterschiedlich aussehen. Im Handel dominiert der Umsatzverlust durch Betriebsunterbrechung, und zwar saisonal. Ein Vorfall im November wiegt ein Vielfaches eines Vorfalls im Februar, und kaum ein Unternehmen plant das in seiner Risikorechnung ein. Im Gesundheitswesen dominiert die Abwanderungs- und Reputationsseite, verbunden mit einer Besonderheit: Der Schaden trifft nicht nur die Bilanz, sondern die Versorgung. Verschobene Operationen und umgeleitete Rettungswagen tauchen in keinem Kennzahlensystem auf, aber sie erzeugen Regressforderungen und politischen Druck, der sich in Aufsicht und Regulierung niederschlägt. In der Fertigung wiederum ist der Umsatzverlust am brutalsten, weil er sofort und vollständig eintritt. Wenn eine Produktionslinie steht, sinkt der Deckungsbeitrag im Minutentakt, während die Fixkosten weiterlaufen. Dazu kommt, dass viele Maschinen über Jahre nicht gepatcht wurden, weil ein Neustart Produktionsausfall bedeutet. Das ist ein betriebswirtschaftlich rationales Verhalten mit einem sehr irrationalen Risikoprofil.

Für die Bewertung brauche ich am Ende kein Modell, sondern ein einfaches Raster. Ich trage auf der einen Achse ein, wie lange ein Ausfall wirkt — Tage, Wochen, Monate — und auf der anderen, wie stark die Kundenbeziehung davon abhängt. Wer in beiden Dimensionen weit oben steht, sollte nicht mit dem Durchschnitt der Branche rechnen.

Kennzahl	Wo ich sie finde	Was ich abziehe
Kosten pro Vorfall	Anhang, Rechtskosten, Berichte der letzten Jahre	Wiederkehrende Grundlast vom operativen Ergebnis
Umsatzverlust	Segmentbericht, Wiederkäuferate	Entgangener Deckungsbeitrag plus Aufbaukosten
Kundenabwanderung	Retention Rate, Neukundenkosten	Kapitalisierter Kundenwertverlust
Strafen und Rechtskosten	Rückstellungen, Eventualverbindlichkeiten	Abgezinster Erwartungswert über drei Jahre
Prämienveränderung	Sonstige betriebliche Aufwendungen	Prämie plus Selbstbehalt als echte Risikoprämie

Was mich an dieser Rechnung am meisten überrascht hat: Sicherheitsausgaben schützen den Gewinn nicht linear. Eine Verdopplung des Budgets senkt die Eintrittswahrscheinlichkeit nicht um die Hälfte. Aber sie verändert die Form des Schadens. Gut aufgestellte Unternehmen erleiden kürzere Ausfälle, finden Kunden schneller zurück und verhandeln bessere Verträge. Das ist kein Schutz gegen das Ereignis, sondern gegen die Dauer. Und Dauer ist das, was Anleger bezahlen.

Wenn ich heute eine Position prüfe, stelle ich deshalb eine einzige Frage: Kann dieses Unternehmen einen schlechten Monat überstehen, ohne dass zwei Jahre Gewinn verschwinden? Wer darauf eine belastbare Antwort hat, braucht keine Angst vor dem nächsten Angriff. Wer keine hat, sollte nicht auf die nächste Sicherheitsfolie warten.