4,99 Millionen Dollar: Was ein Datenleck 2026 kostet
Veröffentlichungsdatum:
- 27. August 2026
IBMs Cost of a Data Breach Report 2026 nennt einen Rekordwert von 4,99 Mio. USD für das durchschnittliche Datenleck. Doch die Schlagzeile sagt weniger aus als zwei andere Zahlen aus demselben Bericht: 63 und 247.
Ein Datenleck war noch nie günstig. Aber 2026 haben sich die Zahlen erneut in die falsche Richtung bewegt.
Laut IBMs Cost of a Data Breach Report 2026 erreichten die weltweiten Durchschnittskosten eines Datenlecks einen Rekordwert von 4,99 Mio. USD – ein Plus von 12% gegenüber 4,44 Mio. USD im Jahr 2025. Ein grosser Teil dieses Anstiegs entfiel auf Kosten für Erkennung und Eskalation sowie auf entgangene Geschäfte nach dem Vorfall.
Zwei Details machen diesen Anstieg schärfer, als er zunächst wirkt. Die 12% sind kein gleichmässiger Anstieg: 2025 waren die Kosten zunächst von 4,88 Mio. USD auf 4,44 Mio. USD gefallen. Es handelt sich also um Erholung und Rekord zugleich – der höchste Wert in den acht Jahren, die IBM erfasst.
Und die Aufteilung ist präzise. Erkennung und Eskalation sowie entgangene Geschäfte verursachten 63% des diesjährigen Rekordwerts und machten zusammen 3,18 Mio. USD der 4,99 Mio. USD aus. Beide Kategorien stiegen um 11,5%. Am stärksten wuchs jedoch die Nachbereitung – Bussgelder, Rechtskosten, Kreditüberwachung – mit 15%. Wer NIS2 als reine Dokumentationsübung behandelt hat, sollte sich diese Zeile genauer ansehen.
Der weltweite Durchschnitt verdeckt enorme Unterschiede
In den Vereinigten Staaten kostet ein durchschnittliches Datenleck inzwischen 11,5 Mio. USD – mehr als das Doppelte des weltweiten Durchschnitts. Deutschland verzeichnete einen der grösseren Anstiege in Europa: Die Kosten stiegen um 18% auf 4,93 Mio. USD.
Die Branche zählt genauso viel. Das Gesundheitswesen bleibt der teuerste Sektor mit 6,64 Mio. USD pro Datenleck, dicht gefolgt von Finanzdienstleistungen mit 6,29 Mio. USD. Am unteren Ende von IBMs Branchenvergleich lag der öffentliche Sektor immer noch bei 3,5 Mio. USD.
Was sagt uns die Schlagzeile von 4,99 Mio. USD also wirklich?
Vermutlich weniger darüber, was das nächste Datenleck kosten wird – und mehr über die Richtung, in die es geht.
Die Kosten für Datenlecks steigen wieder. Geografie, Regulierung, Branche, die Art der betroffenen Daten und vor allem die Geschwindigkeit, mit der eine Organisation einen Angriff erkennt und eindämmt, können den Endbetrag dramatisch verändern. Die 300 Millionen Pfund von Marks & Spencer zeigen, wie das obere Ende dieser Spanne in der Praxis aussieht.
Die Zahl, die Sie beunruhigen sollte, ist nicht 4,99
Es sind 247.
So viele Tage benötigen Organisationen im Mittel, um ein Datenleck zu erkennen und einzudämmen – 183 Tage bis zur Entdeckung, weitere 64 bis zur Eindämmung. Acht Monate vom Einbruch bis zur Eindämmung. Und nach fünf Jahren kontinuierlicher Verbesserung lief diese Uhr dieses Jahr wieder rückwärts, um 2,5%.
Die Kosten dieser Verzögerung sind messbar. Datenlecks mit einer Laufzeit von mehr als 200 Tagen kosteten im Schnitt 5,65 Mio. USD. Schneller gelöste Fälle kosteten 4,32 Mio. USD. Eine Differenz von 1,33 Mio. USD – bestimmt nicht durch die Raffinesse des Angriffs, sondern dadurch, wie lange ihn niemand bemerkt hat.
Das ist im Grunde derselbe Punkt wie die 63%: Der grösste Teil dessen, was ein Datenleck kostet, ist nicht der Einbruch. Es ist alles, was passiert, während der Eindringling noch im System ist. Genau deshalb muss Awareness kontinuierlich werden statt jährlich – die Menschen, die einem Angriff am nächsten sind, können in der Regel als Erste die Hand heben.
Mehr als jede vierte Organisation wurde von einem KI-gesteuerten Angriff getroffen
Die zweite Verschiebung in diesem Bericht betrifft die Angreiferseite.
Mehr als ein Viertel der Organisationen erlebte einen bösartigen KI-gesteuerten Angriff – ein Anstieg von 56% gegenüber dem Vorjahr. Diese Angriffe kosteten im Schnitt 6,04 Mio. USD, gegenüber 5,03 Mio. USD bei bösartigen Angriffen ohne KI. Ein Aufpreis von einer Million Dollar für Automatisierung.
Deepfake-Imitation war mit 45% die grösste Einzelkategorie unter den KI-Angriffen. Generative KI macht Social Engineering billig in der Herstellung und schwer erkennbar – genau deshalb richtet es sich gegen Menschen und nicht gegen Firewalls. Und genau deshalb sind Anrufe mit geklonten Stimmen in diesem Jahr keine Kuriosität mehr.
Zwei Zahlen darunter lohnen einen zweiten Blick. Sicherheitsvorfälle mit Schatten-KI – Mitarbeitende nutzen nicht freigegebene KI-Werkzeuge – haben sich auf 43% mehr als verdoppelt, von 20% im Vorjahr, und kosteten mehr, wenn sie eintraten: 5,39 Mio. USD gegenüber 4,63 Mio. USD. Und Ransomware tauchte in 39% der Datenlecks auf und setzt damit einen Vierjahrestrend seit 24% im Jahr 2023 fort.
Und da KI-gesteuerte Angriffe Geschwindigkeit und Ausmass von Cyberangriffen erhöhen, dürfte genau dieser letzte Faktor immer wichtiger werden.
Die eigentliche Frage für Sicherheitsverantwortliche ist deshalb nicht, ob ein Datenleck 4, 5 oder 10 Millionen Dollar kostet. Sie lautet, wie viel dieser Kosten sich noch verhindern lässt, indem man den Angriff schneller erkennt und eindämmt. Und: Irgendein Regulator wird Sie ohnehin bestrafen…
So Long, Palo
Source
Alle Zahlen: IBM Cost of a Data Breach Report 2026. Abbildungen 1–5, 17, 21–22 und 30.
Häufig gestellte Fragen
Was kostet ein Datenleck 2026 im Durchschnitt?
Weltweit 4,99 Mio. USD – ein Rekordwert und ein Plus von 12% gegenüber 4,44 Mio. USD im Jahr 2025. Der Wert schwankt stark nach Region und Branche: 11,5 Mio. USD in den USA, 4,93 Mio. USD in Deutschland, 6,64 Mio. USD im Gesundheitswesen und 3,5 Mio. USD im öffentlichen Sektor.
Wie lange dauert es, ein Datenleck zu erkennen?
Im Schnitt 247 Tage bis zur Erkennung und Eindämmung – 183 Tage bis zur Entdeckung und weitere 64 bis zur Eindämmung. Das sind 2,5% mehr als im Vorjahr und kehrt fünf Jahre kontinuierlicher Verbesserung um.
Was kostet eine späte Erkennung tatsächlich?
Datenlecks mit einer Laufzeit von mehr als 200 Tagen kosteten im Schnitt 5,65 Mio. USD. Schneller gelöste Fälle kosteten 4,32 Mio. USD. Die Differenz von 1,33 Mio. USD ergibt sich aus der verstrichenen Zeit, nicht aus der Raffinesse des Angriffs.
Was treibt den Anstieg der Kosten?
Erkennung und Eskalation sowie entgangene Geschäfte machten 63% des Rekordwerts aus, also 3,18 Mio. USD der 4,99 Mio. USD. Beide stiegen um 11,5%. Am schnellsten wuchs die Nachbereitung – Bussgelder, Rechtskosten, Kreditüberwachung – mit 15%.
Wie viele Datenlecks betreffen inzwischen KI?
Mehr als jede vierte Organisation erlebte einen bösartigen KI-gesteuerten Angriff, ein Plus von 56% gegenüber dem Vorjahr. Diese Angriffe kosteten im Schnitt 6,04 Mio. USD gegenüber 5,03 Mio. USD ohne KI. Deepfake-Imitation war mit 45% die grösste Einzelkategorie.
Was ist Schatten-KI und wie teuer ist sie?
Schatten-KI bedeutet, dass Mitarbeitende KI-Werkzeuge nutzen, die die IT nicht freigegeben hat. Sicherheitsvorfälle damit haben sich auf 43% mehr als verdoppelt, von 20% im Vorjahr, und die daraus entstehenden Datenlecks kosteten mehr: 5,39 Mio. USD gegenüber 4,63 Mio. USD.
