Kosten einer Datenschutzverletzung 2025: Der IBM-Bericht

Der IBM-Bericht «Cost of a Data Breach Report 2025» liefert Verwaltungsräten und Geschäftsleitungen eine datengestützte Sicht darauf, was Datenschutzverletzungen tatsächlich kosten und was diese Kosten am stärksten beeinflusst. In einem Jahr, das zunehmend von künstlicher Intelligenz geprägt ist, betreffen die Ergebnisse weit mehr als nur die Sicherheitsfunktion.

Globale Kosten sinken, US-Kosten steigen

Die durchschnittlichen globalen Kosten einer Datenschutzverletzung sanken erstmals seit fünf Jahren, um 9 Prozent auf USD 4,44 Millionen. Schnellere Erkennung und Reaktion, massgeblich getrieben durch KI und Automatisierung, erklärt den grössten Teil dieser Verbesserung.

Die USA entwickelten sich in die Gegenrichtung. Die durchschnittlichen Kosten stiegen dort auf einen Rekordwert von USD 10,22 Millionen, getrieben durch regulatorische Bussen und steigende Erkennungskosten. Verwaltungsräte mit Aktivitäten über mehrere Jurisdiktionen sollten diese Divergenz als Warnung verstehen, Kosten von Datenschutzverletzungen nicht als eine einzige globale Kennzahl zu behandeln.

KI schützt und greift an

KI verteidigt und greift zugleich an. KI-gestützte Abwehrsysteme verkürzen Erkennungs- und Reaktionszeiten. Gleichzeitig setzen Angreifer bei rund 16 Prozent der Vorfälle KI ein, meist für fortgeschrittenes Phishing und Deepfakes.

Dazwischen liegt ein neueres Risiko: Schatten-KI. Nicht autorisierte oder unüberwachte KI-Anwendungen erhöhen die durchschnittlichen Kosten eines Vorfalls um rund USD 670’000. Das ist kein zukünftiges Risiko. Es zeigt sich bereits in den Zahlen.

Wie Vorfälle entstehen

Phishing bleibt mit 16 Prozent die häufigste Einstiegsmethode, dicht gefolgt von kompromittierten Lieferketten. Vorfälle durch böswillige Insider verursachen die höchsten Kosten pro Fall, durchschnittlich USD 4,92 Millionen.

Vorfälle in mehreren Umgebungen gleichzeitig, etwa Hybrid Cloud kombiniert mit lokaler Infrastruktur, sind am teuersten und am langsamsten einzudämmen: durchschnittlich USD 5,05 Millionen und bis zu 276 Tage bis zur vollständigen Eindämmung. Die Komplexität der Umgebung treibt die Kosten eigenständig, unabhängig davon, wie der Vorfall begann.

Die Lücke bei der KI-Governance

Die IBM-Daten zeigen eine konkrete Lücke. 63 Prozent der betroffenen Unternehmen hatten keine umfassende Richtlinie für KI-Governance. Schatten-KI-Vorfälle sind schwer zu erkennen, betreffen tendenziell mehr Personendaten und dauern länger bis zur Eindämmung. Angreifer setzen generative KI bereits im grossen Massstab für überzeugende Phishing-Inhalte und Deepfakes ein.

Was die Kosten beeinflusst

IBM identifiziert vier Praktiken, die Kosten konsistent senken: die Integration von Sicherheit in die Softwareentwicklung über DevSecOps, der breite Einsatz von KI und Automatisierung für Erkennung und Reaktion, ausgereifte SIEM-Plattformen sowie eine dokumentierte KI-Governance.

Vier Faktoren treiben die Kosten konsistent nach oben: fragmentierte Sicherheitsarchitektur, Abhängigkeit von Drittanbietern und Lieferketten, unkontrollierte Schatten-KI sowie ein Mangel an qualifiziertem Sicherheitspersonal.

Was Verwaltungsräte tun sollten

Aus den Daten ergeben sich vier direkte Handlungsfelder.

• Identitäts- und Zugriffsgovernance auch auf nicht-menschliche Identitäten ausweiten, einschliesslich KI-Agenten, nicht nur auf menschliche Nutzer.
• Die Lücke bei der KI-Governance schliessen: eine Richtlinie für die KI-Nutzung einführen, mit regelmässigen Audits und funktionsübergreifender Aufsicht.
• In KI-gestützte Erkennungs- und Reaktionswerkzeuge investieren. Sie reduzieren Dauer und Kosten eines Vorfalls.
• Reaktionsfähigkeit aufbauen. Vorfälle passieren. Die Geschwindigkeit der Reaktion bestimmt das finanzielle Ergebnis.

Quelle: IBM, Cost of a Data Breach Report 2025.