Was ein Sicherheitsvorfall bei Ihrer Website wirklich kostet

Veröffentlicht am 10.09.2026 von DomainFactory

Umso gravierender ist es, wenn die Webpräsenz gehackt wird und nicht mehr ordnungsgemäß funktioniert oder vollständig ausfällt. Die Folgen eines solchen Sicherheitsvorfalls und die damit verbundenen Kosten sind oft erheblicher, als Websitebetreiber zunächst glauben. Im Folgenden werden wir dies einmal genauer betrachten.

Wie lassen sich die Kosten eines Website-Hacks überhaupt beziffern?

Der SiteLock Annual Website Security Report 2024 beziffert die Kosten eines Malware-Angriffs auf die Website kleiner und mittlerer Unternehmen auf eine Summe zwischen 5.000 und 20.000 US-Dollar für Incident Response und Wiederherstellung – abhängig davon, wie lange der Ausfall dauert und welcher Aufwand zur Schadensbeseitigung nötig ist. Allerdings lassen sich die tatsächlichen Kosten eines Website-Hacks nur schwer beziffern. Denn neben technischen Faktoren wie Art und Umfang des Angriffs spielen auch Umsatzeinbußen, Reputationsverluste oder mögliche rechtliche Folgen eine Rolle (Details dazu weiter unten).

Sucuri Website Security von DomainFactory schützt Sie wirksam vor Cyberangriffen und Malware – und damit auch vor schwer kalkulierbaren finanziellen Risiken.

Die Gesamtkosten hängen zudem von der Größe des Unternehmens und der Art und Funktion der Website ab – ob es sich beispielsweise um einen einfachen Blog oder einen umfangreichen Onlineshop handelt. Die Höhe der Wiederherstellungskosten wird zudem nicht unwesentlich von der Qualität der Backups und des Incident-Response-Plans (sofern vorhanden) beeinflusst. Entscheidend kann auch sein, ob personenbezogene oder besonders schützenswerte Daten abgeflossen sind. Eine weitere wichtige Frage ist, ob ausschließlich die Website betroffen ist oder auch andere Systeme des Unternehmens kompromittiert wurden.

Wiederherstellungskosten

Nach einem Website-Hack ist eine Reihe von Maßnahmen nötig. Zunächst ist es wichtig, die Site offline zu stellen oder in den Wartungsmodus zu versetzen, damit von ihr keine Gefahr mehr ausgeht. Der Vorfall muss analysiert und die Ursache ermittelt werden – z. B. Zugriffslogs geprüft und verdächtige Dateien identifiziert werden. Gefundener Schadcode wird entfernt und unnötige Plugins und Themes gelöscht. Nach Schließung aller Sicherheitslücken wird ein sauberes Backup eingespielt, um Reinfektionen zu vermeiden; außerdem werden das CMS (Content Management System), Plugins und Themes auf den neuesten Stand gebracht. 

Der zeitliche Aufwand ist beträchtlich und die Wiederherstellung erfordert meist Expertenwissen. Wenn dies im Unternehmen nicht vorhanden ist, müssen externe Experten hinzugezogen werden. Für die Wiederherstellung einer durchschnittlichen Website können so schnell Kosten zwischen 1.000 bis 10.000 Euro anfallen. Die tatsächlichen Kosten richten sich dabei auch nach Art und Umfang des Angriffs. 

Falls zudem ein kompletter Neuaufbau nötig ist, etwa weil es keine Backups gab oder das Einspielen der Backups scheiterte, kann das die Kosten eines Website-Hacks schnell weiter nach oben treiben. Ähnliches gilt für teure Notfalltarife für Entwickler, beschleunigte Hosting-Reparaturen oder technischen Support rund um die Uhr. Und dabei sind die reinen Wiederherstellungskosten oft nur die Spitze des Eisbergs. ^

Erfahren Sie, wie Ihre Website gehackt werden kann, ohne dass Sie es bemerken und wie Sie sich vor versteckten Website-Angriffen schützen können. Weiter zum um Artikel.

Umsatzeinbußen

Ein Sicherheitsvorfall bei der Website ist meist auch mit Umsatzeinbußen verbunden, etwa wenn Hacker die Webpräsenz verschlüsseln oder die Site zur Wiederherstellung offline ist, und natürlich auch dann, wenn „nur“ wichtige Funktionen wie Einkäufe oder Terminbuchungen aufgrund eines Angriffs ausfallen. Besonders hoch können die Umsatzschäden durch ausgefallene Verkäufe bei Online-Shops sein. Die brasilianische Einzelhandelskette Americanas meldete im Februar 2022 Verluste in Höhe von 923 Millionen Real (ca. 157 Mio. Euro) nach einem Cyberangriff, der den Online-Handel fünf Tage lang lahmlegte.

Auch wenn Ihre Webpräsenz aufgrund eines Website-Hacks auf einer Blacklist landet, kann der Schaden gravierend sein. Laut dem Website-Security-Spezialisten Sucuri setzt Google täglich rund 10.000 Webseiten auf die „Blocklist“, beispielsweise wegen Sicherheitsbedenken, weil der Webserver für den Versand von Spam-Mail genutzt wird, Besucher auf betrügerische Seiten umgeleitet werden oder weil die Gefahr einer Malware-Infektion besteht. Wird eine Website von Google als unsicher eingestuft, erhalten Nutzer bei der Google-Suche oder dem Aufruf der Site die Warnmeldung, dass der gewünschte Inhalt möglicherweise schädlich ist. Und das führt in der Regel dazu, dass Besucher die Website nicht öffnen.

Aber auch wenn Google die Site nach Bereinigung wieder von der Blocklist entfernt hat – wofür eine detaillierte Dokumentation der durchgeführten Maßnahmen und ein Antrag über die Google Search Console nötig ist – erholen sich die Rankings erst nach Wochen oder Monaten vollständig. Zudem besteht die Gefahr, dass bestehende und potenzielle Kunden in der Zeit der Warnungen endgültig zur Konkurrenz wechseln. Dabei sind mobile Käufer besonders sensibel, wenn es um Ausfallzeiten geht. Sie kaufen oft unterwegs ein, wenn sie gerade Zeit haben. Ist eine Website dann nicht verfügbar, suchen sie nach schnellen Alternativen, kaufen bei dem Anbieter, dessen Website gerade richtig geladen wird – und kommen auch später nicht zurück. Da das Smartphone in Deutschland das wichtigste Endgerät für Online-Umsätze ist, kann ein Sicherheitsvorfall bei einem Onlineshop langfristig einen erheblichen Teil des potenziellen Umsatzes kosten.

Lösegeldkosten

Handelt es sich bei dem Website Hack um einen Ransomware-Angriff, bei dem die Angreifer die Website verschlüsselt haben und für die Entschlüsselung Geld erpressen wollen, müssen betroffene Unternehmen, sofern sie zu einer Zahlung bereit sind, mit hohen Lösegeldzahlungen rechnen. Im Jahr 2024 betrugen die mittleren Lösegeldzahlungen in Deutschland 412.000 US-Dollar – allerdings bezieht sich diese Zahl nicht auf Summen, die im Zusammenhang mit Website-Hacks gezahlt wurden. Hier dürften die Zahlen deutlich darunter liegen, insbesondere bei Websites von kleinen und mittleren Unternehmen. Ein bedeutender Kostenfaktor ist eine Lösegeldzahlung aber allemal und zudem mit der Unsicherheit verbunden, ob die Website nach der Zahlung tatsächlich wieder entschlüsselt wird.

Vertrauensverlust und Imageschaden

Reputations- und Imageschäden lassen sich nur schwer quantifizieren, können jedoch erhebliche Auswirkungen haben. Kunden, die das Vertrauen verlieren, wechseln häufig zu einem Wettbewerber und das geht in der Onlinewelt schneller als in der analogen.

Wenn Kunden keinen Zugang zur Unternehmenswebsite erhalten, entstehen Unsicherheiten hinsichtlich der Seriosität, der finanziellen Stabilität und der Datensicherheit des Unternehmens. Diese Zweifel können langfristig bestehen bleiben, auch nach Wiederherstellung der Website.

Soziale Medien verschärfen die Situation zusätzlich: Selbst kleinere Ausfälle können zu negativen Kommentaren und Bewertungen führen, was sich nachhaltig auf das Markenimage auswirkt. Zur Eindämmung der Schäden setzen manche Unternehmen auf gezielte Imagekampagnen, die dann natürlich zusätzliche Kosten für Marketing und PR verursachen.

Rechtliche Kosten

Auch rechtliche Konsequenzen können die Kosten eines Website-Hacks weiter in die Höhe treiben – vor allem, wenn personenbezogene Daten von Kunden oder Nutzern betroffen sind. Dann nämlich gelten die Anforderungen der Datenschutzgrundverordnung (DSGVO). Konkret heißt das: Wenn es durch den Sicherheitsvorfall auf Ihrer Website zum Verlust, zur Veränderung, zur Vernichtung oder Offenlegung personenbezogener Daten gekommen ist, muss dies innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden. 

Kommen Sie dieser Meldepflicht nicht nach oder stellt sich heraus, dass die personenbezogenen Daten nicht hinreichend geschützt waren, kann das Bußgelder bis zu einer Höhe 20 Mio. Euro oder vier Prozent des weltweiten Jahresumsatzes zur Folge haben – und solche Bußgelder werden auch tatsächlich verhängt. Wenn durch den Vorfall ein hohes Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen besteht, müssen Sie auch die betroffenen Personen unterrichten, was unter Umständen einen erheblichen Aufwand bedeutet.

Und damit nicht genug: Die betroffenen Personen können auch auf Schadensersatz nach Art. 82 DSGVO klagen. Dabei können sie auch immaterielle Schäden wie Kontrollverlust, Angst vor Missbrauch oder zusätzlichen Aufwand, der ihnen entstanden ist, geltend machen.

Kosten durch Eskalation des Angriffs

Nicht bei jedem Angriff auf eine Website ist diese auch das eigentliche Ziel. In manchen Fällen nutzen Angreifer den Website-Hack nur als Einfallstor, um von dort aus in das Unternehmensnetzwerk – die Unternehmens- oder operative IT – einzudringen. Das kann beispielsweise über gespeicherte Zugangsdaten, API-Schlüssel, Datenbank-Logins oder Verbindungen zu internen Diensten gelingen. 

Die Folge können Systemausfälle, Datenverluste oder unterschiedlichste Einschränkungen der Arbeitsabläufe sein und zu hohen Produktivitätsverlusten führen. Die Kosten solcher Betriebsausfälle können die eines auf die Website beschränkten Sicherheitsvorfalls um ein Vielfaches übersteigen. Forbes beziffert die durchschnittlichen Kosten für Betriebsausfälle bei großen Unternehmen auf bis zu 9.000 US-Dollar pro Minute – mögliche Bußgelder und Strafen nicht eingerechnet.

Was Sie tun können, um hohe Kosten zu vermeiden

Angesichts der Komplikationen und der Kosten, die ein Website-Hack mit sich bringt, erscheint es geradezu fahrlässig, sich nicht um die Sicherheit der eigenen Webpräsenz zu kümmern. Vor allem sollten Sie darauf achten, dass Ihr CMS und insbesondere die Erweiterungen und Themes stets auf dem aktuellen Stand sind. Sichern Sie Admin-, Hosting- und Datenbankzugänge mit starken Passwörtern und Zwei-Faktor-Authentifizierung und erstellen Sie regelmäßig Backups von Website-Dateien und Datenbanken. 

Da die meisten Malware-Attacken inzwischen automatisch erfolgen und sich mit den Möglichkeiten der Automatisierung auch deren Frequenz erhöht hat, ist zudem ein regelmäßiger Website-Check ein wichtiger Baustein einer guten Sicherheitsstrategie. Hier kann Sie Sucuri Website Security von DomainFactory zuverlässig unterstützen. Sucuri scannt Ihre Webpräsenz automatisch und regelmäßig, sodass Schadcodes zuverlässig entdeckt und infizierte Seiten zügig bereinigt werden können. Und in Kombination mit Blacklisting-Überwachung und -Beseitigung, Web Application Firewall sowie Backup und Restore lässt sich der Service zu einem Rundumschutz gegen Website-Hacks ausbauen.

Titelmotiv des Blogartikels zum Thema: Photo by Glen Carrie on Unsplash