Eine im Umlauf befindliche Behauptung besagt, Cyberkriminalität richte weltweit dreimal so hohen finanziellen Schaden an wie alle Naturkatastrophen zusammen. thebrokernews hat die Zahl mit einem eindeutigen, aber überraschenden Ergebnis überprüft.
Die Behauptung kursiert regelmässig in den Medien und auf IT-Sicherheitskonferenzen, jedoch meist ohne konkrete Quellenangabe. Bei der Recherche nach einem Medienbericht, einer Studie oder Institution, die exakt diesen Faktor «drei» beziffert, wird es schwierig: Eine solche Quelle konnte nicht identifiziert werden. In einer Doku des Senders arte aus 2023 jedoch wird erzählt, dass «jeder dritte Deutsche schon einmal Opfer eines erfolgreichen Cyberangriffs war» und «Forschende schätzen, dass die jährlichen Schäden von Cyberattacken mehr kosten als die von Naturkatastrophen». Und so könnte aus «jedem dritten Deutschen» ein dreimal höherer finanzieller Schaden im Vergleich zu Naturkatastrophen werden.
Woher der Vergleich stammt
Cyberkriminalität:
Die Zahl geht meist auf Schätzungen von Cybersecurity Ventures zurück, wonach Cyberkriminalität jährlich rund 10,5 Billionen US-Dollar an globalen Schäden und Folgekosten verursachen soll (mit einem prognostizierten Anstieg auf 12,2 Billionen US-Dollar bis 2031). Darin eingerechnet sind nicht nur direkte Diebstähle oder Lösegeldzahlungen, sondern auch Ausfallzeiten, Produktivitätsverluste, Reputationsschäden und forensische Aufräumarbeiten. Cybersecurity Ventures selbst formuliert dabei nur, der Schaden sei «exponentiell grösser» als jener durch Naturkatastrophen. Eine konkrete Multiplikator-Zahl nennt die Quelle nicht.
Naturkatastrophen:
Nach Analysen grosser Rückversicherer wie Swiss Re oder Munich Re belaufen sich die weltweiten Gesamtschäden durch Naturkatastrophen in durchschnittlichen Jahren auf etwa 250 bis 350 Milliarden US-Dollar. Diese Grössenordnung ist deutlich seriöser fundiert als die Cybercrime-Schätzungen, da sie auf beobachteten Schadensdaten und nicht auf Hochrechnungen basiert. Swiss Re beziffert die globalen wirtschaftlichen Gesamtschäden (versicherte und unversicherte Schäden zusammen) für 2024 auf 318 Milliarden US-Dollar und für 2025 auf 220 Milliarden US-Dollar. Munich Re kommt für dieselben Jahre auf 320 Milliarden US-Dollar (2024) beziehungsweise 224 Milliarden US-Dollar (2025).
Die Relation:
Setzt man 10,5 Billionen US-Dollar ins Verhältnis zu den 250 bis 350 Milliarden US-Dollar an Naturkatastrophenschäden, läge der berechnete Cyberschaden rechnerisch um ein Vielfaches höher als nur das Dreifache, eher im Bereich von Faktor 30 bis 40. Auch die Swiss Cyber Security Days nennen in diesem Zusammenhang einen konkreten Faktor: In einem Interview mit Nicolas Mayencourt (CEO von Dreamlab Technologies) wird festgehalten, dass Naturkatastrophen 2022 rund 125 Milliarden Dollar Schaden verursachten, während Cyberkriminalität mit 5.000 Milliarden Dollar zu Buche schlug. Ein Cyberangriff sei damit vierzigmal teurer als eine Naturkatastrophe.
Zu beachten ist allerdings, dass derselbe Experte an einer späteren Medienkonferenz der Swiss Cyber Security Days (Anfang 2025) einen abweichenden Faktor nannte: Dort war von weltweit acht Billionen Franken Cyberschaden pro Jahr die Rede, zwanzigmal mehr als alle Naturkatastrophen zusammen. Die genannten Multiplikatoren schwanken also selbst innerhalb derselben Quelle und Konferenzreihe erheblich. Ein weiteres Indiz dafür, dass es sich um Modellschätzungen und nicht um feststehende Fakten handelt.
Die «3x»-Behauptung liegt damit, sollte sie sich überhaupt auf diese Grössenordnungen beziehen, weit unter dem, was selbst die Modellrechnungen der Cyber-Branche selbst hergeben.
Warum der Vergleich hinkt
Äpfel mit Birnen:
Diese beiden Zahlenreihen sind damit methodisch kaum vergleichbar. Fachleute kritisieren zudem an den Hochrechnungen zu Cyberkriminalität, dass sie schwer zu verifizieren sind, da beispielsweise die zugrunde liegende Methodik von Cybersecurity Ventures nicht offengelegt wird.
Realistischere Cyber-Zahlen:
Konservativere Institute und Ökonomen, beispielsweise das CSIS (Center for Strategic and International Studies), das gemeinsam mit McAfee die globalen Cybercrime-Kosten zuletzt auf rund 600 Milliarden US-Dollar bezifferte, oder darauf aufbauende, konservativere Hochrechnungen von Branchenmedien, schätzen die tatsächlich messbaren globalen Schäden durch Cyberkriminalität eher auf 1,2 bis 1,5 Billionen US-Dollar pro Jahr. Gemessen an dieser konservativeren Grössenordnung würde sich der Abstand zu den 250 bis 350 Milliarden US-Dollar an Naturkatastrophenschäden auf einen Faktor von rund 4 bis 6 reduzieren und ist demnach näher an der kursierenden «3x»-Behauptung, aber immer noch nicht deckungsgleich damit.
Für den DACH-Raum liefern die Bitkom-Studien «Wirtschaftsschutz» konkretere, jährlich erhobene Zahlen: Der Gesamtschaden durch Diebstahl, Spionage und Sabotage in Deutschland lag 2024 bei 266,6 Milliarden Euro, davon 178,6 Milliarden Euro durch Cyberkriminalität. Für 2025 wird laut Bitkom sogar ein neuer Höchstwert von rund 289,2 Milliarden Euro pro Jahr ausgewiesen, siehe auch die Pressemitteilung des Bundesamts für Verfassungsschutz zur Vorstellung der Studie.
Gesichert ist zudem die Risikoeinschätzung von Unternehmen selbst. Hier zeigt sich der Trend inzwischen noch deutlicher als 2024: Im aktuellen Allianz Risk Barometer 2026 sind Cyber-Vorfälle bereits zum fünften Mal in Folge das weltweit grösste Unternehmensrisiko, mit dem bisher höchsten gemessenen Wert von 42 Prozent der Nennungen und einem Vorsprung von zehn Prozentpunkten vor dem zweitplatzierten Risiko. Naturkatastrophen fallen im selben Ranking auf Platz 5 zurück, unter anderem wegen einer ruhigeren Hurrikansaison 2025. Bereits im Allianz Risk Barometer 2024 waren Cyber-Vorfälle zum dritten Mal in Folge und erstmals mit deutlichem Abstand das weltweite Hauptrisiko, während Naturkatastrophen von Platz 6 auf Platz 3 aufstiegen. Die «dritte Serie in Folge» aus dem 2024er-Bericht ist vermutlich der eigentliche Ursprung der «3»-Assoziation in der kursierenden Behauptung, bezieht sich dort aber auf eine Platzierungs-Serie über mehrere Jahre, nicht auf einen Schadensfaktor. Mit der aktualisierten 2026er-Zahl (fünfte Serie in Folge) ist dieser Bezug ohnehin überholt.
Situation in der Schweiz
In der Schweiz spiegeln sich diese Tendenzen im Kleinen wider: Unwetterschäden, zum Beispiel durch Überschwemmungen oder Murgänge, verursachen je nach Jahr hunderte Millionen Franken an physischen Schäden. Gleichzeitig sind Ransomware-Vorfälle und Online-Betrug laut dem Bundesamt für Cybersicherheit (BACS) und der Schweizerischen Kriminalprävention zu einem der grössten Risiken für KMU und Verwaltung geworden, da Systemausfälle und Erpressungen teils massive wirtschaftliche Einbussen nach sich ziehen. Eine belastbare, direkt vergleichbare Gesamtschadenssumme für Cyberkriminalität in der Schweiz, die einen Faktorvergleich mit den Unwetterschäden zuliesse, liegt bislang jedoch nicht vor.
Infolge eines Gletscherabbruchs hat am 26. August eine gravierende Flutwelle in Nepal und Tibet mindestens 270 Tote und mehr als 1300 Vermissten hat mit einer riesige Sturzflut im Himalaja viele Menschen und ganze Dörfer mitgerissen. Darunter sind Hunderte vermisste Touristen.
Fakten checken nicht vergessen
Die Behauptung, Cyberkriminalität verursache dreimal mehr Schaden als alle Naturkatastrophen zusammen, konnte in keiner auffindbaren Studie oder keinem Medienbericht mit dieser exakten Formulierung bestätigt werden. Sie basiert offenbar auf einer gängigen, aber unpräzisen Vermischung zweier Dinge: einer Modellschätzung aus der IT-Sicherheitsbranche (10,5 Billionen US-Dollar, Cybersecurity Ventures) und einer Rangplatzierung aus dem Allianz Risk Barometer, die Cyberkriminalität zum dritten Mal in Folge als Hauptrisiko eingestuft hat. Je nachdem, welche Cybercrime-Schätzung man heranzieht, ergibt sich entweder ein deutlich höherer Faktor (30 bis 40, bei den Cybersecurity-Ventures-Zahlen) oder ein deutlich moderaterer (4 bis 6, bei den konservativeren CSIS-Schätzungen). Ein sauberer Faktor drei lässt sich mit keiner der beiden Datengrundlagen belegen. Die Aussage spiegelt damit vor allem Modellannahmen wider und keinen direkten Vergleich gleichwertig gemessener Sachschäden.
Binci Heeb
Lesen Sie auch: Cyber bleibt Top-Risiko für Unternehmen
Suche:
Sponsoren:
