Security richtig steuern
Entscheidungen statt Tools und Maßnahmen
Cyber‑Security entscheidet heute darüber, ob Unternehmen im Krisenfall handlungsfähig bleiben. Dennoch wird Sicherheit häufig als technisches Projekt verstanden. Dieser Beitrag zeigt, warum echte Sicherheit erst dort entsteht, wo Risiken bewusst eingeschätzt und verantwortet werden.
Cyber-Security ist längst kein Randthema mehr
Sie entscheidet darüber, ob Unternehmen im Krisenfall handlungsfähig bleiben – oder ob sie Monate mit Schadensbegrenzung, Rechtsfragen und Reputationsverlust verbringen. Trotzdem wird Sicherheit in vielen Organisationen weiterhin als technisches Umsetzungsproblem behandelt. Tools werden eingeführt, Richtlinien verabschiedet, Audits bestanden. Auf dem Papier ist man „gut aufgestellt“. Die Realität sieht oft anders aus.
Sicherheitsvorfälle treten selten auf, weil es an Technologien fehlt. Sie entstehen, weil Risiken nicht aktiv gesteuert werden: Zuständigkeiten sind unklar, Entscheidungen implizit, Abweichungen folgenlos.
- Die entscheidende Frage lautet daher nicht: Welche Security‑Lösungen setzen wir ein?
- Sondern: Wie treffen wir Entscheidungen über Risiko – und wer trägt dafür Verantwortung?
Wer Security auf Tools reduziert, delegiert Risiko. Wer Security als Entscheidungsarchitektur versteht, behält die Kontrolle.
Compliance ohne Kontrolle ist Selbstberuhigung
Compliance mit Standards schafft Ordnung – aber nicht unbedingt Sicherheit. Standards definieren Mindestanforderungen, beantworten jedoch nicht die zentrale Frage, wer Risiken aktiv steuert. Studien zeigen, dass formale Compliance und reale Sicherheitswirksamkeit nur unzureichend miteinander korrelieren, wenn Compliance nicht in aktive Risikosteuerung übersetzt wird.
Besonders deutlich zeigt sich dies bei Drittparteien und Lieferketten. Ein erheblicher Teil der Sicherheitsvorfälle entsteht durch externe Dienstleister, auch wenn diese formal auditiert und zertifiziert sind. Audits prüfen, ob etwas existiert – nicht, ob es wirkt.
Mit NIS2 verlagert der Gesetzgeber die Verantwortung explizit auf die Geschäftsleitung und den Vorstand. Entscheidend sind nicht Policies, sondern nachvollziehbare Entscheidungen über Risiken, Maßnahmen und Prioritäten.
Risk Ownership: Sicherheit beginnt bei Entscheidungen
Risiken entstehen nicht durch fehlende Maßnahmen, sondern durch fehlende Entscheidungen. In vielen Organisationen sind Risiken bekannt und dokumentiert – doch niemand entscheidet explizit, wie mit ihnen umzugehen ist. Gelebte Risk Ownership bedeutet:
- Geschäftsrisiken liegen bei der Unternehmensleitung
- Produkt‑ und Prozessrisiken bei fachlichen Ownern
- Technische Risiken bei IT und Security – innerhalb klarer Leitplanken
Ohne diese Zuordnung bleibt Sicherheit diffus.
Entscheidungslogik statt Maßnahmenkatalog
Reife Sicherheitsorganisationen folgen einer klaren Logik:
- Risiken werden explizit beschrieben
- Handlungsoptionen transparent gemacht
- Entscheidungen bewusst getroffen
- Umsetzung und Wirkung überprüft
Nicht jede Entscheidung muss maximale Sicherheit bedeuten – aber jede Entscheidung muss bewusst sein.
Warum Tools keine Entscheidungsarchitektur ersetzen
Security‑Tools lösen keine Sicherheitsprobleme. Sie automatisieren Entscheidungen, die zuvor getroffen wurden – oder machen sichtbar, dass sie nie getroffen wurden. Mehr Tools führen häufig zu mehr Komplexität, zu fragmentierter Sichtbarkeit und zu geringerer Steuerungsfähigkeit. Entscheidend ist nicht das Tool selbst, sondern wie es in Governance und Entscheidungsprozesse eingebettet ist.
Tools können Risiken sichtbar machen. Sie können jedoch keine Verantwortung übernehmen.
Was Führungskräfte konkret tun müssen
Security wird dort steuerbar, wo Führung Verantwortung übernimmt:
- Security als Governance‑Thema etablieren
- Entscheidungsrelevante Reports einfordern
- Klare Risk Ownership durchsetzen
- Entscheidungen überprüfbar machen
Steuerung bedeutet nicht ständige Überwachung, sondern bewusste Priorisierung.
Security ist kein IT‑Projekt. Sie ist die Fähigkeit einer Organisation, unter Unsicherheit handlungsfähig zu bleiben. Compliance schafft Ordnung, Tools liefern Sichtbarkeit – wirksam wird Sicherheit erst durch bewusste Entscheidungen. Wir unterstützen Organisationen dabei, Security als Governance‑ und Entscheidungsfrage zu strukturieren – nicht als Tool‑ oder Maßnahmenprojekt. Organisationen, die Risiken aktiv steuern, reagieren nicht nur auf Vorfälle. Sie bleiben handlungsfähig.
Verfasst von
Kai Korla arbeitet bei Arvato Systems GmbH an der Schnittstelle von Cyber‑Security, Governance und Architektur. Er beschäftigt sich insbesondere mit der Frage, wie Sicherheitsrisiken nicht nur dokumentiert, sondern durch klare Ownership und bewusste Entscheidungen aktiv gesteuert werden können.