Führung in der digitalen Bedrohungslage Warum Cyber-Resilienz Chefsache ist

Anbieter zum Thema

Ping Identity Inc.

FAST LTA GmbH

FTAPI Software GmbH

Cyberangriffe sind Alltag und Führungskräfte müssen vorbereitet sein. Wer Cyber-Resilienz zur Chefsache macht, stärkt nicht nur die eigene Unternehmens­sicherheit, sondern bewahrt auch Vertrauen von Kunden, Partnern und Markt.

Datenschutz ist Chefsache, das sollte mittlerweile in den Führungsetagen angekommen sein. Datenverlust kann immer und überall passieren, sei es in Unternehmen, Behörden oder bei Privatpersonen. Das unterstreicht einmal mehr, wie unverzichtbar regelmäßige Backups, gute Cyber-Hygiene und vorausschauende Planung in der heutigen Bedrohungslage sind. Angesichts stetig zunehmender digitaler Gefahren ist Handlungsbedarf nicht nur gegeben, sondern dringend erforderlich.

Leider bleibt trotz gestiegener Aufmerksamkeit ein gefährliches Missverhältnis zwischen theoretischem Problembewusstsein und praktischer Umsetzung bestehen: Laut der aktuellen TÜV Cybersecurity Studie 2025 schreiben zwar 73 Prozent der Unternehmen dem Thema Cybersicherheit eine hohe Priorität zu. Gleichzeitig passen sie ihre technischen Maßnahmen jedoch nicht ausreichend an die tatsächlichen Risiken an.

Der Schutz sensibler Daten muss das ganze Jahr über höchste Priorität haben. Dabei geht es nicht nur um die zunehmende Raffinesse von Cyberangriffen, sondern auch um ein sich ständig veränderndes regulatorisches Umfeld. Ein in Großbritannien geplantes Verbot von Lösegeldzahlungen im öffentlichen Sektor ist beispielsweise ein gut gemeinter Schritt zur Bekämpfung von Cyberkriminalität. Gleichzeitig macht er deutlich, wie entscheidend Eigenverantwortung ist. Auch wenn es staatliche Maßnahmen wie Cyber-Taskforces und nationale Sicherheitsstrategien gibt, beginnt die eigentliche Resilienz in den jeweiligen Organisationen. Dafür sind maßgeschneiderte Notfallpläne erforderlich, die auf die individuellen Risiken, Systeme und Mitarbeitenden abgestimmt sind, um im Ernstfall schnell und gezielt reagieren zu können.

Wie beim menschlichen Organismus erwächst digitale Widerstandskraft aus vielen Einzelkomponenten: Früherkennung, Prävention, strukturierte Response-Pläne und Recovery-Prozesse müssen Hand in Hand gehen. Diese müssen ineinandergreifen, um echte Selbstheilungskraft zu entfalten.

Wege zur digitalen Widerstandskraft

So erreichen Unternehmen Cyber-Resilienz

Was eigentlich hinter dem Verbot von Lösegeldzahlungen steckt

Auf den ersten Blick erscheint das Verbot von Lösegeldzahlungen bei Ransomware-Angriffen logisch: Wenn Cyberkriminelle kein Geld mehr erpressen können, verlieren die Angriffe ihren Reiz – so die Hoffnung. Doch so einfach ist es in der Praxis selten. Insbesondere im öffentlichen Sektor fehlen oft die finanziellen und personellen Ressourcen, um sich aus eigener Kraft von einem Angriff zu erholen. Ein Verbot nimmt Organisationen zwar die Möglichkeit zu zahlen, liefert ihnen aber keine besseren Werkzeuge zur Wiederherstellung ihrer Systeme.

Gerade deshalb sollte dieser politische Kurswechsel als Weckruf verstanden werden. Er macht deutlich, dass rein reaktive Maßnahmen in einer dynamischen Bedrohungslandschaft nicht mehr ausreichen. Führungskräfte müssen aufhören, Cybersicherheit als reine IT-Aufgabe zu betrachten, und Resilienz stattdessen zu einem integralen Bestandteil ihrer Gesamtstrategie machen. Denn auch die regulatorischen Anforderungen wachsen: Mit EU-Richtlinien wie NIS2, dem Cyber Resilience Act oder DORA geraten Unternehmen zunehmend unter Zugzwang, bei ihrer Cyber-Resilienz nicht nur strategisch zu denken, sondern diese auch konkret umzusetzen. Es geht nicht nur darum, kein Lösegeld zu zahlen. Es geht vor allem darum, sicherzustellen, dass der Betrieb selbst im Krisenfall nicht zum Erliegen kommt.

Zwei neue Insolvenzanträge

Cyberattacken treiben deutsche Unternehmen in den Ruin

Resilienz ist eine Strategie, kein Budgetposten

Oft wird Cyber-Resilienz mit hohen Ausgaben oder der Anzahl technischer Schutzlösungen gleichgesetzt. Doch echte Widerstandsfähigkeit misst sich nicht am Budget, sondern an der Denkweise. Die sichersten Organisationen sind nicht zwingend diejenigen mit der neuesten Software, sondern jene, die Risiken strategisch und vorausschauend managen.

Wie Studien zeigen, überschätzen 91 Prozent der Unternehmen ihr eigenes Sicherheitsniveau – eine klassische „optimistische Verzerrung“. Unternehmen, die bislang von Angriffen verschont geblieben sind, wiegen sich häufig in trügerischer Sicherheit. Diese kognitive Verzerrung führt dazu, dass dringend notwendige Investitionen und Prozesse zu lange aufgeschoben werden.

Ransomware-Angriffe gelingen nicht ausschließlich aufgrund besonders raffinierter Methoden der Angreifer. Oft sind es grundlegende organisatorische Versäumnisse, die den Weg bereiten: schwache Passwörter, veraltete Systeme ohne aktuelle Sicherheitsupdates, mangelhafte Zugriffskontrollen oder ungetestete Wiederherstellungspläne.

So zählen Phishing (53 Prozent laut Bitkom), Datenlecks und Ransomware (31 Prozent laut KPMG) zu den häufigsten Angriffsarten – und sind fast immer die Folge organisatorischer Schwächen, nicht technischer Genialität.

Deshalb müssen Führungsteams die richtigen geschäftskritischen Fragen stellen – und zwar bevor etwas passiert: „Was, wenn unsere Systeme morgen ausfallen?“ oder „Wie schnell könnten wir sie wiederherstellen?“ Wenn die Antworten darauf unklar sind, besteht dringender Handlungsbedarf. Backups sollten nicht nur existieren, sondern auch regelmäßig getestet und gesichert werden. Nur so ist gewährleistet, dass Zugriffsrechte klar definiert sind und die Systeme im Ernstfall schnell wieder verfügbar sind – zum Schutz des gesamten Unternehmens.

Die Bedeutung von Kennzahlen für die Cybersicherheit

7 unverzichtbare KPIs für Cyber-Resilienz

Backups sind nur der Anfang – nicht die Lösung

Regelmäßige Datensicherungen sind nach wie vor ein unverzichtbarer Bestandteil jeder Resilienzstrategie. Doch in vielen Organisationen werden Backups eher als lästige Pflicht zur Einhaltung von Vorschriften behandelt, anstatt als entscheidender Rettungsanker im Fall eines schwerwiegenden Sicherheitsvorfalls.

Ein wöchentliches Backup, das dann auch noch im selben Netzwerk gespeichert wird, reicht bei weitem nicht aus. Backups müssen regelmäßig, extern, verschlüsselt und vor allem getestet sein. Denn ein unlesbares oder kompromittiertes Backup ist im Ernstfall genauso nutzlos wie gar keins. Die bewährte 3-2-1-Regel bleibt Goldstandard: drei Kopien der Daten, auf zwei verschiedenen Speichermedien, eine davon offline oder extern gelagert.

Mindestens ebenso wichtig: Recovery-Prozesse müssen eingeübt und dokumentiert sein. Denn Resilienz zeigt sich nicht am Umfang der gesicherten Daten, sondern an der Fähigkeit, sie unter Druck schnell und vollständig wiederherstellen zu können.

Man stelle sich vor: Ein Ransomware-Angriff trifft ein Unternehmen – und gesetzlich ist das Bezahlen des Lösegelds keine Option. Die einzige verbleibende Möglichkeit ist die Wiederherstellung. In diesem Moment entscheidet die Qualität der Vorbereitung über den Fortbestand des Betriebs. Saubere, zugängliche Backups, klar definierte Abläufe und ein eingespieltes Team, das weiß, was zu tun ist – das alles ist kein Zufall. Es ist das Ergebnis vorausschauender Führung, die Resilienz lange vor der Krise zur Priorität gemacht hat.

Wie ging das nochmal mit der Datensicherung?

Backup-Strategien für Security-Spezialisten

Identität und Zugriff neu denken

Wenn wir über Cybersicherheit sprechen, müssen wir ehrlich sein. In den meisten Fällen verschaffen sich Cyberkriminelle nicht über komplexe oder bisher unbekannte Sicherheitslücken Zugang zu Systemen. Stattdessen melden sie sich mit gestohlenen oder wiederverwendeten Zugangsdaten an. Genau deshalb muss Identitätssicherheit im Zentrum jeder ernst gemeinten Sicherheitsstrategie stehen.

Zu den wirksamsten Mitteln, um sensible Systeme zu schützen, zählen Maßnahmen wie Multi-Faktor-Authentifizierung, starke Passwortvorgaben und rollenbasierte Zugriffskontrollen. Sie schaffen zusätzliche Verteidigungsschichten, begrenzen das Ausmaß eines potenziellen Angriffs und stellen sicher, dass nur berechtigte Personen zur richtigen Zeit Zugriff erhalten. Dabei spielt das IAM-System (Identity & Access Management) eine Schlüsselrolle – nicht nur in der Prävention, sondern auch in der aktiven Abwehr. Ohne ein funktionierendes IAM greifen andere Sicherheitsmaßnahmen ins Leere.

All das nutzt jedoch wenig, wenn Angreifer Sicherheitsmaßnahmen umgehen können, indem sie sich als legitime Nutzer ausgeben können. Wer in teure Netzwerküberwachung oder Endpoint-Security investiert, ohne eine grundlegende Identitäts- und Zugriffsverwaltung sicherzustellen, baut auf Sand. Identity & Access Management (IAM) ist heute eine geschäftskritische Infrastruktur und essenziell, um sensible Daten zu schützen und die betriebliche Integrität zu wahren. Es ist Aufgabe der Führungsebene, diese Priorität klar zu setzen und aktiv zu fördern.

SolarWinds IT-Trends-Report 2025

So erkennen IT-Teams ihre wahren Resilienz-Lücken

Cyber-Resilienz als Teil der Unternehmensreputation

Ransomware ist schon lange nicht mehr nur ein IT-Problem, sondern ein Härtetest für die Führungsebene. In einer Krise kommt Hilfe selten schnell genug. Wenn Lösegeldzahlungen keine Option (mehr) sind, liegt die Verantwortung für Reaktion und Wiederherstellung allein bei der Organisation selbst. Deshalb muss Cyber-Resilienz fester Bestandteil der Notfall- und Geschäfts­fortführungs­planung sein und als strategische Priorität behandelt werden – und nicht als technischer Nachgedanke. Die Organisationen, die künftig bestehen werden, sind jene, die nicht nur in Technologie, sondern auch in Menschen investieren. Sie verstehen Backups, Zugriffskontrollen und Schulungen als Enabler und nicht als lästige Pflicht. Und sie erkennen: Cyberrisiken gehen alle an, nicht nur die IT-Abteilung.

Resilienz ist wie Jonglieren mit vielen Bällen: Es reicht nicht, nur an einzelnen Punkten zu optimieren. Der Schlüssel zum Erfolg liegt in der Fähigkeit, ganzheitlich zu denken und mehrere Handlungsstränge parallel sauber zu orchestrieren – von Awareness-Schulungen über technische Absicherung bis hin zu einem klaren Krisenmanagement. Geld allein führt nicht zum Erfolg. Das zeigt auch die Realität: Organisationen mit dem größten IT-Budget sind nicht automatisch am besten geschützt. Entscheidend ist, ob Sicherheits- und Resilienz­themen ganz oben auf der Agenda stehen und ob Prozesse, Zuständigkeiten und Wiederherstellungskonzepte regelmäßig überprüft, getestet und weiterentwickelt werden. Cyber-Resilienz ist deshalb kein Projekt mit Enddatum, sondern eine fortlaufende Führungsaufgabe. Wie bei der Nachhaltigkeit verlangt sie einen kulturellen Wandel: weg vom reinen Compliance-Denken, hin zu echter Risikokompetenz auf allen Ebenen.

Fakten zur Cyber-Resilienz in Unternehmen

So schaffen Unternehmen ganzheitlich mehr Resilienz

Resilienz beginnt mit strategischer Verantwortung

Der größte Fehler ist es, zu glauben, man sei nicht betroffen, oder sich gar darauf zu verlassen, im Ernstfall Hilfe zu bekommen. Denn wenn Cyberangriffe Realität werden, zählt nur noch eines: wie gut eine Organisation vorbereitet ist. Resilienz beginnt im Kopf und entfaltet ihre Wirkung dort, wo Technik, Prozesse und Menschen zusammenspielen. Wer das Thema ernst nimmt, gewinnt nicht nur Sicherheit, sondern auch das Vertrauen von Kunden, Partnern, Mitarbeitenden und letztlich vom Markt. Bei Cyber-Resilienz geht es nicht nur darum, Systeme am Laufen zu halten. Es geht darum, Verantwortung zu übernehmen und Vertrauen zu bewahren, gerade dann, wenn es am meisten zählt.

Über den Autor: Paul Inglis ist Senior Vice President & General Manager, EMEA bei Ping Identity.

Gastkommentar

NIS2 unwichtig? Cyber-Resilienz ist es nicht!

(ID:50548815)