Resilienz durch Führung, Kultur und realem Lernen Resilienz entsteht aus Kultur, tech­ni­schem Rahmen und gelebter Praxis

Resilienz ist mehr als bestandenes Audit: Studien belegen, dass engagierte Mitarbeitende Vorfälle deutlich reduzieren. Führung muss psychologische Sicherheit schaffen, realitätsnahe Lernformate verankern und einen klaren Rahmen wie das NIST CSF mit DORA/NIS2 verzahnen. Erst wenn Technik, Kultur und Prozesse zusammenspielen, wird Sicherheit gelebte Praxis.

Spätestens seitdem Unternehmen die Anforderungen von DORA und NIS2 umsetzen müssen, ist Resilienz keine Kür mehr, sondern eine harte Geschäftsanforderung. Doch ein bestandenes Audit bedeutet nicht gleich Sicherheit und Resilienz entsteht nicht im Prüfbericht, sondern im täglichen Verhalten von Menschen. Studien zeigen, dass rund 74 Prozent der Sicherheitsvorfälle einen menschlichen Anteil haben. Weniger bekannt ist die Tatsache, dass die Anzahl an Cybervorfällen um ein Drittel sinkt, wenn Mitarbeitende beim Thema IT-Sicherheit engagiert sind. Wie das gelingt? Mit dem richtigen Führungsansatz. Geschäftsführung und Vorstand müssen Cybersecurity als einen ihrer elementaren Aufgabenbereiche erfassen: klare Governance, risikobasierte Entscheidungen – und vor allem eine sichtbare, regelmäßige Kommunikation aus der Führungsetage zum Thema Cybersecurity.

Wo Führung psychologische Sicherheit schafft, und eine positive Fehlerkultur vorlebt, verändert sich Verhalten schnell. Vorfälle werden gemeldet statt vertuscht, Fehler analysiert statt bestraft und Verbesserungen zügig umgesetzt.

Keine Fehlerkultur ist auch keine Lösung

So geht konstruktive Fehlerkultur in der Cybersicherheit

Kontinuierliches Lernen statt Blaming

Wichtig ist dabei, Mitarbeitenden echte Lernerlebnisse zu bieten. Trockene und wenig interaktive Schulungen bringen erfahrungsgemäß kaum Effekte, Weiterentwicklung passiert in der Realität. Unternehmen müssen Angriffe unangekündigt und realitätsnah simulieren und danach gemeinsam ohne Blaming debriefen: Warum wurde geklickt? Welche Signale wurden übersehen? Was hat gut funktioniert? Rollenbasiertes Training ist dabei Pflicht: HR, Vertrieb, Produktion – jede Domäne hat andere Risiken und braucht andere Szenarien. Kontinuität ist entscheidend: Regelmäßige Micro-Learnings, Monatsupdates und C‑Level-Botschaften halten das Thema präsent.

Ein Rahmen, der Kultur stützt – statt sie zu ersetzen

Damit Trainings nachhaltige Verbesserungen erzeugen, braucht es zudem einen strukturellen Rahmen, über den sich Erkenntnisse in die tägliche Praxis integrieren lassen. Das NIST Cybersecurity Framework bietet genau das: Es ist ein umfassender Leitfaden, der Anforderungen definiert und die Umsetzung sowie Skalierung von Sicherheitsmaßnahmen erleichtert. Breit anerkannt und flexibel lässt es sich nahtlos auf europäische Vorgaben wie DORA, NIS2 oder die KI‑Verordnung anwenden. Als „Betriebssystem“ für Cyberresilienz hilft es, Ressourcen gezielt auf die größten Angriffsflächen zu lenken und Risiken ganzheitlich zu betrachten – physisch, personell, prozedural und technisch. Denn Bedrohung ist nicht gleich Risiko. Hohe Werte im Common Vulnerability Scoring System (CVSS) sind ohne Kontext wenig aussagekräftig; anerkannte Schwachstellen-Referenzlisten (etwa OWASP Top 10, MITRE/CWE Top 25) bieten hier etwa sinnvolle Orientierungshilfen im eigenen Asset- und Business-Kontext.

IT-Awards 2025

Die beliebtesten Anbieter von Security-Awareness-Trainings 2025

Auf technischer und operativer Ebene gilt zudem: Silos aufbrechen. In modernen Sicherheitslandschaften ist es entscheidend, dass Pen-Tests, DevSecOps, Vulnerability Management und SOC (Security Operations Center) nicht isoliert arbeiten, sondern ihre Erkenntnisse wie Incidents behandeln – mit klarer Verantwortlichkeit, Fristen und Wirksamkeitskontrolle. Moderne Security-Plattformen fungieren hier als zentrale Drehscheibe für diese Sicherheitsdaten. Ein zentrales System für Sicherheitsinformationen und Ereignismanagement (SIEM) beziehungsweise eine Plattform für erweiterte Erkennung und Reaktion (XDR) ermöglicht es, Daten aus verschiedenen Quellen zu sammeln, zu korrelieren und ein umfassendes Bild der Sicherheitslage zu schaffen. Durch den Einsatz von KI und maschinellem Lernen lässt sich die Triage und Anomalieerkennung beschleunigen, sodass Cybersecurity-Analysten aus Hunderten von Signalen die wenigen kritischen herausfiltern können. Technologie liefert also die notwendigen Signale, während die Unternehmenskultur diese in proaktives Handeln umsetzt.

Awareness und Sicherheitskultur im Fokus

Der Mensch als größte Sicherheitslücke und stärkste Verteidigung

Fazit: Resilienzkultur jetzt etablieren

Eine stabile Resilienzkultur entsteht top-down: Führung, die psychologische Sicherheit schafft, realitätsnahes Lernen forciert und ein übergreifendes Framework bereitstellt. Ein Unternehmen, das aus einem Angriff lernt, seine Sicherheitsmaßnahmen verbessert und die Fehlerkultur stärkt, wird nicht nur widerstandsfähiger, sondern auch agiler und innovativer. Denn Mitarbeiter bringen sich dann mit großer Wahrscheinlichkeit auf weiteren Ebenen mehr ein. Es gilt: Compliance bleibt wichtig, aber Resilienz ist gelebte Praxis. Die stärkste Verteidigung ist eine Kultur, die Irrtümer zulässt und Erkenntnisse festhält. Sie macht Menschen handlungsfähig, Prozesse beweglich und das Unternehmen damit resilienter, als es jede zusätzliche Kontrolle vermag.

Über die Autorin: Suzy Button ist EMEA Field CTO bei Elastic.

(ID:50661426)