Das KPI-Paradox: Viele Zahlen, wenig Steuerung Fünf Security-KPIs, die der Vorstand wirklich braucht

Security-Teams messen heute mehr als je zuvor. Patch-Quoten, blockierte E-Mails, Awareness-Trainings – die Dashboards sind voll. Doch wenn der Vor­stand fragt, ob das Unternehmen ausreichend geschützt ist, können die meisten CISOs das mit ihren KPIs nicht belastbar beantworten. Denn klassische Metriken messen Fleiß, nicht Wirksamkeit.

Der Denkfehler ist simpel: Klassische Security-KPIs zählen Arbeit, nicht Wirksamkeit. 500 kri­ti­sche Schwachstellen geschlossen – das klingt beeindruckend, sagt aber nichts darüber, ob die geschäftskritischen Systeme dadurch tatsächlich besser geschützt sind. 95 Prozent Awareness-Trainingsquote belegt Teilnahme, aber nicht, ob sich das Verhalten der Mit­ar­bei­ten­den verändert hat.

Das Ergebnis: Der Vorstand nickt, aber steuert nicht. Security-Reporting wird zur Pflichtübung ohne Steuerungswirkung – ein Zustand, den sich kein Unternehmen leisten kann, wenn Cyberangriffe zu den größten Geschäftsrisiken zählen.

Die Bedeutung von Kennzahlen für die Cybersicherheit

7 unverzichtbare KPIs für Cyber-Resilienz

Warum klassische KPIs versagen

Die typischen Security-Metriken haben ein strukturelles Problem: Sie messen Inputs statt Outcomes. Ein Board-Deck voller Input-KPIs beantwortet bestenfalls die Frage, was die Security-Abteilung tut – aber nicht die entscheidende Frage: Wirkt es?

Typische Schwächen klassischer KPIs:

• Volumenmetriken: Die Anzahl blockierter Angriffe sagt nichts über die Qualität der Abwehr oder über das, was durchkommt.

• Abdeckungsmetriken: Eine Patch-Quote von 97 Prozent verschleiert, dass die fehlenden 3 Prozent genau die geschäftskritischsten Systeme betreffen könnten.

• Aktivitätsmetriken: 12 Penetration Tests durchgeführt zeigt Aktivität, aber nicht, ob die gefundenen Schwachstellen auch behoben wurden.

• Rückblickende Metriken: Quartalsweise Incident-Zahlen zeigen die Vergangenheit, nicht die aktuelle Reaktionsfähigkeit.

Was steuerungsrelevante KPIs ausmacht

Ein KPI gehört nur dann ins Board-Deck, wenn eine Veränderung dieser Kennzahl eine andere Management- oder Investitionsentscheidung auslösen würde. Alles andere ist operatives Monitoring – nützlich für das Security-Team, aber nicht für die Vorstandsebene.

Steuerungsrelevante KPIs haben drei Eigenschaften gemeinsam:

• Geschäftsbezug: Sie sind direkt mit geschäftskritischen Services oder Prozessen verknüpft, nicht mit technischen Teilsystemen.

• Wirksamkeitsmessung: Sie zeigen, ob Schutzmaßnahmen tatsächlich funktionieren – nicht nur, ob sie existieren.

• Entscheidungsrelevanz: Sie machen klar, wo der Vorstand handeln, investieren oder Risiko bewusst akzeptieren muss.

Compliance ohne Vollzeit-CISO und teure Zertifizierung

Minimum Viable Security für KMU: Schutz mit minimalen Ressourcen

Fünf KPIs, die jedes Board-Deck braucht

Statt fünfzig Kennzahlen braucht ein wirksames Board-Reporting eine Handvoll steuerungsrelevanter Metriken. Die folgenden fünf Fragen – und die daraus abgeleiteten KPIs – bilden das Fundament:

• 1. Risikoexposition kritischer Services
  Welche geschäftskritischen Dienste liegen aktuell außerhalb der definierten Risikotoleranz? Diese Kennzahl zeigt dem Vorstand auf einen Blick, wo das größte Geschäftsrisiko besteht – gemessen an der tatsächlichen Bedrohungslage, nicht an der Anzahl offener Tickets.

• 2. Validierte Angriffspfade ohne Kontrolle
  Wie viele realistische Angriffspfade auf kritische Dienste existieren, für die keine kompensierende Kontrolle implementiert ist? Dieser KPI macht die tatsächliche Angriffsfläche sichtbar und zwingt zur Priorisierung.

• 3. Business-Continuity-Testabdeckung
  Für wie viele kritische Services wurden Backup-, Recovery- und Continuity-Pläne nicht nur erstellt, sondern tatsächlich getestet? Die Differenz zwischen geplant und getestet ist einer der aussagekräftigsten Indikatoren für reale Resilienz.

• 4. Incident-Response-Fähigkeit (MTTC)
  Wie lange braucht das Unternehmen im Durchschnitt, um einen Sicherheitsvorfall einzudämmen (Mean Time to Contain)? Ergänzt durch die Frage: Könnte das Unternehmen in realistischen Szenarien die gesetzlichen Meldefristen einhalten?

• 5. Supply-Chain-Risikoabdeckung
  Welcher Anteil der kritischen Drittanbieter und Lieferketten ist in das Risikomanagement einbezogen? Angesichts der Tatsache, dass ein großer Teil erfolgreicher Angriffe über Zulieferer und Partner erfolgt, ist diese Kennzahl unverzichtbar.

Warum das auch wirtschaftlich zählt

Dass bessere Security-KPIs nicht nur eine Governance-Frage sind, zeigen aktuelle Zahlen. Der Verizon Data Breach Investigations Report 2025 wertet 22.052 reale Sicherheitsvorfälle und 12.195 bestätigte Datenpannen aus 139 Ländern aus – die höchste Zahl je analysierter Breaches. IBM beziffert die durchschnittlichen globalen Kosten einer Datenpanne 2025 auf 4,44 Millionen US-Dollar; in den USA erreichten die Kosten mit 10,22 Millionen US-Dollar ein Allzeithoch. Zugleich involvierten 16 Prozent aller Breaches bereits KI-gestützte Angriffsmethoden.

Verizon Data Breach Investigations Report 2025

Ransomware ist zur Plage geworden

Ein Vorstand, der nur auf Aktivitätszahlen schaut, kann weder den wirtschaftlichen Ernst der Lage einschätzen noch die richtigen Investitionsentscheidungen treffen. Steuerungsrelevante KPIs sind deshalb nicht optional, sondern eine betriebswirtschaftliche Notwendigkeit.

Weniger Metriken, mehr Wirkung

Die eigentliche Aufgabe von Security-Board-Reporting ist nicht Vollständigkeit, sondern Entscheidungsfähigkeit. Ein gutes Deck zeigt auf einer Seite:

• Wo die größten Cyber-Risiken für das Geschäft liegen

• Wie weit die Schutzmaßnahmen tatsächlich umgesetzt und getestet sind

• Welche Melde- und Krisenfähigkeit vorhanden ist

• Wo konkrete Entscheidungen des Vorstands gebraucht werden

IBM Cost of a Data Breach Report 2025

Kosten von Datenlecks sinken in Deutschland erstmals seit 5 Jahren

Der Maßstab für jede Kennzahl im Board-Deck sollte sein: Würde sich aus einer Veränderung dieser Kennzahl eine andere Management- oder Investitionsentscheidung ergeben? Wenn nein, gehört sie ins operative Monitoring – nicht ins Board-Reporting. Die europäische NIS2-Richtlinie (EU) 2022/2555 unterstreicht diesen Anspruch: Leitungsorgane müssen Cyber-Risikomaßnahmen billigen und deren Umsetzung überwachen – was ohne steuerungsrelevante KPIs kaum möglich ist.

Unternehmen, die diesen Schritt gehen, gewinnen nicht nur bessere Dashboards, sondern eine fundamental andere Qualität der Zusammenarbeit zwischen Security und Vorstand: Weniger Metriken, mehr Steuerungsrelevanz, echte Entscheidungsfähigkeit.

Über den Autor

Marcel Küppers vereint, mit über 20 Jahren Erfahrung im Bereich Cybersicherheit, tiefgehende technische Expertise mit umfassender Führungs- und Managementpraxis. Nach seinem Informatikstudium mit dem Schwerpunkt IT-Sicherheit war er in zahlreichen Rollen tätig – vom Ethical Hacker bis zum Chief Information Security Officer (CISO) – und begleitete Unternehmen unterschiedlicher Branchen und Größen bei der Umsetzung nachhaltiger Sicherheitsstrategien. Heute ist er als Unternehmer, Berater und Gründer von Cycademy tätig. Dort spezialisiert er sich auf die Vermittlung praxisnaher Cybersecurity-Kompetenzen sowie die Weiterbildung von Fach- und Führungskräften.

Persönliche Haftung verändert Risikokultur in Unternehmen

Schwachstelle Governance: Wo die NIS2-Umsetzung wirklich scheitert

(ID:50814900)