Warum wirksame Informationssicherheit Geschäftstätigkeit ermöglichen muss, statt sie zu behindern.
Informationssicherheit hat in vielen Unternehmen ein Akzeptanzproblem. Sicherheitsverantwortliche verlangen zusätzliche Freigaben, schränken technische Möglichkeiten ein oder stellen Anforderungen, deren betrieblicher Nutzen für die betroffenen Fachbereiche nicht immer nachvollziehbar ist. Auf der anderen Seite stehen Fachabteilungen, die unter Wettbewerbsdruck neue Produkte entwickeln, Dienstleistungen erbringen und ihre Prozesse effizient gestalten müssen.
Aus diesem Spannungsverhältnis entsteht mitunter ein Verständnis von Informationssicherheit, das ihrer eigentlichen Aufgabe nicht gerecht wird.
Sicherheit darf kein Stein im Schuh sein. Sie muss ermöglichen, nicht blockieren.
Informationssicherheit soll Unternehmen befähigen, ihre geschäftlichen Ziele unter beherrschbaren Risiken zu erreichen. Sie schützt die Voraussetzungen für wirtschaftlichen Erfolg, stärkt das Vertrauen von Kunden und Partnern und trägt dazu bei, auch unter schwierigen Bedingungen handlungsfähig zu bleiben.
Ihr strategischer Wert ergibt sich deshalb nicht allein aus der Verhinderung von Cyberangriffen oder der Erfüllung regulatorischer Anforderungen. Entscheidend ist ihr Beitrag zur unternehmerischen Resilienz.
Allerdings erfordert dies ein anderes Verständnis von Sicherheitsmanagement. Nicht die möglichst umfassende Kontrolle aller geschäftlichen Aktivitäten sollte im Mittelpunkt stehen, sondern der angemessene Schutz der Wertschöpfung.
Informationssicherheit muss das Geschäft verstehen
Unternehmerische Resilienz beschreibt die Fähigkeit einer Organisation, auf Veränderungen und Störungen zu reagieren, wesentliche Geschäftsleistungen aufrechtzuerhalten und sich nach schwerwiegenden Ereignissen wieder zu stabilisieren.
Informationssicherheit ist hierfür ein wichtiger Baustein. Sie schützt die Vertraulichkeit, Integrität und Verfügbarkeit von Informationen und den Systemen, mit denen diese verarbeitet werden.
Ihre Bedeutung ist jedoch nicht in jedem Unternehmen und für jeden Geschäftsprozess identisch.
Für einen Industriebetrieb kann die Verfügbarkeit seiner Produktionssteuerung von existenzieller Bedeutung sein. Bei einer Forschungseinrichtung steht möglicherweise der Schutz sensibler Entwicklungsinformationen im Vordergrund. Für einen Finanzdienstleister sind die Integrität von Transaktionsdaten und die Verfügbarkeit digitaler Dienstleistungen besonders kritisch.
Eine wirksame Sicherheitsstrategie muss diese Unterschiede berücksichtigen.
Dazu gehört, zunächst die Geschäftsmodelle, betrieblichen Abläufe und strategischen Ziele des Unternehmens zu verstehen. Welche Leistungen schaffen den wirtschaftlichen Wert? Welche Informationen sind dafür unverzichtbar? Welche Abhängigkeiten bestehen? Welche Störungen könnten die Leistungserbringung ernsthaft gefährden?
Erst auf dieser Grundlage lässt sich beurteilen, welche Sicherheitsmaßnahmen tatsächlich erforderlich und angemessen sind.
Der BSI-Standard 200-2 stellt diesen Zusammenhang ausdrücklich her. Demnach muss sich die Informationssicherheitsstrategie an den Geschäftszielen beziehungsweise den Aufgaben einer Organisation orientieren. Auch das NIST Cybersecurity Framework 2.0 verankert die Unternehmensziele, die Risikobereitschaft und die Anforderungen relevanter Interessengruppen im Cybersecurity-Risikomanagement. [1][2]
Informationssicherheit ist damit keine isolierte technische Disziplin. Sie ist Bestandteil der Unternehmenssteuerung.
Daraus ergibt sich auch ein Anspruch an die Sicherheitsverantwortlichen selbst: Wer über Risiken eines Geschäftsprozesses urteilen möchte, muss dessen Funktionsweise und wirtschaftliche Bedeutung verstehen.
Sicherheit als Ermöglicher statt als Kontrollinstanz
In der betrieblichen Praxis wird Informationssicherheit häufig erst dann einbezogen, wenn Projekte bereits weitgehend geplant sind. Ein neuer Cloudservice soll eingeführt, eine Anwendung produktiv geschaltet oder ein externer Dienstleister angebunden werden. Die Sicherheitsabteilung prüft das Vorhaben und formuliert zusätzliche Anforderungen.
Werden dabei grundlegende Probleme festgestellt, entstehen Verzögerungen, Mehrkosten und Konflikte. Für die Fachbereiche erscheint Informationssicherheit dann als Hindernis.
Die Ursachen liegen allerdings häufig weniger in den Sicherheitsanforderungen selbst als in ihrer organisatorischen Einbindung.
Sicherheit, die erst am Ende eines Projekts geprüft wird, muss zwangsläufig häufiger korrigierend eingreifen. Werden Sicherheitsanforderungen dagegen frühzeitig berücksichtigt, lassen sich tragfähige Lösungen meist mit erheblich geringerem Aufwand entwickeln.
Das Prinzip Security by Design verfolgt genau diesen Ansatz. Risiken werden bereits während der Entwicklung und Gestaltung von Produkten, Dienstleistungen und Prozessen berücksichtigt. Die ENISA hat hierzu im Juli 2026 einen praxisorientierten Leitfaden veröffentlicht, der Sicherheitsmaßnahmen unmittelbar in bestehende Entwicklungs-, Produkt- und Freigabeprozesse integriert. [3]
Der Nutzen reicht über die Vermeidung späterer Nacharbeiten hinaus.
Ein Unternehmen, das sichere technische Standards bereitstellt, ermöglicht seinen Fachbereichen eine schnellere und eigenständigere Umsetzung neuer Anforderungen. Bereits freigegebene Cloudarchitekturen, standardisierte Identitätslösungen, klar definierte Schnittstellen und nachvollziehbare Vorgaben reduzieren den Abstimmungsaufwand.
Ein neuer digitaler Geschäftsprozess muss dann nicht jedes Mal bei null beginnen.
Informationssicherheit kann damit selbst zum Beschleuniger werden.
Ein Beispiel ist die Einführung eines cloudbasierten Dienstes durch einen Fachbereich. Ein pauschales Verbot mag aus Sicht der Sicherheitsorganisation zunächst die einfachste Lösung darstellen. Es verhindert jedoch unter Umständen eine sinnvolle Verbesserung des Geschäftsprozesses und begünstigt die Entstehung unkontrollierter Schatten-IT.
Ein risikoorientierter Ansatz prüft dagegen, welche Daten verarbeitet werden, welche Anforderungen an Vertraulichkeit und Verfügbarkeit bestehen und welche technischen oder vertraglichen Schutzmaßnahmen erforderlich sind.
Möglicherweise lässt sich der Dienst über eine zentrale Identitätsverwaltung, geeignete Zugriffsbeschränkungen, vertraglich zugesicherte Sicherheitsleistungen und definierte Datenexportmöglichkeiten sicher betreiben.
Das geschäftliche Ziel bleibt erreichbar, während die Risiken kontrolliert werden.
Gute Informationssicherheit stellt deshalb nicht nur fest, was problematisch ist. Sie entwickelt Lösungen, unter welchen Bedingungen ein Vorhaben verantwortbar umgesetzt werden kann.
Das bedeutet keineswegs, dass jede geschäftliche Anforderung erfüllt werden muss. Es gibt Risiken, die aufgrund ihrer möglichen Folgen oder rechtlicher Vorgaben nicht akzeptabel sind. In solchen Fällen muss Informationssicherheit auch Grenzen setzen.
Der Unterschied liegt in der Herangehensweise. Ein Verbot sollte das Ergebnis einer nachvollziehbaren Bewertung sein, nicht die Standardantwort auf eine neue Anforderung.
Die Gefahr einer Sicherheit, die sich selbst im Weg steht
Übermäßig restriktive Sicherheitsmaßnahmen können ihrerseits zu betrieblichen Risiken werden.
Komplizierte Freigabeverfahren, schwer verständliche Richtlinien und technische Einschränkungen, die nicht zur tatsächlichen Arbeitssituation passen, erzeugen Reibungsverluste. Mitarbeiter suchen nach Umgehungsmöglichkeiten, Fachbereiche beschaffen eigene Lösungen oder Prozesse werden außerhalb der vorgesehenen Systeme durchgeführt.
Ausgerechnet Maßnahmen, die Risiken reduzieren sollen, können dadurch neue Schwachstellen schaffen.
Besonders kritisch wird dies, wenn Sicherheitsanforderungen die Fähigkeit eines Unternehmens beeinträchtigen, zeitgerecht auf Veränderungen zu reagieren.
Ein Industriebetrieb kann beispielsweise nicht jede Produktionsanlage kurzfristig außer Betrieb nehmen, sobald eine neue Schwachstelle bekannt wird. Eine solche Forderung mag aus einer isolierten technischen Betrachtung nachvollziehbar erscheinen. Ihre Umsetzung kann jedoch erhebliche Auswirkungen auf Lieferverpflichtungen, Anlagensicherheit und Produktionsprozesse haben.
Eine angemessene Risikobehandlung muss deshalb Alternativen berücksichtigen: Netzwerksegmentierung, zusätzliche Überwachung, eingeschränkte Zugriffe, kompensierende Schutzmaßnahmen oder ein kontrolliertes Wartungsfenster.
Dabei sind Grenzen einzuhalten. Kompensierende Maßnahmen sind nur geeignet, wenn sie das konkrete Risiko ausreichend reduzieren. Die Verschiebung eines Sicherheitsupdates darf nicht zur unbegrenzten Duldung einer bekannten Schwachstelle werden.
Auch eine formal dokumentierte Risikoakzeptanz macht aus einem unvertretbaren Risiko kein vertretbares.
Die Aufgabe eines professionellen Informationssicherheitsmanagements besteht darin, solche Zielkonflikte transparent zu machen und gemeinsam mit den zuständigen Geschäftsverantwortlichen geeignete Entscheidungen vorzubereiten.
Dafür benötigt die Organisation klare Kriterien, definierte Verantwortlichkeiten und einen abgestimmten Umgang mit Restrisiken. Die Entscheidung über wirtschaftlich erhebliche Risiken darf nicht allein bei einer technischen Fachfunktion liegen.
Ein Sicherheitsmanagement, das ausschließlich maximale Restriktion anstrebt, verfehlt diesen Anspruch ebenso wie eines, das aus Rücksicht auf das Geschäft notwendige Schutzmaßnahmen unterlässt.
Die Qualität zeigt sich in der Fähigkeit, zwischen beiden Extremen angemessen zu entscheiden.
Wenn Informationssicherheitsrisiken zur Unternehmenskrise werden
Wie unmittelbar digitale Abhängigkeiten die unternehmerische Handlungsfähigkeit beeinflussen, zeigen mehrere schwerwiegende Vorfälle der vergangenen Jahre.
Im September 2025 musste Jaguar Land Rover nach einem Cyberangriff wesentliche IT-Systeme abschalten. Die Fahrzeugproduktion wurde über mehrere Wochen beeinträchtigt, ebenso Vertrieb, Logistik und die Zusammenarbeit mit Lieferanten.
Für das zweite Quartal des Geschäftsjahres 2025/26 wies der Konzern außerordentliche cyberbezogene Kosten von 196 Millionen britischen Pfund aus. Weitere wirtschaftliche Auswirkungen entstanden durch Produktionsunterbrechungen und die damit verbundenen Absatz- und Liquiditätseffekte. [4]
Das Beispiel verdeutlicht, dass ein Cybervorfall nicht auf seinen technischen Ausgangspunkt begrenzt bleibt. Seine wirtschaftlichen Folgen ergeben sich häufig erst aus den Abhängigkeiten zwischen Systemen, Menschen, Geschäftsprozessen und externen Partnern.
Der weltweite IT-Ausfall infolge eines fehlerhaften CrowdStrike-Updates im Juli 2024 zeigte eine andere Dimension derselben Problematik. Nach Schätzungen von Microsoft waren rund 8,5 Millionen Windows-Geräte betroffen. Obwohl dies weniger als ein Prozent aller Windows-Systeme entsprach, entstanden erhebliche Störungen in kritischen Dienstleistungen und international vernetzten Geschäftsprozessen. [5]
Hier lag die Ursache nicht in einem erfolgreichen Cyberangriff, sondern in einem fehlerhaften Update einer Sicherheitslösung.
Beide Fälle führen zu einer wichtigen Erkenntnis: Die Auswirkungen einer Störung sind nicht allein von der betroffenen Technik abhängig, sondern von ihrer Bedeutung für die Geschäftstätigkeit und von den vorhandenen Möglichkeiten zur Fortführung oder Wiederherstellung der Leistungen.
Aus Sicht der unternehmerischen Resilienz muss die Frage deshalb weiter reichen als die klassische Betrachtung technischer Sicherheitsrisiken.
Es geht darum, welche Leistungen bei einer Störung ausfallen, wie lange die Organisation dies verkraften kann und welche Alternativen verfügbar sind.
Die ENISA bestätigt in ihrem Threat Landscape 2026 die Bedeutung wachsender digitaler Abhängigkeiten. Die Vernetzung digitaler Ökosysteme vergrößert Angriffsflächen und kann die Auswirkungen von Cybervorfällen verstärken. Ransomware gehört weiterhin zu den Bedrohungen mit besonders schwerwiegenden kurzfristigen Folgen. [6]
Informationssicherheit und Business Continuity Management gehören zusammen
Eine besonders wichtige Schnittstelle besteht zwischen Informationssicherheit und Business Continuity Management.
Während das Informationssicherheitsmanagement Risiken für Informationen und deren Verarbeitung betrachtet, konzentriert sich das BCM auf die Auswirkungen von Unterbrechungen und die Aufrechterhaltung zeitkritischer Geschäftsprozesse.
Beide Perspektiven ergänzen sich, sind aber nicht austauschbar.
Ein Unternehmen kann über ein gut etabliertes Informationssicherheitsmanagementsystem verfügen und trotzdem erhebliche Schwierigkeiten haben, nach einem schwerwiegenden Cyberangriff seine Geschäftstätigkeit wiederaufzunehmen.
Umgekehrt kann ein BCM zwar Wiederanlaufverfahren definieren, bei der Planung jedoch von technischen Voraussetzungen ausgehen, die nach einem Cyberangriff nicht mehr gegeben sind.
Ein Backup ist beispielsweise nur dann eine belastbare Wiederherstellungsvorsorge, wenn die Daten ausreichend geschützt, vertrauenswürdig und innerhalb der betrieblich erforderlichen Zeit wiederherstellbar sind.
Die Business-Impact-Analyse bildet eine wesentliche Grundlage, um diese Anforderungen zu bestimmen. Sie untersucht die Auswirkungen von Prozessunterbrechungen, identifiziert kritische Abhängigkeiten und ermittelt zeitliche sowie qualitative Anforderungen an die Wiederaufnahme der Geschäftstätigkeit.
Die daraus abgeleiteten Vorgaben müssen in die IT-Notfallvorsorge und die Informationssicherheit einfließen.
Wenn ein kritischer Geschäftsprozess spätestens nach wenigen Stunden wieder funktionsfähig sein muss, reicht es nicht, lediglich die Verfügbarkeit eines einzelnen Servers sicherzustellen. Auch Identitätsdienste, Kommunikationsverbindungen, Datenbestände, Anwendungen und benötigte externe Dienstleistungen müssen berücksichtigt werden.
Das IT Service Continuity Management übersetzt solche geschäftlichen Anforderungen in geeignete technische Wiederherstellungsstrategien.
Umgekehrt muss das BCM realistische Cyberangriffsszenarien berücksichtigen. Bei einer Ransomware-Kompromittierung können gleichzeitig Produktivsysteme, administrative Zugänge, Datensicherungen und Kommunikationswege betroffen sein.
Die Wiederherstellung muss in diesem Fall nicht nur schnell, sondern vor allem kontrolliert und sicher erfolgen.
Das NIST Cybersecurity Framework 2.0 verknüpft entsprechende Fähigkeiten über die Funktionen Govern, Identify, Protect, Detect, Respond und Recover. Der Incident-Response-Leitfaden NIST SP 800-61 Revision 3 aus dem Jahr 2025 ordnet die Bewältigung von Cybervorfällen ausdrücklich in das übergreifende Cybersecurity-Risikomanagement ein. [2][7]
Ein resilientes Unternehmen benötigt deshalb mehr als technische Schutzmaßnahmen. Es muss in der Lage sein, Vorfälle zu erkennen, Schäden einzugrenzen, unter eingeschränkten Bedingungen weiterzuarbeiten und einen sicheren Regelbetrieb wiederherzustellen.
Dafür sind gemeinsam entwickelte und regelmäßig erprobte Verfahren erforderlich.
Der CISO als Partner der Unternehmensführung
Mit dem Anspruch, Sicherheit als Ermöglicher zu gestalten, verändert sich auch die Rolle des Chief Information Security Officer.
Ein CISO, der vor allem Richtlinien erlässt, Freigaben kontrolliert und technische Maßnahmen überwacht, nimmt nur einen Teil seiner möglichen Verantwortung wahr.
Für einen wirksamen Beitrag zur unternehmerischen Resilienz benötigt er ein belastbares Verständnis des Geschäftsmodells, der wirtschaftlichen Risiken und der strategischen Ausrichtung seines Unternehmens.
Dazu gehört die Fähigkeit, Sicherheitsrisiken in geschäftliche Konsequenzen zu übersetzen.
Die Aussage, dass eine kritische Schwachstelle in einer zentralen Anwendung existiert, ist für die Unternehmensführung wichtig. Noch hilfreicher ist die Bewertung, welche Geschäftsleistungen betroffen sein könnten, welche wirtschaftlichen Auswirkungen ein Ausfall hätte und welche Handlungsoptionen bestehen.
Sicherheitsverantwortliche müssen in der Lage sein, technische Risiken in ihrer betrieblichen Relevanz einzuordnen und Prioritäten mit den Fachbereichen abzustimmen.
Das erfordert einen regelmäßigen Austausch mit Geschäftsleitung, IT, Produktion, Einkauf, Personalbereich, Recht, Compliance und den Verantwortlichen für BCM und Krisenmanagement.
Der CISO wird dadurch zum Berater der Unternehmensführung und zum Partner der operativen Geschäftsbereiche.
Seine Aufgabe ist es nicht, jede unternehmerische Entscheidung selbst zu treffen. Er schafft die fachliche Grundlage dafür, dass die Verantwortlichen Risiken verstehen und bewusst steuern können.
Entscheidend ist außerdem, dass Informationssicherheit bereits bei strategischen Veränderungen berücksichtigt wird. Unternehmensübernahmen, neue digitale Geschäftsmodelle, internationale Expansion oder die Auslagerung wichtiger Leistungen verändern die Risikolage häufig erheblich.
Wer Sicherheit erst nach einer solchen Entscheidung einbindet, muss bestehende Strukturen unter Umständen mit großem Aufwand nachträglich absichern.
Eine frühzeitige Beteiligung ermöglicht dagegen, Sicherheitsanforderungen als Bestandteil einer wirtschaftlich tragfähigen Lösung zu berücksichtigen.
Regulatorik verlangt Angemessenheit, nicht maximale Einschränkung
Die europäische und deutsche Regulierung stärkt die Verknüpfung von Informationssicherheit, betrieblicher Widerstandsfähigkeit und Geschäftsleitungsverantwortung.
Das seit dem 6. Dezember 2025 geltende BSI-Gesetz verpflichtet die erfassten besonders wichtigen und wichtigen Einrichtungen gemäß § 30 BSIG zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen.
Der Gesetzgeber verlangt ausdrücklich, bei der Bewertung der Verhältnismäßigkeit unter anderem die Risikoexposition, die Größe des Unternehmens, die Umsetzungskosten und die möglichen wirtschaftlichen sowie gesellschaftlichen Auswirkungen von Sicherheitsvorfällen zu berücksichtigen.
Zu den Risikomanagementmaßnahmen gehören auch die Bewältigung von Sicherheitsvorfällen, die Aufrechterhaltung des Betriebs, die Wiederherstellung und das Krisenmanagement. Nach § 38 BSIG bestehen entsprechende Umsetzungs-, Überwachungs- und Schulungspflichten der Geschäftsleitungen, soweit die gesetzlichen Vorschriften auf die jeweilige Einrichtung anwendbar sind. [8]
Damit ist die Risikoorientierung nicht nur eine Frage guter Managementpraxis. Sie ist ausdrücklich Bestandteil der regulatorischen Anforderungen.
DORA verfolgt für den Finanzsektor einen vergleichbaren Ansatz, indem die digitale operationelle Resilienz und der Umgang mit IKT-Risiken in den Mittelpunkt gestellt werden.
Das seit März 2026 geltende KRITIS-Dachgesetz erweitert die Perspektive insbesondere um die physische Resilienz kritischer Anlagen. Für die Konkretisierung zahlreicher Betreiberpflichten sind allerdings noch ergänzende Rechtsverordnungen erforderlich. [9]
Die regulatorischen Entwicklungen führen zu einer stärkeren Integration verschiedener Sicherheits- und Resilienzdisziplinen.
Sie rechtfertigen jedoch keinen pauschalen Aufbau immer umfangreicherer bürokratischer Strukturen.
Ein wirksames Managementsystem sollte vorhandene Prozesse nutzen, Doppelarbeiten vermeiden und Anforderungen so umsetzen, dass sie zum tatsächlichen Risikoprofil der Organisation passen.
Die Umsetzung einer Norm oder gesetzlichen Vorgabe ist erst dann betrieblich wertvoll, wenn sie die Organisation nachweisbar sicherer und widerstandsfähiger macht.
Sicherheit an ihrer Wirkung messen
Auch die Erfolgsmessung der Informationssicherheit muss sich an diesem Anspruch orientieren.
Die Anzahl geschlossener Schwachstellen, absolvierte Schulungen, Auditabweichungen oder der Umsetzungsgrad technischer Maßnahmen bleiben wichtige Kennzahlen. Für sich genommen sagen sie allerdings wenig darüber aus, wie gut Informationssicherheit die Geschäftstätigkeit unterstützt.
Ein Unternehmen kann eine hohe Anzahl technischer Kontrollen implementiert haben und dennoch nicht in der Lage sein, einen kritischen Geschäftsprozess rechtzeitig wiederherzustellen.
Ebenso kann eine aufwendige Sicherheitsfreigabe zwar formal vollständig dokumentiert sein, gleichzeitig aber zu erheblichen Projektverzögerungen führen, ohne das tatsächliche Risiko entsprechend zu reduzieren.
Eine umfassendere Bewertung muss deshalb mehrere Fragen berücksichtigen.
Wie gut schützt die Informationssicherheit die geschäftskritischen Prozesse? Können wesentliche Leistungen auch während schwerwiegender IT-Störungen aufrechterhalten werden? Werden definierte Wiederanlaufzeiten in Übungen tatsächlich erreicht? Wie wirksam sind die eingerichteten Schutzmaßnahmen bei realistischen Angriffsszenarien?
Gleichzeitig ist zu betrachten, welchen Aufwand Sicherheitsmaßnahmen verursachen und wie sie sich auf betriebliche Abläufe auswirken.
Wie schnell können neue Anwendungen unter Einhaltung der Sicherheitsanforderungen eingeführt werden? Wie häufig entstehen Ausnahmen von den regulären Sicherheitsprozessen? Welche Anforderungen verursachen regelmäßig Verzögerungen oder werden von Mitarbeitern umgangen?
Solche Indikatoren helfen, die Angemessenheit und praktische Wirksamkeit des Sicherheitsmanagements zu beurteilen.
Eine zunehmende Anzahl von Ausnahmegenehmigungen kann beispielsweise darauf hindeuten, dass vorhandene Standards nicht mehr zur betrieblichen Realität passen. Sie kann aber ebenso auf eine unzureichende Sicherheitskultur oder neue Risikolagen hinweisen. Entscheidend ist deshalb die Analyse der Ursachen.
Ziel ist nicht, Sicherheit möglichst kostengünstig zu gestalten. Es geht darum, vorhandene Ressourcen so einzusetzen, dass sie einen möglichst hohen Beitrag zum Schutz der Wertschöpfung leisten.
Resilienz braucht Sicherheit, die sich am Unternehmen orientiert
Unternehmerische Resilienz entsteht nicht allein durch Informationssicherheit. Sie erfordert das abgestimmte Zusammenwirken von Informationssicherheitsmanagement, Business Continuity Management, IT Service Continuity Management, Krisenmanagement und operativer Unternehmensführung.
Informationssicherheit übernimmt darin eine wesentliche Rolle. Sie schützt die Informationen und digitalen Fähigkeiten, auf denen Geschäftsprozesse beruhen, reduziert die Wahrscheinlichkeit schwerwiegender Störungen und unterstützt ihre kontrollierte Bewältigung.
Damit sie diese Aufgabe erfüllen kann, muss sie die wirtschaftliche Realität des Unternehmens berücksichtigen.
Eine Sicherheitsorganisation, die vorwiegend Verbote ausspricht, ohne praktikable Alternativen anzubieten, wird auf Dauer weder die notwendige Akzeptanz noch die erforderliche Wirksamkeit erreichen.
Genauso wenig ist einem Unternehmen geholfen, wenn Sicherheitsanforderungen aus Gründen der Geschwindigkeit oder Bequemlichkeit systematisch zurückgestellt werden.
Der Anspruch muss sein, geschäftliche Anforderungen und notwendige Schutzmaßnahmen frühzeitig zusammenzuführen. Sicherheitsverantwortliche müssen Risiken verständlich machen, angemessene Lösungen entwickeln und dort klare Grenzen setzen, wo die Handlungsfähigkeit oder die Existenz des Unternehmens gefährdet wäre.
Dafür braucht es fachliche Kompetenz, betriebswirtschaftliches Verständnis und eine enge Zusammenarbeit mit den operativen Verantwortlichen.
Sicherheit darf kein Stein im Schuh sein. Sie soll dem Unternehmen ermöglichen, sich sicher zu bewegen – auch dann, wenn die Bedingungen schwieriger werden.
Die Qualität der Informationssicherheit zeigt sich letztlich nicht daran, wie viele Aktivitäten sie verhindert, sondern daran, wie wirksam sie die geschäftlichen Möglichkeiten eines Unternehmens schützt und erweitert.
Quellen und weiterführende Fachgrundlagen
Recherchestand: 11. November 2026
- Bundesamt für Sicherheit in der Informationstechnik: BSI-Standard 200-2 – IT-Grundschutz-Methodik. Grundlagen eines an Geschäftszielen ausgerichteten Informationssicherheitsmanagements.
- National Institute of Standards and Technology (2024): The NIST Cybersecurity Framework 2.0. Integration von Unternehmenszielen, Risikomanagement und Cybersecurity.
- European Union Agency for Cybersecurity (30.07.2026): ENISA Secure by Design and Default Playbook. Praktische Integration von Informationssicherheit in Entwicklungs- und Geschäftsprozesse.
- Jaguar Land Rover (14.11.2025): JLR Performance Impacted in Challenging Quarter. Wirtschaftliche Auswirkungen des Cybervorfalls vom September 2025.
- Microsoft (20.07.2024): Helping Our Customers Through the CrowdStrike Outage. Analyse der weltweiten Auswirkungen eines fehlerhaften Sicherheitsupdates.
- ENISA (22.09.2026): ENISA Threat Landscape 2026. Europäische Cyberbedrohungslage und digitale Abhängigkeiten.
- NIST (03.04.2025): SP 800-61 Revision 3 – Incident Response Recommendations and Considerations. Integration von Incident Response in das unternehmensweite Cybersecurity-Risikomanagement. Ergänzend: BSI-Standard 200-4 – Business Continuity Management.
- Bundesministerium der Justiz und für Verbraucherschutz: § 30 BSIG – Risikomanagementmaßnahmen und § 38 BSIG – Pflichten der Geschäftsleitungen.
- Bundesamt für Bevölkerungsschutz und Katastrophenhilfe: FAQ zum KRITIS-Dachgesetz. Ergänzend: Europäische Kommission – Digital Operational Resilience Act.
