Wie man mit der Geschäftsführung über Cybersecurity spricht

Viele IT-Leiter, CTOs und CISOs kennen die Situation. Du sitzt im Meeting mit der Geschäftsleitung und erklärst, warum eine Investition in Cybersecurity notwendig ist. Du sprichst über Zero Trust, Endpoint Detection, Multi-Faktor-Authentifizierung oder kritische Schwachstellen.

Nach fünf Minuten stellt jemand aus der Geschäftsleitung eine einfache Frage:

„Du, was passiert eigentlich, wenn wir nichts tun?"

Und plötzlich merkst du, dass du die ganze Zeit über die falschen Dinge gesprochen hast. Nicht weil die Geschäftsleitung die Technik nicht versteht, viele verstehen sehr viel davon, andere weniger. Das spielt aber gar nicht so eine grosse Rolle.

Nein. Aber es gibt schon Gründe warum sich die Geschäftsleitung für andere Aspekte interessiert, nicht wegen der Technik. Sondern weil sie eine andere Verantwortung hat.

‍

Das Missverständnis

Einer der häufigsten Fehler in Sicherheitsdiskussionen ist die Annahme, dass alle Beteiligten dieselbe Sicht auf das Thema haben. Haben sie aber nicht.

Die IT betrachtet Cybersecurity durch eine technische Brille.

Die Geschäftsleitung betrachtet sie durch eine geschäftliche.

Das ist völlig normal.

Der CFO denkt über Kosten, Risiken und Investitionen nach. Der CEO denkt über Wachstum, Reputation und strategische Risiken nach. Der Verwaltungsrat denkt über Governance, Haftung und langfristige Stabilität nach.

‍

Die drei Sprachen der Geschäftsführung

Niemand aus der GL wacht morgens auf und fragt sich, ob die Endpoint-Detection-Lösung optimal konfiguriert ist. Sie fragen sich, ob das Unternehmen geschützt ist und welche Folgen ein Sicherheitsvorfall für das Geschäft hätte.

‍

Sicherheit ist kein Selbstzweck

Das ist wahrscheinlich die wichtigste Erkenntnis. Unternehmen investieren nicht in Cybersecurity, weil sie Cybersecurity mögen. Die wenigsten Leute träumen von Sicherheitsgurten im Auto. Sie sind trotzdem nützlich.

Die Geschäftsleitung investiert in Security, weil sie ihr Business schützen will. Eine neue Sicherheitslösung ist deshalb selten das eigentliche Thema. Das eigentliche Thema ist immer das Risiko dahinter. Was wäre wenn? Und wie häufig kommt wenn vor? Und wenn ja, wie schlimm? Wie teuer?

Nehmen wir Ransomware als Beispiel.

Viele Sicherheitsexperten würden sagen:

„Wir benötigen bessere Endpoint Protection und moderne Backup-Lösungen."

Die Geschäftsleitung hört:

„Wir möchten Geld für neue IT-Systeme ausgeben."

Viel wirksamer wäre folgende Formulierung:

„Wenn unsere Produktion für drei Tage stillsteht, kostet uns das mehrere Hunderttausend Franken. Mit dieser Investition reduzieren wir dieses Risiko erheblich."

Plötzlich geht es nicht mehr um Technologie.

Es geht um das Geschäft.

‍

Zahlen helfen – aber nur die richtigen

Viele Sicherheitsverantwortliche liefern der Geschäftsleitung technische Kennzahlen. Die Anzahl der blockierten Angriffe. Die Anzahl der erkannten Schwachstellen, die Anzahl von verdächtigen Logins.

Das Problem ist nicht, dass diese Zahlen falsch wären. Ziemlich oft wird das alles gut erkannt und dargestellt. Das Problem ist, dass sie nur selten auf direkte geschäftliche Auswirkungen hinweisen.

Für die Geschäftsleitung sind nämlich andere Fragen wichtiger:

Wie hoch wäre der Schaden eines erfolgreichen Angriffs?

Wie lange würden kritische Systeme ausfallen?

Welche regulatorischen Konsequenzen drohen?

Gibt es Meldepflichten?

Welche Auswirkungen hätte ein Vorfall auf Kunden und Partner?

Erst wenn technische Kennzahlen mit geschäftlichen Auswirkungen verbunden werden, werden sie relevant.

‍

Risiken greifbar machen

Viele Sicherheitsdiskussionen bleiben erstmal häufig zu abstrakt.

„Es besteht ein erhöhtes Risiko."

„Wir sehen neue Bedrohungen."

„Die Angriffslage verschärft sich."

Das mag alles stimmen, alles ganz wunderbar, aber was bedeutet das jetzt? Nur kann niemand vernünftig entscheiden, wenn Risiken vage bleiben. Deshalb funktionieren konkrete Szenarien immer viel besser.

Zum Beispiel:

„Angenommen, morgen wird unser ERP-System verschlüsselt. Wie lange könnten wir noch arbeiten? Welche Umsätze würden wir verlieren? Welche Kunden wären betroffen?"

Plötzlich entsteht ein klares Bild über die Konsequenzen.

Und über konkrete Situationen kann man deutlich besser sprechen als über abstrakte Wahrscheinlichkeiten.

‍

Die Frage, die alles verändert

In vielen Präsentationen lautet die zentrale Botschaft: „Wir brauchen dieses Budget." Das ist meistens der falsche Ausgangspunkt.

Die interessantere Frage lautet, und damit auch die Frage die erfolgreicher ist : „Welches Risiko akzeptieren wir, wenn wir nicht investieren?"

Das verschiebt die Diskussion, hin zum Konkreten. Plötzlich geht es nicht mehr um die Kosten einer Massnahme. Sondern um die möglichen Kosten des Nichtstuns. Denn wie wir alle aus unserer Erfahrung schon wissen, häufig ist keine Entscheidung treffen teurer als eine zu treffen.

Ein Beispiel:

Ein externer Sicherheitsberater kostet 25'000 Franken pro Jahr. Auf den ersten Blick wirkt das teuer.

Wenn jedoch ein grösserer Sicherheitsvorfall schnell mehrere Hunderttausend Franken kosten kann, verändert sich die Perspektive.

Die Diskussion dreht sich nicht mehr um 25'000 Franken. Sie dreht sich um die Frage, ob das Unternehmen bereit ist, ein deutlich grösseres Risiko zu tragen.

‍

Jede Zielgruppe hört etwas anderes

Ein weiterer Fehler besteht darin, allen Entscheidungsträgern dieselbe Botschaft zu präsentieren. Der CFO interessiert sich in erster Linie für finanzielle Auswirkungen. Der CEO interessiert sich für geschäftliche Risiken und strategische Folgen. Der Verwaltungsrat interessiert sich für Aufsichtspflichten, Compliance und Haftungsfragen.

Das bedeutet nicht, dass man unterschiedliche Wahrheiten erzählen muss. Aber man sollte dieselbe Botschaft unterschiedlich verpacken. Wer sein Gegenüber versteht, wird deutlich häufiger Gehör finden.

‍

Cybersecurity ist eigentlich Risikomanagement

Je länger ich in diesem Bereich arbeite, desto mehr komme ich zu einer einfachen Schlussfolgerung: Die meisten Diskussionen über Cybersecurity sind in Wirklichkeit Diskussionen über Risikomanagement. Die Technologie ist wichtig. Aber sie ist nicht das Ziel. Und vor allem kein Selbstzweck. Sie ist lediglich das Werkzeug. Die eigentliche Aufgabe besteht darin, Risiken zu reduzieren, die das Unternehmen bedrohen könnten.

Sobald man Cybersecurity auf diese Weise betrachtet, verändert sich auch die Diskussion mit der Geschäftsleitung. Dann geht es nicht mehr um Firewalls, EDR oder Multi-Faktor-Authentifizierung. Dann geht es um Geschäftskontinuität.

Um Reputation.

Um Haftung.

Um Umsatz.

Und genau dort sitzt die Geschäftsleitung gedanklich ohnehin bereits.

Wer mit der Geschäftsleitung über Cybersecurity sprechen will, sollte weniger über Technologie und mehr über geschäftliche Auswirkungen sprechen.

Nicht: „Wir brauchen eine neue Sicherheitslösung."

Sondern: „Dieses Risiko könnte uns X kosten. Mit dieser Investition reduzieren wir es erheblich."

Das mag nach einem kleinen Unterschied klingen. In der Praxis entscheidet genau dieser Unterschied oft darüber, ob ein Sicherheitsprojekt bewilligt wird oder nicht.

‍