In der ersten Woche eines neuen CISO-Mandats passiert fast immer dasselbe: Jemand zeigt uns stolz das Sicherheits-Dashboard, gerne auf dem grossen Bildschirm im IT-Büro. Virenscanner grün, Backup grün, die Firewall auch. Die Botschaft dahinter ist klar, hier ist alles unter Kontrolle.
Dann stellen wir drei Fragen. Welches sind eure fünf grössten Risiken, schriftlich? Wer hat entschieden, dass der Fernzugriff des Wartungspartners so bleiben darf? Und wann hat die Geschäftsleitung zuletzt einen Sicherheitsbericht gesehen, den sie auch verstanden hat?
In unserer Erfahrung folgt dann meistens Schweigen. Kein verlegenes Schweigen von Leuten, die schlecht arbeiten, die Technik ist häufig ordentlich aufgesetzt. Es hat schlicht niemand die Aufgaben auf dem Tisch, um die es in diesen Fragen geht.
Diese Lücke beschreibt die CISO Aufgaben im KMU genauer als jede Stellenanzeige. Was der Rolle ihren Wert gibt, sind Entscheidungsaufgaben. Viele Firmen suchen dafür einen Techniker und merken erst später, dass sie jemanden gebraucht hätten, der Verantwortung organisiert.
Was in der Stellenanzeige steht
Lies eine typische CISO-Stellenanzeige und du bekommst eine Einkaufsliste: SIEM-Erfahrung, Penetration Testing, Firewall-Management, Cloud Security, dazu am liebsten noch drei Zertifizierungen. Das klingt nach einem Superhelden mit Admin-Rechten.
In unserer Erfahrung beschreibt so eine Liste den Alltag eines Security Engineers. Ein guter Beruf, bloss ein anderer. Die Verwechslung kostet im schlechtesten Fall ein Jahresgehalt für eine Funktion, die das eigentliche Problem gar nie anfasst. Wir haben die beiden Rollen im Beitrag zum CISO und IT-Sicherheitsbeauftragten auseinandergenommen.
Der Alltag eines CISO spielt sich woanders ab: in Sitzungen, Dokumenten und Gesprächen mit Menschen, die an diesem Tag eigentlich keine Lust auf Sicherheit haben. Der Produktionsleiter will seine Anlage am Laufen halten. Die Finanzchefin will wissen, wofür sie schon wieder zahlen soll. Der Lehrling im Verkauf hat auf einen Link geklickt und traut sich kaum, es zu melden. Mit diesen Menschen arbeitet ein CISO, und zwar deutlich mehr als mit Logfiles. Das klingt unspektakulär, und das ist es auch. Dieser Teil schützt.
CISO Aufgaben im Alltag: eine typische Woche
Nimm eine typische Mandatswoche in einem produzierenden KMU. Keine einzige Stunde davon geht in ein Tool.
Am Montag liefert die IT zwölf offene Punkte aus dem letzten Schwachstellenscan. Budget und Zeit reichen für vier. Jetzt braucht es jemanden, der entscheidet, welche vier zuerst kommen, und der begründen kann, warum die übrigen acht warten dürfen. Priorisieren heisst hier auch, bewusst etwas liegen zu lassen und das schriftlich festzuhalten. Falls später jemand wissen will, warum Punkt sieben offen blieb, gibt es eine Antwort mit Datum und Begründung.
Am Dienstag steht eine Entscheidung der Geschäftsleitung an. Der Maschinenlieferant will seinen Fernzugriff behalten, die IT wehrt sich, der Produktionsleiter braucht den Support. Der CISO schreibt die Vorlage dazu: das Risiko in Geschäftssprache, die Kosten der sicheren Variante, eine Empfehlung. Entscheiden muss die Geschäftsleitung selber. Der Wert der Rolle liegt darin, dass die Frage überhaupt entscheidbar auf dem Tisch liegt, statt als Dauerkonflikt zwischen zwei Abteilungen weiterzuschwelen.
Am Mittwoch geht es um Verantwortlichkeiten. Wer sperrt Zugänge, wenn jemand austritt, und innert welcher Frist? Bisher lautete die Antwort "die IT, irgendwann". Neu steht sie in einem Prozess mit Namen und Frist. Technisch ist daran gar nichts anspruchsvoll. Es hatte vorher nur niemand aufgeschrieben. Solche Lücken finden wir in fast jedem Mandat, unabhängig von Branche und Grösse.
Am Donnerstag liegen Verträge auf dem Tisch. Der neue Lohnbuchhaltungs-Anbieter will Personendaten in seine Cloud nehmen. Der CISO liest dafür keinen Quellcode. Er prüft, ob geregelt ist, wo die Daten liegen, wer bei einem Vorfall wen innert welcher Zeit informiert und wie man aus dem Vertrag wieder herauskommt. Ein überraschend grosser Teil der Sicherheitslage eines KMU steht in Verträgen.
Am Freitag geht eine Seite an die Geschäftsleitung: wo wir stehen, was sich seit letztem Monat verändert hat, welche Entscheidung als nächste ansteht. Ohne Tool-Vokabular, ohne 40 Folien. Diese eine Seite hat ein zweites Leben. Sie belegt später, dass die Führung informiert war und gehandelt hat. Bei Haftungsfragen im Verwaltungsrat wiegt solche Dokumentation schwer.
Dazwischen liegt die Aufgabe, die in keinem Wochenplan auftaucht und trotzdem am meisten bewirkt: den Ernstfall vorbereiten. Wen rufen wir zuerst an? Wer darf entscheiden, dass Systeme vom Netz gehen, auch am Samstagabend, wenn die Geschäftsführerin in den Ferien ist? Wer redet mit den Kunden, während drinnen aufgeräumt wird? Und wo liegt die Liste mit den Notfallnummern, wenn das Intranet gerade verschlüsselt ist? Zwei Stunden im Jahr, in denen ein Vorfall am Tisch durchgespielt wird, bewirken hier mehr als das nächste Produkt im Regal. Das ist keine glamouröse Arbeit. Im Ernstfall ist sie der Unterschied zwischen einem gesteuerten Mittwoch und einer chaotischen Woche.
Was nicht auf die Liste gehört
Mindestens so aufschlussreich ist der Teil, der fehlt. Firewalls konfigurieren, Endpoints patchen, Tickets abarbeiten, Server betreiben: alles davon ist Betrieb. Betrieb ist wichtig, jemand muss ihn machen, und in vielen KMU macht ihn die IT ordentlich. Wenn die Sicherheitsverantwortung aber vollständig im Tagesgeschäft der IT aufgeht, schaut am Ende niemand, ob das Ganze noch in die richtige Richtung läuft.
Es gibt einen einfachen Test, ob diese Trennung bei euch existiert: Wann hat zuletzt jemand Nein gesagt zu einem Security-Kauf? Ein funktionierender CISO sagt regelmässig Nein. Nein zum Tool, weil das Risiko dahinter klein ist. Gelegentlich auch Nein zu einer Richtlinie, die ausser dem Auditor niemandem dient. In unserer Erfahrung fliesst bei vielen KMU genug Geld in die Sicherheit, ein Teil davon einfach an Stellen, die wenig schützen. Eine besetzte CISO-Rolle senkt die Ausgaben deshalb öfter, als sie sie erhöht.
Falls du gerade abwägst, ob es die Rolle bei euch überhaupt braucht: Den ehrlichen Selbsttest dazu findest du im Beitrag Brauche ich einen CISO?
Woran du merkst, dass die Rolle leer ist
Von aussen ist schwer zu erkennen, ob die Entscheidungsaufgaben bei jemandem liegen oder nur die Technik betreut wird. Auf dem Organigramm steht ja meistens irgendwo "Informationssicherheit". Fünf Muster sehen wir immer wieder, wenn die Aufgaben auf dem Papier verteilt sind und trotzdem niemand sie trägt.
Das Sicherheitsbudget folgt dem Kalender der Lieferanten. Gekauft und verlängert wird, wenn die Renewal-Mail kommt. Eine Risikoüberlegung dahinter findet sich selten.
Die Risikoliste existiert als Gefühl. Frag drei Personen nach den grössten Risiken des Unternehmens und du bekommst drei verschiedene Antworten, alle aus dem Bauch.
Der Verwaltungsrat fragt nach der Sicherheitslage und bekommt eine Produktliste als Antwort. Tool-Namen ersetzen die Aussage, wie es um das Unternehmen steht.
Bei einem Vorfall entscheidet, wer gerade erreichbar ist. Ohne vorbereitete Zuständigkeiten übernimmt im Ernstfall die lauteste Stimme im Raum.
Und die Frage nach dem akzeptierten Restrisiko löst Ratlosigkeit aus. Jedes Unternehmen trägt Restrisiken, das ist normal und auch vernünftig. Der Unterschied liegt darin, ob jemand sie kennt, benannt hat und dazu stehen kann, oder ob sie einfach da sind, bis eines davon eintritt.
Jedes dieser Muster wirkt für sich harmlos. Zusammen zeigen sie ein Unternehmen, in dem Sicherheit zwar vorhanden ist, aber niemand sie führt.
Wie viel davon braucht ein KMU?
Alle Aufgaben oben skalieren mit der Grösse des Unternehmens, sie verschwinden aber nie ganz. Auch ein Betrieb mit 80 Leuten braucht jemanden, der Risiken priorisiert, Entscheidungen vorbereitet und der Führung berichtet. Eine Vollzeitstelle braucht er dafür kaum.
In den meisten unserer Mandate reichen ein bis vier Tage pro Monat, sobald die Grundlagen einmal stehen. Der Aufwand konzentriert sich am Anfang. Die ersten rund 90 Tage gehen in eine Bestandesaufnahme: Welche Risiken bestehen, wer trägt heute wofür Verantwortung, welche Verträge und Zugänge existieren überhaupt. Daraus entstehen die erste priorisierte Risikoliste und ein fester Berichtsrhythmus an die Geschäftsleitung; die Verantwortlichkeiten bekommen Namen. Danach bleibt Pflege und Entscheidungsarbeit, und das Pensum sinkt spürbar. Was das in Franken bedeutet, haben wir im Beitrag Was kostet ein CISO in der Schweiz? aufgeschlüsselt.
Wichtiger als das Pensum ist der Zuschnitt. Eine Rolle, die der Einkaufsliste aus der Stellenanzeige folgt, produziert vor allem Beschäftigung. Der Zuschnitt entlang der Entscheidungsaufgaben führt woanders hin: zu Klarheit darüber, was das Unternehmen schützt und was es sich sparen kann.
Wenn du wissen willst, wie die Rolle in deinem Unternehmen aussehen würde, mit welchem Pensum und welchem Zuschnitt, dann sprich mit uns. Ein Erstgespräch ist unverbindlich, und oft reicht schon das, um die Lücke deutlich zu sehen.
Wer entscheidet bei euch?
Zurück zum grünen Dashboard aus der ersten Woche. Die Technik dahinter war übrigens in Ordnung, installieren liess sich dort nichts mehr, was die Lage verbessert hätte. Gefehlt hat eine Person, die aus vielen grünen Lämpchen eine begründete Richtung macht. Das ist, auf einen Satz eingedampft, die Antwort auf die Frage nach den CISO Aufgaben im KMU.
Und damit zur Frage, die uns ehrlich interessiert: Wer beantwortet bei euch heute, welches Risiko ihr bewusst tragt?
