Irgendwann im Budgetgespräch stellt jemand die Frage, auf die niemand vorbereitet ist: «Was bekommen wir eigentlich für unsere Security-Ausgaben?» Der CFO schaut den IT-Leiter an, der IT-Leiter schaut auf seine Liste mit Lizenzen, und die ehrlichste Antwort im Raum wäre: «Wir wissen es nicht genau.»
Die Frage ist berechtigt. Cyber Security ROI messen zu wollen ist normale Sorgfalt bei einem Budgetposten, der in vielen KMU Jahr für Jahr wächst. Schwierig wird es erst bei den gängigen Antworten auf die Frage: Sie rechnen nicht.
Wir sitzen in solchen Gesprächen regelmässig auf beiden Seiten des Tischs, mal neben dem CFO, mal neben der IT. Deshalb dieser Beitrag: was sich am Wert von Security-Ausgaben ehrlich messen lässt, was Theater ist und womit du morgen anfangen kannst.
Warum die ROI-Formel nicht rechnet
Die Standardantwort der Branche geht so: Man schätzt, wie wahrscheinlich ein Vorfall ist, schätzt, was er kosten würde, multipliziert beides und vergleicht das Ergebnis mit den Kosten der Massnahme. Auf Folien heisst das dann «Risikoreduktion in Franken» und sieht aus wie Betriebswirtschaft.
Schau dir die Zutaten an. Die Eintrittswahrscheinlichkeit ist eine Schätzung, für deinen konkreten Betrieb gibt es dazu keine belastbaren Daten. Die Schadenshöhe ist ebenfalls eine Schätzung, meist aus internationalen Studien, deren Durchschnittswerte mit einem Schweizer KMU wenig zu tun haben. Zwei Schätzungen multipliziert ergeben keine Messung. Sie ergeben eine Zahl mit Kommastellen, die Präzision ausstrahlt, die es nicht gibt.
Dahinter liegt ein grundsätzlicheres Problem: Der «Return» von Security ist der Vorfall, der nicht passiert ist. Der taucht in keiner Buchhaltung auf. Du kannst am Jahresende nicht nachschlagen, wie viele Angriffe deine Firewall verhindert hat und was sie gekostet hätten. Wer dir trotzdem eine präzise Renditezahl präsentiert, will dir in der Regel etwas verkaufen, das mit dieser Zahl begründet wird.
Der ehrlichere Rahmen: Security-Ausgaben sind laufende Kosten dafür, dass dein Risiko in einem Bereich bleibt, den du bewusst akzeptiert hast. Eine Rendite werfen sie dabei genauso wenig ab wie eine Versicherung oder die Bremsen am Auto. Bei der Versicherung fragst du auch nie nach dem ROI. Du fragst, ob die Deckung zu deinem Risiko passt und ob die Prämie marktgerecht ist.
Genau diese beiden Fragen kannst du bei Security stellen. Und beide sind messbar.
Der zweite Irrweg: der Branchenvergleich
Wenn die Renditerechnung nicht funktioniert, greifen viele zum nächstliegenden Ersatz: dem Benchmark. Wie viel Prozent des IT-Budgets geben vergleichbare Firmen für Security aus? Liegt unsere Quote im Branchenschnitt?
Das fühlt sich solide an, beantwortet aber die falsche Frage. Ein Branchenschnitt sagt dir, was andere ausgeben. Er sagt dir nichts darüber, ob diese anderen ihr Geld sinnvoll einsetzen, und noch weniger darüber, ob ihre Risiken deinen ähneln. Ein Treuhänder mit zwanzig Mitarbeitenden und ein Zulieferer mit vernetzter Produktion können identische IT-Budgets haben und trotzdem völlig verschiedene Sicherheitslagen. Wer sich am Schnitt orientiert, kann gleichzeitig zu viel und zu wenig ausgeben: zu viel für Werkzeuge, die sein Risiko nicht treffen, zu wenig für die eine Lücke, die ihn betrifft.
Der Benchmark hat einen legitimen Einsatzzweck: als grobe Plausibilitätsprüfung, ob deine Grössenordnung völlig aus dem Rahmen fällt. Als Steuerungsgrösse taugt er nicht. Die Steuerung braucht den Blick auf deine eigenen Posten und deine eigenen Risiken. Genau dorthin schauen wir jetzt.
Was du stattdessen messen kannst
Wenn der Return nicht messbar ist, verschiebt sich die Frage: weg von «Was bringt es ein?», hin zu «Deckt es das richtige Risiko ab, funktioniert es im Betrieb, und zahlen wir einen vernünftigen Preis dafür?». Das klingt unspektakulärer als eine Renditezahl. Dafür sind die Antworten belastbar.
Drei Ebenen, auf denen sich der Wert deiner Security-Ausgaben beurteilen lässt:
Abdeckung. Jeder Posten auf deiner Security-Kostenliste sollte sich einem benannten Risiko zuordnen lassen. Nicht «Endpoint Protection ist wichtig», sondern: Dieses Tool adressiert das Risiko, dass ein kompromittierter Laptop zur Verschlüsselung der Fileserver führt. In unserer Erfahrung scheitert schon dieser erste Schritt bei einem Teil der Posten, und zwar selten, weil das Risiko fehlen würde. Meistens hat es einfach nie jemand aufgeschrieben. Ein Werkzeug ohne zugeordnetes Risiko ist ein Kandidat für die Streichliste, egal wie gut sein Datenblatt klingt.
Betrieb. Ein Tool, das niemand betreibt, hat einen Wert von null, bei vollen Kosten. Die Prüffragen sind einfach: Ist es fertig konfiguriert oder läuft es in der Standardeinstellung? Schaut jemand die Alerts an, und was ist beim letzten echten Alert passiert? Wann wurde die Wiederherstellung aus dem Backup zuletzt getestet, nicht das Backup selbst, die Wiederherstellung? Diese Antworten sind binär und sofort überprüfbar. Sie sagen mehr über deine Sicherheitslage aus als jede Rendite-Folie. Der Klassiker aus unseren Assessments: ein Monitoring-Werkzeug, dessen Meldungen seit Monaten in ein Postfach laufen, das niemand mehr liest. Auf dem Papier war die Firma überwacht. Im Betrieb war sie es nicht, und bezahlt hat sie trotzdem.
Preis. Erst auf der dritten Ebene wird gerechnet, und zwar mit echten Zahlen: Gesamtkosten pro Jahr inklusive Lizenzen, Betrieb und Dienstleister, verteilt auf die abgedeckten Risiken. Dazu die Frage nach Doppelungen: Wie viele deiner Werkzeuge tun dasselbe? Drei Produkte mit überlappenden Funktionen bedeuten dreifache Kosten für einfachen Schutz. Wie du solche Überlappungen systematisch findest, haben wir im Beitrag zu Sicherheitstools konsolidieren beschrieben.
Die Gegenprobe gehört ebenfalls zur Messung: Gibt es Risiken, die dir wichtig sind und auf die kein einziger Posten einzahlt? In unserer Erfahrung ist das häufigste Beispiel die Wiederherstellung nach einem Totalausfall. Viel Geld fliesst in die Abwehr, aber ob der Betrieb nach einer Verschlüsselung in drei Tagen oder in drei Wochen wieder läuft, hat nie jemand geprüft. Eine Lücke an dieser Stelle ist wichtiger als jede Optimierung bei den bestehenden Werkzeugen.
Wer diese drei Ebenen plus die Gegenprobe sauber beantworten kann, hat den Wert seiner Security-Ausgaben gemessen. Ohne eine einzige geschätzte Eintrittswahrscheinlichkeit.
Die Ein-Stunden-Übung für dein nächstes Budgetgespräch
Du brauchst dafür kein Projekt und keinen Berater. Du brauchst deine Security-Kostenliste und eine Stunde.
Nimm die fünf grössten Posten. Für jeden beantwortest du drei Fragen, schriftlich, in je einem Satz:
- Welches konkrete Risiko deckt dieser Posten ab?
- Wer betreibt ihn, und woran würden wir merken, dass er funktioniert?
- Was würde passieren, wenn wir ihn auf Ende Jahr kündigen?
In unserer Erfahrung gibt es bei ein bis zwei von fünf Posten keine klare Antwort auf mindestens eine der drei Fragen. Aufregen musst du dich darüber nicht. Es ist ein Befund, mit dem sich arbeiten lässt. Ein Posten ohne benanntes Risiko gehört auf den Prüfstand. Ein Posten ohne Betrieb gehört entweder betrieben oder gekündigt. Und bei der Kündigungsfrage zeigt sich oft, dass niemand die Konsequenz benennen kann, was meistens heisst: Es gäbe keine.
Das Ergebnis dieser Stunde ist genau das Dokument, das im Budgetgespräch gefehlt hat. Statt einer Renditefantasie legst du eine Tabelle vor: Posten, Risiko, Betriebsstatus, Jahreskosten. Der CFO bekommt eine Antwort in seiner Sprache, und du bekommst etwas Wertvolleres als ein grösseres Budget: die Glaubwürdigkeit, dass jeder Franken auf der Liste einen benannten Zweck hat. Wohin freiwerdendes Geld sinnvoll fliesst, haben wir im Beitrag zum Security-Budget richtig verteilen aufgeschrieben.
Falls die Übung bei dir mehr offene Antworten produziert als erwartet: Das ist der Normalfall. Security-Stacks wachsen über Jahre, jede Anschaffung hatte damals einen Grund, und niemand hat den Auftrag, regelmässig rückwärts zu prüfen. Deshalb gehört diese Prüfung für uns an den Anfang jeder Budgetdiskussion, noch vor die Frage, ob das Budget wachsen oder schrumpfen soll. Mehr dazu, warum die Dimensionierung vor der Aufstockung kommt, findest du unter IT-Sicherheit richtig dimensionieren.
Der ROI, den es doch gibt
Eine Renditezahl für Security bleibt Theater. Zwei Dinge kannst du am Jahresende trotzdem schwarz auf weiss zeigen.
Erstens die Kosten, die weg sind: gekündigte Doppelungen, gestrichene Werkzeuge ohne Risiko, reduzierte Lizenzstufen. Das ist echtes Geld statt einer vermiedenen Hypothese. In unserer Erfahrung deckt dieser Teil die Kosten der Aufräumarbeit regelmässig mehr als ab. Einer unserer Kunden hat seine Security-Ausgaben nach genau so einer Prüfung um rund einen Drittel gekürzt und stand danach besser da als vorher, weil die verbleibenden Werkzeuge endlich fertig konfiguriert und betrieben wurden. Weniger Posten, dafür jeder davon ernst genommen.
Zweitens die belegte Sorgfalt: eine Liste, auf der jeder Security-Posten einem Risiko zugeordnet ist, mit Betriebsstatus und Kosten. Falls je ein Versicherer, ein Grosskunde oder im Ernstfall ein Gericht fragt, wie dein Unternehmen seine Sicherheitsausgaben steuert, ist diese Liste die Antwort.
Wenn du die Ein-Stunden-Übung gemacht hast und die Ergebnisse einordnen willst, sprich uns an. Ein Erstgespräch ist unverbindlich, und oft reicht es schon, um die Streichliste von der Prüfliste zu trennen.
Uns interessiert dabei eine Sache besonders: Bei welchem deiner fünf grössten Security-Posten konntest du die Kündigungsfrage nicht beantworten?
