Die Frage kommt selten aus dem Nichts. Meistens stand am Morgen etwas in der Zeitung: ein Betrieb in der Region, die Produktion steht, Ransomware, die Details bleiben vage. Und irgendwann zwischen Traktandum drei und vier dreht sich der Geschäftsführer zum IT-Leiter und fragt: «Wie sicher sind wir eigentlich?»
Dann kommt diese Pause.
Wir haben die Szene in vielen Varianten erlebt, und die Antwort ist fast immer eine Version von «eigentlich gut aufgestellt». Manchmal folgt ein Verweis auf die Firewall, manchmal auf das Backup. Der Geschäftsführer nickt, das nächste Traktandum kommt, und beide sind erleichtert, dass es weitergeht. Die Pause davor war der ehrlichste Teil der Antwort.
«Wie sicher ist mein Unternehmen?» gehört zu den vernünftigsten Fragen, die eine Geschäftsleitung stellen kann. Sie hat nur einen Haken: So, wie sie gestellt wird, lässt sie sich nicht beantworten. Es gibt keinen Messwert dafür. Wer trotzdem eine einfache Antwort bekommt, sollte genauer hinhören. Meistens will ihm gerade jemand etwas verkaufen.
Warum «gut aufgestellt» nichts beantwortet
Die Antwort des IT-Leiters ist kein Zeichen von Inkompetenz. Er sagt etwas Wahres: Die Systeme laufen, die bekannten Massnahmen sind umgesetzt, es brennt nirgends. Das beantwortet allerdings eine andere Frage, nämlich «funktioniert unsere IT?». Sicherheit beschreibt deinen Zustand gegenüber jemandem, der sich nicht an deine Annahmen hält. Über den sagt «bei uns läuft alles» nichts aus.
Dazu kommt die Rollenverteilung in diesem Gespräch. Der IT-Leiter wird gefragt, wie gut er seine eigene Arbeit gemacht hat, vor versammelter Geschäftsleitung. Welche Antwort erwartest du? Selbst der ehrlichste Mensch in dieser Position wird die Lücken vorsichtiger formulieren, als sie sind. Das ist kein Charakterfehler, die Frage geht strukturell schlicht an die falsche Adresse.
Die zweite Abkürzung ist verlockender, weil sie nach Präzision aussieht: die Zahl. Es gibt eine ganze Industrie, die dir «Wie sicher ist mein Unternehmen?» mit einem Score beantwortet: 87 von 100, Rating B+, ein Dashboard voller grüner Kacheln. Solche Bewertungen tauchen inzwischen überall auf: Cyber-Versicherer stützen sich bei der Prämienberechnung darauf, Enterprise-Kunden lassen ihre Lieferanten damit durchleuchten, und irgendwann landet so ein Report auch unaufgefordert in deinem Postfach, mit einer Note drauf und einem Angebot daneben.
Diese Werte messen, was sich von aussen automatisiert abfragen lässt: Zertifikate, offene Ports, bekannte Schwachstellen auf öffentlichen Systemen, verdächtige Einträge in einschlägigen Datenbanken. Das ist ein schmaler Ausschnitt deiner Angriffsfläche. Ob dein Admin-Konto einen zweiten Faktor hat, ob dein Backup je zurückgespielt wurde, ob die Buchhaltung bei einer ungewohnten Zahlungsanweisung nachfragt: davon sieht der Score nichts. Er sieht deine Fassade, und aus der Fassade schliesst er auf das Haus.
Nützlich sind solche Ratings als Frühwarnung für vergessene Systeme im Internet. Als Antwort auf die Frage der Geschäftsleitung taugen sie nicht, und genau als das werden sie verkauft.
Bleibt die dritte Abkürzung: den eigenen IT-Dienstleister fragen. Auch hier lohnt sich ein Blick auf die Anreize. Ein Dienstleister, der von euren Lizenzen und Betriebsstunden lebt, beantwortet «Wie sicher sind wir?» in unserer Erfahrung selten mit «ihr habt zu viel gekauft». Die Antwort ist häufiger eine Liste dessen, was noch fehlt, und die Liste endet in einer Offerte. Das muss keine böse Absicht sein. Wer Werkzeuge verkauft, sieht Probleme, die nach Werkzeugen aussehen. Das Ergebnis ist dann eine Einkaufsliste, und die Frage, ob das Vorhandene richtig eingesetzt und sauber konfiguriert ist, stellt die Liste nicht.
Alle drei Abkürzungen haben denselben Effekt: Eine Antwort, welche die Frage scheinbar beantwortet, richtet mehr Schaden an als gar keine. Sie beendet das Gespräch. Der Verwaltungsrat notiert die 87, das Traktandum gilt als erledigt, und die Fragen, auf die es angekommen wäre, wurden nie gestellt.
Die vier Fragen, die sich beantworten lassen
Die gute Nachricht: Die grosse Frage zerfällt in vier kleine, und jede davon hat eine überprüfbare Antwort. Keine davon braucht technisches Vorwissen. Alle vier gehören in die Geschäftsleitung, und keine davon lässt sich mit einem Nicken erledigen.
Was ist bei uns erreichbar, und wofür sind wir brauchbar? Das ist die Inventarfrage. Welche Systeme sind vom Internet aus zugänglich, welche Konten haben weitreichende Rechte, welche Fernzugänge existieren für Lieferanten und Dienstleister? Und dahinter die unbequemere Hälfte: Wofür wären wir für einen Angreifer interessant? Geld überweisen kann bei euch jemand. Kundendaten liegen irgendwo. Vielleicht seid ihr vor allem als Weg zu einem grösseren Kunden brauchbar, als das schwächste Glied in einer Lieferkette, die jemand anderes im Visier hat. In unserer Erfahrung enthält das erste ehrliche Inventar regelmässig Überraschungen: die Fernwartung des Maschinenlieferanten, von der niemand mehr wusste, das Testsystem von 2019, das noch läuft, oder der Admin-Zugang eines Mitarbeiters, der vor zwei Jahren gegangen ist. Nichts davon ist dramatisch, solange es jemand weiss. Gefährlich ist nur das Inventar, das keiner führt.
Würden wir es merken? Die meisten Angriffe beginnen leise. Jemand verschafft sich Zugang und schaut sich um, oft über Wochen, bevor irgendetwas verschlüsselt oder abgezogen wird. In diesem Fenster liesse sich der Schaden abwenden, aber nur, wenn jemand hinschaut. Die Frage ist also: Wer bei euch sieht die Warnmeldungen, wer wird alarmiert, und gilt das auch nachts und am Wochenende? Ein brauchbarer Test dafür ist die Rückschau: Wann ist zum letzten Mal jemand einem Alarm nachgegangen, und was ist dann passiert? Wenn darauf niemand ein konkretes Beispiel nennen kann, ist die Erkennung ein Konzept und kein Betrieb. Und die Antwort «der Virenschutz regelt das automatisch» heisst übersetzt: Niemand schaut hin. Die Aufgabe darf auch bei einem externen Dienst liegen, für viele KMU ist das die vernünftigste Lösung. Nur muss dann geklärt sein, wer bei euch den Anruf entgegennimmt und entscheiden darf.
Wie schnell stehen wir wieder? Dass ein Backup existiert, sagt wenig. Die Frage ist, ob je jemand daraus wiederhergestellt hat, wie lange die wichtigsten Prozesse dafür brauchen und ob die Antwort aus Erfahrung stammt oder aus einem Konzeptpapier. Zwischen «wir haben ein Backup» und «wir waren nach zwei Tagen wieder lieferfähig» liegen im Ernstfall Wochen Stillstand. Dazu gehört auch die unangenehme Variante: Was, wenn das Backup mitverschlüsselt wurde, weil es am selben Netz hing? Wer die Wiederherstellung nie geübt hat, kennt seine Antwort nicht. Er hat sie delegiert, an den Tag, an dem sie am teuersten ist. Die Übung dafür kostet einen Nachmittag: ein System auswählen und auf Zeit wiederherstellen. Danach ist die Antwort auf diese Frage keine Schätzung mehr, und meistens auch der Auslöser, das eine oder andere im Backup-Konzept still zu korrigieren.
Wer hat entschieden, welche Risiken wir tragen? Jedes Unternehmen trägt Restrisiken, auch das bestgeschützte. Der Unterschied liegt darin, ob das ein Entscheid war oder ein Zufall. Steht irgendwo schriftlich, welche Risiken die Geschäftsleitung kennt und bewusst akzeptiert? Diese Frage wirkt bürokratisch, ist aber die mit den grössten persönlichen Folgen: Nach einem Vorfall zählt der Nachweis, dass sorgfältig entschieden wurde. Warum das für Verwaltungsräte auch ein Haftungsthema ist, haben wir im Beitrag zur Cyber-Haftung im Verwaltungsrat beschrieben.
«Sicher» ist ein Entscheid, kein Messwert
Wenn du diese vier Fragen durchgehst, bekommst du statt eines Scores ein Bild: Hier stehen wir solide. Hier haben wir eine Lücke, die wir schliessen. Hier tragen wir ein Risiko, und zwar bewusst, weil die Absicherung mehr kosten würde, als das Risiko rechtfertigt.
Ein Beispiel für die letzte Kategorie, wie es uns in Industriebetrieben regelmässig begegnet: eine ältere Maschinensteuerung, für die es keine Updates mehr gibt. Ersetzen würde einen sechsstelligen Betrag kosten, die Maschine läuft noch Jahre. Der gangbare Weg liegt dazwischen: das System vom restlichen Netz trennen, den Zugriff auf wenige Personen beschränken, und den Entscheid samt Begründung festhalten. Das Risiko bleibt. Aber es ist gewählt statt erlitten, und es ist dokumentiert.
Das ist die erwachsene Form von «sicher»: Die Lücken sind bekannt, die wichtigen sind geschlossen, und über die verbleibenden hat jemand entschieden, der das entscheiden darf.
Dieses Bild hat einen Nebeneffekt, der oft übersehen wird. Es zeigt beides: wo zu wenig ist und wo zu viel. In unserer Erfahrung sind viele KMU an einzelnen Stellen mehrfach abgesichert, drei Werkzeuge für denselben Job, während daneben eine der vier Fragen komplett offen ist. Mehr Budget hilft dann wenig, umschichten schon. Ohne das Bild bleibt Budgetverteilung ein Blindflug, mit dem Bild wird sie eine Rechenaufgabe.
Genau dieses Bild mit System und Belegen zu erarbeiten, statt aus dem Bauch: Das ist der Kern eines Security Assessments. Es beantwortet die vier Fragen mit Nachweisen statt mit Einschätzungen. Was das von einem Penetration Test unterscheidet, haben wir hier auseinandergenommen, und über die Kosten reden wir in diesem Beitrag offen.
Die bessere Frage für die nächste Sitzung
Zurück in den Sitzungsraum. Die Frage «Wie sicher sind wir eigentlich?» wird auch nach diesem Artikel keine Zahl als Antwort bekommen. Aber du kannst sie ersetzen.
Stell die vier kleinen Fragen. Was ist erreichbar, und wofür sind wir brauchbar? Würden wir es merken? Wie schnell stehen wir wieder? Wer hat unsere Restrisiken entschieden? Wo die Antworten sitzen, kannst du das Thema mit gutem Gewissen ablegen. Wo ein Zögern kommt, hast du deine Prioritäten gefunden, ohne Score und ohne neues Tool. Das Zögern ist übrigens kein Grund für Vorwürfe an die IT. Die vier Fragen wurden dort vermutlich schlicht nie so gestellt.
Welche der vier Fragen könnte deine Runde heute ohne Zögern beantworten?
Wenn ihr die Antworten lieber einmal strukturiert erarbeiten wollt, machen wir das gemeinsam. Ein Erstgespräch ist unverbindlich, und du weisst danach, wo ihr steht.
