Die Lücke zwischen Cybersicherheit und Risikomanagement in der realen Welt schließen
22. Januar 2026 • Crowne Plaza Hotel, Frankfurt
Da Angreifer weiterhin staatliche Einrichtungen, kritische Infrastrukturen und damit verbundene Organisationen stören, benötigen CISOs und ihre Führungskräfte ein neues Paradigma.
Was können Sie tun, wenn Sie Ransomware nicht stoppen können?
Wenn Sie heute eine große oder kleine Organisation leiten, können Sie Ihre Cybersicherheit am besten testen, indem Sie einfach fragen: „Sind wir zu 100 % sicher vor einem Ransomware-Angriff, der das Unternehmen lahmlegen könnte?“ Die Antwort wird in fast allen Fällen „Nein“ lauten, und genau hier sollten alle ernsthaften Gespräche über Cybersicherheit ansetzen.
In dieser Diskussion ist Ransomware lediglich ein Platzhalter für jede Art von Angriff, der kritische Geschäftsprozesse so weit lahmlegen kann, dass das Unternehmen erheblich beeinträchtigt wird. Um diese Frage zu beantworten, muss das Unternehmen weit mehr tun, als die Aufgabe dem CISO zu übertragen und sich auf eine Sicherheitsarchitektur zu verlassen, die sich auf bestimmte Bedrohungen konzentriert, ohne das Unternehmensrisiko zu berücksichtigen.
Die Priorisierung von Risiken erfordert ein umfassendes Verständnis des minimal funktionsfähigen Geschäfts, der Prozesse und Vermögenswerte (End-to-End), die dieses Geschäft zum Laufen benötigt, sowie eine Analyse der betroffenen IT-Systeme und Schwachstellen.
Dies erfordert eine aktive Zusammenarbeit zwischen dem Unternehmen, dem CRO, den IT- und operativen Risikomitarbeitern, dem Business-Continuity-Team, dem Cybersicherheitsteam und der Geschäftsleitung, um ein realistisches Bild davon zu erstellen, was das Unternehmen wirklich ausmacht – in Bezug auf die Geschäfte, Mitarbeiter und Prozesse, die nicht verloren gehen dürfen.
Aller Wahrscheinlichkeit nach wurde diese Analyse noch nie zuvor durchgeführt, und angesichts des Tempos des technischen Wandels wird es wahrscheinlich auch nie gelingen, die technologischen Aspekte zu ergründen. Kennt irgendjemand jedes einzelne Element eines bestimmten Geschäftsprozesses? Wenn nicht, dann wird kein Sicherheitsteam in der Lage sein, ihn zu sichern. Und niemand im Unternehmen oder anderswo wird seine operativen Risiken angemessen im Griff haben.
Das ist die echte Transparenz, die Unternehmen brauchen – Transparenz über die Geschäftsprozesse hinweg bis hin zu den kleinsten Abhängigkeiten (die nicht alle technischer Natur sind). Nur wenn das minimal funktionsfähige Geschäft auf dieser Ebene abgebildet ist, können Cyber-Teams eine risikobasierte Sicherheitsstrategie als Teil einer umfassenderen Strategie für operative Risiken entwickeln.
An diesem Punkt geht es bei der Sicherheit nicht mehr um die generelle Sicherung des Netzwerks, der Anwendungen oder der Cloud. es geht nicht um EDR oder IDAM oder Zero Trust an sich. Es geht darum, zu fragen, wie man den Kern des Unternehmens am besten schützen kann. Wenn der Versuch, alles zu sichern, nicht funktioniert, dann kann dieser Kern selbst nicht gesichert werden.
Geben Sie das zu, und dann haben Sie nur zwei Möglichkeiten: Sie investieren weitaus mehr Ressourcen in echte Resilienz oder Sie ziehen – was umstrittener und problematischer ist – diese kritischen Prozesse aus der normalen IT-Infrastruktur heraus, die nicht gesichert werden kann.
Verteidigungsunternehmen gehen mit Sicherheit anders um als normale Firmen: Sie meiden die Cloud, sie nutzen Airgaps, sie interagieren nicht mit Dritten auf die gleiche Weise wie die meisten Organisationen. Seit Jahren sagen wir, dass der alte Perimeter tot ist. Vielleicht ist es an der Zeit, ihn innerhalb von Organisationen neu zu schaffen, um den Kern zu schützen. Und wenn nicht, dann ist Resilienz und nicht Sicherheit die Antwort. Ein Unternehmen mit perfekter Resilienz braucht keine Sicherheit – es wird sie dennoch wollen, um die Kosten für ständige Reaktionen zu vermeiden, aber wenn das eigentliche Ziel des operativen Risikos darin besteht, den Geschäftsbetrieb aufrechtzuerhalten, anstatt bestimmte CVE oder andere Risiken zu mindern, muss sich dann nicht auch die Sicherheit ändern?
Gibt es also jemanden, der dies wirklich tut, abgesehen von denen, die durch Vorschriften dazu gezwungen sind? Wenn nicht, sind sie sich dann des Risikos bewusst, das sie eingehen? Wie denken sie über Cybersicherheitsrisiken und wie priorisieren sie Ressourcen, um diese zu mindern? Verstehen CISOs die grundlegende Veränderung, die Resilienz mit sich bringt?
