Montagmorgen, Vorstandssitzung. Der CISO präsentiert stolz die Zahlen: 98 % der Konten nutzen MFA, 95 % der Mitarbeitenden haben die Security-Schulung abgeschlossen, und jede Nacht läuft ein Backup. Alle nicken zufrieden. Dann stellt der CFO eine einzige Frage:
„Schön. Aber sind wir dadurch auch sicherer? Und um wie viel?"
Es wird still im Raum.
Organisationen investieren jedes Jahr Millionen in Cybersicherheit, Kontinuität und Risikosteuerung. Firewalls werden erneuert, MFA wird ausgerollt, Mitarbeitende besuchen Schulungen, und ein Richtliniendokument folgt auf das nächste. Doch die einfachste Frage von allen bleibt erstaunlich oft unbeantwortet: Funktioniert das eigentlich?
Aus meiner Sicht ist das der größte blinde Fleck in Security und Compliance. Eine umgesetzte Maßnahme ist noch keine wirksame Maßnahme.
Der Denkfehler hinter dem Häkchen
Der klassische Ansatz im Risikomanagement sieht so aus: Sie identifizieren ein Risiko, wählen eine Maßnahme, setzen sie um und prüfen, ob sie vorhanden ist. Häkchen. Risiko beherrscht.
Nur misst dieser letzte Schritt, ob eine Maßnahme existiert, nicht ob sie wirkt. Drei Beispiele:
Die relevante Frage lautet also nicht „Haben wir die Maßnahme umgesetzt?", sondern:
„In welchem Maß senkt diese Maßnahme das Risiko?"
Ein kleiner Unterschied in der Formulierung, eine grundlegend andere Sichtweise.
Messen Sie Ergebnisse, nicht Aktivitäten
Um die Wirksamkeit zu beurteilen, legen Sie vorab fest, was eine Maßnahme erreichen soll und wie Sie dieses Ergebnis messen. Bei technischen Maßnahmen ist das oft überraschend einfach.
Nehmen Sie eine Endpoint-Security-Lösung. Messen Sie nicht nur, wie viele Endgeräte angebunden sind, sondern auch:
Bei Backups kommt es auf zwei Zahlen an: die Recovery Time Objective (wie schnell sind Sie wieder arbeitsfähig?) und die Recovery Point Objective (wie viele Daten gehen verloren?). Bei Security Awareness zeigen Phishing-Simulationen und Verhaltensmessungen, ob sich das Verhalten wirklich ändert.
Sie können sehr viele Aktivitäten durchführen, ohne das Risiko auch nur ein bisschen zu senken. Deshalb gilt: Messen Sie, was es bringt, nicht was Sie tun.
KPIs zeigen, was Sie tun, KRIs zeigen, wo Sie stehen
Der Unterschied zwischen einem KPI und einem Key Risk Indicator (KRI) macht das konkret:
| Thema | KPI (Aktivität) | KRI (Risiko) |
|---|---|---|
| Awareness | 98 % haben die Schulung abgeschlossen | Klickrate im Phishing-Test von 18 % auf 6 % gesunken |
| Schwachstellen | Anzahl eingespielter Patches | Anzahl kritischer Schwachstellen, die länger als 30 Tage offen sind |
| Backups | Backup läuft jede Nacht | Wiederherstellungstest innerhalb der vereinbarten RTO bestanden |
| Zugriff | 98 % der Konten haben MFA | Anzahl erfolgreicher Anmeldungen an Konten ohne MFA |
Die rechte Spalte sagt viel mehr über Ihr tatsächliches Risiko aus. Messen wird damit kein Selbstzweck: Die Messung soll Ihnen helfen, bessere Entscheidungen zu treffen.
Von der Security-Sprache zur Sprache der Geschäftsleitung
Eine Maßnahme steht nie für sich allein. Gegen Ransomware setzen Sie beispielsweise Endpoint Protection, Netzwerksegmentierung, MFA, Backups, Monitoring und Awareness gleichzeitig ein. Die eigentliche Frage ist, was dieses gesamte Paket mit dem ursprünglichen Risiko macht.
Angenommen, Sie schätzen den potenziellen Schaden eines Ransomware-Angriffs auf 5 Mio. €. Durch die Maßnahmen sinkt die Wahrscheinlichkeit eines Vorfalls, und die Auswirkungen werden begrenzt. Das verbleibende Risiko beträgt noch 1 Mio. €.
Dann haben Sie nicht nur „ein Security-Thema gelöst". Sie haben potenzielles Risiko in Höhe von 4 Mio. € reduziert. Mit dieser Information kann ein Vorstand oder CFO etwas anfangen.
Ein Rechenbeispiel
Angenommen, Sie schätzen den jährlich erwarteten Schaden eines Risikos auf 500.000 € und eine neue Maßnahme für 100.000 € pro Jahr halbiert diesen Schaden:
| Posten | Betrag pro Jahr |
|---|---|
| Erwarteter Schaden ohne Maßnahme | 500.000 € |
| Erwarteter Schaden mit Maßnahme | 250.000 € |
| Geschätzte Risikoreduktion | 250.000 € |
| Kosten der Maßnahme | 100.000 € |
Ist das ein garantierter Gewinn von 150.000 €? Nein, Risiken bleiben unsicher. Aber es ist eine weitaus solidere Entscheidungsgrundlage als die Feststellung, dass „die Lösung die Norm erfüllt".
Mehr Maßnahmen bedeuten nicht mehr Sicherheit
Budgets sind begrenzt, und es geht immer noch mehr: mehr Tools, mehr Monitoring, mehr Kontrollen, mehr Audits. Manchmal bringt eine Investition von 50.000 € eine enorme Risikoreduktion, während 200.000 € an anderer Stelle kaum etwas beitragen.
Deshalb gehört zu jeder Investitionsentscheidung diese Frage:
Welche Maßnahme bringt die größte nachweisbare Risikoreduktion pro investiertem Euro?
Das verändert das Gespräch in der Geschäftsleitung. Von „Wir brauchen ein neues Security-Tool." zu „Dieses Risiko kann uns so viel kosten. Mit dieser Investition erwarten wir, es um so viel Prozent zu senken."
Die zweite Geschichte ist deutlich überzeugender.
Wirksamkeit ist keine jährliche Audit-Übung
Eine Maßnahme, die heute wirkt, kann morgen unzureichend sein. Bedrohungen ändern sich, Technologie ändert sich, Mitarbeitende kommen und gehen, und die Organisation selbst verändert sich. Eine Maßnahme funktioniert einwandfrei, bis eine neue Schwachstelle auftaucht. Eine Backup-Strategie wirkt jahrelang ausreichend, bis eine großflächige Störung zeigt, dass die Wiederherstellungskapazität nicht genügt.
Wirksamkeit überwachen Sie also kontinuierlich, nicht einmal im Jahr für den Auditor. Dashboards helfen dabei, aber nur, wenn sie die richtige Frage beantworten. Ein Dashboard mit Hunderten technischer KPIs nützt wenig, wenn die Geschäftsleitung immer noch nicht sieht, welche Risiken gesunken sind. Ein gutes Dashboard zeigt auf einen Blick:
Welche Risiken bestehen, welche Maßnahmen haben wir dafür und wie wirksam sind sie?
Auch die Normen verlangen es
Das ist kein theoretischer Wunsch. ISO 27001 verlangt in Abschnitt 9.1, dass Sie nicht nur festlegen, was Sie überwachen und messen, sondern auch die Wirksamkeit Ihres Managementsystems bewerten. Und die NIS2-Richtlinie nennt in Artikel 21 ausdrücklich Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Cybersicherheit. Rechnen Sie also damit, dass Ihr Auditor immer häufiger fragt: Zeigen Sie mir, dass es wirkt.
Meine Sicht: Hören Sie auf, Häkchen zu sammeln
Verstehen Sie mich nicht falsch: Compliance, Zertifizierungen und Frameworks haben durchaus ihren Wert. Sie geben Struktur und sorgen dafür, dass Sie wichtige Themen nicht vergessen. Aber sie dürfen nie zum Selbstzweck werden. Sie können vollständig compliant und trotzdem verwundbar sein.
Deshalb sollten Organisationen aus meiner Sicht einen Schritt weiter gehen: nicht nur nachweisen, dass eine Maßnahme existiert, sondern nachweisen, was sie bringt. Das erfordert eine andere Zusammenarbeit zwischen IT, Security, Risk, Finance und dem Business. Gemeinsam sollten sie beantworten können:
Wie uComply hilft
In uComply stehen Risiken und Maßnahmen nicht in getrennten Listen, sondern sind miteinander verknüpft. Sie erfassen ein Risiko im Risikoregister, verknüpfen die Maßnahmen, die es beherrschen sollen, und sehen, welche Anforderungen aus ISO 27001, NIS2 oder BIO2 Sie damit gleichzeitig abdecken. Erweist sich eine Maßnahme als weniger wirksam als gedacht, machen Sie daraus eine Verbesserungsmaßnahme mit Verantwortlichem und Frist. Das Flightdeck-Dashboard gibt Ihrer Geschäftsleitung den Überblick, auf den es ankommt: welche Risiken bestehen, welche Maßnahmen umgesetzt sind und wo Handlungsbedarf besteht.
Zum Schluss: Bleiben Sie neugierig auf das Ergebnis
Die Zukunft des Risikomanagements liegt nicht in immer mehr Maßnahmen, Kontrollen und Berichten, sondern in nachweisbarer Wirksamkeit. Eine Organisation, die zeigen kann, dass eine Investition von 100.000 € ein Risiko substanziell verringert, hat eine viel stärkere Geschichte als eine, die nur melden kann, dass eine neue Security-Lösung läuft.
Geben Sie sich also nicht damit zufrieden, dass eine Maßnahme eingeführt ist. Fragen Sie weiter:
Das sind keine Fragen nur für den CISO oder IT-Leiter. Sie betreffen die gesamte Organisation.
Wirksames Risikomanagement bedeutet nicht möglichst viele Maßnahmen, sondern möglichst viel nachweisbare Risikoreduktion mit den Mitteln, die Sie haben.
Möchten Sie sehen, wie Sie Risiken, Maßnahmen und deren Wirksamkeit an einem Ort verwalten, mit einem Dashboard, das auch Ihre Geschäftsleitung versteht? Vereinbaren Sie eine unverbindliche Demo.
