Cybersecurity: Sicherheit als Betriebsfrage

Die Bedrohungslage hat sich in den letzten zwei Jahren weiter verschärft. Ransomware-Angriffe laufen arbeitsteilig wie ein Geschäftsmodell, Phishing und Social Engineering werden mit KI-Unterstützung sprachlich überzeugender und leichter personalisierbar, und Angriffe auf die Lieferkette treffen Unternehmen über ihre Dienstleister – nicht über die eigene Firewall. Gleichzeitig ist die Regulierung nachgezogen: Mit dem NIS-2-Umsetzungsgesetz sind seit Ende 2025 rund 29.500 Unternehmen in Deutschland zu strukturiertem Sicherheits-Risikomanagement verpflichtet, mit persönlicher Verantwortung der Geschäftsleitung.

Die Größenordnung ist inzwischen messbar: Im Bitkom-Wirtschaftsschutz 2026 geben 96 Prozent der befragten Unternehmen an, von Datendiebstahl, Industriespionage oder Sabotage betroffen zu sein oder dies zumindest zu vermuten; 67 Prozent konnten einen erfolgreichen Angriff sicher feststellen. Bitkom weist dafür erstmals einen Schadenskorridor von 211 bis 270,8 Milliarden Euro aus. Zur Bitkom-Erhebung 2026 →

Für Hersteller von Produkten mit digitalen Elementen kommt seit 11. September 2026 eine weitere operative Pflicht hinzu: Nach dem Cyber Resilience Act müssen aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle über die europäische Meldeplattform gemeldet werden – mit einer Frühwarnung grundsätzlich innerhalb von 24 Stunden und der vollständigen Meldung innerhalb von 72 Stunden. Die meisten übrigen Produktpflichten des CRA greifen ab 11. Dezember 2027. EU-Kommission zu den CRA-Meldepflichten →

Eine Firewall und ein Virenscanner sind keine Sicherheitsstrategie. Ganzheitliche Cybersecurity ruht im Alltag auf drei Säulen. Für die Steuerung hilft zusätzlich eine einfache Sechs-Punkte-Logik: Governance klären, kritische Leistungen identifizieren, schützen, Auffälligkeiten erkennen, im Vorfall reagieren und den Wiederanlauf beherrschen. Gerade der erste Punkt verhindert, dass Security ausschließlich als Aufgabe der Technik behandelt wird:

• Technik: Aktuelle Systeme und konsequentes Patch-Management, starke Authentifizierung (MFA), Verschlüsselung, Netzsegmentierung, getestete Backups nach der 3-2-1-Regel – und Monitoring, das Auffälligkeiten meldet, bevor der Schaden entsteht.
• Organisation: Klare Verantwortlichkeiten, ein geübter Notfallplan (wer tut was, wenn es brennt – auch wenn E-Mail und Telefonanlage ausfallen?), Regelungen für Dienstleister und Lieferkette, dokumentierte Prozesse.
• Menschen: Viele erfolgreiche Angriffe nutzen gestohlene Zugangsdaten, Social Engineering, Fehlkonfigurationen oder bekannte Schwachstellen. Menschen sind deshalb Teil des Schutzsystems, aber nicht der alleinige Risikofaktor. Alltagsnahe Sensibilisierung gehört genauso dazu wie starke Identitäten, technische Kontrollen und geübte Abläufe – und ist inzwischen auch regulatorisch relevant.

Der Einstieg muss nicht groß sein, aber ehrlich: eine strukturierte Bestandsaufnahme (was haben wir, was fehlt, was ist kritisch?), daraus eine priorisierte Maßnahmenliste – Quick Wins zuerst –, und ein fester Rhythmus für Überprüfung und Übung. Wer zusätzlich unter NIS-2 fällt, verbindet beides sinnvoll: Die gesetzlichen Pflichten und eine gute Sicherheitsstrategie sind zu großen Teilen deckungsgleich.

Cybersecurity ist am Ende kein Kostenfaktor, sondern Betriebssicherung: Sie schützt die Fähigkeit Ihres Unternehmens, morgen noch lieferfähig zu sein.