Warum IT-Sicherheit mit Entscheidungen beginnt – nicht mit Produkten

1. Das Grundproblem: Sicherheit wird gekauft, nicht gesteuert

Viele Unternehmen reagieren auf IT-Sicherheitsrisiken mit einem bekannten Muster:

Es gibt ein Problem → wir kaufen eine Lösung.

Firewall, EDR, Backup-System, Cloud-Security, SIEM – die Liste wird länger, die Sicherheit aber nicht zwingend besser.
Warum?
Weil Technik ohne Risikoverständnis nur Aktionismus ist.

IT-Sicherheit wird dann:

• teuer
• komplex
• unübersichtlich
• und im Ernstfall wirkungslos

2. Risiko ist kein Gefühl – sondern eine Managementfrage

Ein Risiko entsteht nicht dadurch, dass etwas technisch möglich ist, sondern dadurch,
dass ein geschäftlicher Schaden eintreten kann.

Einfach gesagt:

• Ein Serverausfall ist ein IT-Problem
• Ein Produktionsstillstand ist ein Unternehmensrisiko

Deshalb müssen Risiken immer beantworten:

• Was kann konkret passieren?
• Was bedeutet das für unser Geschäft?
• Wie wahrscheinlich ist es?
• Wie hoch wäre der Schaden?

Diese Fragen gehören nicht in die IT, sondern ins Management.

3. Warum Unternehmen Risiken falsch priorisieren

In der Praxis sehen wir immer wieder dieselben Fehler:

1. Technik zuerst, Bewertung später
   → Tools werden eingeführt, ohne zu wissen, welches Risiko sie adressieren.
2. Gleiche Schutzmaßnahmen für ungleiche Risiken
   → Alles wird „gleich wichtig“ behandelt – am Ende ist nichts wirklich abgesichert.
3. Worst-Case-Denken ohne Realitätsbezug
   → Angst ersetzt Analyse, Entscheidungen werden blockiert oder überzogen.

Das Ergebnis:
Hoher Aufwand, geringe Wirkung.

4. Was eine sinnvolle Risikobetrachtung leisten muss

Eine wirksame Risikobetrachtung ist:

• geschäftsbezogen
• verständlich
• entscheidungsfähig

Sie schafft Klarheit darüber:

• Welche Systeme und Prozesse kritisch sind
• Welche Ausfälle existenzbedrohend wären
• Wo Prävention sinnvoll ist – und wo nicht

Nicht jedes Risiko muss eliminiert werden.
Aber jedes relevante Risiko muss bewusst entschieden werden.

5. Akzeptieren, reduzieren oder vermeiden

Professionelles Risikomanagement kennt drei legitime Wege:

1. Risiko akzeptieren
   → bewusst, dokumentiert, verstanden
2. Risiko reduzieren
   → organisatorisch, technisch oder prozessual
3. Risiko vermeiden
   → durch Änderung von Prozessen oder Abhängigkeiten

Wichtig ist nicht die Maßnahme –
wichtig ist die bewusste Entscheidung.

6. Technik kommt zum Schluss – nicht am Anfang

Erst wenn klar ist:

• welche Risiken relevant sind
• welche Folgen tragbar sind
• welche Reaktionszeiten nötig sind

… wird Technik sinnvoll auswählbar.

Dann beantwortet Technik konkrete Fragen, z. B.:

• Wie stellen wir Verfügbarkeit sicher?
• Wie erkennen wir Angriffe frühzeitig?
• Wie begrenzen wir Schäden?

Technik wird so vom Selbstzweck zum Werkzeug.

7. Fazit

IT-Sicherheit beginnt nicht mit Produkten,
sondern mit Risikoverständnis und Führungsentscheidungen.

Wer Risiken kennt, trifft bessere Entscheidungen.
Wer Risiken ignoriert, kauft nur Hoffnung.

👉 Im nächsten Beitrag zeigen wir,
warum Verantwortung, Haftung und Governance dabei eine zentrale Rolle spielen.