„Unsere IT macht das schon“ – warum Unternehmen Verantwortung nicht delegieren können

Der gefährliche Satz: „Das macht unsere IT“

In vielen Unternehmen hört man einen Satz, der auf den ersten Blick logisch klingt:

„Um die IT-Sicherheit kümmert sich unsere IT-Abteilung.“

Natürlich ist die IT ein zentraler Bestandteil der Sicherheitsmaßnahmen.

Aber genau hier entsteht ein Missverständnis:

IT-Sicherheit ist keine reine technische Aufgabe.

Sie betrifft:

• Geschäftsprozesse
• Mitarbeiter
• Verantwortlichkeiten
• Unternehmensrisiken

Und damit ist sie auch eine Managementaufgabe.

1. IT kann schützen – aber nicht alleine entscheiden

Die IT-Abteilung kann:

• Systeme betreiben
• Sicherheitslösungen implementieren
• Updates einspielen
• Risiken technisch reduzieren

Aber sie entscheidet nicht alleine:

• Welche Geschäftsbereiche sind kritisch?
• Welche Ausfälle sind akzeptabel?
• Welche Risiken werden bewusst eingegangen?
• Welche Investitionen haben Priorität?

Diese Entscheidungen gehören ins Unternehmen – nicht ausschließlich in die Technik.

2. Fehlende Verantwortung erzeugt Sicherheitslücken

Wenn Verantwortung nicht klar geregelt ist, entstehen typische Probleme:

• Niemand fühlt sich wirklich zuständig
• Entscheidungen werden verschoben
• Risiken bleiben unbewertet
• Sicherheitsmaßnahmen passieren nur reaktiv

Ein Beispiel:

Ein Unternehmen weiß, dass ein kritisches System veraltet ist.

Die IT weist darauf hin.

Aber:

• Budget fehlt
• Priorität fehlt
• Entscheidung wird vertagt

Das Problem ist dann nicht technisch.

Es ist organisatorisch.

3. Sicherheit braucht klare Rollen

Professionelle IT-Sicherheit beginnt mit klaren Verantwortlichkeiten:

Wer entscheidet über:

• Sicherheitsrichtlinien?
• Berechtigungen?
• Notfallmaßnahmen?
• Investitionen?
• Risikoakzeptanz?

Ohne diese Klarheit bleibt Sicherheit abhängig von einzelnen Personen.

Und genau das ist ein Risiko.

4. Management muss Risiken verstehen

Das Management muss kein IT-Experte sein.

Aber es muss die entscheidenden Fragen stellen können:

• Welche Risiken bestehen?
• Welche Auswirkungen hätte ein Ausfall?
• Welche Maßnahmen sind besonders wichtig?
• Wo besteht Handlungsbedarf?

Gute Entscheidungen entstehen nicht durch technische Details.

Sie entstehen durch Verständnis der geschäftlichen Auswirkungen.

5. Der externe Dienstleister ersetzt keine Verantwortung

Auch wenn Unternehmen mit:

• IT-Dienstleistern
• Managed-Service-Providern
• Sicherheitsunternehmen

arbeiten, bleibt die Verantwortung im Unternehmen.

Ein Dienstleister kann unterstützen.

Aber er entscheidet nicht:

• welche Risiken akzeptiert werden
• welche Prozesse kritisch sind
• welche Prioritäten das Unternehmen setzt

6. Sicherheit ist Teamarbeit

Eine sichere Organisation verbindet:

Management
→ Strategie, Entscheidungen, Prioritäten

IT
→ Umsetzung, Betrieb, technische Maßnahmen

Mitarbeiter
→ Verhalten, Aufmerksamkeit, täglicher Umgang

Erst das Zusammenspiel aller Bereiche schafft nachhaltige Sicherheit.

7. Fazit

Der Satz:

❌ „Unsere IT macht das schon.“

ist einer der größten Denkfehler moderner IT-Sicherheit.

Die richtige Haltung lautet:

✅ „Wir als Unternehmen tragen Verantwortung für unsere Sicherheit.“

IT ist ein wichtiger Partner.

Aber Sicherheit beginnt mit klarer Verantwortung.