Informationssicherheit als Chefsache im KMU verstehen

Informationssicherheit ist Chefsache, weil Cyberrisiken nicht nur die IT betreffen, sondern den Betrieb, die Entscheidungsfähigkeit und die Zukunft des Unternehmens. Für Geschäftsführung, IT-Leitung und Verwaltungsrat in KMU heisst das: Wer Verantwortung, Prioritäten und Reaktion im Ernstfall nicht auf Führungsebene klärt, lässt ein Unternehmensrisiko ungenügend gesteuert.

Warum ist Informationssicherheit Chefsache?

In Gesprächen mit Geschäftsleitungen höre ich oft den Satz: «Das ist doch Sache der IT.» Genau dort beginnt in vielen Unternehmen das Problem. Aus meiner Praxis in Assessments sehe ich regelmässig, dass Cyberrisiken auf Stufe Geschäftsleitung zu wenig bekannt sind oder unterschätzt werden.

Noch kritischer ist etwas anderes: Es fehlt oft eine klare Verantwortlichkeit in der GL. Niemand übernimmt die Rolle, das Thema konsequent voranzutreiben, einzuordnen und Entscheidungen vorzubereiten. Dann bleibt Informationssicherheit im Silo der IT hängen. Es gibt vielleicht einzelne technische Massnahmen, aber keine strategische Führung.

Informationssicherheit ist deshalb Chefsache, weil sie direkt mit Unternehmensrisiken verbunden ist. Ein Cybervorfall kann kritische Geschäftsprozesse unterbrechen, vertrauliche Daten gefährden und das Vertrauen von Kunden, Partnern oder Behörden schwächen. Es geht also nicht nur um Technik, sondern um Resilienz, Business Continuity und verlässliche Führung.

Woran scheitert es in der Praxis oft?

Meine Erfahrung aus Assessments zeigt ein wiederkehrendes Muster: Technik ist teilweise vorhanden, aber die Führungsseite ist nicht vorbereitet. Ich habe Projekte gesehen, in denen Systeme modern und gut aufgestellt waren. Trotzdem wäre im Ernstfall niemand aus der Geschäftsleitung in der Lage gewesen, rasch und fundiert zu entscheiden, wie das Unternehmen reagieren soll.

Die Folge ist nicht einfach Unsicherheit. Die Folge ist Zeitverlust. Und Zeitverlust kostet bei einem Sicherheitsvorfall schnell Geld, Reputation und Vertrauen.

Häufig fehlen unter anderem diese Grundlagen:

• eine klar benannte Verantwortung in der Geschäftsleitung

• ein gemeinsames Verständnis der wichtigsten Cyberrisiken

• eine Verbindung zwischen Sicherheitsmassnahmen und Geschäftsstrategie

• eine vorbereitete Entscheidungslogik für den Ernstfall

Wenn diese Punkte fehlen, bleiben Massnahmen oft reaktiv. Dann wird erst gehandelt, wenn Druck entsteht, etwa nach einem Vorfall, einer Kundenanforderung oder wegen regulatorischer Vorgaben.

Welche Fehlannahmen höre ich immer wieder?

Bestimmte Aussagen begegnen mir in KMU besonders häufig. Sie wirken auf den ersten Blick nachvollziehbar, führen aber in der Praxis oft in die falsche Richtung.

Sind wir als KMU überhaupt ein realistisches Ziel?

Die Annahme «Wir sind zu klein, um interessant zu sein» höre ich oft. In meiner Praxis zeigt sich jedoch, dass gerade KMU ins Visier geraten, weil sie häufig leichter angreifbar sind. Nicht Grösse allein entscheidet, sondern Verwundbarkeit, Abhängigkeiten und fehlende Vorbereitung.

Reichen gute Tools nicht aus?

Auch die Aussage «Wir haben Tools, das reicht» ist zu kurz gedacht. Technik ist wichtig, aber sie wirkt nur dann zuverlässig, wenn Verantwortlichkeiten, Prozesse und Entscheidungen dahinter klar geregelt sind. Tools ersetzen keine Führung.

Können wir das Thema auf später verschieben?

«Wir machen das, wenn mehr Budget da ist» klingt vernünftig, ist aber riskant. Angriffe und Vorfälle richten sich nicht nach Budgetzyklen. Wer zu lange wartet, spart oft nur bis zum ersten ernsten Problem.

Was bedeutet Führungsverantwortung konkret?

Informationssicherheit als Chefsache heisst nicht, dass die Geschäftsleitung selbst technische Details lösen muss. Es heisst, dass sie Verantwortung übernimmt, Prioritäten setzt und die richtigen Fragen stellt.

Normen und Vorgaben wie ISO 27001 oder der IKT-Minimalstandard machen klar, dass die oberste Leitung Verantwortung trägt. Entscheidend ist aber nicht nur die formale Vorgabe. Entscheidend ist, dass Sicherheitsinitiativen dort erfolgreich sind, wo die Geschäftsleitung hinter dem Thema steht. Wo diese Unterstützung fehlt, bleiben Massnahmen meist unvollständig.

Führungsverantwortung zeigt sich zum Beispiel darin, dass die GL:

• klare Zuständigkeiten festlegt

• Cyberrisiken als Teil des Unternehmensrisikos betrachtet

• Sicherheitsfragen mit kritischen Geschäftsprozessen verbindet

• regelmässig entscheidungsreife Informationen einfordert

• das Thema in Strategie und Governance verankert

So wird aus Informationssicherheit kein Nebenprojekt, sondern ein steuerbares Thema mit klarer Wirkung.

Welche drei Fragen sollte sich jede GL stellen?

Aus meiner langjährigen Praxis haben sich drei einfache Fragen herauskristallisiert, die sich Führungskräfte regelmässig stellen sollten.

Wer trägt in unserer GL die Verantwortung für Informationssicherheit?

Ohne klaren Verantwortlichen bleibt das Thema meist an der IT hängen. Dort fehlt dann oft die nötige Rückendeckung, um strategische Themen voranzubringen. Eine benannte Verantwortung schafft Fokus, Verbindlichkeit und Orientierung.

Welche Cyberrisiken bedrohen unsere kritischen Geschäftsprozesse?

Es geht nicht in erster Linie um lange Listen technischer Schwachstellen. Die zentrale Frage lautet: Welche Prozesse sind für unser Unternehmen besonders kritisch, und was würde passieren, wenn sie ausfallen oder manipuliert werden? Erst diese Sicht macht Risiken für die Führungsebene wirklich entscheidbar.

Wie verankern wir Informationssicherheit in unserer Strategie?

Sicherheit ist kein einmaliges Projekt. Sie muss Teil der Unternehmens-DNA werden. Das bedeutet: Entscheidungen, Prioritäten und Entwicklungen werden so gestaltet, dass Sicherheitsfragen von Anfang an mitgedacht werden. Nur so entsteht echte Resilienz.

Wie sieht das im KMU-Alltag aus?

Nehmen wir ein realistisches Beispiel aus einem KMU in der Industrie: Das Unternehmen hat eine kleine IT-Abteilung, die den Betrieb stabil hält, Projekte begleitet und nebenbei Sicherheitsfragen abdeckt. In der Geschäftsleitung geht man davon aus, dass die IT das Thema im Griff hat. Es gibt Schutzlösungen, aber keine klar geregelte Verantwortung auf GL-Stufe.

Dann fällt ein sicherheitsrelevanter Vorfall auf. Plötzlich stellen sich grundlegende Fragen: Wer entscheidet über Sofortmassnahmen? Welche Geschäftsprozesse haben Priorität? Wer informiert intern und extern? Welche Risiken sind für den Betrieb wirklich kritisch?

Genau hier zeigt sich der Unterschied zwischen Technik und Führung. Wenn die GL bereits eine klare Zuständigkeit definiert, die wichtigsten Geschäftsprozesse bewertet und Informationssicherheit strategisch verankert hat, kann sie schneller und fundierter handeln. Das reduziert Unsicherheit und stärkt die Handlungsfähigkeit im Ernstfall.

Was ist jetzt der sinnvollste erste Schritt?

Der erste Schritt ist nicht ein neues Tool. Der erste Schritt ist eine Führungsfrage: Klären sie in der Geschäftsleitung, wer das Thema Informationssicherheit verantwortet und welche kritischen Geschäftsprozesse besonders geschützt werden müssen.

Wer diese beiden Punkte sauber beantwortet, schafft die Grundlage für wirksame Massnahmen statt isolierte Einzelaktionen.

Wenn sie wissen möchten, wie gut Verantwortlichkeiten, Risiken und Sicherheitsführung in ihrem Unternehmen heute aufgestellt sind, lohnt sich ein strukturierter Blick von aussen. Ich unterstütze Geschäftsleitungen, IT-Leiter und Verwaltungsräte dabei, Cyberrisiken verständlich einzuordnen, Verantwortlichkeiten zu klären und realistische nächste Schritte festzulegen.

Häufig gestellte Fragen

Warum ist Informationssicherheit nicht nur Aufgabe der IT?
Weil ein Cybervorfall nicht nur Systeme betrifft, sondern Geschäftsprozesse, Entscheidungen, Reputation und Vertrauen. Damit ist es ein Unternehmensrisiko und keine reine IT-Frage.

Was muss die Geschäftsleitung konkret tun?
Sie muss Verantwortung festlegen, Risiken verstehen, Prioritäten setzen und Informationssicherheit in Strategie und Governance verankern.

Reicht es, wenn wir gute Sicherheitslösungen im Einsatz haben?
Nein. Technik allein genügt nicht. Ohne klare Prozesse, Zuständigkeiten und Führungsentscheide bleibt die Wirkung begrenzt.

Was bringt es einem KMU, Informationssicherheit als Chefsache zu behandeln?
KMU gewinnen mehr Klarheit, schnellere Entscheidungsfähigkeit und eine bessere Grundlage, um Betriebsunterbrüche, Reputationsschäden und unnötige Reaktionen unter Druck zu vermeiden.