Warum Security-Tools keine Sicherheit schaffen

Viele Unternehmen glauben, mit dem Kauf eines neuen Security-Tools ihr Sicherheitsproblem gelöst zu haben. Doch Informationssicherheit scheitert selten an der Technologie – sie scheitert fast immer an fehlenden Verantwortlichkeiten und fehlendem Verständnis auf Führungsebene. Wer als Geschäftsführer, IT-Leiter oder Verwaltungsrat glaubt, Technik könne Verantwortung ersetzen, wiegt sich in falscher Sicherheit.

Wenn das Tool funktioniert – und trotzdem alles schiefläuft

Stellen sie sich folgendes Szenario vor, das ich in meiner Beratungspraxis leider immer wieder antreffe:

Ein Unternehmen implementiert ein modernes Security-Tool. Freitagabend um 20:00 Uhr meldet es eine Alarmierung. Niemand reagiert. Erst Montagmorgen um 07:00 Uhr sieht ein Mitarbeitender die Meldung – da ist der Angriff längst durchgelaufen.

Das Problem war nicht die Technik. Das Tool hat funktioniert. Das Problem war die Organisation: Niemand wusste, wer zuständig ist. Niemand hatte Bereitschaftsdienst. Niemand fühlte sich verantwortlich.

Genau das ist die unterschätzte Schwachstelle in der Informationssicherheit vieler KMU.

Warum Security-Tools keine Verantwortung ersetzen

Technik ist wichtig – aber sie ist nur so gut wie die Menschen und Prozesse, die sie umgeben. Ein Security-Tool kann:

• Angriffe erkennen, aber nicht selbst reagieren

• Daten sammeln, aber keine Entscheidungen treffen

• Alarme auslösen, aber keine Verantwortlichkeiten schaffen

In meinen Assessments sehe ich häufig, dass Unternehmen Tools kaufen in der Hoffnung, das Problem «wegzuautomatisieren». In Wirklichkeit vergrössert sich das Risiko, wenn niemand die Verantwortung trägt. Ein ungenutztes oder falsch eingebettetes Tool gibt nur eine trügerische Sicherheit – und das ist gefährlicher als gar kein Tool.

Die Rolle der Geschäftsleitung – Sicherheit braucht Führung

Hier kommt die Führungsebene ins Spiel. Nur die Geschäftsleitung kann klare Strukturen schaffen, die Sicherheit im Alltag wirklich verankern. Die entscheidenden Fragen lauten:

• Wer ist im Notfall verantwortlich? Gibt es eine namentlich definierte Person, die bei einem Sicherheitsvorfall handelt?

• Wie wird rund um die Uhr sichergestellt, dass Alarme gesehen und bewertet werden? Freitagabend ist kein Ausnahmefall – Angreifer kennen keine Bürozeiten.

• Welche Prozesse greifen, wenn ein Angriff festgestellt wird? Ein Notfallplan, der nur auf Papier existiert, hilft im Ernstfall nicht.

ISO 27001 wie auch der IKT-Minimalstandard schreiben deshalb explizit vor: Sicherheitsaufgaben müssen organisatorisch verankert sein. Tools sind Hilfsmittel – nicht die Lösung.

Was erfolgreiche Unternehmen anders machen

In Unternehmen, die Sicherheitsvorfälle erfolgreich gemeistert haben, war es nie die Technologie allein, die den Unterschied machte. Es war die klare Organisation:

• Definierte Verantwortlichkeiten: Jede Sicherheitsaufgabe hat eine zuständige Person – auch ausserhalb der Bürozeiten.

• Gelebte Prozesse: Notfallpläne werden regelmässig geübt, nicht nur dokumentiert.

• Geschulte Mitarbeitende: Menschen, die wissen, wie sie im Ernstfall handeln müssen.

Dort, wo diese Basis fehlte, half auch das beste Security-Tool nichts.

Praxisbeispiel: Ein KMU aus der Industrie

Ein produzierendes Unternehmen mit rund 80 Mitarbeitenden hatte in seine IT-Sicherheit investiert: Firewall, Endpoint-Schutz, ein zentrales Monitoring-System. Auf dem Papier gut aufgestellt.

Im Rahmen eines Assessments stellte sich heraus: Es gab keine definierte Zuständigkeit für Sicherheitsvorfälle ausserhalb der Bürozeiten. Der IT-Leiter war die einzige Person mit Zugang zum Monitoring – und er war im Urlaub, als ein Alarm ausgelöst wurde.

Die Massnahme war nicht ein weiteres Tool. Es war ein klarer Bereitschaftsplan, eine definierte Eskalationskette und ein kurzes Briefing der Geschäftsleitung. Das kostete wenig – und schloss eine kritische Lücke.

Sicherheit beginnt mit Verantwortung, nicht mit Technik

Überprüfen sie noch heute, ob in ihrem Unternehmen klar geregelt ist, wer bei einem Sicherheitsvorfall – auch am Wochenende oder nachts – zuständig ist und wie die Eskalation abläuft. Dieser eine Schritt kostet nichts und kann im Ernstfall alles entscheiden.

Bereit, Sicherheit organisatorisch zu verankern?

Ich unterstütze Geschäftsleitungen und IT-Verantwortliche dabei, klare Verantwortlichkeiten zu definieren und Sicherheitsprozesse aufzubauen, die im Alltag wirklich funktionieren – pragmatisch, verständlich und auf ihr Unternehmen zugeschnitten.

Jetzt unverbindlich Kontakt aufnehmen und gemeinsam die organisatorische Basis für ihre Informationssicherheit legen.

Häufig gestellte Fragen

Reicht ein gutes Security-Tool nicht aus, um mein Unternehmen zu schützen?
Nein. Ein Tool erkennt Bedrohungen, kann aber nicht selbst reagieren oder Entscheidungen treffen. Ohne klare Verantwortlichkeiten und definierte Prozesse bleibt auch das beste Tool wirkungslos.

Was versteht man unter organisatorischer Verankerung der Sicherheit?
Damit ist gemeint, dass Sicherheitsaufgaben konkret zugewiesen sind: Wer ist zuständig? Wer reagiert im Notfall? Welche Prozesse greifen wann? Diese Fragen müssen schriftlich geregelt und allen Beteiligten bekannt sein.

Was schreiben ISO 27001 und der IKT-Minimalstandard dazu vor?
Beide Standards verlangen explizit, dass Sicherheitsverantwortlichkeiten organisatorisch definiert und dokumentiert sind. Technik allein erfüllt diese Anforderungen nicht.

Was kann ich als Geschäftsführer konkret tun?
Stellen sie sicher, dass es eine namentlich verantwortliche Person für Sicherheitsvorfälle gibt – auch ausserhalb der Bürozeiten. Lassen sie einen einfachen Notfallplan erstellen und kommunizieren sie diesen im Unternehmen.