Wenn in einem Unternehmen von Cybersicherheit die Rede ist, richtet sich der Blick oft reflexhaft auf die IT. Der Dienstleister soll Firewall, Updates und Backups im Griff haben, und damit scheint das Thema erledigt. Doch Angriffe treffen nicht nur Server, sondern Lieferfähigkeit, Kundenbeziehungen und den Ruf des Betriebs. Damit sind sie eine unternehmerische Frage.
Die Geschäftsführung trägt die Gesamtverantwortung für das Unternehmen und damit auch für den Umgang mit digitalen Risiken. Sie muss nicht jedes technische Detail kennen. Sie muss aber dafür sorgen, dass das Thema organisiert, mit Ressourcen ausgestattet und regelmäßig überprüft wird.
Warum Cybersicherheit nicht delegiert werden kann
Aufgaben lassen sich delegieren, die Verantwortung für das Ergebnis bleibt an der Spitze. Das gilt für Arbeitsschutz und Finanzen ebenso wie für die Informationssicherheit. Je nach Branche und Unternehmensgröße können zudem gesetzliche oder vertragliche Anforderungen hinzukommen, die ausdrücklich die Leitungsebene in die Pflicht nehmen. Welche Vorgaben konkret gelten, sollte jedes Unternehmen mit fachkundiger Beratung klären.
Unabhängig davon gilt ein einfacher Grundsatz. Nur die Geschäftsführung kann entscheiden, welche Risiken akzeptabel sind, welches Budget bereitsteht und welche Prioritäten im Ernstfall gelten. Diese Entscheidungen kann kein externer Dienstleister abnehmen.
Zuständigkeiten klar regeln
Ein erster praktischer Schritt ist eine eindeutige Rollenverteilung. Wer ist intern Ansprechpartner für Informationssicherheit? Welche Aufgaben übernimmt der IT-Dienstleister, und wo endet sein Auftrag? Wer entscheidet im Notfall, ob Systeme vom Netz genommen werden? Diese Fragen sollten schriftlich beantwortet sein, bevor etwas passiert.
Hilfreich ist ein fester Bericht an die Geschäftsführung, etwa einmal im Quartal. Er fasst zusammen, welche Maßnahmen umgesetzt wurden, wo es Schwachstellen gibt und welche Entscheidungen anstehen. So bleibt das Thema auf der Agenda, ohne die Leitung mit Technik zu überfrachten. Gleichzeitig entsteht eine Dokumentation, die zeigt, dass sich die Leitung aktiv um das Thema kümmert.
Ein Sicherheitsrahmen, der zum Betrieb passt
Mittelständische Unternehmen brauchen kein Konzernprogramm, sondern einen Rahmen, der zu Größe und Risiko passt. Dazu gehören in der Regel einige Kernelemente:
- Eine Übersicht der wichtigsten Systeme, Daten und Abhängigkeiten.
- Regelmäßige Schulungen, damit Mitarbeitende verdächtige Nachrichten erkennen.
- Getestete Datensicherungen und ein schriftlicher Notfallplan mit Kontaktliste.
Cybersicherheit ist dabei eng mit anderen Führungsthemen verbunden, von der Unternehmensstrategie bis zur Mitarbeiterführung. Eine Plattform für Unternehmer wie unternehmerweltheute.de greift solche Querschnittsthemen aus Sicht der Unternehmensleitung auf und hilft, die eigene Rolle als Chef einzuordnen.
Vorbild sein und Kultur prägen
Regeln wirken nur, wenn die Leitung sie selbst einhält. Ein Geschäftsführer, der sich Ausnahmen bei Passwörtern oder Zugriffsrechten genehmigt, sendet ein deutliches Signal an das Team. Umgekehrt stärkt es die Sicherheitskultur, wenn die Chefin selbst an Schulungen teilnimmt und Mitarbeitende ausdrücklich ermutigt, verdächtige Vorfälle sofort zu melden, auch wenn sie einen Fehler gemacht haben.
Eine offene Fehlerkultur ist im Ernstfall entscheidend. Je schneller ein Vorfall gemeldet wird, desto eher lässt sich der Schaden begrenzen. Wer Fehler bestraft, riskiert dagegen, dass Vorfälle verschwiegen werden, bis es zu spät ist.
Fazit: Führung entscheidet über das Sicherheitsniveau
Cybersicherheit ist Chefsache, weil sie das ganze Unternehmen betrifft. Die Geschäftsführung muss keine IT-Expertin sein, aber sie muss Zuständigkeiten festlegen, Ressourcen bereitstellen, sich regelmäßig berichten lassen und mit gutem Beispiel vorangehen. Wer das Thema so organisiert, macht seinen Betrieb widerstandsfähiger und schafft Vertrauen bei Kunden und Partnern.
