Ein Leitfaden für Vorstände und Geschäftsführer
Vorwort: Warum IT-Sicherheit zur Führungsaufgabe geworden ist
Stellen Sie sich vor, Sie erhalten montagmorgens um 6 Uhr einen Anruf: Ihre gesamte IT-Infrastruktur ist verschlüsselt. Kundendaten sind nicht mehr zugänglich. Die Produktion steht still. Erpresser fordern Lösegeld. Ihre Mitarbeiter stehen ratlos vor schwarzen Bildschirmen.
Dieses Szenario ist keine dystopische Fiktion – es ist für hunderte deutsche Unternehmen jährlich bittere Realität. Und die Frage, die Staatsanwälte, Versicherer und Aufsichtsbehörden dann stellen, lautet nicht: „Hatte Ihre IT-Abteilung die richtigen Tools?“ Sie lautet: „Haben Sie als Geschäftsführung Ihrer Sorgfaltspflicht nachgekommen?“
IT-Sicherheit hat sich von einem technischen Randthema zu einer zentralen Governance-Aufgabe entwickelt. Cyberangriffe sind heute die größte Bedrohung für Geschäftskontinuität, Reputation und Haftung der Unternehmensführung. Dennoch behandeln viele Vorstände das Thema nach wie vor als technisches Detail, das „die IT schon regeln wird“.
Dieses Booklet soll Ihnen helfen, IT-Sicherheit als das zu verstehen, was sie wirklich ist: eine strategische Führungsaufgabe mit direkten Auswirkungen auf Ihren Geschäftserfolg, Ihre rechtliche Position und das Vertrauen Ihrer Kunden.
Kapitel 1: Die trügerische Sicherheit
Der gefährlichste Satz im Vorstandsbüro
„Bei uns ist in 20 Jahren nichts passiert. Warum sollten wir jetzt investieren?“
Dieser Satz beruht auf einem fundamentalen Trugschluss: Die Bedrohungslage von gestern hat mit der von heute nichts mehr zu tun.
Die Realität in Zahlen:
- 86% der deutschen Unternehmen waren in den letzten zwei Jahren Ziel von Cyberangriffen (Bitkom 2023)
- Der durchschnittliche Schaden liegt bei mittelständischen Unternehmen bei 1,3 Millionen Euro
- Bei 60% der betroffenen KMU führt ein schwerer Cyberangriff innerhalb von sechs Monaten zur Insolvenz
Das Unsichtbare wird oft übersehen
Cyberkriminelle verweilen durchschnittlich 287 Tage unentdeckt in Netzwerken. Ein mittelständischer Automobilzulieferer verlor in einer Nacht den Zugriff auf 15 Jahre Konstruktionsdaten – 8 Millionen Euro direkter Verlust, Produktionsstillstand über drei Wochen, Verlust zweier Großkunden.
Die Fragen, die Führungskräfte stellen müssen
- Welche Daten sind für unser Geschäftsmodell existenziell?
- Wie lange können wir ohne IT arbeiten?
- Wer haftet, wenn sensible Kundendaten abfließen?
- Sind unsere Backup-Systeme wirklich sicher?
Kapitel 2: Haftung, Image und wirtschaftliche Folgen
Persönliche Haftung: Der Vorstand im Fadenkreuz
Rechtliche Grundlagen:
- § 93 AktG / § 43 GmbHG: Vorstände und Geschäftsführer haften für Pflichtverletzungen
- DSGVO: Bußgelder bis 20 Millionen Euro oder 4% des Jahresumsatzes
- NIS-2-Richtlinie (ab Oktober 2024): Erweiterte persönliche Haftung für Führungskräfte
Die Beweislast liegt bei Ihnen. „Davon wusste ich nichts“ gilt nicht als Entschuldigung.
Wirtschaftliche Folgen: Die wahren Kosten
- Produktionsausfall: Jede Stunde Stillstand kostet Umsatz und Kundentreue
- Notfall-IT-Services: Sechsstellige Beträge für Forensik und Wiederherstellung
- Rechtliche Auseinandersetzungen, Versicherungsprämien, Reputationsschäden
Durchschnittliche Gesamtkosten: Das 4–7-fache der direkten Schadenssumme.
Kapitel 3: Fakten und Mythen
Mythos 1: „Wir sind zu klein für Hacker“
Falsch. Moderne Angriffe sind automatisiert. 80% der erfolgreichen Ransomware-Angriffe treffen Unternehmen mit weniger als 1.000 Mitarbeitern.
Mythos 2: „Firewall und Antivirensoftware reichen“
Moderne Angriffe nutzen Social Engineering, Zero-Day-Exploits und verschlüsselte Kanäle. Standardwerkzeuge helfen hier nicht.
Mythos 3: „Dafür haben wir eine IT-Abteilung“
IT-Sicherheit ist eine eigene Disziplin, die spezialisiertes Wissen und 24/7-Überwachung erfordert.
Mythos 4: „Cloud löst das Problem“
Cloud-Anbieter sichern ihre Infrastruktur, nicht Ihre Daten. Verantwortung und Haftung bleiben bei Ihnen.
Mythos 5: „IT-Sicherheit ist zu teuer“
Eine professionelle Sicherheitsarchitektur kostet 3–8% des IT-Budgets. Ein Ransomware-Angriff kostet das 20–50-fache.
Die 3 größten Einfallstore:
- Menschliches Versagen (82% der Vorfälle)
- Ungepatchte Systeme (67%)
- Fehlende Netzwerk-Segmentierung (54%)
Kapitel 4: Die 7 Pflichten der Geschäftsleitung
1. Risikoanalyse durchführen – Beauftragen Sie eine systematische Bestandsaufnahme kritischer Assets.
2. Sicherheitsstrategie definieren – Lassen Sie die Strategie vom Vorstand beschließen, nicht von der IT.
3. Ressourcen bereitstellen – Dediziertes Security-Budget: 3–8% des IT-Budgets als Orientierung.
4. Verantwortlichkeiten klären – Benennen Sie einen CISO oder beauftragen Sie externe Expertise.
5. Berichtswesen etablieren – Quartalsweise Sicherheitsberichte in Vorstandssitzungen einfordern.
6. Mitarbeiter sensibilisieren – Regelmäßige Security-Trainings für alle, inklusive Geschäftsführung.
7. Notfallplan erstellen und testen – Mindestens jährliche Notfallübungen mit Beteiligung der Geschäftsführung.
Business Case: Rechenbeispiel
- Jährliche Sicherheitsinvestition: 150.000 Euro
- Risiko eines schweren Angriffs ohne Schutzmaßnahmen: 15% pro Jahr
- Durchschnittlicher Schaden: 1,8 Millionen Euro → Erwartungswert: 270.000 Euro/Jahr
Die Investition von 150.000 Euro spart erwartungsgemäß deutlich mehr, als sie kostet.
Kapitel 5: Axsos als strategischer Partner
Axsos versteht sich als strategischer Partner für mittelständische und große Unternehmen, die IT-Sicherheit professionell und geschäftsorientiert umsetzen wollen.
Das Axsos-Sicherheitskonzept: 4 Säulen
Säule 1: Analyse & Strategie – Fundierte Bestandsaufnahme und maßgeschneiderte Sicherheitsstrategie, verständlich aufbereitet für die Geschäftsführung.
Säule 2: Technische Absicherung – Defense in Depth, Netzwerk-Segmentierung, Identity & Access Management, Verschlüsselung, sichere Backup-Strategien.
Säule 3: Überwachung & Incident Response – SOC mit 24/7-Monitoring, automatisierte Threat Detection, Penetrationstests.
Säule 4: Compliance & Schulung – DSGVO-Check, NIS-2-Readiness, Security Awareness Trainings, Management-Workshops.
Flexible Einstiegsmodelle
- Quick Security Check (1–2 Wochen): Schnelle Standortbestimmung
- Security Roadmap (4–6 Wochen): Mehrjährige Sicherheitsstrategie
- Managed Security Services: Axsos als erweitertes Sicherheitsteam
- CISO as a Service: Erfahrener CISO auf Teilzeitbasis
Kapitel 6: Jetzt handeln
Kostenloser Security Quick Check
In einem 90-minütigen Workshop analysiert Axsos die wichtigsten Risikobereiche Ihres Unternehmens – ohne Verpflichtung, ohne Kleingedrucktes.
Jetzt Termin vereinbaren: security@axsos.de | www.axsos.de
Checkliste: Ist Ihr Unternehmen sicher?
Strategie & Organisation:
- Dokumentierte IT-Sicherheitsstrategie vorhanden
- IT-Sicherheit regelmäßig in Vorstandssitzungen
- CISO oder Sicherheitsverantwortlicher benannt
- Dediziertes Security-Budget festgelegt
Technische Maßnahmen:
- Mehrschichtige Firewall implementiert
- Backups täglich erstellt und regelmäßig getestet
- Patch-Management systematisch organisiert
- Multi-Faktor-Authentifizierung als Standard
Monitoring & Compliance:
- 24/7 Netzwerk-Monitoring aktiv
- Incident Response Plan getestet
- DSGVO-Anforderungen erfüllt
- Mitarbeiter regelmäßig geschult
Auswertung: 12–16 Punkte: Gute Basis | 8–11: Handlungsbedarf | Unter 8: Kritische Lücken – sofort handeln