Cyberangriffe treffen das Business direkt

Im vergangenen Jahr erlitten 73% der von einem Cyberangriff betroffenen KMU in der Schweiz teils erhebliche finanzielle Schäden (Studie Mobiliar). Hinter dieser Zahl stehen unterbrochene Lieferketten, blockierte Systeme, verlorene Kundendaten – und Führungskräfte, die im Ernstfall feststellen, dass sie nicht vorbereitet waren. Nicht weil die Bedrohung unbekannt war. Sondern weil Cyber Security zu lange als reines IT-Problem behandelt wurde.

Fast zwei Drittel der Schweizer Führungskräfte nennen Cyberrisiken als ihre grösste Sorge, noch vor der Inflation. Und trotzdem diskutieren weniger als die Hälfte der CEOs, wie Cyberkriminalität konkret ihre Geschäftsstrategie beeinflusst (PWC Insights). Das ist kein Widerspruch aus Unwissenheit – es ist eine strukturelle Lücke. Denn die drei grössten Bedrohungen für Schweizer Unternehmen – Cloud-Angriffe (49%), Hack-and-Leak-Operationen (41%) und Ransomware (39%) – machen keinen Unterschied zwischen IT-Infrastruktur und Geschäftsbetrieb.

Hinzu kommt eine neue Eskalationsstufe: Künstliche Intelligenz verändert das Angriffsbild grundlegend: sie macht Angriffe schneller, gezielter und schwerer erkennbar. Gleichzeitig schaffen KI-Workloads im eigenen Unternehmen neue Angriffsflächen, die klassische Sicherheitsmodelle kaum abdecken.

Doch in der Praxis melden Security-Teams Risiken, Geschäftsleitungen priorisieren andere Themen, Budgets werden reaktiv freigegeben, nach einem Vorfall, nicht davor. So musste mehr als jedes zehnte Schweizer Unternehmen im letzten Jahr geplante Security-Massnahmen verwerfen, weil das Budget fehlte (swisscybersecurity.net). Budgetentscheide liegen bei der Geschäftsleitung – und genau dort fehlt die strategische Einbindung. Eine Entwicklung, die sich vor allem damit erklären lässt, dass Cyber Security noch immer als Kostenfaktor gilt und nicht als das, was sie ist: eine unternehmerische Investition in Handlungsfähigkeit.

Solange also kein gemeinsames Risikobild zwischen IT, Geschäftsleitung und Verwaltungsrat existiert, bleibt  Cyber Security reaktiv. Massnahmen entstehen nicht aus einer Strategie heraus, sondern als Antwort auf Vorfälle. Wer so agiert, gibt die Initiative ab und überlässt den nächsten Schritt den Angreifern.

Wie Unternehmen speziell KI-Workloads strukturiert absichern und Kontrolle über neue Risiken gewinnen, zeigt das AI Security Playbook für Schweizer CIOs & CISOs von Axians 

Was dabei oft übersehen wird: Das Risiko bleibt nicht auf der operativen Ebene. Es steigt direkt in die Führungsetage auf. Denn in der Schweiz zieht das Bundesgesetz über den Datenschutz Verwaltungsräte für Versäumnisse im Bereich Cybersicherheit direkt zur Verantwortung, auch wenn die Zuständigkeit intern nicht formell zugewiesen wurde. Die Geschäftsleitung trägt die Verantwortung für das gesamte Cyber-Security-Rahmenwerk des Unternehmens, nicht nur im Krisenfall, sondern täglich. Wer Cyberrisiken nicht aktiv steuert, steuert sie passiv und haftet im Ernstfall trotzdem.

Der Perspektivwechsel, den Schweizer Unternehmen jetzt brauchen, ist klar: Cyber Security gehört in die Geschäftsstrategie, nicht in den IT-Bereich. Das bedeutet ein gemeinsames Risikobild auf Stufe Geschäftsleitung und Verwaltungsrat, klare Verantwortlichkeiten, Budgetentscheide auf Basis von Risikopriorisierung und eine Sicherheitskultur, die nicht erst nach einem Vorfall entsteht. Unternehmen, die diesen Schritt gehen, schützen nicht nur ihre Systeme. Sie schützen ihre Geschäftsfähigkeit, ihr Kundenvertrauen und ihre Wettbewerbsposition. Cyber Security, richtig verstanden, ist kein Kostenfaktor. Sie ist ein strategischer Vorteil.