Sicherheit ist kein Projekt: Was im Ernstfall wirklich zählt

Cybersecurity wird oft in Massnahmenlisten gedacht: Tools, Policies, Audits. Das ist wichtig – aber unsere vielleicht wichtigste Erkenntnis aus 30 Jahren ist eine andere: Sicherheit ist keine Checkliste, sondern eine Fähigkeit, die im Alltag verankert sein muss. Ob sie trägt, zeigt sich erst dann wirklich, wenn etwas passiert.

Was wir gelernt haben: Im Ernstfall zählt nicht nur Technik, sondern vor allem Orientierung. Wer entscheidet was? Wer informiert wen? Welche Informationen dürfen nach aussen, welche müssen intern bleiben? Wie arbeiten Fachbereich, IT, Geschäftsleitung und Kommunikation als Team zusammen? Ohne klare Rollen und geübte Abläufe entsteht Stress – und Stress erhöht die Fehleranfälligkeit.

Darum ist gute Vorbereitung mehr als ein Dokument. Sie entsteht durch realistische Szenarien, kurze Entscheidungswege, ein gemeinsames Verständnis von Prioritäten und abgestimmte Kommunikationsbausteine. Übungen wie Tabletops oder Simulationen sind dabei kein Zusatz, sondern der Moment, in dem blinde Flecken sichtbar werden: unklare Zuständigkeiten, fehlende Kontaktketten oder falsche Annahmen über Systeme und Abhängigkeiten.

«Im Ernstfall kannst du vieles delegieren – aber nicht die Verantwortung. Entscheidend ist, dass Rollen, Entscheidungen und Kommunikationswege im Unternehmen so klar sind, dass wir auch unter Druck handlungsfähig bleiben», sagt Andreas Ressnig, CCO der GLAUX GROUP.

Ein weiteres Learning: Klarheit ist wichtiger als Perfektion. Es ist besser, rasch und transparent zu kommunizieren, was man weiss und was noch offen ist, als zu lange auf vollständige Sicherheit zu warten. Gute Vorbereitung schafft die Ruhe, in der sauberes Handeln überhaupt erst möglich wird.

Fazit: Wer Sicherheit technisch, organisatorisch und kommunikativ als Teil der Routine versteht, gewinnt im Ernstfall das Wertvollste: Zeit, Klarheit und Handlungsfähigkeit.