Wenn der Security-Stack schneller wächst als die Strategie

Unternehmen betreiben im Schnitt 83 Sicherheitslösungen von 29 Anbietern. Mehr als die Hälfte der Verantwortlichen sagt zugleich, dass genau diese Zersplitterung ihre Abwehr bremst.

Verwandt: Fünf Posten, die vor dem SIEM Budget brauchen · Welche Controls beim Tool-Abbau nicht wegfallen dürfen

Nach einem Sicherheitsvorfall folgt in vielen Unternehmen ein vertrauter Ablauf. Ein Produkt wird evaluiert, beschafft und eingeführt, die konkrete Lücke gilt danach als geschlossen. Das neue Werkzeug trifft auf eine Umgebung, die bereits aus Dutzenden solcher Einzelentscheidungen besteht.

Am Ende steht ein Flickenteppich. Viele Werkzeuge arbeiten nebeneinander her. Kaum eines ist mit den anderen verbunden, die Gesamtwirkung bleibt offen.

Jeder Vorfall verlängert die Einkaufsliste

Wie groß der Druck geworden ist, zeigt die Schweiz. Seit April 2025 müssen Betreiber kritischer Infrastrukturen Cyberangriffe dem Bundesamt für Cybersicherheit melden. Das BACS zählte bis Februar 2026 über 260 solcher Meldungen.

Auch in Deutschland wächst die Angriffsfläche. Laut BSI-Lagebericht 2025 stieg die Zahl der täglich neu entdeckten Schwachstellen binnen eines Jahres um 24 Prozent. Für fast jede neue Angriffstechnik hält der Markt ein passendes Produkt bereit.

Das Ergebnis lässt sich beziffern. Eine Studie des IBM Institute for Business Value mit Palo Alto Networks kommt Anfang 2025 auf durchschnittlich 83 Sicherheitslösungen von 29 Anbietern je Unternehmen. Palo Alto Networks verkauft selbst Plattformen, der Befund kommt also von einer interessierten Seite.

Das Geld für weitere Werkzeuge ist begrenzt. In einer Umfrage des britischen IT-Sicherheitsunternehmens Sophos vom Frühjahr 2025 gaben in Deutschland 10,5 Prozent der befragten Führungskräfte an, geplante Security-Maßnahmen mangels Budget gestrichen zu haben. Jede Beschaffung ohne klaren Auftrag verdrängt damit eine andere Maßnahme aus demselben Topf.

Was die Strategie vor dem ersten Tool festlegt

Der Engpass liegt selten in der Technik. Es fehlt eine Strategie, die vorgibt, was schützenswert ist, welches Schutzniveau gilt und in welcher Reihenfolge Maßnahmen mit den vorhandenen Mitteln umgesetzt werden.

Dieser Abgleich entscheidet über die Wirkung. Den größten Sicherheitsgewinn bringt die passende Maßnahme zum richtigen Zeitpunkt, auch wenn sie kleiner ausfällt als das umfangreichste verfügbare Projekt.

Wer diesen Schritt überspringt und direkt in Architektur und Umsetzung einsteigt, verliert den Maßstab. Security-Audits liefern dann Befunde ohne strategischen Kontext. Einzelne Maßnahmen werden umgesetzt, während andere Risiken liegen bleiben.

Drei Ebenen mit jeweils eigener Leitfrage

Wirkung entsteht, wenn drei Ebenen sauber getrennt und danach aufeinander abgestimmt sind. Jede Ebene beantwortet eine eigene Frage und gibt der nächsten ihre Vorgaben mit.

1. Security Strategie: Was muss zuerst geschützt werden?

Auf dieser Ebene fallen die Grundsatzentscheidungen. Welches Schutzniveau wird angestrebt, wo bestehen heute Lücken, was für Ressourcen stehen zur Verfügung. Das Ergebnis ist ein Konsens, bei dem alle Beteiligten an einem Strang ziehen und sich keiner übergangen fühlt, weil «sein» Projekt aus dem Budget für nächstes Jahr gestrichen wurde.

2. Architektur: Wie werden die Verteidigungslinien geplant?

Die Architektur übersetzt den Schutzbedarf in Struktur. Sie legt Zonen, Identitäten und Vertrauensgrenzen fest und bestimmt, wo Erkennung und Reaktion ansetzen. Hier zeigt sich, ob ein geplantes Werkzeug eine Lücke schließt oder eine vorhandene Funktion doppelt abdeckt.

3. Design: Welche Maßnahme wird wo umgesetzt?

Erst auf dieser Ebene geht es um Produkte, Konfigurationen und Betriebsabläufe. Jede Design-Entscheidung lässt sich gegen die beiden Ebenen darüber prüfen: Sie bedient einen dokumentierten Schutzbedarf und passt in die geplante Struktur.

In vielen Unternehmen läuft die Reihenfolge umgekehrt. Die Produktentscheidung kommt zuerst, Architektur und Strategie werden nachträglich um sie herum erklärt. Die Übersicht zeigt, was fehlt, wenn eine Ebene übersprungen wird.

NIS2 verlangt nachvollziehbare Sicherheitsentscheidungen

In Deutschland ist die Frage nach der Strategie seit dem 6. Dezember 2025 auch eine rechtliche. An diesem Tag trat das NIS2-Umsetzungsgesetz mit dem neuen BSI-Gesetz in Kraft.

Paragraf 30 BSIG verlangt von betroffenen Einrichtungen geeignete, verhältnismäßige und wirksame Risikomanagementmaßnahmen. Verhältnismäßigkeit lässt sich nur gegen einen dokumentierten Schutzbedarf begründen. Eine Liste beschaffter Produkte belegt sie allein kaum.

Paragraf 38 BSIG nimmt die Geschäftsleitung in die Pflicht. Sie muss die Maßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig an Schulungen teilnehmen. Verletzt sie diese Pflichten, haftet sie gegenüber der Einrichtung.

Für Schweizer Unternehmen mit Niederlassungen in der EU gilt NIS2 unmittelbar, sofern diese unter das Gesetz fallen. In der Schweiz selbst setzt die Meldepflicht für kritische Infrastrukturen einen ähnlichen Impuls: Wer melden muss, braucht Klarheit über die eigenen kritischen Systeme.

KI öffnet neue Datenwege durch die Architektur

Künstliche Intelligenz erhöht den Druck auf diese Klarheit. Mit jedem Assistenten, jeder Analysefunktion und jedem automatisierten Ablauf entstehen Datenwege, die in keinem bisherigen Netzplan verzeichnet sind.

Ein Teil dieser Wege entsteht ungeplant. Laut einer Bitkom-Umfrage aus dem Sommer 2025 ist die private Nutzung von KI-Tools für die Arbeit in 8 Prozent der deutschen Unternehmen weit verbreitet, in weiteren 17 Prozent kommt sie in Einzelfällen vor.

Besonders heikel wird es bei KI-Agenten. Der Entwickler Simon Willison beschreibt als „lethal trifecta“ den Fall, dass ein Agent auf private Daten zugreift, Inhalte aus unsicheren Quellen verarbeitet und nach außen kommunizieren kann. Treffen alle drei Eigenschaften zusammen, kann eine präparierte Webseite oder E-Mail den Agenten dazu bringen, Daten abfließen zu lassen.

AI Security gehört deshalb in dieselbe Strategie wie jedes andere kritische System. Vor dem Rollout steht fest, welche Daten wohin fließen, wer Zugriff hat und wer im Fehlerfall verantwortlich ist. Governance, Transparenz und klare Zuständigkeiten gelten für KI-Systeme genauso wie für die übrige kritische Infrastruktur.

Fünf Prüffragen vor der nächsten Beschaffung

Aus den drei Ebenen ergibt sich ein einfacher Filter für jede neue Anschaffung. Er passt auf eine Seite und lässt sich im Einkaufsprozess verankern.

Ein Werkzeug, das diese Fragen positiv beantwortet, verstärkt die vorhandene Abwehr. Bleiben zwei oder mehr Antworten offen, gehört die Entscheidung zurück auf die Strategie-Ebene.

Für CISOs verschiebt sich damit das Gespräch mit Geschäftsleitung und Einkauf. Es dreht sich um Schutzbedarf und Reihenfolge, das Produkt folgt am Ende. Jede Investition wird so gegenüber der internen und externen Aufsicht begründbar.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Ist Tool-Konsolidierung dasselbe wie eine Security-Strategie?

Konsolidierung senkt die Zahl der Werkzeuge und Verträge. Ob danach die richtigen Funktionen übrig bleiben, entscheidet erst der dokumentierte Schutzbedarf. Ohne ihn droht beim Abbau der Verlust von Kontrollen, die Prüfer später vermissen.

Wer verantwortet die Security-Strategie im Unternehmen?

Erarbeitet wird sie meist vom CISO gemeinsam mit den Fachbereichen. Die Risikoentscheidungen trifft die Geschäftsleitung. In NIS2-pflichtigen Einrichtungen trägt sie dafür auch die rechtliche Verantwortung.

Brauchen KI-Anwendungen eine eigene Sicherheitsstrategie?

Sie brauchen eigene Regeln innerhalb der bestehenden Strategie: freigegebene Werkzeuge, erlaubte Datenklassen, Protokollierung und Verantwortliche je Anwendungsfall. Bei Agenten kommt die Frage hinzu, welche Kombination aus Datenzugriff und Außenkommunikation zulässig ist.

Was bringen Security-Audits ohne Strategie?

Audits und Penetrationstests zeigen konkrete Schwachstellen. Welche davon zuerst behoben werden, lässt sich erst mit festgelegtem Schutzbedarf entscheiden. Mit Strategie wird aus dem Prüfbericht eine priorisierte Maßnahmenliste.

Lesetipps der Redaktion

LesetippShadow AI entsteht oft durch Governance selbstLesetippITDR neben SIEM und EDR: Detection-Architektur 2026LesetippTeilzeit-CISO: Was extern liegen darf, was intern bleiben muss

Mehr aus dem MBF Media Netzwerk

Digital ChiefsNIS2-Organhaftung greift trotz RegistrierungMyBusinessFutureZuerst Daten bereinigen, dann die ERP-KI kaufencloudmagazinSouverän bei Daten, abhängig beim KI-Modell

Bildquelle: KI-generiert (Oktober 2026) · Foto Martin Buck: Axians / Press-Kit