Cybersicherheit braucht Führungskompetenz – Cybersecurity requires leadership skills

In vielen Unternehmen wird Cybersicherheit noch immer wie ein klassisches IT-Problem behandelt – operativ, technisch und punktuell. Doch diese Sichtweise greift zu kurz, denn in einer zunehmend vernetzten, KI-beschleunigten Wirtschaft ist IT-Sicherheit längst nicht mehr nur ein dringend notwendiger Schutzmechanismus. Sie ist vielmehr der strategische Hebel für wirtschaftliche Resilienz, für eine vertrauensvolle Beziehung mit den Stakeholdern und letztlich auch für mehr Wettbewerbsfähigkeit. Trotzdem fehlt ihr in vielen Organisationen genau das, was sie bräuchte: ein klares Mandat, eine strukturelle Verankerung im Top-Management und damit eine Entscheidungsgewalt.

Oft sieht die Realität jedoch anders aus. Wer Verantwortung für Cybersicherheit trägt, steht im Spannungsfeld zwischen widersprüchlichen Interessen. Ein zusätzlicher Sicherheitstest? Zu teuer, sagt das Controlling. Granulare Rechtevergabe? Zu umständlich, meint die IT. Netzwerkrestriktionen für sensible Bereiche? Ein Affront gegenüber der Belegschaft und damit ein Risiko fürs Betriebsklima, findet das Management. Kurzum: Businessziele werden gegen Sicherheitsanforderungen, Benutzerkomfort gegen Risikominimierung und Innovationsdrang gegen Kontrollbedarf abgewogen. Studien wie die Digital Trust Insights 2025 von PwC zeigen: Nur 44 Prozent der deutschen Befragten trauen ihrer eigenen Führungsriege beim Thema Cybersecurity echte Durchschlagskraft zu. Und gerade einmal 35 Prozent der CISOs in deutschen Unternehmen sind aktiv an Infrastruktur- und Technologieentscheidungen beteiligt.

Die unbequeme Wahrheit ist, dass es in vielen Unternehmen den Posten des CISO nicht einmal gibt. Und wenn doch, dann ist dieser mehr Mahner als Entscheider. Damit bleibt seine Schlagkraft begrenzt, wie die PwC-Studie belegt. Häufig hat er nicht einmal ein eigenes Budget, keine direkte Berichtslinie ans Top-Management und kaum Einfluss auf Projektentscheidungen oder Geschäftsstrategien. Der „Security-Verantwortliche“ darf zwar Hinweise geben, aber er darf nichts stoppen – schon gar nicht, wenn ein Geschäftsbereich ein neues Tool schnell live bringen will. Damit bleibt Cybersicherheit ein Parallelprozess statt integraler Bestandteil der unternehmerischen Wertschöpfung. Diese Entkopplung ist gefährlich, denn die Bedrohungslage ist längst nicht mehr nur hypothetisch. Im Gegenteil: Künstliche Intelligenz eröffnet Angriffsflächen, die bis vor Kurzem unvorstellbar waren – von perfekt gemachten Phishing-Mails über täuschend echte Deepfakes bis hin zu komplett automatisierten Penetrationstools. Gleichzeitig geraten Lieferketten, Produktionssysteme und kritische Infrastrukturen zunehmend ins Visier professioneller Angreifer. Die Gefahr ist real und betrifft jedes Unternehmen unabhängig von der Größe.

Wer heute eine Firma führt, muss Sicherheit strategisch denken. Das bedeutet: klare Verantwortlichkeiten, echte Entscheidungskompetenz und ein Platz auf Augenhöhe mit anderen C-Level-Funktionen. Nicht jeder Betrieb braucht einen formellen CISO. Aber jeder Betrieb braucht jemanden, der die Gefahren nicht nur kennt, sondern auch stoppen darf – und zwar rechtzeitig, bevor aus technischen Risiken ein wirtschaftlicher Schaden entsteht.

“In many companies, cybersecurity is still treated like a classic IT problem — operationally, technically, and on a case-by-case basis. However, this perspective is too narrow because, in an increasingly connected, AI-accelerated economy, IT security is more than just an urgently needed protective mechanism. Rather, it is a strategic lever for economic resilience, fostering trust with stakeholders, and ultimately, greater competitiveness. Nevertheless, many organizations lack a clear mandate and structural anchoring in top management, thus lacking decision-making authority.

However, the reality often looks different. Those responsible for cybersecurity often find themselves caught in a conflict of competing interests.

• An additional security test? Too expensive, says the controlling department.
• Granular permission assignment? Too cumbersome, says IT.
• Network restrictions for sensitive areas? Management finds it an affront to the workforce and thus a risk to the working atmosphere.

In short, business goals are weighed against security requirements, user comfort against risk minimization, and the drive for innovation against the need for control.

Studies like PwC’s Digital Trust Insights 2025 show that: Only 44 percent of German respondents trust their leadership team to have a real impact on cybersecurity. Furthermore, only 35 percent of CISOs in German companies actively participate in infrastructure and technology decisions.

The uncomfortable truth is that many companies don’t even have a CISO. If there is one, they tend to be more of a warning bell than a decision-maker. This limits their impact, as the PwC study shows. Often, they don’t have their own budget, direct reporting line to top management, or influence over project decisions or business strategies. The „security officer“ can offer advice but cannot stop anything, especially when a business unit wants to quickly launch a new tool. This means that cybersecurity remains a parallel process rather than an integral part of corporate value creation. This decoupling is dangerous because the threat landscape is no longer hypothetical. On the contrary: Artificial intelligence creates attack surfaces that were unimaginable until recently, including perfectly crafted phishing emails, deceptively realistic deepfakes, and fully automated penetration tools. At the same time, supply chains, production systems, and critical infrastructures are increasingly being targeted by professional attackers. The danger is real and affects every company, regardless of size.

Anyone running a company today must think strategically about security. This means clear responsibilities, genuine decision-making authority, and equal standing with other C-level functions. Not every company needs a formal CISO. However, every business needs someone who knows the dangers and is authorized to stop them in a timely manner before technical risks lead to economic damage.”