Kaum jemand vertraut seinem Sicherheitsanbieter voll

Eine von Sophos unterstützte Umfrage unter 5.000 Organisationen zeichnet ein ernüchterndes Bild des Vertrauens in Cybersecurity-Anbieter.

Vertrauen ist in der IT-Sicherheit offenbar zur Mangelware geworden, zumindest wenn man einer aktuellen Studie folgt, die der Security-Anbieter Sophos unterstützt hat. Laut dem Bericht „Cybersecurity Trust Reality 2026“ geben 95 Prozent der befragten Organisationen an, ihren Anbietern für Cybersicherheit nicht vollständig zu vertrauen. Nur jede zwanzigste Organisation hätte demnach uneingeschränktes Vertrauen in ihre Dienstleister.

„Vertrauen ist in der Cybersicherheit kein abstraktes Konzept, sondern ein messbarer Risikofaktor“, sagt Ross McKerchar, CISO bei Sophos. „Wenn Organisationen die Sicherheitsreife, Transparenz und die Praktiken zur Vorfallsbehandlung eines Anbieters nicht unabhängig überprüfen können, fließt diese Unsicherheit direkt zu den Vorständen und in die Sicherheitsstrategien ein.“

Für die Erhebung wurden nach Angaben von Sophos 5.000 Organisationen in 17 Ländern befragt. Die Studie sei anbieterunabhängig durchgeführt worden.

Vertrauen lässt sich kaum bewerten

Neben dem grundsätzlichen Misstrauen offenbart die Umfrage vor allem ein Messproblem. 79 Prozent der Befragten tun sich schwer damit, die Vertrauenswürdigkeit neuer Sicherheitspartner überhaupt einzuschätzen. Selbst bei bestehenden Anbietern bezeichnen 62 Prozent diese Bewertung als Herausforderung. Etwas mehr als die Hälfte (51 Prozent) führt eine gestiegene Sorge vor einem schweren Cybervorfall direkt auf dieses fehlende Vertrauen zurück.

Als größten Hebel für mehr Vertrauen nennt die Studie überprüfbare Nachweise: unabhängige Bewertungen, Zertifizierungen und belegbare operative Reife. Während CISOs vor allem Wert auf Transparenz bei Sicherheitsvorfällen und konstante technische Leistung legen, gewichten Vorstände und Geschäftsführungen unabhängige Validierungen und Analystenbewertungen stärker. Der gemeinsame Nenner: Belege statt pauschaler Zusicherungen.

KI verschärft die Vertrauensfrage

Zusätzlichen Druck erzeugt laut Studie der zunehmende Einsatz von KI in Sicherheitsprodukten, Services und Workflows. Organisationen prüften nicht mehr nur, ob ein Tool funktioniere, sondern auch, ob KI verantwortungsvoll, transparent und mit angemessener Governance eingesetzt werde. Phil Harris, Research Director für Governance, Risk and Compliance bei IDC, sieht darin einen Wandel: „Da der regulatorische Druck weltweit steigt, müssen Organisationen Sorgfaltspflicht bei der Auswahl von Anbietern nachweisen können, insbesondere dort, wo KI im Spiel ist.“ Und weiter: „Vertrauen entwickelt sich von einer Marketingbotschaft zu einer nachweisbaren Compliance-Anforderung.“

„Von CISOs wird verlangt, Vertrauen zu beweisen und nicht einfach vorauszusetzen“, fügt McKerchar hinzu. „Anbieter für Cybersicherheit müssen dasselbe tun.“ Als Haupthindernis für eine belastbare Vertrauensbewertung nannten die Befragten den Mangel an zugänglichen, ausreichend detaillierten Informationen. Vertrauen, so McKerchar, müsse „durch Transparenz, Rechenschaftspflicht und unabhängige Validierung kontinuierlich erworben werden“.