Selbstvertrauen überschattet strukturelle Mängel in der Cybersicherheit

„Cyberkriminelle greifen Deutschland jeden Tag an“, warnte Bundesinnenminister Alexander Dobrindt erst kürzlich. Die Zahlen aus dem Bundeslagebild Cybercrime 2025, geben ihm recht.

87 Prozent der deutschen Unternehmen berichten von Datendiebstahl, Spionage oder Sabotage, der jährliche Schaden durch Cyberkriminalität hat 202 Milliarden Euro erreicht. Allein 2025 wurden über 1.000 Ransomware-Angriffe registriert, Tendenz steigend.

Und dennoch überwiegt in den Vorstandsetagen erstaunlich oft das Gefühl der Kontrolle. Investitionen wurden getätigt, Strategien entwickelt, Sicherheitstools eingeführt. Viele Unternehmen sind überzeugt, für den Ernstfall gerüstet zu sein. Doch genau darin liegt das eigentliche Problem.

Denn das Vertrauen in die eigene Vorbereitung ist größer als die tatsächliche Widerstandsfähigkeit. Eine globale Studie belegt, dass 79 Prozent der Unternehmen sich für gut aufgestellt gegen Cyberangriffe halten. Zudem glauben 76 Prozent auch einer KI-gesteuerten Bedrohung standhalten zu können. Angesichts der rasanten Entwicklung von KI und anhaltender geopolitischer Spannungen erweisen sich diese Einschätzungen jedoch als trügerisch. Was sich hier abzeichnet, ist ein Paradoxon: Unternehmen fühlen sich vorbereitet, sind es aber strukturell nicht. Wo also liegt das Problem?

Wenn Bereitschaft mit Widerstandsfähigkeit verwechselt wird

Der eigentliche Auslöser dieses Paradoxons ist der rasante Aufstieg der KI. Als Werkzeug dominiert sie die Diskussionen in Vorstandsetagen – doch während Verteidiger noch dabei sind, sie einzuführen, haben Angreifer sie längst als Waffe im Einsatz. Die defensiven Ambitionen hinken der operativen Realität hinterher.

Das zeigen auch die Zahlen: 54 Prozent der Unternehmen räumen ein, nicht über das nötige Budget zu verfügen, um umfassend in KI-gestützte Sicherheitslösungen zu investieren. 55 Prozent fehlt das Fachwissen, um diese Technologien überhaupt wirksam einzusetzen. Die Mehrheit der Teams baut also noch die Fähigkeiten auf, die für genau jene Werkzeuge erforderlich sind, zu deren Nutzung sie bereits aufgerufen werden.

Gleichzeitig vergrößert KI die Angriffsfläche, die Sicherheitsteams zu verteidigen haben. Moderne Unternehmen agieren in weitläufigen digitalen Ökosystemen – von Cloud-Infrastrukturen bis hin zu Drittanbieter-Integrationen. Jede neue Verbindung ist ein potenzielles Einfallstor. Für die Verteidiger bedeutet das: eine stetig wachsende Zahl von Assets, Warnmeldungen und Zugriffspunkten – ein immer dichteres Geflecht an Komplexität.

Genau diese Komplexität nutzen Angreifer aus. Unternehmen werden täglich mit durchschnittlich 960 Sicherheitswarnungen konfrontiert. Das zwingt zu ständiger Priorisierung – doch viele Meldungen liefern nicht den nötigen Kontext, um rasch und sicher zu entscheiden. Die Folge sind verlangsamte Reaktionen, übersehene Warnsignale und eine Lücke zwischen vermeintlicher und tatsächlicher Bereitschaft. Kein Wunder, dass Schlagzeilen wie „Mit China verbundene Hacker infiltrieren Telekommunikationsunternehmen in 42 Ländern“ oder „Ein einziges kompromittiertes Konto gewährt Zugriff auf 1,2 Millionen Bankdatensätze“ immer häufiger werden. Eine ignorierte Warnung, eine übersehene Schwachstelle – und ein Angreifer hat sein Einfallstor.

Ein weiteres Problem liegt in der Art, wie Bereitschaft gemessen wird. Für viele Organisationen ist sie eng mit Compliance verknüpft: Audits bestehen, Kontrollen implementieren, regulatorische Vorgaben erfüllen. Doch Compliance-Erfolg ist kein Beweis für technische Resilienz. Auf dem Papier mag alles ordnungsgemäß sein. Die Rahmenwerke werden befolgt, viele sinnvolle Tools sind im Einsatz, und dennoch bleibt die zugrunde liegende Umgebung schwer durchschaubar und kaum zu verteidigen. Das erklärt, warum 66 Prozent der globalen IT-Entscheidungsträger angeben, bereits zwei oder mehr Sicherheitsverletzungen erlebt zu haben und warum die Hälfte von ihnen zugibt, ihr Ökosystem auch nach einem Angriff nicht vollständig absichern zu können.

Von Selbstvertrauen zu Resilienz

Unternehmen benötigen nicht ein weiteres neues Tool – sondern ein klareres Bild davon, wo die Risiken tatsächlich lauern. Genau hier setzt Cyber Exposure Management an. Es verlagert den Fokus von der reaktiven Bearbeitung von Vorfällen hin zu einem kontinuierlichen Verständnis der Risikoentwicklung im gesamten Unternehmen.

Ein Beispiel: In einem typischen Großunternehmen sind tausende Geräte miteinander vernetzt: Laptops, Drucker, Betriebsausstattung. Eine einzige Phishing-E-Mail genügt, um den Laptop eines Mitarbeiters zu kompromittieren. Isoliert betrachtet wirkt das wie ein Vorfall mit geringer Priorität. Doch hat dieser Laptop Zugriff auf kritische Laufwerke, interne Anwendungen oder Betriebssysteme, eröffnet sich dem Angreifer ein Weg tiefer ins Netz, direkt zu sensiblen Daten oder zentralen Diensten. Sicherheitsteams, denen der Überblick über diese Verbindungen fehlt, priorisieren zwangsläufig nach technischer Schwere statt nach operativer Tragweite.

Genau hier wird ein anderes Denken verlangt. Schwachstellen sollten nicht als isolierte technische Probleme betrachtet werden. Stattdessen sollte man Assets, Verbindungen und Abhängigkeiten kontinuierlich kartieren, um sichtbar zu machen, wo sich Risiken tatsächlich konzentrieren. Das ist echte Vorsorge, nicht der illusorische Versuch, jede Schwachstelle zu eliminieren, sondern das Bestreben, die eigene Gefährdung präzise zu verstehen. Dieses Verständnis entsteht durch kontinuierliche Transparenz: Ressourcen werden in Echtzeit identifiziert, ihr Verhalten nachverfolgt, ihre Verbindungen analysiert. Herkömmliche Sicherheitstools stoßen hier schnell an ihre Grenzen. Auf dieser Grundlage lassen sich Lücken gezielter priorisieren – stets mit Blick auf die geschäftlichen Auswirkungen. Das schafft Klarheit darüber, wo Investitionen die größte Wirkung entfalten, welche Systeme geschäftskritisch sind und worauf Abwehrmaßnahmen ausgerichtet sein sollten, bevor es zu Störungen kommt.

Unternehmen brauchen einen nüchternen Blick auf die eigene Bereitschaft

Ein untrügliches Zeichen für das Paradoxon ist die Art, wie Unternehmen ihre eigene Umgebung wahrnehmen. Mehr als jeder Zehnte – 13 Prozent– glaubt, dass es in seinem Betrieb schlicht keine Sicherheitslücken gibt. Angesichts der heutigen Bedrohungslage sollte diese Gewissheit eher Fragen aufwerfen als Vertrauen wecken. Moderne digitale Ökosysteme sind zu stark vernetzt, zu dynamisch und zu exponiert, als dass Risiken jemals vollständig beseitigt werden könnten. Es geht nicht darum, alle Risiken zu eliminieren – sondern darum zu verstehen, wo sie bestehen und wie schnell sie sich verändern können. Für Führungskräfte erfordert das ein Umdenken: Echte Bereitschaft zeigt sich nicht in ruhigen Zeiten. Sie bewährt sich unter Druck.

Autor: Alex Mosher, Präsident bei Armis