CISOs als Übersetzer: Wenn der Chef Security nicht versteht

Millionenschäden durch Ransomware, lahmgelegte Produktion, gestohlene Kundendaten – während CISOs nachts schweißgebadet aufwachen, winken Chefs ab: “Das wird uns schon nicht treffen.” Ein gefährlicher Irrtum, der Unternehmen in den Ruin treiben kann.

Das Problem: Cybersicherheit ist Chefsache – aber Chefs verstehen sie nicht

Stellen Sie sich vor: Es ist 2 Uhr nachts, und das Telefon klingelt. Ein Ransomware-Angriff hat die Produktion lahmgelegt, Millionen von Kundendaten sind bedroht, und das Unternehmen steht vor dem digitalen Kollaps. Doch nur wenige Monate zuvor hat der Vorstand noch die Investition in neue Sicherheitsmaßnahmen abgelehnt – “zu teuer, zu kompliziert, passiert doch anderen.”

Diese Szene spielt sich häufiger ab, als man denkt. Während IT-Sicherheitsexperten täglich gegen raffinierte Angreifer kämpfen und jede neue Bedrohung im Blick behalten, leben viele Führungskräfte in einer gefährlichen Scheinwelt der Sicherheit. Sie sprechen Business, die IT spricht Tech – und dazwischen klafft eine Kommunikationslücke, die Unternehmen das Leben kosten kann.

Die Zahlen sprechen eine deutliche Sprache: Eine 2024 veröffentlichte Studie von Barracuda Networks zeigt, dass 35 Prozent der kleineren Unternehmen angeben, ihre Führungskräfte würden Cyberangriffe nicht als signifikantes Risiko betrachten. Ein Viertel sieht die Unternehmensführung als unzureichend über Cyberbedrohungen informiert an.

Als Reaktion auf diese besorgniserregenden Erkenntnisse hat Riaz Lakhani, CISO bei Barracuda Networks, einen praxisorientierten Leitfaden mit dem Titel “CISO script: How to talk to business leaders about security risk” entwickelt. Lakhani betont: “Für Führungskräfte kann es schwierig sein, die Cyberrisiken, mit denen ihr Unternehmen konfrontiert ist, umfassend zu verstehen. Dies ist kein Versagen auf Seite der Führungskräfte – es ist oftmals schlicht schwierig, sich für etwas zu interessieren oder sich um etwas zu kümmern, das man nicht versteht.”

Der Kern des Kommunikationsproblems

Warum scheitert die Kommunikation zwischen CISOs und Führungsebene so häufig? Die Gründe sind vielschichtig und haben oft wenig mit mangelnder Intelligenz oder Kompetenz zu tun. Vielmehr prallen hier zwei völlig unterschiedliche Denkwelten aufeinander.

Viele CISOs sind technische Experten, die jahrelang in komplexen IT-Landschaften gearbeitet haben. Ihre Sprache ist geprägt von Begriffen wie “Zero-Trust-Architecture”, “Advanced Persistent Threats” oder “Multi-Factor Authentication”. Was für sie Alltag ist, klingt für Führungskräfte oft wie eine Fremdsprache. Der entscheidende Fehler dabei: CISOs präsentieren Lösungen, bevor sie das Problem verständlich erklärt haben. Sie zeigen bunte Dashboards mit Angriffsstatistiken, ohne zu erklären, was ein erfolgreicher Angriff für das konkrete Geschäft bedeuten würde.

Gleichzeitig denken Führungskräfte in Geschäftsrisiken wie Umsatzverlust, Reputationsschäden, Compliance-Verstöße und Marktanteilen, während CISOs in technischen Risiken denken wie Schwachstellen, Exploits und Malware-Familien. Diese unterschiedlichen Risiko-Frameworks führen zu fundamentalen Missverständnissen. Wenn ein CISO von “kritischen Vulnerabilities in der Infrastruktur” spricht, hört der CEO möglicherweise nur technisches Rauschen. Spricht er dagegen von “einem möglichen dreiwöchigen Produktionsstopp mit geschätzten Verlusten von Tausenden oder Millionen Euro”, wird er plötzlich sehr aufmerksam.

Der CISO als Business-Translator: Praktische Lösungsansätze

Erfolgreiche CISOs haben längst erkannt: Sie müssen zu Business-Übersetzern werden. Die wichtigste Fähigkeit dabei ist das Storytelling. Menschen merken sich Geschichten 22-mal besser als reine Fakten. Statt zu sagen “Wir haben 1.247 Sicherheitsereignisse pro Monat”, erzählen erfolgreiche CISOs: “Letzten Monat hätte ein einziger erfolgreicher Phishing-Angriff auf unseren CFO dazu geführt, dass Betrüger 200.000 Euro auf ausländische Konten überwiesen hätten. Nur unser neues E-Mail-Security-System hat das verhindert.” Diese Herangehensweise macht abstrakte Bedrohungen greifbar und zeigt konkrete Geschäftswerte auf.

Die Monetarisierung von Risiken ist ein weiterer Schlüssel zum Erfolg. Versuchen Sie, Cyberrisiken in Euros und Cents zu übersetzen. Dabei hilft eine strukturierte Herangehensweise: Zunächst bestimmen Sie die Eintrittswahrscheinlichkeit, etwa ‘Unternehmen unserer Größe werden durchschnittlich alle 18 Monate Opfer eines Ransomware-Angriffs’. Dann kalkulieren Sie die Schadenshöhe, beispielsweise: ‘Ausfallzeit: 14 Tage à 15.000 Euro Umsatzverlust entspricht 210.000 Euro, plus Wiederherstellungskosten von 50.000 Euro und geschätzte Reputationsschäden von 100.000 Euro langfristig’. Schließlich rechtfertigen Sie die Investition. Aber Vorsicht: Präzise Schadensprognosen sind oft schwer zu bestimmen. Arbeiten Sie mit Bandbreiten und machen Sie Ihre Annahmen transparent.

Regulatorische Anforderungen bieten eine weitere mächtige Argumentationshilfe. DSGVO, NIS-2, das IT-Sicherheitsgesetz – Führungskräfte verstehen rechtliche Risiken intuitiv sehr gut. Eine effektive Formulierung wäre: “Die neue NIS-2-Richtlinie macht Vorstände persönlich haftbar für Cybersecurity-Versäumnisse. Bei Verstößen drohen Bußgelder von bis zu 2 Prozent unseres weltweiten Jahresumsatzes .”

Moderne Führungskräfte denken außerdem in Chancen, nicht nur in Risiken. Cybersecurity sollte daher als Wettbewerbsvorteil positioniert werden. Ein überzeugendes Beispiel: “Unsere Kunden fragen zunehmend nach unseren Sicherheitsstandards. Mit der geplanten ISO 27001-Zertifizierung können wir uns von 70 Prozent unserer Konkurrenten abheben und neue Großkunden gewinnen. Der ROI liegt bei geschätzten 180 Prozent.”

Die drei kritischen Gesprächsebenen meistern

In seinem Leitfaden identifiziert Lakhani drei essenzielle Kommunikationsebenen, die jeder CISO beherrschen muss. Diese systematische Herangehensweise hat sich in der Praxis als besonders effektiv erwiesen.

Die erste Ebene: Das technische Team bildet die operative Basis der Cybersecurity. Lakhani betont hier die Bedeutung starker Beziehungen: “Dies sind die Kollegen, die ein CISO möglicherweise irgendwann um zwei Uhr morgens mit einer dringenden Anfrage anrufen muss.” Es geht darum, Vertrauen aufzubauen und technische Exzellenz sicherzustellen. Diese Mitarbeiter sind das operative Rückgrat, und mit ihnen kann technisch gesprochen werden. Dennoch gilt auch hier: Verbinden Sie Technik mit Business-Impact. Regelmäßige Simulationen von Angriffen und deren Dokumentation zeigen, wie schnell das Team reagiert. Investitionen in Weiterbildung motivieren die Experten und steigern ihre Kompetenz. Besonders wertvoll ist Cross-functional Training, bei dem Technikern beigebracht wird, ihre Arbeit in Business-Begriffen zu erklären.

Die zweite Ebene: Das mittlere Management fungiert als entscheidende Übersetzungsebene. Nach Lakhanis Empfehlung sollten CISOs regelmäßige Meetings mit den wichtigsten Stakeholdern in kritischen Risikobereichen wie Entwicklung, Finanzen und der Rechtsabteilung etablieren. Der Fokus liegt auf der Entwicklung der Bedrohungs- und Sicherheitslage und deren Bedeutung für Geschäftsstrategie, Unternehmensrisiko und Compliance. Diese Zielgruppe versteht sowohl operative Details als auch strategische Zusammenhänge und ist daher besonders wichtig. Effektive Gesprächsführung bedeutet hier, abteilungsspezifische Risiken zu erklären: dem Vertrieb, wie ein Cyberangriff Kundendaten gefährdet, der Produktion, wie Ransomware Fertigungslinien lahmlegt.

Die dritte Ebene: Der Vorstand erfordert die anspruchsvollste Kommunikationsstrategie. Lakhani rät dazu, vor jedem Gespräch so viel wie möglich über die einzelnen Aufsichtsratsmitglieder zu lernen und die Präsentation so zu gestalten, dass Sprache und Konzepte für diese verständlich sind. Keri Pearlson, Board Member bei Barracuda Networks und Autorin von “A Tool to Help Boards Measure Cyber Resilience”, erklärt die Perspektive des Aufsichtsrats: “Für Führungskräfte und Aufsichtsratsmitglieder ist eine große Frage relevant: Wie können wir uns in einer Welt, in der Cyberbedrohungen zunehmend häufig, unvorhersehbar und potenziell hochgefährlich sind, schützen?” Sie betont weiter: “Ein Aufsichtsrat möchte sehen, dass ein CISO nicht nur eine Lösung dafür hat, wie sich bösartige Akteure vom Unternehmen fernhalten lassen, sondern auch dafür, wie das Unternehmen auf Cybervorfälle reagiert und ihre Folgen minimiert, um die Geschäftskontinuität sicherzustellen.”

Moderne Tools und Metriken für bessere Kommunikation

Das traditionelle Security-Dashboard für Technikexperten muss für Executives völlig neu gedacht werden. Vergessen Sie technische Metriken und fokussieren Sie auf Business-Relevantes. Ein einheitlicher Risk Score von 1 bis 100 zeigt das Gesamtrisiko des Unternehmens an. Ein interaktiver Business Impact Simulator visualisiert mögliche Angriffsszenarien. Ein Ampelsystem für regulatorische Anforderungen macht den Compliance Status sofort erkennbar. Eine klare Darstellung des Investment ROI zeigt, wie Sicherheitsinvestitionen das Risiko reduzieren.

Die Entwicklung einer quartalsweisen Cyber-Resilience-Scorecard spricht verschiedene Stakeholder gezielt an. Für den CFO sind vermiedene Schäden durch Security-Maßnahmen, der ROI der Sicherheitsinvestitionen und die Entwicklung der Versicherungsprämien relevant. Der CEO interessiert sich für den Vergleich mit Branchenstandards, Auswirkungen auf die Marktreputation und die Readiness für M&A-Aktivitäten. Der Rechtsberater fokussiert auf Compliance-Status, regulatorische Risiken und Haftungsreduzierung.

Häufige Stolperfallen vermeiden

Übertreibung ist eine der größten Gefahren. Wenn ständig der Weltuntergang prophezeit wird, aber nichts passiert, geht die Glaubwürdigkeit verloren. Präzision und Realismus in den Risikobewertungen sind essentiell. In Business-Gesprächen rutschen viele CISOs zudem in Technik-Jargon ab. Präsentationen sollten mit Nicht-IT-Kollegen geübt und ehrliches Feedback eingeholt werden. Ohne Follow-up verpuffen auch die besten Botschaften. Eine Zusammenfassung nach jedem Gespräch und konkret definierte nächste Schritte sind unverzichtbar.

Fazit: Der CISO als Business-Enabler

Die Zeiten, in denen CISOs reine Technik-Experten waren, sind vorbei. In der heutigen Geschäftswelt müssen sie Business-Versteher, Risiko-Übersetzer und strategische Berater sein. Die größte Sicherheitslücke in vielen Unternehmen ist nicht technischer Natur – es ist die Kommunikationslücke zwischen IT-Security und Geschäftsführung.

CISOs, die diese Kommunikationskompetenz entwickeln, schaffen nicht nur Verständnis für Cyberrisiken. Sie positionieren sich als unverzichtbare Business-Partner und machen Cybersecurity zu einem strategischen Wettbewerbsvorteil. Wer in der Sprache der Führungsebene über Sicherheit sprechen kann, wird nicht nur mehr Budget bekommen – er wird das Unternehmen sicherer und erfolgreicher machen.