Deutsche CEOs fürchten Burnout wegen Cyberangriffen

Cyberangriffe belasten deutsche Firmenchefs offenbar auch psychisch: Viele sorgen sich um rechtliche Haftung, ihren Ruf und sogar die eigene Sicherheit. Auf den Ernstfall vorbereitet fühlen sich trotzdem nur wenige.

Eine Umfrage von Cohesity unter 100 deutschen Vorstandschefs belegt, wie sehr die Verantwortung für die IT-Sicherheit auf der Führungsebene lastet. Gleichzeitig zeigt sich, dass diese Sorge kaum in eine realistische Einschätzung der eigenen Vorbereitung mündet.

Cyberangriffe sind für Unternehmen schon lange keine abstrakte Bedrohung mehr, sondern ein reales operatives Risiko. Nach einer aktuellen Studie des Datensicherheitsanbieters Cohesity schlägt sich das inzwischen deutlich auf das Wohlbefinden von Führungskräften nieder. 77 Prozent der befragten deutschen CEOs geben an, durch ihre Verantwortung für Cybersicherheit unter psychischem Druck zu stehen. 60 Prozent sprechen offen von der Angst vor einem Burnout.

Auf die eigene Vorbereitung angesprochen, äußern sich die Befragten deutlich zurückhaltender. Nur 49 Prozent halten sich selbst für psychologisch ausreichend gewappnet. Über ein Drittel der Befragten (36 Prozent) geht sogar davon aus, dass es auf die möglichen Folgen eines Angriffs gar nicht wirklich vorbereitet werden könnte.

Welche persönlichen Konsequenzen die CEOs am meisten fürchten, zeigt die Studie ebenfalls. An erster Stelle steht die rechtliche Haftung, die 41 Prozent der Befragten nennen. Es folgen Rufschädigung (34 Prozent), ein möglicher Karriereknick (33 Prozent), persönliche Haftbarkeit (30 Prozent) sowie der Verlust des eigenen Jobs (28 Prozent). Ein nicht unerheblicher Teil sorgt sich zudem um die eigene Sicherheit (23 Prozent) oder die der Familie (17 Prozent).

Vorbereitung hinkt der Bedrohungslage hinterher

Im internationalen Vergleich schneidet Deutschland laut der Studie schlecht ab. Lediglich 13 Prozent der deutschen CEOs werden binnen fünf Minuten über einen laufenden Cyberangriff informiert. In Frankreich liegt dieser Anteil bei 30 Prozent, in Großbritannien bei 19 Prozent. Auch bei der finanziellen Risikobewertung liegt Deutschland zurück: Nur 49 Prozent der deutschen Befragten haben die möglichen finanziellen Folgen eines Angriffs im Voraus kalkuliert. In Frankreich sind es 64 Prozent, in Großbritannien 76 Prozent.

Diese Vorbereitungslücke steht in einem auffälligen Gegensatz zu den Erwartungen an die eigene Erholungsfähigkeit. 29 Prozent der deutschen CEOs rechnen damit, ihr Unternehmen nach einem Cyberangriff innerhalb eines einzigen Tages wieder voll betriebsfähig zu machen. Zum Vergleich: In Frankreich erwarten das nur 16 Prozent der Befragten, in Großbritannien 20 Prozent. Acht Prozent der deutschen CEOs glauben sogar, dass eine vollständige Wiederherstellung binnen einer Stunde möglich wäre.

Wie unrealistisch diese Annahme ist, verdeutlicht ein Blick auf die tatsächliche Angriffshäufigkeit. Laut Zahlen von ransomware.live gab es im ersten Halbjahr 2026 mehr als anderthalbmal so viele Angriffe auf deutsche wie auf französische Unternehmen. Die Studie kommt daher zu dem Schluss, dass deutsche CEOs die Sicherheitslage insgesamt deutlich unrealistischer einschätzen als ihre Kollegen in Frankreich und Großbritannien.

Digital Jump Bag und Minimum Viable Company als Gegenmaßnahmen

Christoph Linden, bei Cohesity als Director Solution Architecture Europe tätig, sieht in den Umfrageergebnissen vor allem einen Beleg dafür, dass viele CEOs sich der Risiken durchaus bewusst sind. „Entscheidend ist, aus dieser Sorge eine konkrete Vorbereitung abzuleiten“, so Linden. Wer sich frühzeitig mit möglichen Angriffsszenarien auseinandersetze, wisse im Ernstfall, was zu tun sei, und müsse seltener unter Unsicherheit entscheiden. Ein Cyberangriff lasse sich zudem nicht mit dem Ausfall eines Rechenzentrums gleichsetzen. Unternehmen müssten deshalb vorab festlegen, welche Prozesse, Systeme und Abhängigkeiten minimal nötig sind, um überhaupt handlungsfähig zu bleiben.

Konkret empfiehlt Cohesity zwei Maßnahmen. Zum einen einen sogenannten Digital Jump Bag, also einen sicheren, isolierten Speicherort, der alles enthält, was für die erste Reaktion auf einen Angriff sowie für einen vertrauenswürdigen Ausgangspunkt der Wiederherstellung benötigt wird. Zum anderen das Konzept der Minimum Viable Company. Damit ist die kleinste Version einer Organisation gemeint, die im Notfall weiterarbeiten, Kunden bedienen und ihren Verpflichtungen nachkommen kann. Sie umfasst die minimale Kombination aus Mitarbeitenden, Prozessen, Technologien, Dokumentation, Einrichtungen und Abhängigkeiten von Drittanbietern, die für die Aufrechterhaltung des Geschäftsbetriebs unter eingeschränkten Bedingungen nötig ist. Wichtig sei laut Cohesity, dieses Minimalziel regelmäßig zu testen, damit die Wiederherstellung im Ernstfall kontrolliert geplant werden kann.

(red/Cohesity)