Digitale Resilienz: Cybersicherheit ganzheitlich gedacht

Auf unserem CYBERsicher Zukunftstag stellte Prof. Dr. Dennis-Kenji Kipker (Forschungsdirektor des cyberintelligence institute) in seiner Keynote die aktuelle Bedrohungslage für kleine und mittlere Unternehmen dar und zeigte auf, wie Cybersicherheit ein fester Bestandteil digitaler Resilienz wird. In unserem Format „5 Fragen an…“ erfahren Sie, wie digitale Resilienz in Unternehmen und Betrieben verankert werden kann und welche innovativen Ansätze und Formen die Cybersicherheit in den nächsten Jahren prägen werden.

In Ihrem Vortrag auf unserem CYBERsicher Zukunftstag gingen Sie auf die digitalen Bedrohungen ein, mit denen sich Unternehmen konfrontiert sehen. Welche Bedrohung ist vor allem für kleine und mittlere Unternehmen besonders herauszustellen?

Mit Blick auf Cybersicherheit fehlt es bei kleinen und mittleren Unternehmen oft an den Basics. Das sieht man auch an den Ergebnissen der Studie des TÜV Verbands (Juni 2025). Einerseits ist es so, dass gerade mittelständische Unternehmen das Thema weiterhin vernachlässigen oder andererseits falsch einschätzen. Kleine und mittlere Unternehmen wähnen sich oftmals in Sicherheit und denken, dass ein Cyberangriff nicht bei ihnen stattfinden wird. Einige Unternehmen überschätzen auch ihre Cyber-Abwehrfähigkeit. Da spielt rein, dass die Unternehmen teilweise die Technologie nicht kennen, die bei Cyberangriffen mittlerweile zum Einsatz kommt oder das Thema digitale Lieferkette unterschätzen. Durch Faktoren wie diese wird eine vernünftige Risikoeinschätzung von IT-Sicherheitsrisiken schwierig bis zu unmöglich.

Hinzukommt, dass das Thema Cyber Security gerade bei kleinen und mittleren Unternehmen direkt bei der Geschäftsleitung angesiedelt ist. Wenn auf der Ebene kein Verständnis für die entsprechenden Prozesse und Bedrohungen vorherrscht, wird die Thematik auch nicht in die weiteren Abteilungen hineingetragen. Das führt letztendlich dazu, dass ein Unternehmen nachhaltig vulnerabel wird.

Welche Rolle wird künstliche Intelligenz in den nächsten fünf Jahren im Bereich Cyberattacken spielen?

Das Thema künstliche Intelligenz ist spätestens bereits seit dem letzten Jahrzehnt im Bereich Cybersicherheit präsent und wird dort diskutiert und beobachtet. Bereits zu der Zeit wurde KI zur automatisierten Vorfallsreaktion oder Anomalieerkennung in Computernetzwerken genutzt. In Zukunft wird KI noch eine deutlich größere Rolle spielen. So stellt zum Beispiel die NIS2-Richtlinie ganz klar fest, dass auch innovative Technologien zur Cyberabwehr eingesetzt werden sollen. Und das müssen sie auch – denn die Fertigkeiten und Kapazitäten reichen an dieser Stelle in den meisten Unternehmen nicht aus. Künstliche Intelligenz wird Unternehmen stärker dazu befähigen, Cyberangriffe besser zu bewältigen oder bestenfalls im Vorfeld zu vermeiden – soweit sie denn richtig eingesetzt wird.

Im Bereich Hackerattacken machen sich Cyberkriminelle auch schon seit mehreren Jahren KI zunutze, um Prozesse zu optimieren und Personen zu befähigen, Attacken durchzuführen. Das bedeutet, dass wir in Zukunft mit einem höheren Ausmaß an KI-generierten Angriffen rechnen müssen und kontinuierlich neue Akteure in diesem Feld auftreten werden.

Sie sprachen in Ihrem Vortrag auch von Sicherheit „by design“. Was ist damit gemeint?

Mittelständische Unternehmen verlassen sich immer mehr auf ihre digitale Lieferketten. Der BITKOM hat in seiner Cloud Studie festgestellt, dass 90 Prozent der Unternehmen in Deutschland Cloud-Dienste nutzen. In fünf Jahren, also im Jahr 2030, geht man sogar davon aus, dass die Quote bei 100 Prozent liegen wird. Viele dieser Leistungen sind Software-as-a-Service und da ist man dann wieder im Bereich digitaler Lieferketten. Die Gefahr bei digitalen Lieferketten ist, dass sich viele Unternehmen auf die Cybersicherheit ihrer externen Anbieter verlassen und diese kaum hinterfragen. Für Unternehmen ist es kaum möglich, ihre eigene digitale Lieferkette zu bewerten oder das Cybersicherheitsniveau einzuschätzen. Risiken, die dadurch entstehen, werden entsprechend nicht frühzeitig erkannt und Abwehrmaßnahmen nicht umgesetzt, geschweige denn korrekt in das Risikomanagement integriert.

„Security by design“ bedeutet an dieser Stelle, dass Hersteller von Produkten oder Diensten noch stärker die Verantwortung tragen, Cybersicherheit angemessener als bislang beginnend vom „Reißbrett“ an umzusetzen. Dies wird mit dem Cyber Resilience Act in Zukunft sogar explizit vorgeschrieben. Der CRA besagt, dass Hersteller, Importeure und Vertriebsunternehmen zukünftig „Security by design“ umsetzen müssen, um in der Lage sein zu können, ihre Produkte auf dem europäischen Markt anzubieten.

„Damit die Mitarbeitenden für die Cybersicherheitsthemen sensibilisiert werden, bedarf es einer Geschäftsleitung, die mit gutem Beispiel vorangeht.“
Prof. Dr. Dennis-Kenji Kipker

Wie kann der deutsche Mittelstand in seinen Unternehmen und Betrieben das Thema „digitale Resilienz“ verankern?

Bevor wir über Resilienz sprechen, müssen wir noch einmal auf das Thema der gestiegenen Risiken eingehen. Denn je komplexer ein System am Ende ist, desto wahrscheinlicher ist es, dass Schäden und Ausfälle eintreten. Die Komplexität entsteht unter anderem aus der bereits genannten digitalen Lieferkette, die jedes Unternehmen umgibt und von der es vielfach abhängig ist, um reibungslose und professionelle Prozesse zu gewährleisten. Dessen müssen sich die Unternehmen noch deutlich stärker als bislang bewusst werden.

Außerdem muss die Awareness für das Thema Cybersicherheit viel intensiver in die Betriebe hineingetragen werden, weil eben viele erfolgreiche Cyberangriffe immer noch genau deshalb erfolgreich sind, weil es an der essenziellen Basissensibilisierung fehlt. Damit die Mitarbeitenden für die damit verbundenen Themen sensibilisiert werden, bedarf es einer Geschäftsleitung, die mit gutem Beispiel vorangeht. Cybersicherheit sollte als Chance oder Best Practice im Unternehmen verankert werden. Neben der Absicherung vor Cyberangriffen, können Cybersicherheitsmaßnahmen auch die Außenwirkung im Sinne des Marken-Images positiv beeinflussen und die Vertrauenswürdigkeit auf diese Weise effektiv stärken.

Welchen innovativen Ansatz können kleine und mittlere Unternehmen im Bereich Cybersicherheit bei sich umsetzen?

Letztlich ist Resilienz eine Form von Innovation, was oft übersehen wird. Unternehmen müssen sich auf eine immer wieder neue Bedrohungslage einstellen. Sie müssen Prinzipien und Maßnahmen definieren und diese angemessen zur Umsetzung bringen. Und dadurch wird Cybersicherheit zu einer Art betrieblicher Innovation. Diese proaktive Strategie bedeutet, Innovation umzusetzen und sich gegen Cyberangriffe zu schützen. Ich hoffe, dass dieses Bewusstsein noch viel stärker bei kleinen und mittleren Unternehmen reift. Cybersicherheit ist etwas Positives, Cyberangriffe hingegen sind etwas Negatives – vor allem dann, wenn man nicht richtig mit ihnen umzugehen weiß.