Artikel vom 13. Mai 2026
Warum IT-Resilienz Chefsache ist: 5 Argumente für den Vorstand
1. Persönliche Haftung des Geschäftsführers unter NIS2 #
Das Wichtigste zuerst: NIS2 in Kraft seit 6. Dezember 2025 verpflichtet Unternehmen zur IT-Resilienz. Aber das ist nicht einfach eine Compliance-Pflicht wie eine andere. NIS2 § 30 des neuen BSIG definiert Business Continuity und Incident Handling als Managementaufgaben mit persönlicher Verantwortung des Geschäftsführers.
Was das bedeutet: Wenn ein Unternehmen einen Cyberangriff erleidet und IT-Resilienz-Maßnahmen fehlen oder evident unterinvestiert wurden, kann der Geschäftsführer persönlich für Fahrlässigkeit oder Verletzung seiner Sorgfaltspflichten haftbar gemacht werden. Das ist nicht Compliance-Theater — das ist Schuldrecht mit echten Konsequenzen.
Die Lehre: Dokumentieren Sie Resilienz-Entscheidungen und Investitionen. Ein Audit-Trail, dass der Vorstand sich bewusst mit IT-Resilienz auseinandergesetzt hat, ist der beste Schutz gegen Vorwürfe später.
2. Kosten eines Ausfalls vs. Kosten der Prävention #
Lassen Sie uns rechnen. Nach Bitkom 2024 beträgt der durchschnittliche Schaden pro Cyberangriff in Deutschland 5,3 Mio. EUR (Schätzung). Das umfasst nicht nur direkte Kosten (Lösegeld, Forensik, Recovery) sondern auch indirekte Kosten (Ausfallzeiten, Kundenabgang, Reputationsschaden, regulatorische Strafen).
Ein typisches Enterprise-Resilienz-Programm kostet zwischen 500.000 EUR und 2 Mio. EUR im ersten Jahr (abhängig von Größe und Komplexität), dann fallen jährliche Betriebskosten von 200.000 bis 500.000 EUR an.
Die Rechnung ist einfach: Eine einzige erfolgreiche Ransomware-Attacke ohne robuste Resilienz kostet 5,3 Mio. EUR im Mittel. Mit guter Resilienz (und schneller Wiederherstellung) sinken Schäden oft auf 10 – 20% dieser Summe ab. Ein Jahr Resilienz-Investition kann sich bei einem einzigen Angriff amortisieren.
Zusätzlich: Unternehmen ohne dokumentierte Recovery-Fähigkeit zahlen Lösegeld häufiger (56% der Opfer zahlen, laut Sophos 2024). Mit nachgewiesener Recovery-Kapazität können Angreifer abgewehrt werden — weil ihre Erpressung unwirksam wird.
3. Versicherungsanforderungen verschärfen sich #
Cyber-Versicherungen, die bis 2021 noch relativ großzügig waren, stellen heute deutlich höhere Anforderungen. Viele Assekuranzen verlangen jetzt nachgewiesene Resilienz-Maßnahmen als Bedingung für Deckung:
- Backup-Isolation (Air-Gap-Architektur mit mindestens Tier-2-Backups)
- Regelmäßige Recovery-Tests (mindestens quartalsweise)
- Dokumentierter Incident Response Plan
- Dokumentiertes Business Continuity Management
- Multi-Faktor-Authentifizierung auf kritischen Systemen
Ohne diese Maßnahmen: Prämien steigen, oder der Versicherer lehnt Deckung ab. Mit dokumentierter Resilienz: bessere Konditionen, niedrigere Prämien, höhere Deckungssummen. Ein Unternehmen mit Tier-2-Backups und Recovery-Tests kann mit Versicherern um 15 – 30% niedrigere Prämien verhandeln.
4. Kundenvertrauen und Reputationsschutz #
Große Kunden — insbesondere im Financial Services, im Public Sector oder in Kritischer Infrastruktur — verlangen jetzt durch Verträge, dass Sie nachweisbare IT-Resilienz haben. Sie werden nach RTO/RPO (Recovery Time Objective / Recovery Point Objective) gefragt, Sie werden zu Recovery-Tests eingeladen, Sie müssen Compliance-Audits bestehen.
Ein Unternehmen, das bei einem Angriff herumtaumelt und nicht weiß, wann es wieder verfügbar ist, verliert nicht nur den Kunden sondern auch Vertraube bei anderen Kunden, die von dem Vorfall erfahren.
Umgekehrt: Ein Unternehmen, das sagen kann “Wir halten Tier-2-Backups mit Air-Gap-Isolation, unsere RTO ist 4 Stunden für ERP und 24 Stunden für Fileserver, und wir testen das vierteljährlich” — dieses Unternehmen gewinnt Kundenverträge und Marktanteile.
In der B2B-Welt ist Resilienz ein Wettbewerbsvorteil geworden.
5. Lieferketten-Abhängigkeiten und Systemrisiko #
Jedes Unternehmen ist Teil einer Lieferkette. Ein Ausfall bei Ihnen kann Kunden schaden. Ein Ausfall bei einem Ihrer kritischen Zulieferer kann Ihre Produktion lahmlegen. Das ist keine theoretische Frage mehr — es ist Alltag seit COVID und den jüngsten -Wellen.
NIS2 § 30 verlangt von größeren Unternehmen, auch ihre Lieferkette zu bewerten und mit Zulieferern Resilienz-Anforderungen zu vereinbaren. Das bedeutet: Ihre Customers werden Sie fragen, wie resilient Sie sind. Und Sie müssen Ihre Suppliers fragen, wie resilient sie sind.
Ein Unternehmen ohne dokumentierte Resilienz wird zum Schwachpunkt der gesamten Lieferkette. Das kann zu Aufträgen-Verlust führen.
Wie man den Vorstand überzeugt #
Resilienz wird zum Thema, wenn Sie es im Business-Case-Framing präsentieren:
- Verlust-Vermeidung: “Für 1 Mio. EUR Investment können wir 5+ Mio. EUR Schadensersatz vermeiden.”
- Compliance-Erfüllung: “NIS2 verlangt Resilienz. Ohne dokumentierte Maßnahmen haben wir persönliche Haftungsrisiken.”
- Versicherungs-Kostenersparnis: “Mit Tier-2-Backup und Recovery-Tests sparen wir 15 – 30% Versicherungsprämien jedes Jahr.”
- Kundengewinnung: “Große Kunden fragen jetzt nach RTO/RPO. Ohne dokumentierte Resilienz verlieren wir Aufträge.”
- Systemrisiko-Minderung: “Als Lieferer müssen wir Resilienz-Standards erfüllen, sonst werden wir deselektiert.”
Das ist die Vorstandssprache: Risikominderung, Kostenersparnis, Wettbewerbsfähigkeit, Compliance.
Häufige Fragen #
Wer ist verantwortlich — IT oder Vorstand? Der Vorstand trägt die Gesamtverantwortung. IT umsetzt. Aber die Governance-Verantwortung liegt beim Board oder dem Audit Committee.
Kann ein kleineres Unternehmen IT-Resilienz leisten? Ja, skaliert. Ein KMU braucht nicht die gleiche Komplexität wie ein DAX-Konzern. Aber Air-Gap-Backup und regelmäßige Recovery-Tests sind auch für KMUs wirtschaftlich.
Wenn wir in die Cloud gehen, brauchen wir dann weniger Resilienz? Nein. Cloud-Anbieter haben ihre eigene Verfügbarkeit, aber Ihre Geschäftslogik und Daten-Integrität sind Ihre Verantwortung. Cloud ersetzt nicht Resilienz-Planung.
Ransomware
Ransomware ist Schadsoftware, die Daten auf infizierten Systemen verschlüsselt und ein Lösegeld für die Entschlüsselung fordert — mit dem Ziel, Unternehmen und Behörden zur Zahlung zu zwingen, indem sie deren Betrieb lahmlegen.