Blindflug in der IT - ist keine Strategie

"Eigentlich dachte ich, wir wären ganz gut aufgestellt."

Diesen Satz hören wir erstaunlich oft. Allerdings nicht zu Beginn eines Gesprächs, sondern meist am Ende – nachdem wir gemeinsam einen Blick auf den aktuellen Stand eines Unternehmens geworfen haben.

Dabei geht es selten um eine fehlende Firewall oder veraltete Antivirensoftware. Die meisten Unternehmen investieren seit Jahren in ihre IT und haben viele sinnvolle Maßnahmen umgesetzt. Viel häufiger fehlt etwas anderes: der Überblick.

Und genau das ist verständlich.

Als Geschäftsführer müssen Sie Ihr Unternehmen steuern. Sie beschäftigen sich mit Kunden, Mitarbeitenden, Finanzen und strategischen Entscheidungen. Niemand erwartet von Ihnen, dass Sie beurteilen können, ob eine Firewall richtig konfiguriert ist, oder welche Sicherheitsmechanismen im Hintergrund arbeiten. Dafür gibt es Spezialisten.

Die eigentliche Frage lautet deshalb nicht, wie Ihre IT abgesichert ist. Die entscheidende Frage lautet: Woher wissen Sie, dass Ihr Unternehmen insgesamt gut aufgestellt ist?

Stellen Sie sich vor, Ihr Steuerberater würde Ihnen im Jahresgespräch sagen: „Ich glaube, Ihr Unternehmen steht finanziell ganz gut da.“ Vermutlich würden Sie sofort nachfragen. Welche Zahlen sprechen dafür? Wo liegen Risiken? Welche Entwicklungen zeichnen sich ab? Schließlich treffen Sie Ihre Entscheidungen nicht aufgrund eines Bauchgefühls, sondern auf Basis belastbarer Informationen.

Genau diese Transparenz fehlt beim Thema Informationssicherheit häufig. Nicht, weil niemand Verantwortung übernimmt, sondern weil sie sich über Jahre entwickelt. Neue Anwendungen kommen hinzu, Prozesse verändern sich, gesetzliche Anforderungen wachsen und Zuständigkeiten verschieben sich. Irgendwann besteht das große Ganze aus vielen einzelnen Bausteinen – aber niemand kann mit Sicherheit sagen, wie gut sie tatsächlich zusammenspielen.

Aus unserer Erfahrung ist das kein Zeichen schlechter Arbeit. Ganz im Gegenteil. In vielen Unternehmen wurde bereits viel investiert und vieles richtig gemacht. Trotzdem fällt es schwer, den eigenen Stand objektiv einzuordnen. Wo liegen die größten Risiken? Welche Maßnahmen sind bereits wirksam? Welche Themen sollten als Nächstes angegangen werden? Und welche Anforderungen erfüllen wir vielleicht längst, ohne es bewusst zu wissen?

Genau an dieser Stelle hilft eine strukturierte Bestandsaufnahme. Bei Schneider + Wulf nennen wir diesen Einstieg ITQ-Basisprüfung. Dahinter verbirgt sich keine Prüfung im klassischen Sinne, sondern eine Standortbestimmung. Gemeinsam betrachten wir die technischen und organisatorischen Rahmenbedingungen, bewerten den aktuellen Reifegrad und schaffen eine nachvollziehbare Grundlage für die nächsten Entscheidungen.

Das Ziel ist dabei nicht, möglichst viele Schwachstellen zu finden. Viel wichtiger ist es, Zusammenhänge sichtbar zu machen und Prioritäten zu schaffen. Denn nicht jedes Risiko muss sofort beseitigt werden und nicht jede Maßnahme hat die gleiche Bedeutung. Wer seinen aktuellen Stand kennt, kann Ressourcen gezielt einsetzen und dort investieren, wo sie den größten Nutzen bringen.

Interessanterweise sind die größten Erkenntnisse häufig nicht technischer Natur. Immer wieder erleben wir, dass Verantwortlichkeiten nie eindeutig festgelegt wurden, Risiken zwar bekannt, aber nie gemeinsam bewertet wurden oder Prozesse im Alltag gut funktionieren, ohne dokumentiert zu sein. Das sind keine außergewöhnlichen Mängel. Sie entstehen ganz natürlich, wenn Unternehmen wachsen und sich weiterentwickeln. Der entscheidende Unterschied ist: Sobald diese Themen sichtbar werden, lassen sie sich gezielt verbessern.

Informationssicherheit ist deshalb kein Projekt, das irgendwann abgeschlossen ist. Sie entwickelt sich mit dem Unternehmen weiter. Neue Kunden, neue Technologien, neue gesetzliche Anforderungen oder veränderte Geschäftsprozesse sorgen dafür, dass sich auch der Blick auf Risiken immer wieder verändert.

Deshalb beginnt gute Informationssicherheit aus unserer Sicht nicht mit neuen Maßnahmen, sondern mit einer einfachen Erkenntnis:

Wer gute Entscheidungen treffen möchte, braucht zunächst einen klaren Überblick.

Denn erst wenn klar ist, wo ein Unternehmen heute steht, lassen sich die nächsten Schritte sinnvoll planen – unabhängig davon, ob es um organisatorische Themen, technische Maßnahmen oder die langfristige Weiterentwicklung der Informationssicherheit geht.