Interview: Gut abgesichert ist nicht automatisch resilient

Cyberangriffe lassen sich nicht vollständig verhindern. Entscheidend ist, wie handlungsfähig Unternehmen im Ernstfall bleiben. Benjamin Tiggemann, Leiter des Competence Teams IT Security, und Dominik Kremers, Bereichsleiter Geschäftskunden bei NetCologne Business, erklären, warum Cyberresilienz mehr als technische Schutzmaßnahmen erfordert und welche Rolle widerstandsfähige IT-Infrastrukturen, klare Verantwortlichkeiten und eine gute Vorbereitung spielen.

Mehr zum Thema "Cyberresilienz jenseits der Theorie" erfahren Sie in spannenden Impulsen und Paneldiskussionen bei den Internet Security Days on Tour am 19. November in Köln. Jetzt anmelden!

1. Cyberresilienz bedeutet heute mehr, als Angriffe möglichst zu verhindern. Was
unterscheidet aus Ihrer Sicht ein gut abgesichertes Unternehmen von einem Unternehmen,
das tatsächlich resilient aufgestellt ist?

Benjamin Tiggemann: Ein gut abgesichertes Unternehmen nutzt Standards wie XDR, phishingresistente MFA, sauberes Identity und Access Management sowie Zero-Trust-Prinzipien. Es kennt
seine Angriffsfläche, überwacht diese kontinuierlich und schult Mitarbeitende regelmäßig. Wichtig
sind auch ausreichende interne Ressourcen, um Sicherheitslösungen und Dienstleister wirksam zu
steuern.
Ein resilientes Unternehmen geht einen Schritt weiter: Es geht davon aus, dass Sicherheitsvorfälle
trotz aller Maßnahmen passieren können. Deshalb werden Incident-Response-, Backup- und
Business-Continuity-Prozesse regelmäßig getestet und verbessert. Backups sind unveränderbar
und vom Produktivnetz getrennt.

Der Unterschied: Gute Absicherung reduziert die Wahrscheinlichkeit eines Angriffs. Resilienz
begrenzt dessen Auswirkungen.

2. Bei der ISD Roadshow in Köln sprechen Sie darüber, warum Cyberresilienz bereits im
Datacenter beginnt. Welche Rolle spielen Faktoren wie Redundanz, Backup und
Datenhoheit dabei und wo unterschätzen Unternehmen die Abhängigkeit von ihrer
zugrundeliegenden Infrastruktur?

Dominik Kremers: Viele Unternehmen fragen sich, ob der eigene Serverraum oder ein
Hyperscaler sicherer ist. Hyperscaler verfügen über enorme Ressourcen und spezialisierte
Sicherheitsteams, schaffen aber auch Abhängigkeiten bei Datenhoheit und Anbieterbindung.
Aus unserer Sicht liegt die Lösung oft in hybriden Szenarien. Wer Infrastruktur flexibel zwischen
verschiedenen Standorten oder Anbietern verschieben kann, erhöht seine Resilienz deutlich.
Verteilte Rechenzentren eignen sich dabei für Backups oder als Notfallstandorte.
Zudem wird der Aufwand eines sicheren Eigenbetriebs häufig unterschätzt. Lokale Hosting-Anbieter bieten hier oft Vorteile bei Transparenz, Datenstandort und digitaler Souveränität.

3. Mit NIS-2 und den Anforderungen an kritische Infrastrukturen steigt auch der regulatorische
Druck. Erleben Sie, dass Unternehmen ihre IT-Sicherheit dadurch grundsätzlich
strategischer angehen oder besteht die Gefahr, dass vor allem neue Compliance-Pflichten
abgearbeitet werden?

Benjamin Tiggemann: Mit NIS-2 gibt es erstmals klare Anforderungen und Verantwortlichkeiten
bis in die Geschäftsführung hinein. Das ist ein wichtiger Fortschritt.
Dennoch werden wir beide Entwicklungen sehen: Unternehmen mit bereits etablierten
Sicherheitsprozessen integrieren die Vorgaben meist problemlos. Andere konzentrieren sich vor
allem auf die formale Erfüllung von Compliance-Anforderungen.
Entscheidend wird sein, wie konsequent die Vorgaben kontrolliert und durchgesetzt werden. Erst
dann wird sich zeigen, ob NIS-2 zu mehr Cyberresilienz führt oder vor allem als Pflichtübung
wahrgenommen wird.

4. KI verändert derzeit beide Seiten der Cybersicherheit: Angreifer können Attacken stärker
automatisieren, gleichzeitig entstehen neue Möglichkeiten für die Verteidigung. Verschiebt
KI das Kräfteverhältnis? Und was bedeutet das konkret für Unternehmen, die weder
unbegrenzte Budgets noch große Security-Teams haben?

Benjamin Tiggemann: KI stärkt sowohl Angreifer als auch Verteidiger. Kriminelle können
Phishing-Kampagnen personalisieren und Angriffe effizienter skalieren. Gleichzeitig unterstützt KI
aber auch Sicherheitsteams dabei, Anomalien schneller zu erkennen und Vorfälle besser zu
priorisieren.

Gerade für Unternehmen mit begrenzten Ressourcen ist KI eine Chance. Sie müssen moderne
Sicherheitslösungen nicht selbst entwickeln, sondern können auf professionelle Dienste und
Plattformen mit integrierten KI-Funktionen zurückgreifen. Trotzdem bleibt die Technologie nur ein Werkzeug. Entscheidend sind weiterhin klare Prozesse, Verantwortlichkeiten und eine durchdachte Sicherheitsstrategie.

5. Auf der ISD Roadshow diskutieren Sie mit Vertretern aus Wirtschaft, öffentlicher Hand und
dem BSI über Cyberresilienz. Welche Frage sollten sich Entscheider:innen heute dringend
stellen, die in der alltäglichen Security-Debatte noch zu selten gestellt wird?

Benjamin Tiggemann: Aus Penetrationstests ergeben sich für uns zwei zentrale Fragen. Die
erste: Kennen wir unsere digitale Angriffsfläche wirklich? Häufig finden sich vergessene Systeme,
offene Zugänge oder veraltete Anwendungen, die weder dokumentiert noch bewertet wurden. Sie
erhöhen das Risiko erheblich.
Und die zweite: Was tut unser IT-Dienstleister konkret für die Sicherheit unserer Umgebung? Da
fast jedes Unternehmen auf externe Partner angewiesen ist, sollten deren Sicherheitsmaßnahmen
regelmäßig überprüft werden. Verantwortung lässt sich delegieren, die Haftung jedoch nicht.
Beide Fragen führen zum gleichen Punkt: Resilienz beginnt mit einem realistischen Blick auf den
tatsächlichen Zustand der eigenen IT.

6. Cyberresilienz wird oft als technisches Thema betrachtet. Warum ist sie aus Ihrer Sicht
heute vor allem eine Management- und Kulturaufgabe?

Dominik Kremers: Cyberresilienz entsteht nicht allein mittels Technologie. Die besten Sicherheitslösungen reichen nicht aus, wenn Verantwortlichkeiten unklar sind oder Unternehmen Risiken erst nach einem Vorfall adressieren. Resiliente Organisationen verankern Cyberrisiken auf Managementebene und als Teil des Risikomanagements. Entscheidungen zu Investitionen, Notfallvorsorge oder Datenhaltung werden dabei mit Blick auf die Geschäftskontinuität getroffen.

Gleichzeitig ist Cyberresilienz eine Kulturfrage. Mitarbeitende müssen ihre Rolle kennen, im
Ernstfall handlungsfähig sein und auf klare Prozesse zurückgreifen können. Regelmäßige
Übungen und definierte Kommunikationswege sind dabei ebenso wichtig wie technische
Schutzmaßnahmen. Am Ende zeigt sich Resilienz nicht daran, ob ein Angriff stattfindet, sondern
daran, wie schnell und kontrolliert ein Unternehmen darauf reagieren kann.

Zusammenfassend ist Cyberresilienz aus dem Zusammenspiel von Technologie, Infrastruktur,
Prozessen und einer Unternehmenskultur, die Sicherheit als strategische Verantwortung versteht.
Entscheidend ist nicht nur, Angriffe abzuwehren, sondern den Geschäftsbetrieb auch im Krisenfall
aufrechterhalten und schnell wiederherstellen zu können.