Sicherheitsmetriken, die Vorstände wirklich brauchen: Jenseits von Eitelkeitszahlen

Vorstandsmitglieder stellen bei der Vorlage eines vierteljährlichen Sicherheitsberichts eine berechtigte Frage: Was sollen wir mit diesen Zahlen anfangen? Allzu oft lautet die ehrliche Antwort: Nichts. Der Bericht enthält die Anzahl blockierter Phishing-Mails, Abschlussquoten von Mitarbeiterschulungen und eine allgemeine Bedrohungsfolie eines Softwareanbieters. Das ist reines Aktivitätsreporting, keine Sicherheitsgewährleistung, und es lässt Führungskräfte genau dort zurück, wo sie gestartet sind: außer Stande zu beurteilen, ob das Unternehmen widerstandsfähig ist oder lediglich beschäftigt.

Die Metriken, die für Aufsichtsräte und Vorstände wirklich zählen, messen die Leistungsfähigkeit unter Stress, nicht den investierten Arbeitsaufwand. Ein Vorstand muss nicht wissen, wie viele Spam-Mails im letzten Monat gefiltert wurden. Er muss wissen: Wenn morgen Ransomware zuschlägt, überlebt das Unternehmen die Woche?

Warum die meisten Sicherheitsberichte versagen #

Sicherheitsteams berichten meist das, was ihre Tools automatisch zählen, weil es am einfachsten zu exportieren ist. Das Ergebnis ist ein Dashboard voller Zahlen, die stetig steigen, aber keine Aussagekraft besitzen:

• Blockierte Bedrohungen. Eine hohe Zahl bedeutet meist nur, dass Sie viel Spam erhalten. Jedes E-Mail-Gateway blockiert Millionen Nachrichten; die entscheidende Frage ist, was durchkommt, und kein Tool zählt das ehrlich.
• Abschlussquoten von Sicherheitsschulungen. Ein Abschluss belegt Anwesenheit, kein sicheres Verhalten. Ein Unternehmen kann 100 % Abschlussquote haben und in der Folgewoche dennoch auf einen Social-Engineering-Angriff hereinfallen.
• Tausende offene Schwachstellen. Reine Zahlen ohne Kontext sind wertlos. Zehntausend unkritische Befunde auf internen Testsystemen sind weit weniger gefährlich als zwei kritische Schwachstellen auf einem öffentlich erreichbaren Zahlungsserver.
• Alarmvolumen. Mehr Alerts bedeuten mehr Rauschen, nicht mehr Sicherheit. Hohe Alarmzahlen bei langsamer Bearbeitung belegen eher Überlastung als Einsatzbereitschaft.

Keine dieser Zahlen beantwortet die eigentliche Kontrollfrage des Vorstands: Sind wir vorbereitet, und wie können wir das belegen?

Wie Resilienz in konkreten Zahlen aussieht #

Vorstände steuern Ergebnisse: Geschäftskontinuität, Haftungsrisiken und Reputation. Effektive Kennzahlen messen genau diese Dimensionen.

Erkennungs- und Reaktionsgeschwindigkeit #

Wie viel Zeit vergeht zwischen einer Kompromittierung und ihrer Eindämmung? Mean Time to Detect (MTTD) und Mean Time to Respond (MTTR), gemessen bei realen Vorfällen und simulierten Angriffen, sind die wichtigsten Vitalwerte der Informationssicherheit. Branchenstudien belegen: Unternehmen, die Angriffe innerhalb von Tagen eindämmen, zahlen nur einen Bruchteil der Kosten jener, die Monate benötigen. Sind diese Zahlen nicht bekannt, ist genau das bereits der Befund für den Vorstand.

Nachweisbare Wiederherstellbarkeit (Recovery Proof) #

Backups, die nie erfolgreich wiederhergestellt wurden, sind kein Sicherheitskontrollmechanismus, sondern bloße Hoffnung. Die entscheidende Kennzahl lautet: Wann wurde zuletzt ein vollständiger Produktionsdienst aus dem Backup wiederhergestellt und wie lange hat es gedauert? Ergänzt durch die Abdeckung unübertragbarer (unveränderlicher / WORM) Backups für kritische Kernsysteme. Ein getesteter Restore innerhalb eines vereinbarten Recovery Time Objectives ist einem Vorstand mehr wert als jede Bedrohungsstatistik, denn es ist der direkte Nachweis, dass das Unternehmen einen destruktiven Angriff überlebt.

Krisenübungen und gelöste Erkenntnisse #

Wann hat das Führungsteam zuletzt eine Cyber-Krise simuliert und welche Schwachstellen wurden dabei aufgedeckt? Tabletop-Übungen decken organisatorische Lücken auf: unklare Entscheidungskompetenzen, nicht erreichbare Dienstleister, fehlende Kommunikationsfreigaben. Messen Sie diese wie Audit-Feststellungen: identifiziert, zugewiesen, behoben. Ein Vorstand, der sieht, wie Übungsbefunde planmäßig geschlossen werden, weiß: Die Organisation lernt schneller, als Angreifer sich weiterentwickeln.

Exposition, die tatsächlich zählt #

Ersetzen Sie unübersichtliche Schwachstellenzahlen durch risikobasierte Kennzahlen:

• Kritische oder hohe Schwachstellen auf internetbasierten Systemen, behoben innerhalb des definierten SLAs: Prozentsatz und Trendverlauf.
• Alter der ältesten ungepatchten kritischen Schwachstelle auf umsatzrelevanten Systemen.
• Prozentsatz privilegierter Administratorkonten, die durch Multi-Faktor-Authentifizierung (MFA) und Just-in-Time-Zugriff geschützt sind.

Risiken durch Dritte (Third-Party Exposure) #

Für viele Unternehmen erfolgt der nächste Sicherheitsvorfall über einen Dienstleister. Vorstände sollten wissen: Wie viele kritische Lieferanten wurden technisch auditiert, wie viele Prüfungen sind überfällig und existieren vertraglich bindende Meldefristen für Sicherheitsvorfälle? Das lässt sich sauber auf die Lieferantenrisiko-Governance abbilden, die Vorstände bereits verstehen.

Das Unternehmen vor Schlagzeilen schützen #

Vorstände formulieren ihr Ziel oft pragmatisch: Wir wollen nicht in den Nachrichten landen. Dieses Ziel lässt sich in klare, messbare Komponenten zerlegen:

Ein vierteljährlicher Bericht, der nur diese Tabelle mit Trends und Ausnahmen enthält, gibt einem Vorstand mehr echte Sicherheitsgewähr als vierzig Folien mit Tool-Statistiken.

Wie Sie zu ehrlichen Zahlen gelangen #

1. Messung durch Übungen, nicht Annahmen. Wiederherstellungszeiten stammen aus echten Recovery-Tests. Reaktionszeiten aus simulierten Angriffen.
2. Trends berichten statt Einzelwerte. Verläufe zeigen, ob das Sicherheitsprogramm nachhaltig reift.
3. Jede rote Kennzahl mit einer Entscheidungsanforderung verknüpfen. „Wiederherstellungstest verfehlt RTO; wir benötigen zwei Ingenieure für sechs Wochen“ ermöglicht Entscheidungen.
4. Prägnant bleiben. Eine Seite Kennzahlen und Trends, eine Seite anstehende Entscheidungen. Braucht das Paket ein Vorbriefing, ist es zu kompliziert.

Organisationen, die diesen Berichtsstil übernehmen, entdecken typischerweise etwas Nützliches: Das Gespräch verschiebt sich von der Frage nach dem IT-Budget hin zu konkreten, entscheidbaren Fragen zu Recovery-Objectives, Personalbesetzung und Drittanbieterrisiko. Diese Verschiebung ist das, was Governance sich anfühlen soll.

Unsere vCISO Advisory baut entscheidungsorientierte Vorstandberichte auf, und unsere Cyber Crisis Tabletop-Übungen liefern die praktischen Erkenntnisse für belastbare Kennzahlen.