---
title: "Das Budget ist die ehrlichere Risikoanalyse"
date: 2026-08-03T07:35:00+02:00
draft: false
image: "2026-08-03_Budget-als-Risikoanalyse.jpg"
tags: ["Montagspost", "ISMS", "Security Governance", "Risikomanagement"]
description: "Das Risikoregister zeigt, was eine Organisation zu Protokoll gibt. Das Budget zeigt, was sie wirklich vorzieht."
---

## ❓ Wogegen entscheiden wir eigentlich?

„Sicherheit ist ein Entscheidungsproblem, kein Werkzeugproblem." Der Satz stimmt zur Hälfte. Denn jede Beschaffung ist bereits eine Entscheidung: darüber, was zählt, was wartet und was niemand ansieht. Wir entscheiden nicht zu selten. Wir entscheiden verdeckt – und nennen es Einkauf.

## 🔍 Was verrät das Budget?

Ein Risikoregister zeigt, was eine Organisation zu Protokoll gibt. Das Budget zeigt, was sie tatsächlich vorzieht. Wo beide sich widersprechen, hat das Budget recht. Der Benchmark von IANS und Artico Search zeigt für 2025 eine Asymmetrie: Für Werkzeuge ist Geld da, für Personal nicht. Nur 45 Prozent der befragten CISOs konnten Stellen aufbauen – vor drei Jahren waren es 67 Prozent. Zugleich kommen laut der SANS 2025 SOC Survey zwei Drittel der Teams mit dem Alarmaufkommen nicht hinterher. Wir haben also Augen gekauft und keine Hände. Das ist eine Priorisierung – nur hat sie niemand als solche beschlossen. Den Rahmen setzt selten die Sicherheitsfunktion. Ihn zu füllen aber schon.

## ⚡ Warum weichen beide voneinander ab?

Weil eine Beschaffung Verantwortung verteilt und eine ausdrückliche Risikoakzeptanz sie bündelt. Für ein Werkzeug bürgen ein Gremium, ein Vertrag und ein Anbieter. Für den Satz „Dieses Risiko tragen wir" bürgt eine Person. Gerd Gigerenzer und sein Team haben es gemessen: 950 Führungskräfte einer öffentlichen Verwaltung nannten ihre zehn wichtigsten Entscheidungen des vergangenen Jahres. Im Schnitt fielen 2,5 davon defensiv: bewusst die zweitbeste Option, weil sie sich hinterher besser verteidigen lässt. Ich halte die Werkzeugfrage deshalb für die bequemste Ablenkung, die unsere Branche kennt. Sie beschäftigt uns mit dem, was wir bestellen können, statt mit dem, wofür wir geradestehen.

## 🎯 Was daraus folgt

Das NIST CSF 2.0 verlangt in seiner GOVERN-Funktion die Verbindung, die in der Praxis fehlt: Ausgaben, die aus einem erklärten Risikoappetit folgen. Bei vier Prozent Budgetwachstum wird sie nicht bequemer, sondern dringlicher. Reife zeigt sich dort, wo Budget und Risikoregister dieselbe Geschichte erzählen.

Wer wissen will, welche Risiken eine Organisation wirklich akzeptiert, muss nicht ins Risikoregister sehen. Die Rechnungen genügen.

## 📚🔍

- IANS Research und Artico Search: 2025 Security Budget Benchmark Summary Report [https://www.prnewswire.com/news-releases/ians-research-and-artico-search-release-security-budget-benchmark-report-302521455.html](https://www.prnewswire.com/news-releases/ians-research-and-artico-search-release-security-budget-benchmark-report-302521455.html)
- SANS 2025 SOC Survey [https://www.sans.org/white-papers/sans-2025-soc-survey](https://www.sans.org/white-papers/sans-2025-soc-survey)
- Artinger, Artinger, Gigerenzer: C. Y. A. – Frequency and Causes of Defensive Decisions in Public Administration [https://link.springer.com/article/10.1007/s40685-018-0074-2](https://link.springer.com/article/10.1007/s40685-018-0074-2)
- NIST Cybersecurity Framework (CSF) 2.0 [https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf)