🔍 Was beobachte ich?

Nach einem Sicherheitsvorfall sehe ich oft dieselbe Suche nach Verantwortlichen. Meistens endet die Suche beim CISO. Nach einem Ransomware-Angriff tauscht laut Sophos jede vierte Organisation ihre IT- oder Sicherheitsführung aus, unabhängig davon, ob diese den Vorfall zu verantworten hatte. Neue Person, alte Strukturen.

🎯 Was soll eigentlich erreicht werden?

Der Ruf nach Rechenschaft ist berechtigt. Wer Verantwortung trägt, muss auch für die Folgen einstehen – das ist ein Grundprinzip guter Governance.

⚠️ Warum funktioniert das nicht?

Sicherheitsvorfälle sind selten das Ergebnis einer Einzelentscheidung. Sie entstehen aus strukturellen Schwächen: unzureichende Budgets, technische Schulden, fehlende Prozesse – Probleme, die kein CISO allein verursacht und keiner allein lösen kann. Wer die Person austauscht, statt die Strukturen zu ändern, schafft einen falschen Eindruck von Kontrolle. Wie stark der Reflex wirkt, zeigt erst der Vergleich. In gewöhnlichen Jahren wechseln 11 bis 12 Prozent der Sicherheitsführungen die Stelle. Nach einem Ransomware-Angriff trennt sich ein Viertel der betroffenen Organisationen von ihr.

💡 Was funktioniert besser?

Verantwortung verteilen, statt konzentrieren. Cybersecurity ist keine Aufgabe des CISOs allein – sie ist Führungsaufgabe auf allen Ebenen. Nach einem Vorfall lautet die entscheidende Frage: Was verändert sich strukturell? Nicht: Wer geht?

📚🔍