Wie Risikokommunikation Vertrauen gewinnt oder verspielt

Die paradoxe Lage ist längst sichtbar: Cybersecurity steht auf Vorstandsagenden, Budgets steigen und Regulierung macht die Unternehmensleitung persönlich verantwortlich. Trotzdem berichten Sicherheitsverantwortliche regelmäßig, dass Warnungen relativiert, vertagt oder als technisches Detail behandelt werden. Das Problem ist häufig kein mangelndes Cyberwissen auf der Entscheiderebene. Es ist vor allem ein Übersetzungsproblem zwischen zwei professionellen Sprachen: Security-Teams sprechen über Schwachstellen, Controls, Angriffsflächen, CVEs, Schutzbedarfe und die Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit. Geschäftsführungen entscheiden dagegen über Ergebnis, Cashflow, Lieferfähigkeit, Kapitalbindung, Haftung, Wachstum und strategische Handlungsfähigkeit.

Die zentrale These lautet deshalb: Ein CISO wird nicht dadurch überzeugender, dass er technische Risiken lauter formuliert. Er wird gehört, wenn er aus Cyberbedrohungen konkrete Risikoszenarien ableitet und deren unsichere Wirkung auf Geschäftsziele transparent macht. Im Idealfall endet die Argumentation nicht bei "hohem Risiko", sondern bei einer entscheidungsfähigen Bandbreite: Was kann passieren? Wie oft? Welche finanziellen und operativen Konsequenzen sind plausibel? Was kostet die Reduktion des Risikos – und wie stark sinkt die Exposition?

Eine Glaubwürdigkeitslücke im Boardroom

Die bereits im Jahr 2025 veröffentlichte Trend-Micro-Studie "The CISO Credibility Gap" ist für diese Debatte besonders relevant. Sapio Research befragte im Februar 2024 rund 2.600 IT-Security-Verantwortliche aus Unternehmen verschiedener Größen und Branchen in Europa, Nord- und Lateinamerika, dem Nahen Osten sowie im asiatisch-pazifischen Raum; 100 Befragte kamen aus Deutschland. Die Ergebnisse sind deutlich: Weltweit gaben 79 Prozent an, bereits Druck aus der Führungsebene erlebt zu haben, die Schwere von Cyberrisiken herunterzuspielen. 43 Prozent der Betroffenen führten dies darauf zurück, als repetitiv oder "nörgelnd" wahrgenommen zu werden, 42 Prozent auf das Image, zu negativ zu sein; 33 Prozent berichteten, ihre Einschätzung sei kurzerhand verworfen worden.

Entscheidend ist der zweite Teil der Studie. 46 Prozent erklärten, dass ihre Glaubwürdigkeit stieg, sobald sie den geschäftlichen Nutzen ihrer Cybersecurity-Strategie messen konnten. Weitere Effekte waren mehr Verantwortung, höhere Wertschätzung der Funktion, mehr Budget und stärkere Einbindung in Entscheidungen. Zugleich waren nur 54 Prozent überzeugt, dass die C-Suite die Cyberrisiken des Unternehmens vollständig versteht; 34 Prozent sagten, Cybersecurity werde weiterhin als Teil des IT-Risikos und nicht als Geschäftsrisiko behandelt. In der deutschen Veröffentlichung wird zudem für den globalen Datensatz berichtet, dass 41 Prozent glauben, erst ein schwerwiegender Vorfall im eigenen Unternehmen würde die Führung zu entschlossenerem Handeln bewegen.

Abb. 01: Die CISO-Glaubwürdigkeitslücke in Zahlen [Eigene Darstellung auf Basis von Trend Micro (2024)]

Diese Zahlen belegen keine Kausalität. Es handelt sich um Selbstauskünfte von Security-Verantwortlichen in einer von einem Cybersecurity-Anbieter beauftragten Studie. Das ist methodisch wichtig: Wer sich nicht gehört fühlt, kann Ursachen anders bewerten als die Geschäftsleitung. Trotzdem ist das Muster schwer zu ignorieren, weil der stärkste positive Befund unmittelbar mit der Übersetzung in Geschäftswert verknüpft ist. Außerdem sagten 58 Prozent der global Befragten, sie müssten ihre Kommunikationsfähigkeiten ausbauen. 

Das Bild ist konsistent – aber nicht eindeutig

Mehrere Untersuchungen stützen die These einer Reibungszone zwischen Security und Führung. FTI Consulting befragte 2022 165 CISOs beziehungsweise Sicherheitsverantwortliche in den USA. 58 Prozent sagten, sie hätten Schwierigkeiten, technische Informationen und Cyberrisiken so zu kommunizieren, dass Board und Senior Leadership sie verstehen; 91 Prozent hielten Kommunikationscoaching für potenziell hilfreich. IANS Research und Artico Search kamen in ihrer "State of the CISO 2023–2024"-Erhebung mit 663 CISOs zu einem Governance-Befund: 85 Prozent waren der Ansicht, das Board solle klare Leitplanken zur Risikotoleranz vorgeben, aber nur 36 Prozent fanden, dass dies tatsächlich geschieht. 

Auch die Perspektive auf Cyberkompetenz im Board ist gemischt. In der globalen CISO-Studie von Heidrick & Struggles 2023 bewerteten nur rund 48 Prozent der Befragten das Wissen beziehungsweise die Expertise ihres Boards als "mostly" oder "to a large extent" ausreichend, um wirksam auf Cyber-Präsentationen reagieren zu können. PwC wiederum fand in den Global Digital Trust Insights 2025 einen Wahrnehmungsabstand zwischen Funktionsgruppen: 66 Prozent der Technologieverantwortlichen nannten Cyber als Top-Risiko für die Mitigation, aber nur 48 Prozent der Business-Leader.

Gleichzeitig wäre es falsch, eine universelle Krise der Board-CISO-Beziehung zu behaupten. Ein Entscheider kann Cybersecurity wichtig finden und trotzdem mit einer konkreten Vorlage wenig anfangen können, wenn aus ihr weder Exposition noch Handlungsalternativen noch finanzielle Wirkung hervorgehen.

Warum CISOs nicht gehört werden: Die sieben strukturellen Ursachen

1. Aufmerksamkeit ist nicht Relevanz

Cybersecurity hat die Agenda erreicht. Damit ist das Kommunikationsproblem aber nicht gelöst. Entscheider müssen zwischen Investitionen konkurrierender Bereiche priorisieren. Eine Aussage wie "Ransomware bleibt kritisch" oder "die Verfügbarkeit ist sehr hoch schutzbedürftig" beschreibt einen Zustand, aber noch keine Entscheidung. Sie beantwortet weder, welches Unternehmensziel bedroht ist, noch wie groß die Exposition relativ zu anderen Risiken ist. Der CISO konkurriert im Board nicht mit einem anderen Security-Bericht, sondern mit Investitionen in Vertrieb, Produktion, M&A, Personal, Working Capital oder Produktentwicklung.

2. Technische Abstraktion erzeugt Distanz

Die klassischen Schutzziele Vertraulichkeit, Integrität und Verfügbarkeit sind unverzichtbar, um Informationssicherheit systematisch zu strukturieren. Für die Entscheiderebene bleiben sie jedoch abstrakt, wenn die Kette zum Geschäftsprozess fehlt. "Verfügbarkeit kritisch" kann bedeuten: Eine interne Wissensdatenbank ist vier Stunden nicht erreichbar. Es kann aber auch bedeuten: Eine Produktionslinie steht fünf Tage, zugesagte Liefertermine werden verfehlt und ein Großkunde kann vertraglich kündigen. Das gleiche Security-Label kann wirtschaftlich völlig unterschiedliche Situationen verdecken.

3. Bedrohung wird mit Risiko verwechselt

Ein besonders folgenreiches Sprachproblem ist die Vermischung von Bedrohung und Risiko. NIST definiert eine Bedrohung als Umstand oder Ereignis mit dem Potenzial, Organisationen beziehungsweise Systeme nachteilig zu beeinflussen. Risiko ist dagegen typischerweise eine Funktion aus möglicher negativer Wirkung und Eintrittswahrscheinlichkeit beziehungsweise Häufigkeit. "Ransomware", "Phishing", "DDoS" oder "Insider" sind deshalb zunächst Bedrohungen oder Bedrohungsereignisse – keine konkreten Risiken.

In vielen Risikoregistern werden solche Begriffe dennoch als Risikozeilen verwendet, da Begriff unsauber verwendet werden. Wer "Ransomware = hohes Risiko" notiert, überspringt die Frage, welche kritischen Prozesse betroffen sind und welche Wirkungen und "Schmerzen" daraus resultieren können.

Abb. 02: Bedrohung, Schwachstelle, Risikoszenario und Geschäftswirkung sind unterschiedliche Ebenen [Eigene Darstellung in Anlehnung an NIST-Risikodefinitionen und die Logik szenariobasierter Risikoanalyse]

4. Asset-basierte Analyse: Wenn man den Wald vor lauter Bäumen nicht mehr sieht

Ein zusätzlicher Grund für die Kommunikationslücke liegt in der Architektur vieler Security- und GRC-Programme. Sie beginnen bei Assets: Server, Applikationen, Datenbanken, Schnittstellen, Identitäten, Cloud-Ressourcen, Endgeräte, Backups, Netzwerkzonen. Für Betrieb, Härtung, Schwachstellenmanagement und Auditierbarkeit ist diese Sicht unverzichtbar. Sie ähnelt im Kern häufig einer Fehlerbaumanalyse (Fault Tree Analysis, FTA): Von einem unerwünschten technischen Top-Ereignis wird rückwärts auf Ursachen, Schwachstellen, Kontrollversagen und Abhängigkeiten geschlossen. Das ist methodisch nützlich, weil es Ursachenketten sichtbar macht und konkrete Maßnahmen ableiten kann.

Kritisch wird dieser Ansatz, wenn er zum dominierenden Risikodenken wird. Dann entstehen hunderte oder tausende Asset-Befunde, Kontrolllücken und Schutzbedarfe, die alle plausibel wichtig wirken. Die Organisation optimiert lokale Schwachstellen, verliert aber den Blick auf wenige geschäftskritische Szenarien. Das Ergebnis ist eine paradoxe Informationsüberlastung: Je präziser die Asset-Landkarte wird, desto schwerer kann es werden, die wirklich entscheidenden Risiken zu identifizieren. Man sieht die Bäume – Patchstände, CVSS-Werte, IAM-Ausnahmen, Backup-Gaps –, aber nicht mehr den Wald: Welche Prozesskette kann ausfallen, welche Kunden- oder Liquiditätswirkung entsteht, welche Exposition überschreitet den Risikoappetit?

Der risikoorientierte Ansatz startet deshalb nicht bei der Vollständigkeit aller Assets, sondern bei kritischen Unternehmenszielen und Prozessen. Er fragt: Welche wenigen Szenarien können Ergebnis, Cashflow, Lieferfähigkeit, Reputation oder regulatorische Handlungsfähigkeit wesentlich beeinträchtigen? Welche technischen Ursachen treiben diese Szenarien? Welche Controls reduzieren Ereignishäufigkeit, Ausbreitung oder Schadenhöhe? Damit wird die Asset-Sicht nicht ersetzt, sondern eingeordnet. Assets liefern Evidenz und Ursachen; das Risikoszenario liefert Priorität und Entscheidungslogik.

Für Entscheider ist dieser Unterschied zentral. Ein Board kann nicht sinnvoll über 700 Findings abstimmen. Es kann aber über fünf materielle Risikoszenarien entscheiden, jeweils mit Exposition, Maßnahmenoptionen, Restexposition und Bezug zum Risikoappetit. Die Kunst besteht darin, nicht vom Asset-Katalog zur Maßnahmenliste zu springen, sondern die kritische Mitte zu formulieren: das plausible, geschäftlich relevante Risikoszenario.

5. Die Heatmap-Falle

Heatmaps sind beliebt, weil sie komplexe Informationen schnell verdichten. Genau darin liegt ihre Schwäche. Zwei Szenarien können beide "rot" sein, obwohl das eine mit 20 Prozent Jahreswahrscheinlichkeit einen Verlust von 500.000 Euro verursacht und das andere mit 2 Prozent Wahrscheinlichkeit einen Verlust von 40 Millionen Euro. Für Budgetierung, Versicherung, Liquiditätsvorsorge oder die Frage, ob ein Prozess redundant ausgelegt werden soll, sind diese Fälle nicht austauschbar.
Eine finanzielle Quantifizierung sollte allerdings nicht in Scheingenauigkeit kippen. Niemand kennt die "wahre" Eintrittswahrscheinlichkeit eines gezielten Cyberangriffs auf zwei Dezimalstellen. Gute Quantifizierung arbeitet deshalb mit Bandbreiten, Szenarien und Verteilungen. Sie trennt Häufigkeit und Verlusthöhe, macht Annahmen sichtbar und zeigt Sensitivitäten. Der Mehrwert liegt nicht in einer magischen exakten Zahl, sondern in einer gemeinsamen Sprache für Unsicherheit. NIST empfiehlt in der IR-8286-Reihe ausdrücklich die Integration von Cyberrisiken in Enterprise Risk Management und die Nutzung von Business Impact Analysis, um organisatorische und unternehmensweite Konsequenzen zu quantifizieren. Open FAIR verfolgt denselben Grundgedanken mit einer standardisierten Taxonomie und finanzieller Risikomessung.

Abb. 03: Qualitative Matrix und probabilistische Verlustverteilung beantworten unterschiedliche Fragen [Eigene illustrative Darstellung; die Verlustwerte sind fiktiv. Zur wissenschaftlichen Kritik an Risikomatrizen siehe Cox (2008) und Gleißner/Romeike2011]

6. Übersetzung in Entscheidersprache

Die Forderung, in "Business-Sprache" zu sprechen, wird oft selbst zur Floskel. Praktisch bedeutet sie, die technische Kausalkette mit den Steuerungsgrößen des Unternehmens zu verbinden. Geeignete Zielgrößen hängen vom Geschäftsmodell ab. In einem Industrieunternehmen können Stillstandszeit, Output, Deckungsbeitrag je Produktionstag, OEE, Vertragsstrafen und Working Capital dominieren. Im E-Commerce sind Umsatz pro Stunde, Conversion, Chargebacks und Kundenabwanderung relevanter. Bei Finanzdienstleistern kommen regulatorische Kapital- und Compliancewirkungen hinzu; im Gesundheitswesen können Patientensicherheit und Versorgungsfähigkeit wichtiger sein als kurzfristige Marge.

Typische Finanz- und Geschäfts-KPIs für Cyber-Risikoszenarien sind: Umsatz und entgangener Umsatz, Deckungsbeitrag, EBIT/EBITDA, operativer Cashflow, Working Capital, Wiederanlauf- und Forensikkosten, Vertragsstrafen, Rechts- und Meldekosten, Versicherungs-Selbstbehalte, Kundenabwanderung, Marktanteil, Produktionsvolumen sowie – je nach Branche – Sicherheits- und Complianceindikatoren. Nicht jede Wirkung muss monetarisiert werden. Aber jede wesentliche Wirkung sollte an ein Unternehmensziel gekoppelt sein.

Technische Fassung: "Ransomware-Risiko hoch. ERP-Verfügbarkeit kritisch. MFA-Abdeckung 82 Prozent. Mehrere Findings mit hohem CVSS." Für ein Security-Team ist diese Aussage nützlich, weil sie technische Handlungsfelder signalisiert. Für ein Investment Committee fehlt jedoch der Vergleichsmaßstab.

Board-taugliche Fassung – ausdrücklich nur als illustratives Beispiel: "Ein privilegiertes Konto kann über Phishing oder Session Theft kompromittiert werden. In einem plausiblen Szenario werden ERP und angrenzende Produktionssysteme für drei bis sieben Tage gestört. Betroffen sind Auftragserfassung, Produktionsplanung und Versand. Der Verlust entsteht aus entgangenem Deckungsbeitrag, Eilkosten, Wiederanlauf, Forensik und möglichen Vertragsstrafen. Für den aktuellen Zustand schätzen wir die jährliche Szenariohäufigkeit als Bandbreite und modellieren die Verlusthöhe als Verteilung. Eine Investition in phishing-resistente MFA, Privileged Access Management und Segmentierung reduziert primär die Häufigkeit und die Ausbreitung. Das Board soll zwischen drei Optionen entscheiden: bestehendes Risiko akzeptieren, Maßnahmenpaket finanzieren oder einen Teil der Exposition über Versicherung/Vertragsgestaltung übertragen."

Der Unterschied ist fundamental: Die zweite Version fordert keine Glaubensentscheidung über die Gefährlichkeit von Ransomware. Sie legt Annahmen offen, zeigt den betroffenen Werttreiber, macht Alternativen vergleichbar und zwingt Security und Business, gemeinsam über Risikoakzeptanz zu entscheiden.

7. Die Lücke ist bidirektional

Es wäre zu einfach, die Kommunikationslücke als Kommunikationsdefizit der CISOs zu diagnostizieren. Die IANS/Artico-Daten zeigen die Gegenrichtung: Die Mehrheit der CISOs wünscht sich vom Board klare Leitplanken zur Risikotoleranz, aber nur 36 Prozent sehen sie tatsächlich. Ohne definierten Risikoappetit kann ein CISO schwer entscheiden, ob eine Exposition "zu hoch" ist. Dann wird Security zwangsläufig normativ: "Das muss sicherer werden." Die Geschäftsleitung muss dagegen festlegen, welche Unterbrechungen, Verluste, regulatorischen Konsequenzen oder Sicherheitsrisiken sie akzeptieren kann – und welche nicht.

Auch Reporting-Linien und Rollen wirken. Wenn der CISO ausschließlich als technischer Betriebskostenblock wahrgenommen wird, wird jede Sicherheitsforderung leicht als Budgetinteresse interpretiert. Engere Kopplung an Enterprise Risk Management, CFO/CRO-Funktionen, Geschäftsprozessverantwortliche und Internal Audit kann die Qualität der Risikoaussage verbessern. NIST CSF 2.0 hat die Funktion "Govern" ausdrücklich aufgewertet und beschreibt Cybersecurity als Quelle von Unternehmensrisiko, die im Kontext anderer Risiken geführt werden sollte. 

Zusammenfassung und Ausblick

Warum werden CISOs nicht gehört? Weil zu viele Cyberbotschaften auf der falschen Abstraktionsebene enden. Eine Bedrohung ist noch kein Risiko. Ein Schutzbedarf ist noch keine Geschäftswirkung. Eine rote Heatmap ist noch keine Investitionsentscheidung. Und ein technischer KPI ist noch kein Maß für unternehmerische Exposition.

Die Kommunikationslücke lässt sich nur schließen, wenn beide Seiten ihre Rolle verändern. CISOs müssen Risikoszenarien aufbauen, Unsicherheit quantifizieren und Konsequenzen an Geschäfts- und Finanz-KPIs koppeln. Boards müssen Risikoappetit und Toleranzen definieren, Cybersecurity in das Enterprise Risk Management integrieren und Entscheidungen über Restexposition ausdrücklich übernehmen. Der CISO der Zukunft ist deshalb nicht weniger technisch – sondern zweisprachig: Er versteht Angriffsketten und Geschäftsmodelle, Controls und Cashflow, Recovery Time und Deckungsbeitrag.

Der nächste Entwicklungsschritt ist nicht ein noch farbigeres Dashboard. Es ist eine gemeinsame Risikomodellierung, die technische Evidenz, Prozessabhängigkeiten und ökonomische Auswirkungen verbindet. Quantitative Verfahren, Business Impact Analysis und simulationsbasierte Verlustverteilungen können dabei helfen. Entscheidend bleibt jedoch Governance: Gute Zahlen ersetzen keine Verantwortung, aber sie machen Verantwortung entscheidbar.

Quellenverzeichnis und weiterführende Literaturhinweise:

• Cox, L. A. Jr. (2008). What's Wrong with Risk Matrices? Risk Analysis, 28(2), 497–512. DOI: 10.1111/j.1539-6924.2008.01030.x. Link
• FTI Consulting (2022). Survey Reveals CISOs Struggle to Effectively Articulate the Business Impact of Cyber Risks. Survey of 165 U.S. CISOs/security leaders. Link
• Gleißner, W. / Romeike, F. (2011): Die größte anzunehmende Dummheit im Risikomanagement - Berechnung der Summe von Schadenserwartungswerten als Maß für den Gesamtrisikoumfang, in: Risk, Compliance & Audit (RC&A), 01/2011, S. 21-26.
• Heidrick & Struggles (2023). Global Chief Information Security Officer (CISO) Survey. Link
• IANS Research & Artico Search (2024). State of the CISO 2023–2024. 663 CISO responses; board engagement and risk-tolerance findings. Link
• NIST Computer Security Resource Center. Glossary: Threat. Link
• NIST Computer Security Resource Center. Glossary: Risk. Link
• NIST (2024). The NIST Cybersecurity Framework (CSF) 2.0. Link
• NIST (2025). IR 8286A Rev. 1: Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management. Link
• NIST (2025). IR 8286D: Using Business Impact Analysis to Inform Risk Prioritization and Response. Link
• Proofpoint (2024). Voice of the CISO 2024. 1,600 CISOs in 16 countries. Link
• PwC (2024/2025). 2025 Global Digital Trust Insights. 4,042 business and technology executives in 77 countries. Link
• The Open Group. Open FAIR Body of Knowledge – Risk Analysis and Risk Taxonomy. Link
• Trend Micro (2024). IT Security Leaders Are Failing to Close a Boardroom Credibility Gap. Global press release / study findings. Link
• Trend Micro Deutschland (2024). IT-Security-Verantwortliche scheitern an der Kommunikation mit der Geschäftsleitung. Enthält Methodik und deutsche/global vergleichende Angaben. Link
• World Economic Forum (2025): Global Cybersecurity Outlook 2025 – The evolution of the CISO role. Link