Cyber-Resilienz: Die Wahrnehmungslücke zwischen CEO und CISO schließen

Ein Unternehmen kann jede Compliance-Prüfung bestehen, alle empfohlenen Kontrollen implementieren und dennoch sechs Monate benötigen, um sich nach einem schwerwiegenden Cybervorfall zu erholen. Das ist das unbequeme Ergebnis, das in Accentures neu veröffentlichter Studie zur Cyber-Resilienz verborgen liegt – einer globalen Umfrage unter 1.000 Führungskräften der C-Ebene (505 CEOs und 495 CISOs) aus 13 Ländern Anfang 2026. Die Schlagzeile ist nicht, dass Unternehmen unvorbereitet sind. Vielmehr glauben Führungskräfte, sich einig zu sein, was „Vorbereitung“ bedeutet, obwohl die Daten zeigen, dass sie es nicht sind.

Accenture nennt dies einen falschen Konsens. CEOs und CISOs sitzen in denselben Lenkungsausschüssen, lesen dieselben Präsentationen und nicken bei denselben Begriffen zur Resilienz – doch sie handeln auf Basis inkompatibler Annahmen darüber, was das Unternehmen schützt, wenn Systeme ausfallen. Diese Diskrepanz ist heute wichtiger als noch vor zwei Jahren. Die Mechanismen von Störungen haben sich verändert: Moderne KI-Modelle finden und nutzen Schwachstellen inzwischen beim ersten Versuch in 83% der Fälle – zuvor lag diese Rate nahe null – und Angreifer breiten sich im Schnitt innerhalb von nur 29 Minuten über den ersten Einstiegspunkt hinaus aus.

Für eine Kiteworks-Plattform für sicheren Datenaustausch, die speziell dafür entwickelt wurde, die Bewegung sensibler Inhalte über Unternehmens- und Drittparteigrenzen hinweg zu steuern, bestätigt diese Studie eine Erkenntnis, die wir seit Jahren vertreten: Sicherheit, die nur auf Prävention setzt, ist nicht dasselbe wie der Aufbau eines Unternehmens, das auch während eines Angriffs weiterarbeiten kann – und nachweisen kann, was mit seinen Daten passiert ist. Im Folgenden zeigen wir, wie diese Wahrnehmungslücke aussieht, warum das reine Schutzmodell an seine Grenzen stößt und was nötig ist, um die Distanz zwischen der Überzeugung der Führungskräfte und den tatsächlichen Voraussetzungen für eine unversehrte Überwindung von Störungen zu schließen.

Wichtige Erkenntnisse

1. Störungen sind der neue Normalzustand, nicht die Ausnahme. Laut Accentures Studie 2026 betrachten 87% der Unternehmen Cyberstörungen als wiederkehrende Realität im Geschäftsbetrieb, und 72% glauben nicht mehr, dass reine Prävention sie verhindern kann.
2. CEOs und CISOs beantworten dieselbe Umfrage mit unterschiedlichen Annahmen. CEOs sind 136% häufiger als CISOs der Meinung, dass regulatorische Compliance Resilienz garantiert. Diese Überzeugungslücke – nicht ein Wissensdefizit – bremst die Erholung aus.
3. Erwartungen an die Wiederherstellung sind um Monate, nicht Tage, falsch. Führungskräfte gehen von maximal 10 Tagen kritischer Ausfallzeit aus; Accentures Daten zeigen, dass die tatsächliche Erholung nach schwerwiegenden Vorfällen im Schnitt drei bis sechs Monate dauert.
4. Drittparteienabhängigkeiten sind heute ein Resilienzproblem, nicht nur ein Sicherheitsproblem. 61% der Unternehmen sagen, dass ihre Fähigkeit, den Betrieb aufrechtzuerhalten, von externen Partnern abhängt, aber nur 38% können genau abbilden, welche dieser Abhängigkeiten wirklich entscheidend sind.
5. Resilienz ist ebenso ein Data-Governance-Thema wie ein IT-Thema. Die Unternehmen, die sich am schnellsten erholen, wissen bereits, wo sensible Daten liegen, wer darauf zugreifen kann und wie sie vertrauenswürdige Abläufe darum herum wiederherstellen – noch bevor eine Störung eintritt.

Störungen sind jetzt ein dauerhafter Betriebszustand

Die Accenture-Umfrage beginnt mit einer Statistik, die die Diskussion über Cyberrisiken in jedem Führungsteam neu ausrichten sollte: 87% der Unternehmen sehen Cyberstörungen inzwischen als wiederkehrende Realität und nicht mehr als seltenes, isoliertes Ereignis. Fast drei Viertel (72%) gehen noch weiter und sagen, dass es angesichts der Komplexität ihrer Technologielandschaft nicht mehr realistisch ist, alle Störungen verhindern zu können.

Diese Entwicklung ist nicht darauf zurückzuführen, dass Verteidiger schlechter geworden sind. Sie ist das Ergebnis veränderter Angreiferökonomie. Accenture verweist auf den CrowdStrike Global Threat Report 2026, der einen Anstieg KI-gestützter Cyberangriffe um 89% im Jahresvergleich ausweist, sowie auf einen Benchmark von CyberGym, wonach moderne KI-Modelle Schwachstellen inzwischen beim ersten Versuch in 83% der Fälle entdecken und ausnutzen. Die Kosten für das Auffinden einer Schwachstelle sind praktisch auf null gesunken, und das Zeitfenster zwischen Entdeckung, Waffnung und Ausnutzung hat sich von Wochen auf Stunden verkürzt. Hinzu kommt, dass Angreifer im Schnitt nach 29 Minuten über den ersten Kompromittierungspunkt hinaus gelangen. Die alte Annahme – dass das Sicherheitsteam Zeit hat, zu erkennen, einzudämmen und zu reagieren, bevor echter Schaden entsteht – gilt in den meisten Umgebungen nicht mehr.

Deshalb setzen Unternehmen auf zero trust architecture als grundlegendes Designprinzip und nicht als Checklistenpunkt. Wenn der Angreifer in Minuten ausbricht, muss „Erkennen und Reagieren“ mit „Breach annehmen und durch Design eindämmen“ kombiniert werden – also Segmentierung sensibler Inhalte, Durchsetzung von Least-Privilege-Zugriffskontrollen und die Sicherstellung, dass ein kompromittiertes Konto oder Endgerät nicht zu einem unternehmensweiten Datenschutzverstoß führt. Eine SIEM-Plattform, die Echtzeit-Telemetrie aus allen Content-Zugriffskanälen sammelt, bildet die Erkennungsschicht, die das 29-Minuten-Ausbruchsfenster von einem unüberwindbaren Nachteil in ein markiertes, alarmierbares Ereignis verwandelt.

Wachsende Ökosystemkomplexität erschwert die Wiederherstellung

Accentures Studie zeigt auch einen zweiten strukturellen Wandel: das wachsende Netz aus Cloud-Services, KI-Tools, Plattformen und Drittparteien, auf das die meisten Unternehmen heute angewiesen sind. 69% der Unternehmen sagen, dass ihr Betrieb zunehmend von komplexen internen und externen digitalen Ökosystemen abhängt, und 61% geben an, dass ihre Fähigkeit, kritische Geschäftsprozesse aufrechtzuerhalten, direkt von Abhängigkeiten außerhalb der eigenen Organisation beeinflusst wird.

Diese gegenseitige Abhängigkeit ist effizient, solange alles funktioniert, und genau das macht Störungen schwer eindämmbar, wenn etwas ausfällt. 81% der Führungskräfte in der Umfrage sagen, dass das Management von Cyberstörungen heute bedeutet, unter verschlechterten Systembedingungen zu arbeiten – nicht im klaren „an/aus“-Modus, sondern in einem komplexen Zwischenzustand, in dem einige Systeme funktionieren, andere nicht, und Führungskräfte in Echtzeit Prioritäten setzen müssen.

Hier werden Third-Party-Risk-Management und Vendor-Risk-Management von Beschaffungsthemen zu zentralen Resilienz-Bausteinen. Wenn ein Lieferant, eine Kanzlei, ein Dienstleister oder SaaS-Anbieter Zugriff auf sensible Daten hat, wird dessen Ausfall zum eigenen Ausfall. Unternehmen, die einen gesteuerten, revisionssicheren Nachweis darüber führen, welche externen Parteien auf welche Daten zugreifen dürfen – und diesen Zugriff sofort entziehen können – sind in der Lage, einen Drittparteien-Vorfall einzudämmen, statt ihn unkontrolliert durch die Wertschöpfungskette laufen zu lassen. Supply-Chain-Risk-Management, das den Datenzugriff jedes Anbieters nach Kritikalität abbildet, liefert Resilienz-Teams die priorisierte Übersicht, um die wichtigsten Abhängigkeiten zu isolieren, bevor eine Störung sie dazu zwingt.

Die Wahrnehmungslücke: Warum Führungskräfte Resilienz falsch einschätzen

Hier wird Accentures Studie unbequem. 54% der Führungskräfte glauben, dass starke Schutzmaßnahmen ausreichen, um die Geschäftskontinuität nach einem Angriff zu sichern. Diese Überzeugung ist ungleich verteilt: CEOs sind 136% häufiger als CISOs der Meinung, dass regulatorische Compliance allein Cyber-Resilienz garantiert. Anders gesagt: Diejenigen, die letztlich über Investitionen in Resilienz entscheiden, sind im Schnitt deutlich zuversichtlicher als die Sicherheitsverantwortlichen – und liegen deutlich häufiger daneben.

Die Lücke zeigt sich noch deutlicher bei den Erwartungen an die Wiederherstellungszeit. Accenture fand heraus, dass 81% der Führungskräfte davon ausgehen, dass kritische IT-Ausfälle im Ernstfall maximal 10 Tage dauern. Die tatsächliche durchschnittliche Wiederherstellungszeit laut Accenture: drei bis sechs Monate. Das ist kein Rundungsfehler, sondern eine Größenordnung, die alles beeinflusst – von Cyberversicherungen über Notfallpläne bis hin zu den Erwartungen des Vorstands. 64% der Befragten gaben an, dass sie Technologie so konzipieren, steuern und messen, als wären Systeme grundsätzlich stabil und voll verfügbar – obwohl acht von zehn derselben Befragten mit eingeschränktem Betrieb im Störungsfall rechnen. Führungskräfte planen also für eine Welt, von der sie wissen, dass es sie nicht gibt.

Accenture sieht darin eine strukturelle Fehlanpassung, nicht bloß ein Wissensdefizit: Führungskräfte glauben, sich über Resilienz einig zu sein, handeln aber auf Basis inkompatibler Annahmen – bis hin zur Frage, wem das Thema eigentlich gehört. Die Umfrage zeigt, dass die Verantwortung für Cyber-Resilienz überwiegend beim CISO liegt, während der Rest der C-Ebene fragmentiert und überschneidend zuständig ist. Diese Fragmentierung schafft blinde Flecken, die einen technisch eingedämmten Vorfall in eine langwierige, unternehmensweite Störung verwandeln können – weil niemand die klare Entscheidungsgewalt für die notwendigen Priorisierungen und Abwägungen hat. Ein dokumentierter Incident-Response-Plan, der diese Entscheidungsrechte explizit vorab zuweist – wer einen Vorfall ausruft, wer welche Wiederherstellungsaufgaben übernimmt, was eine Eskalation auslöst – wandelt fragmentierte Verantwortung in koordinierte Maßnahmen, wenn es darauf ankommt.

Sechs Mythen, die echte Resilienz verhindern

Accentures Bericht benennt sechs Überzeugungen, die Führungskräfte mit großer Sicherheit vertreten, die aber laut Daten falsch sind. Drei davon betreffen direkt die Governance und Bewegung sensibler Daten und verdienen besondere Aufmerksamkeit.

„Wir sind compliant, also sind wir geschützt.“ 87% der Befragten glauben, dass regulatorische Compliance Cyber-Resilienz garantiert, aber nur 35% testen diese Resilienz regelmäßig durch echte Wiederherstellungs- und Kontinuitätsübungen, statt sich auf Audits zu verlassen. Regulatorische Compliance belegt, dass ein Unternehmen zu einem bestimmten Zeitpunkt definierte Regeln einhält. Sie beweist nicht, dass das Unternehmen sensible Inhalte auch bei Systemausfällen weiterhin unter Kontrolle an die richtigen Personen liefern kann. Eine SOC2 Type II Zertifizierung oder ein bestandener ISO 27001 Compliance-Audit ist eine Momentaufnahme, aber keine Garantie für operative Kontinuität. Ein formelles Risikoassessment, das die Wiederherstellungsfähigkeit unter simulierten Störungsbedingungen testet – nicht nur den Status von Compliance-Kontrollen – ist das operative Gegenstück, das Auditnachweise in echte Resilienz umwandelt.

„Drittparteien sind selbst für ihre Sicherheit verantwortlich.“ 61% der Unternehmen sagen, dass ihre Fähigkeit, kritische Prozesse aufrechtzuerhalten, von externen Partnern abhängt, aber nur 38% haben einen klaren Überblick über die Wertschöpfungskette und die wichtigsten Abhängigkeiten. Verträge können nachträglich Haftung zuweisen, aber sie stellen keinen gemeinsamen Betrieb im Ernstfall wieder her. Resilienz über die gesamte Wertschöpfungskette – nicht nur innerhalb der eigenen Grenzen – bedeutet, genau zu wissen, welche Anbieter, Dienstleister und Partner auf regulierte oder sensible Daten zugreifen, und die Governance zu haben, diesen Zugriff bei Bedarf sofort zu isolieren oder zu entziehen.

„Cyberversicherung deckt die Folgen ab.“ 60% der Unternehmen verlassen sich auf Cyberversicherungen als Ersatz für Resilienz statt als finanzielles Backup, obwohl die Gesamtkosten einer Störung – Umsatzverlust, Ausfallzeiten, Reputationsschäden – bis zu zehnmal höher sein können als die Versicherungsleistung. Die Versicherung kann einen Teil des finanziellen Schadens abfedern. Sie kann aber kein Kundenvertrauen zurückgewinnen, keine beschädigte Marke reparieren und keine kritischen Prozesse wiederherstellen. Das gelingt nur durch Planung und Übung im Voraus.

Die anderen drei Mythen – dass Schutz Wiederherstellung garantiert, dass Incident Response gleich Resilienz ist und dass Resilienz allein Sache des Sicherheitsteams ist – unterstreichen denselben Punkt: Präventionsorientiertes Denken beantwortet eine andere Frage als die, die entscheidet, ob ein Unternehmen eine Störung übersteht.

Der Unterschied zwischen Schutz und Resilienz

Accenture zieht eine klare Linie zwischen beiden Konzepten, und das sollte deutlich gesagt werden, weil ein Großteil der Verwirrung in der Umfrage darauf zurückzuführen ist, dass Führungskräfte sie vermischen. Schutz senkt die Wahrscheinlichkeit, dass eine Störung überhaupt eintritt. Cyber-Resilienz ist die Fähigkeit, während einer Störung kritische Prozesse aufrechtzuerhalten und schnell wiederherzustellen, um Unternehmenswerte zu schützen – unabhängig davon, ob der Schutz funktioniert hat.

Schutz bleibt notwendig. Endpoint Detection and Response, Multi-Faktor-Authentifizierung und starke Data Loss Prevention-Kontrollen senken das Risiko erfolgreicher Angriffe. Doch Accentures Daten zeigen, dass nur 11% der Führungskräfte der Meinung sind, dass vorausschauende und kontrollierende Sicherheit in komplexen Systemen weniger effektiv wird – das heißt, die große Mehrheit plant weiterhin so, als würden Kontrollen halten, obwohl dieselbe Umfrage zeigt, dass Ausbrüche in unter 30 Minuten erfolgen und KI-gestützte Angriffe mit nie dagewesener Erfolgsrate stattfinden. Für Überlebensfähigkeit muss man davon ausgehen, dass Kontrollen irgendwann versagen, und die operative und datenbezogene Infrastruktur schaffen, die den Geschäftsbetrieb aufrechterhält – und nachweisen kann, was passiert ist –, wenn es dazu kommt. Datenminimierung bei Zugriff und Aufbewahrung – also die Reduzierung der Menge sensibler Inhalte, auf die ein Konto oder System zugreifen kann – begrenzt den Schaden, wenn Schutzmaßnahmen versagen.

Fünf Prioritäten – und die Rolle der Data Governance

Accenture nennt fünf Prioritäten für Führungskräfte, die die Lücke zwischen angenommener und tatsächlicher Resilienz schließen wollen: die wichtigsten Funktionen und deren Abhängigkeiten in der Wertschöpfungskette identifizieren; Wiederherstellungsentscheidungen – Reihenfolge, Zuständigkeit, Auslöser und Abwägungen – vorab festlegen; eine Wiederherstellungsumgebung schaffen, die unter widrigen Bedingungen funktioniert und mit den nötigen Artefakten ausgestattet ist; die Wiederherstellung automatisieren, um die Zeit von Wochen auf Stunden zu verkürzen; und kontinuierlich mit realen Szenarien testen, während sich das Unternehmen weiterentwickelt.

Gerade die dritte und vierte Priorität machen das Data-Governance-Problem deutlich. Eine „Wiederherstellungsumgebung mit allen für den Wiederaufbau nötigen Artefakten“ funktioniert nur, wenn das Unternehmen tatsächlich weiß, wo kritische Inhalte liegen, wer berechtigten Zugriff hat und ob diese Inhalte und ihre Zugriffshistorie vertrauenswürdig genug sind, um darauf den Betrieb wiederaufzubauen. Genau das leisten Data Governance und Datenklassifizierung: wissen, welche Daten am wichtigsten sind, sie entsprechend kennzeichnen und einen vollständigen Audit-Trail aller Zugriffe, Übertragungen und Änderungen führen, sodass die Wiederherstellung schnell und auf einer vertrauenswürdigen Basis erfolgen kann. Attributbasierte Zugriffskontrolle (ABAC) in der Wiederherstellungsumgebung – also die Einschränkung, welche Rollen auf welche Wiederherstellungsartefakte unter welchen Bedingungen zugreifen dürfen – verhindert, dass ein Angreifer den Wiederherstellungsprozess selbst als weiteren Angriffsvektor nutzt.

Die Automatisierung der Wiederherstellung – Accentures vierte Priorität – baut auf derselben Grundlage auf. Man kann den Wiederaufbau vertrauenswürdiger Prozesse nicht automatisieren, wenn man Daten nicht lokalisieren, klassifizieren oder deren Integrität nachweisen kann. Unternehmen, die die Governance sensibler Inhalte zentral über ein CISO Dashboard mit Echtzeit-Transparenz über Zugriffe steuern und rollenbasierte Zugriffskontrolle konsequent für interne und externe Nutzer durchsetzen, haben einen deutlich kürzeren Wiederherstellungsweg als Unternehmen, die diese Übersicht erst nachträglich, Vorfall für Vorfall, rekonstruieren müssen.

Warum CEO und CISO sich vor der Störung abstimmen müssen – nicht erst währenddessen

Der unbequeme Kern von Accentures Studie ist, dass Fehlanpassungen unsichtbar bleiben, bis sie getestet werden. CEOs und CISOs können beide großes Vertrauen in die Resilienz ihres Unternehmens haben – und trotzdem bei denselben Punkten falsch liegen: wie lange die Wiederherstellung tatsächlich dauert, wer welche Entscheidungen trifft und wie tief Drittparteienabhängigkeiten wirklich reichen. Die von Accenture vorgeschlagene Lösung beginnt mit einer scheinbar einfachen Entscheidung im Voraus: Was ist das kleinste Set an Prozessen, das das Unternehmen zuerst schützen und wiederherstellen muss, um den Betrieb aufrechtzuerhalten?

Diese Frage zwingt zu einem Gespräch, das die meisten Unternehmen laut Daten bislang nicht geführt haben – nicht aus Absicht, sondern weil jede Seite annimmt, die andere sei bereits einverstanden. CEOs und CISOs müssen buchstäblich gemeinsam im Raum sitzen, dieselben Daten nutzen – wo sensible Informationen liegen, wer darauf angewiesen ist und wie schnell sie realistisch wiederhergestellt werden können – und so den falschen Konsens durch einen echten gemeinsamen Plan ersetzen. Das ist die eigentliche Resilienzarbeit, bevor ein Vorfall das Gespräch unter Druck erzwingt. Ein einheitliches Private Data Network, das einen vollständigen, kontinuierlich aktualisierten Überblick über alle sensiblen Content-Flows – über E-Mail, Filesharing, Managed File Transfer und Web-Formulare hinweg – bietet, verschafft sowohl CEO als auch CISO die gleiche Echtzeit-Datenbasis für diesen gemeinsamen Plan.

Der geschäftliche Mehrwert, wenn es gelingt

Accentures Bericht endet mit einer wichtigen Erkenntnis: Unternehmen mit ausgereifter Resilienz vermeiden nicht nur Katastrophen, sondern erzielen messbar bessere finanzielle und operative Ergebnisse. Genannt werden optimierte Ausgaben durch ausgewogene Investitionen in Schutz und Resilienz, zielgerichtete Cyber-Investitionen dank klarer Priorisierung und geringere Compliance-Kosten durch eindeutige Zuständigkeiten und weniger doppelte Kontrollen. Resilienz ist – richtig umgesetzt – kein Kostenfaktor, der an das Sicherheitsbudget angehängt wird. Sie ist eine operative Disziplin, die sich schon vor dem nächsten Vorfall durch Effizienz bezahlt macht.

Für Unternehmen, die den Governance-Ansatz beim Austausch sensibler Daten als Teil ihrer Resilienzstrategie überdenken, zentralisiert Kiteworks Secure Data Exchange Transparenz, Zugriffsgovernance und Audit-Trail über alle Kanäle, über die sensible Inhalte laufen – E-Mail, Filesharing, Managed File Transfer und Web-Formulare –, sodass das „kleinste Set an Prozessen, das zuerst geschützt und wiederhergestellt werden muss“, tatsächlich benannt und nicht nur angenommen werden kann.

Erfahren Sie mehr darüber, wie Sie den Austausch sensibler Daten als Teil Ihrer Cyber-Resilienzstrategie steuern können – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag Zero Trust Architecture: Never Trust, Always Verify
• Video Microsoft GCC High: Nachteile, die Verteidigungsauftraggeber zu intelligenteren Lösungen bewegen
• Blogbeitrag So sichern Sie klassifizierte Daten, nachdem DSPM sie erkannt hat
• Blogbeitrag Vertrauen in Generative KI mit einem Zero-Trust-Ansatz aufbauen
• Video Der definitive Leitfaden für die sichere Speicherung sensibler Daten für IT-Verantwortliche