Eine aktuelle Deloitte-Studie zeigt: Deutsche Mittelständler operieren nicht mehr unter dem Radar von Cyberkriminellen. Ganz im Gegenteil – sie sind bevorzugte Angriffsziele. Gleichzeitig fehlt intern oft die eine Person, die Verantwortung übernimmt, vor allem auf strategischer Ebene.
Inhalt
- Warum ein Chief Information Security Officer?
- Was macht ein CISO im Mittelstand?
- Wie einen CISO rekrutieren
- Mit diesen Gehältern müssen Sie rechnen
- Personalberatung: Warum es oft nicht ohne geht
- Fazit
- FAQs
Warum ein Chief Information Security Officer?
Die meisten Mittelständler digitalisieren fleißig. IoT-Technologien, Cloud-Dienste, mobiles Arbeiten. Doch die Cyberabwehr hinkt hinterher. Das Ergebnis? Die Unternehmen gelten als schlecht geschützt. Angreifer nutzen genau das. Produktionsanlagen, Leitstellen, Verwaltungsserver – überall entstehen mit jedem neuen Tool potenzielle Einstiegspunkte. Besonders gefährdet: Betriebe mit kritischer Infrastruktur oder hoher Datenabhängigkeit. Mit entsprechenden Folgen!
So groß sind die Folgeschäden von Cyberangriffen im Mittelstand
Quelle Zahlen: Deloitte
Grafik: WK Personalberatung
91 Prozent der mittelständischen Unternehmen messen Cybersecurity zwar hohe Bedeutung bei. Trotzdem hat laut Deloitte immer noch gut ein Drittel (34 Prozent) keinen Notfallplan für Cyberangriffe. Das ist fahrlässig und kann teuer werden. Denn rechtliche Rahmenbedingungen wie IT-Sicherheitsgesetz 2.0 oder das DSGVO nehmen Führungskräfte in die Pflicht. Fehlen angemessene technische und organisatorische Maßnahmen, können diese unter bestimmten Voraussetzungen haftbar gemacht werden.
Viele Vorfälle entstehen durch menschliches Fehlverhalten. Durch unreflektierte Routinen: E-Mail öffnen, Datei anklicken, Zugangsdaten eintippen. Technik schützt nur begrenzt, wenn Mitarbeitende nicht geschult sind. Aber gerade Phishing-Mails, Social Engineering und unzureichende Awareness-Trainings öffnen Tür und Tor für Cyberkriminelle. Da kann technische Komplexität durch digitale Transformation und menschlicher Leichtsinn schnell zur Achillesferse werden.
Die größten Risiken für Cyberangriffe in KMUs
Quelle Zahlen: Deloitte
Grafik: WK Personalberatung
Wenngleich die bereits erwähnte Deloitte-Studie auch zeigt, dass mittelständische Unternehmen mehrheitlich (62 Prozent) Cybersicherheit als strategische Priorität einstufen, bedeutet dies auch, dass fast zwei Fünftel diese immer noch nicht den Managementaufgaben zurechnen. Sie müsste aber längst auf Führungsebene, am besten C-Level, verankert sein. Nur dort kann Cybersicherheit organisatorisch und vor allem strategisch wirken.
Was macht ein CISO im Mittelstand?
Der Chief Information Security Officer ist in vielen mittelständischen Unternehmen noch nicht etabliert. Gemäß Deloitte bündeln lediglich 20 Prozent die Cyberverantwortung in der Rolle eines Chief Information Security Officers. Sehr viel häufiger ist die Verantwortung für Cybersecurity in einer der Fachabteilungen (47 Prozent) angesiedelt.
1. Sicherheitsstrategie entwickeln
Was ist zu schützen? Welche Risiken sind realistisch? Welche Prozesse müssen abgesichert werden? Der Chief Information Security Officer entwickelt Richtlinien und Sicherheitskonzepte, die zur Größe und Struktur Ihres Unternehmens passen. Oft geht es auch um den Aufbau eines ISMS (Informationssicherheits-Managementsystems), das aktuell lediglich 40 Prozent der mittelständischen Unternehmen nutzen.
2. IT-Sicherheit mitgestalten
3. Zugriffe steuern
4. Risiken erkennen und managen
Nicht alles lässt sich absichern. Aber man muss wissen, wo sich Lücken auftun könnten. Der CISO bewertet Risiken, priorisiert Maßnahmen und bereitet das Unternehmen auf Vorfälle vor. In manchen Fällen plant er auch die Einrichtung eines Security Operations Center (SOC) oder bezieht externe Unterstützung ein.
CISO-Aufgaben auf einem Blick
5. Rechtliche Vorgaben erfüllen
6. Krisenfälle managen
7. Sicherheitsbewusstsein fördern
Wie einen CISO rekrutieren
- praktischer Erfahrung in IT-Security
- Erfahrung im Aufbau von Sicherheitsprozessen (ISMS, Awareness, Notfallmanagement)
- Kenntnis gesetzlicher Anforderungen und operativer Umsetzbarkeit
- Fähigkeit, zwischen IT, Fachbereichen und Management zu vermitteln
Mit diesen Gehältern müssen Sie rechnen
CISO-Gehälter zeigen eine ziemlich starke Spannweite: je nach Branche, Standort, Verantwortung und Anbindung an die Geschäftsleitung. Laut Marktvergleich bewegen sich diese in Deutschland teils deutlich über 190.000 Euro im Jahr (siehe z. B. Gehalt.de). Diese Zahlen spiegeln allerdings oft das Niveau in Konzernen wider.
CISO-Jahresgehälter nach Bundesland
Quelle Zahlen: Gehalt.de
Grafik: WK Personalberatung
Typische CISO-Gehaltsspannen
Personalberatung: Warum es oft nicht ohne geht
Gerade wenn der Markt eng ist, spart das Zeit. Ihre HR muss nicht 40 Lebensläufe auswerten, von denen 35 nicht passen. Stattdessen gibt es zwei bis drei Kandidaten, die fachlich und kulturell anschlussfähig sind. Und idealerweise den nötigen Gestaltungswillen mitbringen.
