Zu Gast beim Samsung Expert Exchange: Warum IT-Sicherheit heutzutage in der Führung beginnt

Aus aktuellem Anlass hatte ich in der letzten Woche die große Freude gemeinsam mit Sven Philipp Kalweit als Speaker an dem Samsung Expert Exchange Webinar zum Thema „Cyberangriffe verstehen – Sicherheit gestalten“ teilnehmen zu können. Ort des Geschehens waren die stylischen Loft Studios in der Nähe von Frankfurt. Statt eines kalten Fernsehstudios fühlte man sich durch die wohnliche Einrichtung gleich Willkommen.

Zum Inhalt: Während Philipp sich aufgrund seiner herausragenden Expertise überwiegend auf die technischen Aspekte zeitgemäßer IT-Sicherheit konzentriert hat, ging es mir vor allem um das Zusammenspiel von KI-Leadership und IT-Sicherheit. Welche Rolle spielt Führung eigentlich dabei, ob Sicherheit als „Bremse“ oder als „Enabler“ wahrgenommen wird? Wie schaffen wir es, dass KI-Regeln nicht nur als technische Vorgaben verstanden werden, sondern als gelebter Bestandteil unserer Zusammenarbeitskultur? Und welche Fähigkeiten braucht eine moderne Führungskraft, um KI und Security zugleich souverän zu steuern?

Diese und weitere Fragen haben wir im Rahmen des Webinars ausführlich beleuchtet und in diesem Blog-Artikel zusammengefasst.

Wenn IT-Sicherheit zur Bremse wird

Es gibt Situationen in Beratungs-Projekten, die bleiben lange im Kopf. Eine davon erlebte ich in einem Strategie-Workshop. Das Management hatte gerade entschieden, dass Kundenzentrierung zukünftig eine zentrale Rolle innerhalb der Unternehmensstrategie einnehmen soll. Alle waren sich einig: schneller reagieren, noch näher am Kunden sein, mehr Pragmatismus.

Ein paar Monate später führte die IT – aus gutem Grund und mit besten Sicherheitsabsichten – eine verpflichtende Security-Hardware für individuellen Computer-Zugang ein. Technisch absolut nachvollziehbar. Operativ jedoch leider problematisch: Mitarbeitende konnten plötzlich unterwegs bestimmte wichtige Daten nicht mehr abrufen. Kunden warteten verzweifelt auf Rückmeldungen. Führungskräfte auf Dienstreisen konnten an bestimmten Orten nicht arbeiten, weil einige Länder (noch) nicht für die Nutzung des Systems freigeschaltet waren.

Es war eine Lektion, die ich nicht vergessen habe: „Maximal sicher“ kann in der Praxis auch oft „maximal frustrierend“ bedeuten. Und Kundenzentrierung und IT-Security sind kein Widerspruch – sie sind ein Spannungsfeld. Und dieses Spanungsfeld gilt es behutsam zu managen.

Warum Führung jetzt mutiger priorisieren muss

In meinen Gesprächen mit Vorständen und Geschäftsführern höre ich derzeit vor allem eines: Wir brauchen mehr Speed. Doch genau dieser Wunsch erzeugt schnell neue Unsicherheiten – und Überlastung an Stellen, die ohnehin schon am Limit arbeiten. In solchen Situationen entscheidet Führung vor allem durch Priorisierung. Mut bedeutet heute nicht, alles schneller zu machen, sondern mutig zu entscheiden, was wir nicht mehr tun. Das „Kill-Bambi-Prinzip“ ist in der Security und im KI-Kontext unverzichtbar: lieber wenige Dinge konsequent sicher gestalten, als vieles halbgar abzusichern.

Der Mensch als größte Schwachstelle und gleichzeitig bester Schutz

Gleichzeitig dürfen wir nicht vergessen: Im Kontext von IT-Security ist der Mensch weiterhin die größte Schwachstelle – aber eben auch der beste Schutz. Kein System erkennt Unstimmigkeiten so intuitiv wie ein erfahrener Mitarbeitender mit gesundem Bauchgefühl. Und genau deshalb sind starke Teams solche, die offen über Fehler sprechen (also über eine zeitgemäße, intakte Fehlerkultur verfügen), die Unsicherheiten früh adressieren und gemeinsam lernen. Schwache Teams schweigen – und Schweigen ist in der heutigen Bedrohungslage das gefährlichste Verhalten überhaupt.

Warum Cyberrisiken trotz allem so schwer ernst genommen werden

Wenn man Vorständen erklärt, wie groß die Cyberbedrohung heute ist, bekommt man häufig denselben Satz zu hören: „Bei uns ist ja noch nie etwas passiert.“ Das ist menschlich. Digitale Bedrohungen sind unsichtbar, abstrakt, nicht emotional verankert. Unser Gehirn hat für Brände, Hochwasser und Diebstahl Bilder – aber nicht für Datenabflüsse, kompromittierte Identitäten oder KI-generierte Angriffe. Solange nichts passiert, fühlt es sich an wie ein theoretisches Risiko.

Dazu kommt ein zweites Muster: Sicherheit erzeugt keinen schnellen Applaus. Wenn sie funktioniert, bleibt alles ruhig – und Ruhe lässt sich schwer in KPIs oder Erfolgsstories mit entsprechender Strahlkraft verwandeln. Die Investition, die im Nachhinein eine Katastrophe verhindert hat, ist schwerer zu würdigen als der sichtbare Umsatz eines neuen Produkts.

Und schließlich erleben wir, dass Verantwortung für Security oft dort liegt, wo sie zwar kompetent, aber nicht strategisch genug verortet ist: in der IT-Abteilung. Die entscheidenden Weichenstellungen passieren heute aber im Business – bei Datenzugängen, Cloud-Entscheidungen, Lieferantensetups oder der Nutzung von KI. Mangelnde IT-Sicherheit wird deshalb in den wenigsten Unternehmen als Technikproblem wahrgenommen. Sie ist jedoch fast immer ein Führungsproblem!

Warum viele Organisationen überregulieren – und trotzdem unsicher bleiben

Wenn Unternehmen auf steigende Risiken reagieren, geschieht das oft reflexhaft mit mehr Regeln, mehr Tools, mehr Kontrollen. Das schafft nicht automatisch Sicherheit – häufig erstickt es eher die Organisation. Wir sehen seit einiger Zeit, dass wirklich resiliente Unternehmen ein anderes Muster verfolgen. Sie bauen nicht nur technische Schutzmauern, sondern auch kulturelle Schutzräume. Sie setzen auf Orientierung statt Überforderung, Klarheit statt Komplexität und eine Fehlerkultur, die frühe Meldungen ermöglicht, bevor aus Unsicherheiten Probleme werden.

Denn die beste Sicherheitsstrategie nützt nichts, wenn Menschen sie nicht verstehen oder im Alltag nicht anwenden können. Sicherheit entsteht nicht durch Misstrauen – sondern dadurch, dass Mitarbeitende befähigt werden, selbst gute Entscheidungen zu treffen.

Starke Teams reden über Fehler, schwache Teams schweigen

Die klassische Vorstellung von Awareness – Pflichttrainings, jährliche E-Learnings, ein paar Warnhinweise – funktioniert in der heutigen Arbeitswelt kaum noch. Die Arbeitsrealität ist zu schnell, zu komplex, zu sehr auch mittlerweile von KI-Tools geprägt. Awareness wird dann wirksam, wenn sie kein Zusatz ist, sondern Teil des täglichen Handelns. Wenn sie nicht nach Angst klingt, sondern nach Ermächtigung. Menschen müssen nicht mehr kontrolliert werden, sondern in die Lage kommen, unter Zeitdruck selbst sicher zu entscheiden. Die spannendsten Fortschritte sehen wir in Teams, die Sicherheit als Kompetenz verstehen, nicht als Zumutung.

Was Führung jetzt wirklich leisten muss

KI steigert das Tempo in allen Dimensionen: Entscheidungen werden schneller nötig, Angriffe komplexer, Märkte volatiler. Das eigentliche Problem ist selten das Tempo – sondern wenn Führung keine Orientierung mehr gibt. In einer solchen Lage hilft weder strenge Kontrolle noch das Warten auf perfekte Informationen. Führung braucht Mut, Klarheit und die Fähigkeit, Unsicherheit navigierbar zu machen. Und: Sicherheit muss ihren Platz dort finden, wo strategische Prioritäten gesetzt werden. Wer Security weiterhin als „IT-Angelegenheit“ betrachtet, behandelt sie automatisch wie ein Nebenprojekt. Erst wenn sie in Strategie, Investitionslogik und OKRs verankert ist, wird aus einem technischen Thema ein Führungsauftrag.

Viele Unternehmen stehen heute an denselben Schwellen: Darunter der Umgang mit Schatten-KI (also die unerlaubte Nutzung von KI-Tools in Organisationen), die Überlastung der IT, die Frage, wie die technische Architektur zum Geschäftsmodell passt und wie Führung die Organisation im Wandel mitnimmt. Diejenigen, die hier jetzt klare Entscheidungen treffen, reduzieren nicht nur Risiken – sie schaffen auch die Basis für handlungsfähige Teams. Dazu gehört auch, dass IT und Business wieder stärker zusammenrücken. Digital Leadership bedeutet heute, Spannungsfelder auszubalancieren, nicht Extreme durchzusetzen.

Wie Fractional-Expertise und Interim-Management die Sicherheitslücke schließen können

Ein blinder Fleck in vielen Organisationen ist die schlichte Überlastung ihrer IT- und Security-Teams. Selbst hoch engagierte Mitarbeitende können das Tempo technologischer Entwicklungen und die zunehmende Komplexität kaum allein abbilden. Genau hier entfalten Fractional-Kräfte und Interims-Manager ihren strategischen Wert. Sie bringen nicht nur sofort verfügbare Kompetenz ins Unternehmen, sondern auch externe Perspektiven, die helfen, festgefahrene Strukturen zu lösen und Prioritäten neu zu ordnen. Fractional-CISOs oder Interim-IT-Leads können kurzfristig Orientierung geben, operative Risiken entschärfen und wichtige Architektur- oder Governance-Entscheidungen vorantreiben, während die Organisation in Ruhe eine langfristige Lösung aufbaut.

Was diese Rollen so wirksam macht, ist ihre Unabhängigkeit: Sie sind nicht in interne Machtlogiken eingebunden und können dadurch klarer benennen, wo Ressourcen fehlen, wo Prozesse unsicher sind oder wo strategische Entscheidungen blockiert werden. Für Unternehmen, die unter akutem Entscheidungsdruck stehen oder deren IT-Teams im Tagesgeschäft kaum Luft für strategische Projekte haben, sind sie oft der schnellste Weg, wieder handlungsfähig zu werden – ohne langfristige Bindung, aber mit maximaler Wirkung. Wenn Sie diesbezüglich Bedarf in Ihrem Unternehmen sehen, freuen wir uns auf Ihre Kontaktaufnahme.