CEOs und CISOs sind sich beim Thema Resilienz uneinig. Diese Lücke zu schließen, ist der Schlüssel, um Cybervorfälle erfolgreich zu bewältigen.
Da Cyberangriffe immer häufiger vorkommen und schwerer abzuwehren sind, sollte Cyberresilienz das Herzstück jeder Unternehmensstrategie bilden. Doch Führungskräfte haben unterschiedliche Auffassungen darüber, was Resilienz eigentlich bedeutet und wer dafür verantwortlich ist. Um ständigen Störungen standzuhalten, müssen sich Unternehmen neu ausrichten: weg von einem rein auf Schutz ausgerichteten Denken, hin zu der Fähigkeit, sich schnell von Angriffen und Ausfällen zu erholen.
Eine höhere Zahl an Schwachstellen, zunehmende Komplexität und verkürzte Angriffszeitfenster erschweren die schnelle Rückkehr zum Normalbetrieb.
Eine höhere Zahl an Schwachstellen, zunehmende Komplexität und verkürzte Angriffszeitfenster erschweren die schnelle Rückkehr zum Normalbetrieb.
87 %
der Unternehmen betrachten Cyber-Störungen als wiederkehrende betriebliche Realität.
72 %
geben an, dass das Verhindern jeglicher Cyber-Störungen angesichts des heutigen komplexen Technologie-Ökosystems nicht mehr realistisch ist.
89 %
Anstieg von KI-gestützten Cyberangriffen im Jahresvergleich (2025).
83 %
Erfolgsquote beim ersten Versuch von Frontier-KI-Modellen beim Finden und Ausnutzen von Schwachstellen.2 Dieser Wert lag zuvor nahezu bei Null.
Mit Frontier-KI-Modellen sind die Kosten für das Aufspüren von Schwachstellen auf ein Minimum gesunken. Die Zeitspanne zwischen der Entdeckung einer Schwachstelle, der Vorbereitung eines Angriffs und ihrer Ausnutzung hat sich von Wochen auf Stunden verkürzt.
Die zunehmende Nutzung von Cloud, KI, Plattformen und Partnern schafft tiefe Abhängigkeiten, die es erschweren, Störungen zu isolieren.
Die zunehmende Nutzung von Cloud, KI, Plattformen und Partnern schafft tiefe Abhängigkeiten, die es erschweren, Störungen zu isolieren.
69 %
der Unternehmen geben an, dass ihre Betriebsabläufe zunehmend von komplexen internen und externen digitalen Ökosystemen abhängig sind.
61 %
geben an, dass ihre Fähigkeit, den kritischen Geschäftsbetrieb aufrechtzuerhalten, durch externe Abhängigkeiten beeinflusst wird.
29 Minuten
beträgt die durchschnittliche Breakout-Zeit, bis sich Angreifer über den ursprünglichen Zugangspunkt hinaus ausbreiten.3
81 %
der Führungskräfte geben an, dass der Umgang mit Cyber-Störungen das Arbeiten unter eingeschränkten Systembedingungen erfordert.
Viele Führungskräfte stützen ihr Verständnis auf reinen Schutz, Compliance und die Annahme von stabilen Systemen.
Viele Führungskräfte stützen ihr Verständnis auf reinen Schutz, Compliance und die Annahme von stabilen Systemen.
54 %
der Führungskräfte glauben, dass starke Schutzmaßnahmen ausreichen, um die Geschäftskontinuität nach einem Angriff zu gewährleisten.
136 %
CEOs sagen mit einer um 136 % höheren Wahrscheinlichkeit als CISOs, dass regulatorische Compliance die Cyberresilienz sicherstellt.
Ein auf reine Prävention ausgerichteter Sicherheitsansatz greift zu kurz. Wahre Cyberresilienz zeigt sich darin, wie gut Unternehmen den Geschäftsbetrieb aufrechterhalten, sich von Cybervorfällen erholen, geschäftskritische Werte schützen und Verantwortung auf Führungsebene verankern.
Unternehmensweit entsprechen die Erwartungen an die Rückkehr zum Normalbetrieb nicht der sich verändernden Realität.
Unternehmensweit entsprechen die Erwartungen an die Rückkehr zum Normalbetrieb nicht der sich verändernden Realität.
81 %
der Führungskräfte gehen davon aus, dass die Ausfallzeit kritischer IT-Systeme bei einem schwerwiegenden Vorfall höchstens 10 Tage beträgt. In der Realität dauert die Wiederherstellung durchschnittlich drei bis sechs Monate.
64 %
gestalten, steuern und bemessen Technologie unter der Annahme, dass Systeme generell stabil und voll verfügbar sind (obwohl 8 von 10 erwarten, bei Störungen unter eingeschränkten Bedingungen zu arbeiten).
Die Studie zeigt Lücken in der Art und Weise auf, wie Führungskräfte Prävention, Wiederherstellung und die Rolle des CISO betrachten.
Die Studie zeigt Lücken in der Art und Weise auf, wie Führungskräfte Prävention, Wiederherstellung und die Rolle des CISO betrachten.
Dies ist keine Wissenslücke, sondern ein strukturelles Missverständnis, bei der Führungskräfte zwar von einer Übereinstimmung ausgehen, aber auf der Grundlage unvereinbarer Annahmen handeln.
Unterdessen sind Zuständigkeit und Verantwortlichkeit für Cyberresilienz unklar.
Unterdessen sind Zuständigkeit und Verantwortlichkeit für Cyberresilienz unklar.
Eine fragmentierte Verantwortlichkeit schafft blinde Flecken und verzögert die Wiederherstellung. Dies kann einen bereits eingedämmten Vorfall in eine langwierige, unternehmensweite Störung verwandeln.
Schutz senkt die Wahrscheinlichkeit einer Störung. Cyberresilienz ist die Fähigkeit, kritische Betriebsabläufe während einer Störung aufrechtzuerhalten und rasch wiederherzustellen, um den Unternehmenswert zu schützen.
Das Aufräumen mit sechs Mythen macht den Weg frei für Cyberresilienz
Unternehmen, die diese verbreiteten Fehlschlüsse entkräften, sind besser gerüstet, um auch im Fall von Cybervorfällen handlungsfähig zu bleiben.
01
Mythos: „Wir sind konform, also sind wir geschützt.“
Realität: Compliance belegt lediglich, dass Sie Regeln einhalten. Sie stellt jedoch nicht sicher, dass Ihr Betrieb bei einer Störung weiterläuft.
87 %
der Unternehmen glauben, dass regulatorische Compliance Cyberresilienz garantiert.
Nur 35 %
testen ihre Resilienz regelmäßig durch reale Wiederherstellungs- und Kontinuitätsübungen – statt reiner Audits.
Die Lösung: Weisen Sie Resilienz durch erprobte Wiederherstellung nach, nicht durch Audits.
02
Mythos: „Wir sind geschützt, also können wir uns auch erholen.“
Realität: Schutz verringert die Wahrscheinlichkeit eines Ausfalls. Resilienz entscheidet darüber, ob das Geschäft weiterläuft, wenn das Unvermeidliche eintritt.
87 %
der Unternehmen vertrauen darauf, dass Sicherheitskontrollen den kritischen Betrieb bei einer schweren Cyber-Störung aufrechterhalten.
Nur 11 %
stimmen voll und ganz zu, dass klassische Predict-and-Control-Sicherheit in komplexen Systemen an Wirksamkeit verliert.
Die Lösung: Richten Sie das System aufs Überleben aus – unter der Annahme, dass Schutzmaßnahmen versagen werden.
03
Mythos: „Drittanbieter sind selbst für ihre Sicherheit verantwortlich.“
Realität: Ihre Partner mögen vertraglich haftbar sein, aber Verträge mildern keine gemeinsamen operativen Auswirkungen ab.
61 %
der Unternehmen geben an, dass ihre Fähigkeit, den kritischen Betrieb aufrechtzuerhalten, von externen Partnern abhängt.
Nur 38 %
haben einen klaren Überblick über ihre Wertschöpfungskette und deren kritischste Abhängigkeiten.
Die Lösung: Weiten Sie Resilienz auf Ihre gesamte Wertschöpfungskette aus – nicht nur auf Ihre eigenen vier Wände.
04
Mythos: „Durch unsere Vorfallsreaktion sind wir resilient.“
Realität: Die Vorfallsreaktion kümmert sich um die Behebung der Störung selbst. Resilienz entscheidet darüber, wie das Geschäft während und nach dem Vorfall weiterläuft und sich erholt.
98 %
der Unternehmen glauben, dass schnelle Erkennung und Eindämmung ein Zeichen für operative Resilienz sind.
Nur 40 %
verfügen über vordefinierte und getestete Wiederherstellungspfade für kritische Systeme.
Die Lösung: Entwickeln Sie die Fähigkeit, Störungen abzufangen, anstatt nur darauf zu reagieren.
05
Mythos: „Die Cyber-Versicherung deckt die Folgen ab.“
Realität: Eine Versicherung kann zwar finanzielle Verluste teilweise ausgleichen, aber weder den Betrieb noch das Kundenvertrauen oder die Marktposition wiederherstellen.
60 %
der Unternehmen verlassen sich auf eine Cyber-Versicherung als Ersatz für Cyberresilienz und nicht als finanzielle Absicherung.
10-mal
so hoch können die Gesamtkosten einer Störung im Vergleich zu den Versicherungsleistungen ausfallen, wenn man Ausfallzeiten, Einnahmenverluste und Reputationsschäden einrechnet.
Die Lösung: Schaffen Sie Kontinuität, anstatt Anfälligkeit zu begünstigen.
06
Mythos: „Cyberresilienz ist das Problem des Sicherheitsteams.“
Realität: Cyber-Störungen betreffen Betriebsmodelle, Entscheidungskompetenzen, Anreizsysteme und Drittanbieter. Die Verantwortung sollte dementsprechend geteilt werden.
74 %
der Unternehmen geben an, dass Cyberresilienz in erster Linie in der Verantwortung der Sicherheits- oder IT-Abteilung liegt.
Nur 43 %
steuern Cyberresilienz als ein geschäftliches Ergebnis, das von der gesamten Unternehmensführung gemeinsam getragen wird.
Die Lösung: Machen Sie Resilienz zu einer gemeinsamen Verantwortung des gesamten Unternehmens – nicht zu einem IT-Silo.
Wie Führungskräfte an einem Strang ziehen, um den Betrieb bei Störungen aufrechtzuerhalten
Cyber-Störungen können weitreichende geschäftliche Auswirkungen haben – insbesondere in den heutigen, stark vernetzten Umgebungen. Deshalb ist es entscheidend, dass CEO und CISO beim Thema Resilienz dieselbe Sprache sprechen. Gemeinsam können sie einen klaren Plan entwickeln, um das Geschäft am Laufen zu halten, wenn der Ernstfall eintritt.
Dies beginnt mit einer zentralen Entscheidung: Welches ist das kleinste Set an Betriebsabläufen, das Sie zuerst schützen und wiederherstellen müssen, damit das Unternehmen eine Störung überstehen kann? Darauf aufbauend gilt es, das zu stabilisieren, was das Unternehmen auf keinen Fall verlieren darf, die Kernabläufe aufrechtzuerhalten und die Wiederherstellung in einer vertrauenswürdigen Umgebung sicher vollziehbar zu machen.
5 priorisierte Maßnahmen
1
Identifizieren Sie die wichtigsten Funktionen und kartieren Sie deren Abhängigkeiten über die gesamte Wertschöpfungskette hinweg.
2
Legen Sie Wiederherstellungsentscheidungen – Reihenfolge, Zuständigkeiten, Auslöser und Kompromisse – bereits vor einer Störung fest, nicht erst währenddessen.
3
Bauen Sie eine Wiederherstellungsumgebung auf, die auch unter widrigen Bedingungen funktioniert und mit den für den Wiederaufbau essenziellen Ressourcen ausgestattet ist.
4
Automatisieren Sie den Wiederaufbau, um die Auswirkungen weiter zu minimieren und die Wiederherstellungszeit von Wochen auf Stunden zu verkürzen.
5
Testen Sie unter realen Szenarien und bewerten Sie die Lage kontinuierlich neu, während sich das Unternehmen weiterentwickelt.
Der Lohn: Resiliente Unternehmen setzen sich an die Spitze
Führende Unternehmen im Bereich Cyberresilienz begnügen sich nicht mehr mit reinem Schutz – sie verankern die Wiederherstellung fest in ihren Strategien, um den Unternehmenswert zu sichern.
Das Ergebnis ist weit mehr als nur ein beruhigendes Gefühl: Unternehmen mit ausgereiften Resilienzfähigkeiten erzielen eine bessere finanzielle und operative Performance.
Optimierte Ausgaben durch die gezielte Abstimmung von Investitionen auf Schutz- und Resilienzmaßnahmen.
Passgenaue Cyber-Investitionen, die auf einem klaren Verständnis darüber aufbauen, was am wichtigsten ist.
Geringere Compliance-Kosten dank eindeutiger Verantwortlichkeiten, besserer Zuordnung von Kontrollen und weniger Doppelaufwand.
Resiliente Unternehmen überstehen Störungen nicht nur – sie gehen gestärkt daraus hervor in einer sich ständig verändernden Bedrohungslage.
Danksagung
Vielen Dank an alle, die ihr Fachwissen und ihre Erkenntnisse in diese Studie eingebracht haben.
Autor:innen Harpreet Sidhu, Jason Lewkowicz, Charlie Hosner und Yusof Seedat.
Mit Beiträgen von: Vikram Desai, Rouzbeh Hashemi und Lachlan George.
Quellenangaben
1. CrowdStrike Global Threat Report, 2026
2. CyberGym Vulnerability Reproduction Benchmark
3. CrowdStrike Global Threat Report, 2026
Wie dieser Bericht entstanden ist
Accenture befragte zwischen Februar und März 2026 1.000 C-Level-Führungskräfte weltweit. Darunter waren 505 CEOs oder gleichwertige Führungskräfte und 495 CISOs oder gleichwertige Führungskräfte verschiedener Branchen.
- Chief Executive Officer (CEO)
- Länder/Regionen/Fachbereiche CEO
- CEO oder Leiter einer Abteilung/Behörde
- Chief Information Security Officer (CISO)
- Leiter Informationssicherheit
- Australien
- Brasilien
- Kanada
- Frankreich
- Deutschland
- Italien
- Japan
- Königreich Saudi-Arabien (KSA)
- Singapur
- Spanien
- Vereinigte Arabische Emirate (VAE)
- Vereinigtes Königreich
- Vereinigte Staaten
- Luft- und Raumfahrt sowie Verteidigung
- Automobilindustrie
- Bankenwesen
- Kapitalmärkte
- Chemieindustrie
- Kommunikation und Medien
- Konsumgüter und Dienstleistungen
- Energiewirtschaft
- Gesundheitswesen
- High-Tech
- Industriegüter und Maschinenbau
- Versicherungswesen
- Life Sciences
- Rohstoffe und Ressourcen
- Öffentlicher Sektor
- Einzelhandel
- Software und Plattformen
- Reise und Transport
- Versorgungsunternehmen