Cyberresilienz beginnt bei der Grundhaltung, gerade auf Stufe Verwaltungsrat

«Es ist nicht die Frage, ob wir angegriffen werden, sondern wann.»

Diesen Satz hört man an jeder Cyberkonferenz. Gelebt wird er selten. Am Jahresanlass des SwissBoardForum habe ich in einem der Workshops «Cyberresilienz ohne Illusionen» wieder festgestellt, woran das liegen könnte. Im kleinen Kreis sprachen wir offen über reale Worst-Case-Szenarien, über Notfallpläne, über Krisenstäbe, über den Unterschied zwischen Illusion und tatsächlich geprüften Vorbereitungen, über Architektur und Governance. Von all diesen Themen möchte ich ein Kernelement herausgreifen, weil es allen anderen vorausgeht: die Grundhaltung.

Was die Fliegerei über Reaktion unter Druck lehrt

Ich erkläre das anhand einer Erfahrung aus meiner Tätigkeit als Fluglehrer. Beim Windenstart hängt das Segelflugzeug an einem Seil und wird wie ein Drachen in 2.5 Sekunden von 0 auf 100 km/h katapultiert. Die heikle Phase ist kurz nach dem Abheben, in der Rotation in den höheren Anstellwinkel. Reisst in diesem Moment das Seil, kommt es zu einem Leistungsabfall der Winde, oder zieht der Pilot zu stark das Flugzeug vom Boden, wird es in Bodennähe sehr schnell sehr gefährlich. Die Handlungsoptionen sind minimal, und man hat genau einen Versuch, die Situation zu retten.

Als junger Fluglehrer habe ich meinen Schülern und Piloten vor allem die Verfahren repetitiv eingetrichtert, mit denen sie diese Situation retten. Im Training stellte ich jedoch fest, dass die Reaktionen oft zu spät kamen. Je näher am Boden, desto stärker zögerten die Piloten zu handeln, obwohl sie die Verfahren kannten und trainiert hatten. Meine eigenen Reaktionen vor der Tätigkeit als Fluglehrer waren früher nicht anders. Der Grund liegt nicht im fehlenden Wissen, er liegt im Schreckmoment. Solange der Pilot insgeheim hofft, dass nichts passiert, kostet die Erkenntnis «es ist tatsächlich eingetreten» wertvolle Sekunden, bevor das Verfahren abgerufen wird.

Was geholfen hat, war kein zusätzliches Verfahren. Es war ein Reframing, eine mentale Vorbereitung auf den Ernstfall, welche wir alle nicht wollen. Ich habe vermittelt, dass in der Startvorbereitung der Seilriss der Normalfall ist, nicht der geglückte Start. Das Seil wird reissen, als Grundhaltung! Diese Haltung soll keine Angst erzeugen. Sie soll die Entscheidung bereits vor dem Start bewusst treffen lassen: Will ich unter diesen Bedingungen starten, bin ich fit für diesen Flug und kann ich das Flugzeug in jeder Phase unter den herrschenden Bedingungen (Wetterbedingungen, nasser Boden, hohes Gras, Seitenwind, usw.) sicher zu Boden bringen? Wer mit dieser Haltung startet, ist auf den Ernstfall vorbereitet und bleibt in jeder Situation handlungsfähig. Diese Haltungsänderung hat genau diese zeitliche Verzögerung eliminiert, welche dem Piloten die Handlungsfähigkeit ermöglichte. Der Nebeneffekt ist bemerkenswert, denn die allermeisten Starts (meiner eigenen Statistik nach hatte ich jeweils einen echten Seilriss pro 1’000 Starts) werden zum Glücksmoment, weil der erwartete Notfall ausbleibt.

Im Verwaltungsrat wirkt derselbe Mechanismus

In vielen Gremien herrscht die umgekehrte Haltung. Eine Cyberattacke gilt als unwahrscheinlich. Wir seien zu klein, zu unwichtig, unsere Branche kein attraktives Ziel. Oder die IT sei ausgelagert und alles liege in einer gut geschützten Cloud. Diese Annahmen waren auch am Anlass Thema, und sie sind weit verbreitet. Sie halten der Realität nicht stand, doch das ist nicht der eigentliche Punkt. Der eigentliche Punkt ist, dass sie dieselbe Funktion erfüllen wie das Prinzip Hoffnung im Cockpit. Sie erlauben, den Ernstfall gedanklich nicht vorwegzunehmen. Genau das kostet im Ereignisfall die entscheidenden Stunden oder gar Minuten.

Die Frage, ob zusätzlich in Software, Audits, Penetrationstests oder eine CISO-Funktion investiert werden soll, lässt sich ohnehin rasch beantworten. Ein fundiertes Risk Assessment, das die Kosten eines einzigen ernsten Falls beziffert, beendet die Diskussion meist in Minuten. Solange aber die Grundhaltung «uns trifft es nicht, und wenn doch, haben wir Backups» bestehen bleibt, bleibt jede Investition Stückwerk.

Daten zeigen, dass Resilienz geführt und nicht gekauft werden kann

Diese Beobachtung deckt sich mit aktuellen Zahlen. Der Global Cybersecurity Outlook 2026 des World Economic Forum zeigt einen aufschlussreichen Unterschied:

• Führungskräfte wenig resilienter Organisationen nennen fehlende Mittel (63 Prozent) und fehlende Fachkräfte (56 Prozent) als grösste Hürde auf dem Weg zu mehr Resilienz.
• Führungskräfte hochresilienter Organisationen nennen dagegen mehrheitlich Lieferketten- und Drittparteienrisiken (78 Prozent). Wer noch beim Budget und beim Personal stehenbleibt, ist also in der Regel weniger resilient.
• Wer resilient ist, hat diese Stufe hinter sich gelassen und steuert das Ökosystem. Die Budgetfrage ist selten die eigentliche Hürde, sie ist oft ein Ausdruck der Haltung.

Dazu passt, dass derselbe Bericht die Merkmale resilienter Organisationen nicht primär bei der Technik verortet. Sein Cyber Resilience Compass führt sieben Felder, darunter Führung sowie Menschen und Kultur, gleichrangig neben den technischen Systemen. Resilienz ist demnach kein Produkt, das man beschafft. Sie ist eine Eigenschaft, die geführt wird.

Was das für den Verwaltungsrat konkret bedeutet

Im Cockpit ist der Einzelne verantwortlich, im Unternehmen ist es das Gremium. Die Grundhaltung lässt sich auf Stufe Verwaltungsrat nicht der Stimmung überlassen, sie muss institutionalisiert werden. Das heisst konkret:

Der Verwaltungsrat nimmt den Ernstfall in der Vorbereitung vorweg, statt ihn als Ausnahme zu behandeln.

Er prüft den Notfallplan im durchgespielten Szenario, nicht nur auf dem Papier. Er vergewissert sich, dass der Krisenstab klare Rollen hat und der Verwaltungsrat sowie die Geschäftsleitung diese im Krisenfall auch akzeptiert. Und er macht die Frage, ob man im Ernstfall handlungsfähig ist, zum wiederkehrenden Agendapunkt, nicht zum Thema nach dem ersten Vorfall. Gerade in der heutigen Phase, wo Technologien sich rasend schnell weiterentwickeln (KI-Systeme und -Agenten, Quantum Computing, Robotik), müssen diese Risiken permanent bewertet und eingeordnet werden.

Das ist keine Kür. Das ist Teil der Sorgfaltspflicht. Die Verantwortung für das Risikomanagement gehört nach Art. 716a Abs. 1 Ziff. 1 OR zu den unübertragbaren Aufgaben des Verwaltungsrats. Die Verantwortung für Cyberrisiken lässt sich so wenig auslagern wie die Oberleitung selbst.

Diese Grundhaltung kostet kein Budget, nur Führungsaufmerksamkeit, und die ist in vielen Gremien knapper als Geld. Sie wirkt oft mehr als zusätzliche Software oder externe Mandate. Ich schreibe bewusst nicht, dass sie Schäden verhindert. Das wäre weder wahrhaftig noch im Sinn dieser Haltung. Aber die ernsthafte, realitätsnahe Vorbereitung, die sie auslöst, kann Schäden begrenzen, Unterbrüche verkürzen und das Schlimmste abwenden.

Aus meiner Erfahrung im Bereich Sport, Leadership und insbesondere Cybersecurity bin ich überzeugt, dass Resilienz in schwierigen Lagen auf der Einstellung des Einzelnen, des Teams und der Organisation beruht. Ohne dieses Fundament helfen weder Werkzeuge noch Prozesse. Im Verwaltungsrat beginnt es mit einem einzigen Perspektivenwechsel: Der Ernstfall ist nicht die Ausnahme, auf die man hofft, dass sie ausbleibt. Er ist der Normalfall, auf den man vorbereitet ist.