← Alle Insights ←

Cybersecurity im Verwaltungsrat: Wir kennen das Risiko. Trotzdem warten wir passiv auf den Einbruch.

Von · Veröffentlicht: 12.10.2026

CyberresilienzVerwaltungsratEntscheidungsfindungRisikomanagement
Cybersecurity im Verwaltungsrat: Wir kennen das Risiko. Trotzdem warten wir passiv auf den Einbruch.

In den Gesprächen, die ich mit Geschäftsleitungen und Verwaltungsräten führe, hält niemand Cyberrisiken für überschätzt. Trotzdem bleibt die Umsetzung erstaunlich oft liegen. Es fehlt an Fachkenntnissen im Verwaltungsrat, es fehlt an Zeit, es fehlt an Budget, im Datenschutz oft genauso wie bei der Cybersecurity. Das ändert sich meist an einem einzigen Tag: an jenem, an dem der erste Angriff erfolgreich war und die Unternehmung in den Schlagzeilen landet.

Der neue swissVR Monitor II/2026 liefert zu diesem Muster die Zahlen. Mich beschäftigt die Frage dahinter. Warum handeln Gremien, die das Risiko kennen, erst dann, wenn der Schaden eingetreten ist?

Mehr Opfer, weniger Fragen

Für den Monitor wurden zwischen Ende Mai und Anfang Juli 2026 insgesamt 281 Verwaltungsratsmitglieder befragt. 41 Prozent geben an, ihr Unternehmen sei bereits Opfer eines Cyberangriffs geworden. Vor drei Jahren waren es 28 Prozent. Den Anstieg führt die Studie auf die kleinen und mittleren Unternehmen zurück. Dort hat sich der Anteil von 20 auf 37 Prozent beinahe verdoppelt, während er bei den Grossunternehmen von 45 auf 48 Prozent praktisch konstant blieb. Das Argument, man sei für Angreifer zu klein, hat damit eine Zahl gegen sich.

Bei der Vorbereitung sieht es nicht besser aus. In 55 Prozent der Unternehmen fehlen Pläne zur Wiederherstellung der IT nach einem schweren Angriff oder sie wurden nie getestet. Drei Viertel haben keine schriftlich dokumentierte Strategie, die KI-gestützte Angriffe berücksichtigt. Der Anteil der Gremien, die das Krisenmanagement für einen Cyberangriff proben, ist von 34 auf 51 Prozent gestiegen. Das ist ein Fortschritt. Die andere Hälfte probt nach wie vor nicht.

Die Zahl, die mich am meisten beschäftigt, steht weiter hinten in der Studie. Obwohl deutlich mehr Unternehmen getroffen werden, erhalten weniger Verwaltungsräte ein Reporting zum Handlungs- und Investitionsbedarf: 35 Prozent statt 53 Prozent vor drei Jahren. Ein Viertel der Gremien erhält gar kein regelmässiges Cyber-Reporting. Die Betroffenheit steigt, die Fragen im Verwaltungsrat werden seltener. Die Autoren deuten das vorsichtig als Hinweis, dass Cyber-Resilienz als einmalige Aufgabe verstanden wird. Ich lese es schärfer: Viele Gremien haben das Thema nach einer ersten Investitionswelle wie ein Projekt abgehakt.

Ein Raucher kennt die Statistik

Mich erinnert das an den Raucher, der erst mit der Diagnose Lungenkrebs aufhört. Oder an den Patienten mit zu hohem Cholesterin, der seine Ernährung auch mit dem Befund in der Hand nicht umstellt. Beide kennen ihr Risiko besser als Aussenstehende. Aber die Umstellung ist mühsam und verlangt Disziplin. Ich kenne das aus meinem täglichen Training. Das Training findet jeden Tag statt, braucht enorm Disziplin und oft auch Überwindung, die Wirkung zeigt sich erst nach Monaten und an keinem einzelnen Tag lässt sich beweisen, dass sich das Training gelohnt hat.

In Unternehmen ist es nicht anders. 39 Prozent der Befragten berichten, dass Pläne zur Wiederherstellung der IT zwar existieren, aber nie getestet wurden. Das ist der Ernährungsplan am Kühlschrank. Er beruhigt, weil es ihn gibt und er wirkt nicht, weil niemand nach ihm lebt. Dasselbe Gefälle zeigt sich im Gremium selbst. 84 Prozent der Verwaltungsräte beschliessen eine Risikopolitik, die Cyberrisiken adressiert. Geprobt wird der Ernstfall in rund der Hälfte.

Am Wissen mangelt es also nicht. Was fehlt, erklärt die Entscheidungspsychologie recht genau:

Die Psychologie des Nichtstuns

Nichtstun fühlt sich sicherer an als Handeln: Der Psychologe Christopher Anderson hat die Forschung zur Entscheidungsvermeidung zusammengefasst und vier Effekte beschrieben:

  • Wir schieben Entscheide auf,
  • wir bleiben beim Status quo,
  • wir ziehen das Unterlassen dem Handeln vor,
  • und wer eine Gelegenheit einmal verpasst hat, handelt danach noch seltener.

Anderson führt dieses Verhalten auf Vernunft und Gefühl zurück. Ein wichtiger Antrieb ist die erwartete Reue. Wer am Bestehenden festhält, hat eine Begründung zur Hand und bereut weniger, selbst wenn das Ergebnis schlecht ausfällt. Ich nenne das die psychologische Form von Bequemlichkeit. Der Verwaltungsrat, der das Sicherheitsbudget um ein Jahr verschiebt, trifft formal keinen Entscheid. Er lässt einfach alles, wie es ist.

Hoffnung ersetzt die Strategie: Ein Sicherheitsbudget ist ein sicherer Aufwand in der Erfolgsrechnung dieses Jahres, vergleichbar mit einer Versicherungsprämie. Der Schaden, den es verhindern soll, bleibt eine Wahrscheinlichkeit. Daniel Kahneman und Amos Tversky haben gezeigt, dass Menschen seltene Ereignisse in ihren Entscheiden sehr unterschiedlich gewichten. Ist ein Risiko konkret beschrieben und präsent, gewichten wir es im Entscheid eher zu stark; deshalb kaufen wir Versicherungen. Kahneman hält aber auch fest, dass ein seltenes Ereignis vor allem dann stärker gewichtet wird, wenn es einem ausdrücklich in den Sinn kommt. Einem Gremium, das noch nie angegriffen wurde, fehlt dieses Bild. Ein Budget ist verständlich und sichtbar, ein Cyberangriff bleibt abstrakt. Kahneman und Dan Lovallo beschreiben zudem den Optimismus als eine wesentliche Quelle der Risikobereitschaft. Wer die Investition aufschiebt, kauft sich die Hoffnung, dass nichts passiert. Hoffnung ist jedoch keine Strategie. Hinzu kommt, dass Prävention keinen sichtbaren Ertrag hat. Wirkt sie, geschieht nichts und im Rückblick sieht das Budget überflüssig aus.

Wir schützen uns gegen den Schaden, den wir kennen: Kahneman zitiert die Beobachtung von Howard Kunreuther, dass Schutzmassnahmen meist auf die schlimmste Katastrophe ausgelegt werden, die man selber erlebt hat. Das erklärt, warum sich nach einem Angriff so viel bewegt. Erst dann hat das Gremium ein eigenes Bild des Schadens, etwa den Stillstand des Betriebs, laut Monitor mit 42 Prozent die mit Abstand häufigste Folge eines Angriffs. Vorher bleibt der Angriff ein Fall aus der Zeitung, der anderen zugestossen ist.

Unterlassungen bleiben unsichtbar: Anderson beschreibt auch, dass Menschen einer Unterlassung weniger Verantwortung und weniger Schuld zuschreiben als einer Handlung. Die öffentliche Wahrnehmung passt dazu. Im Vordergrund stehen meist die Täter, kaum je die Entscheide, die den Angriff erleichtert haben. So war es auch beim Angriff auf die PK Softech AG, die Entwicklerin der Vorsorge-Applikation der Pensionskasse des Bundes Publica. Wer die Täter benennt, muss die eigenen Lücken nicht erklären. Solange das so bleibt, ist Nichtstun für ein Gremium sozial günstiger als ein unbequemer Investitionsentscheid.

Wir wollen ein Projekt abschliessen: Ein Projekt hat ein Budget und ein Enddatum. Cyber-Resilienz folgt dieser Logik nicht. In der Welt von künstlicher Intelligenz und Cybersecurity verändern sich die Angriffe und die eigene Angriffsfläche laufend. Einen Abschluss gibt es nicht mehr, nur Evolutionsstufen. Der Rückgang beim Reporting zum Handlungsbedarf passt zu diesem Bild. Das Thema gilt als erledigt, also wird nicht mehr danach gefragt.

Zwei Verstärker im Verwaltungsratsgremium

Der erste Verstärker ist die Informationslage: 62 Prozent der Verwaltungsräte beziehen ihr Wissen zur Cyber-Resilienz von der Geschäftsleitung, also von jenen, die sie beaufsichtigen sollen. Ein CEO, der mehr Sicherheitsbudget beantragt, sagt dem Gremium zugleich, dass der heutige Stand nicht genügt. Wer selbst eine Geschäftsleitung geführt hat, kennt diesen Zielkonflikt. Ein Drittel der Gremien hat ein Mitglied mit Cyber- oder IT-Expertise, ein Viertel zieht eine externe Fachperson bei. Die Studie fasst Cyber- und IT-Expertise in einer Kategorie zusammen und beruht auf Selbsteinschätzung. Ein Mitglied mit IT-Hintergrund ist jedoch nicht automatisch ein Mitglied, das die Cyber-Resilienz eines Unternehmens beurteilen kann. Warum ein Reporting allein noch keine Aufsicht ist, habe ich im Juli im Artikel «Das Cyberreporting im Verwaltungsrat für sich alleine ist noch keine Governance» beschrieben.

Der zweite Verstärker ist die Board-Agenda: Für die nächsten zwölf Monate steht die Effizienzsteigerung mit 33 Prozent auf Rang eins. Das Sicherheitsmanagement einschliesslich Cyber-Resilienz folgt mit 18 Prozent auf Rang acht. Effizienzprojekte liefern Zahlen, die im nächsten Abschluss sichtbar werden. Jede Automatisierung und jeder KI-Agent schafft aber neue Berechtigungen und Schnittstellen, die Angreifer nutzen können. Frank Desiere nennt das im Interview des Monitors die Kehrseite jeder KI-Effizienzinitiative, die das Gremium bewilligt.

Disziplin statt Hoffnung

Diese Mechanismen lassen sich nicht wegwünschen. Ein Verwaltungsrat kann ihnen aber Strukturen entgegensetzen, die ohne Willenskraft im Einzelfall auskommen. Das ist Disziplin auf Gremienebene.

Der Hoffnung setzt der Verwaltungsrat am besten eine Zahl entgegen. Er fragt die Geschäftsleitung: Was kostet uns ein Betriebsunterbruch von drei Wochen und wie viel davon sind wir bereit zu tragen? Sandra Emme empfiehlt im Interview des Monitors, Cyberrisiken in einer konkreten Summe zu beziffern. Sobald Schaden und Sicherheitsbudget beziffert sind, vergleicht das Gremium zwei Beträge, und die diffuse Gefahr verliert ihren psychologischen Vorteil.

Eine Unterlassung wird sichtbar, sobald sie beschlossen werden muss. Verzichtet der Verwaltungsrat auf eine Massnahme, akzeptiert er das Restrisiko mit Begründung im Protokoll. Aus dem bequemen Nichtstun wird so ein Entscheid, für den das Gremium einsteht. Das betrifft auch die Geschäftsleitung. Beantragt sie eine Investition in Cybersecurity und lehnt der Verwaltungsrat sie aktiv ab, trägt er die Verantwortung für diesen Entscheid. Die Geschäftsleitung ist damit nicht aus der Pflicht entlassen, aber ihr Antrag ist dokumentiert. Ein informierter, begründeter und protokollierter Entscheid lässt sich im Ernstfall verteidigen. Bei einer stillen Vertagung ist dies kaum möglich. Auch ein solcher Beschluss braucht aber ein Ablaufdatum, sonst wird das Protokoll zum nächsten Ernährungsplan am Kühlschrank.

Das fehlende Bild des Schadens liefert die Krisenübung, ohne dass der Schaden eintreten muss. Wer entscheidet über eine Lösegeldforderung und ab wann greift eine Meldepflicht? Wie modellieren wir unsere Liquiditätssituation, sollte der Betrieb über Wochen stehen? Wie entwickelt sich unsere finanzielle Situation bei längerem Ausfall der Produktion? Solche Fragen klärt man besser vorher am Tisch als in der Nacht des Angriffs. Dazu gehören getestete Wiederherstellungspläne, deren Ergebnisse das Gremium sieht. Heute wird gemäss Monitor nur rund jeder siebte Verwaltungsrat regelmässig über solche Tests informiert.

Dem Projektdenken begegnet ein Gremium mit einem festen Rhythmus. Cyber-Resilienz gehört als wiederkehrendes Traktandum auf die Agenda, mit einer jährlichen Neubeurteilung der Bedrohungslage und dem erreichten Reifegrad je Massnahme. Jeder Antrag für ein Effizienz- oder KI-Projekt beantwortet zudem, welche Angriffsfläche er schafft und was ihre Absicherung kostet.

Die Abhängigkeit von der Geschäftsleitung verringert sich mit eigener Kompetenz im Verwaltungsrat. Das kann ein Mitglied mit Erfahrung in Cybersecurity sein oder eine unabhängige Fachperson, die das Reporting spiegelt.

Wo der Vergleich mit dem Raucher endet

Der Vergleich mit dem Raucher hat eine Grenze, und genau sie ist entscheidend. Der Raucher riskiert seine eigene Gesundheit. Der Verwaltungsrat entscheidet über ein Unternehmen, das ihm in der Regel nicht allein gehört, und damit auch über Arbeitsplätze und Kundendaten. Die Oberaufsicht ist nach Art. 716a OR eine unübertragbare Aufgabe. Verletzt der Verwaltungsrat seine Sorgfaltspflicht und entsteht daraus ein Schaden, kann er nach Art. 754 OR persönlich haften.

Die Organhaftpflichtversicherung, über die laut Monitor 84 Prozent der Befragten verfügen, ändert daran wenig. Emme hält fest, dass der Verwaltungsrat nicht für den Angriff selbst haftet, wohl aber für mangelhafte Vorbereitung und für strategische Fehler in der Krise. Ob eine Versicherung im Ernstfall leistet, entscheiden die Police und die Allgemeinen Versicherungsbedingungen. Wer im Fragebogen des Versicherers getestete Wiederherstellungspläne angibt, obwohl sie nie getestet wurden, setzt die Deckung aufs Spiel. Frank Desiere fasst es im Monitor so zusammen: «Eine D&O-Deckung ersetzt diese Sorgfalt nicht, sie setzt sie voraus.»

Technologie kann delegiert werden. Verantwortung nicht. Ein Gremium, das erst nach dem ersten Angriff handelt, wusste genug. Es hat zu spät entschieden. Die Diagnose liegt seit Jahren auf dem Tisch. Die Behandlung beginnt im Verwaltungsrat, und sie verlangt Disziplin.

Transparenzhinweis

Generative KI wurde bei der Erstellung dieses Artikels unterstützend für Recherche und redaktionelle Vorarbeiten eingesetzt. Die konzeptionelle Anlage, die Auswahl und Gewichtung der Inhalte, die fachliche Einordnung, die Endfassung des Textes sowie die Verantwortung für alle Aussagen und Schlussfolgerungen liegen bei mir.

Quellen