← Alle Insights ← →

Das Cyberreporting im Verwaltungsrat für sich alleine ist noch keine Governance

Veröffentlicht: 15.07.2026

Das Cyberreporting im Verwaltungsrat für sich alleine ist noch keine Governance

«Keine wesentlichen Vorfälle.» Diesen Satz liest ein Verwaltungsrat vier Mal im Jahr, sollte Cybersecurity überhaupt auf der Board-Agenda stehen, und er beruhigt. Nur sagt dieser Satz nichts darüber, was tatsächlich passiert ist. Er sagt lediglich, was bemerkt wurde; das ist der entscheidende Unterschied.

Die verbreitete Antwort auf Cyber-Risiken im Verwaltungsrat lautet: strukturierte Berichterstattung. Quartalsweise, in Geschäftssprache, mit Trends, Massnahmen und Drittparteienrisiken, verknüpft mit der Risikotoleranz. Das ist richtig, und es ist besser als das, was viele Verwaltungsratsgremien heute erhalten. Es reicht trotzdem nicht. Solche Berichte haben zwei eingebaute Schwächen, und beide sind im vergangenen Jahr grösser geworden.

Letzten Monat habe ich darüber geschrieben, dass KI vor allem die Eintrittswahrscheinlichkeit eines Cyberangriffs verschiebt und weniger den Schaden pro Vorfall. Das war richtig, jedoch nur die halbe Wahrheit. KI verschiebt auch die Zeitachse. Genau daran zerbricht die bequeme Vorstellung, mit gutem Reporting sei die Oberaufsicht erfüllt.

Ein Bericht meldet nur, was bemerkt wurde

In den bisher dokumentierten Fällen von KI-gestützten Angriffen fiel die Rolle der KI überwiegend nicht durch die Verteidigung des Opfers auf. Sie kam durch operative Fehler der Angreifer ans Licht oder durch das Monitoring des KI-Anbieters. So beschreibt es Check Point Research für die von ihm untersuchten Vorfälle.

Dass KI im Spiel war, verrieten meist Fehler der Angreifer oder das Monitoring des KI-Anbieters. Nicht die Verteidigung des Opfers.

Diesen Befund muss man zweimal lesen. Die betroffenen Organisationen haben nichts bemerkt. Weder den Angriff, noch das Ausmass oder den Akteur.

Wo die Detektion versagt, meldet der Bericht keine wesentlichen Vorfälle, und der Verwaltungsrat nimmt dies beruhigt zur Kenntnis. Er misst in diesem Moment jedoch nicht das Risiko. Er misst den eigenen blinden Fleck. Der Bericht ist zwar nicht falsch, jedoch nur so gut wie die Datengrundlage.

Deshalb ist ein Bericht eine Ableitung, und wer die Ableitung nicht beurteilen kann, kann auch den Bericht nicht beurteilen. Ein Verwaltungsrat liest keine Buchungssätze, aber er liest eine Bilanz, und er erkennt, wenn eine Position nicht stimmen kann. Bei Technologie fehlt vielen Gremien genau dieses Niveau. Es geht nicht darum, eine Firewall zu konfigurieren. Es geht darum, eine Architektur lesen zu können und zu erkennen, wenn eine Antwort nicht trägt. Wer das nicht kann, muss sich fast blind auf die Stellvertreter verlassen. Würde dies ein Verwaltungsrat im Bereich Finanzen oder Recht auch einfach tun?

Ein Bericht kommt aus der Vergangenheit

Die zweite Schwäche ist grundsätzlicher, und sie lässt sich durch Qualität allein nicht beheben. Ein Bericht ist ein Quartalsereignis, ein Angriff ist längst ein Stundenereignis.

Der Nachrichtendienst des Bundes hält fest, dass staatliche Cyberakteure verschiedener Länder sich den technologischen Fortschritt wie künstliche Intelligenz zunutze machen, um ihre Angriffe wirksamer auszuführen, und dass die Zahl erkannter Schwachstellen wahrscheinlich weiter stark zunehmen wird. Das World Economic Forum nennt im Global Cybersecurity Outlook 2026 die Weiterentwicklung gegnerischer Fähigkeiten durch generative KI als eine der grössten Sorgen, von Phishing über die Entwicklung von Schadsoftware bis zu Deepfakes.

Wie stark sich das Finden von Schwachstellen verbilligt hat, zeigt Anthropic am eigenen Beispiel. Mit einem Modell der Mythos-Klasse fanden das Unternehmen und rund fünfzig Partner innert eines Monats über zehntausend Schwachstellen der Stufen hoch und kritisch in der weltweit wichtigsten Software. Cloudflare berichtet von einer zehnfach höheren Fundrate als zuvor. Anthropics eigene Schlussfolgerung ist dabei die interessantere: Der Fortschritt der Softwaresicherheit sei bisher davon begrenzt gewesen, wie schnell man Schwachstellen finde. Heute sei er davon begrenzt, wie schnell man sie prüfen, melden und beheben könne.

Die Zahlen dazu sind ernüchternd. Von 6’202 gefundenen Schwachstellen der Stufen hoch und kritisch in Open-Source-Projekten waren zum Berichtszeitpunkt 530 an die Verantwortlichen gemeldet und 75 behoben. Ein Patch braucht im Schnitt zwei Wochen. Mehrere Maintainer, also Freiwillige ohne Budget dahinter, baten Anthropic ausdrücklich, langsamer zu melden, weil ihnen die Zeit fehlt, Korrekturen zu bauen. Finden kostet fast nichts mehr, das Beheben aber enorme Ressourcen.

Heute bauen solche Plattformen noch die grossen Anbieter von Sprachmodellen. Anthropic selbst rechnet damit, dass innerhalb von sechs bis zwölf Monaten mehrere andere KI-Unternehmen über Modelle dieser Klasse verfügen werden, und dass diese sie ohne vergleichbare Schutzmassnahmen veröffentlichen könnten. Morgen sind es also möglicherweise kleinere Anbieter oder staatliche Akteure. Dann wird die Verteidigung deutlich herausfordernder.

Auf der Angriffsseite weist alles in dieselbe Richtung. Check Point Research beschreibt Malware mit rund 88’000 Zeilen funktionsfähigem Code, geschrieben von einer einzelnen Person in weniger als einer Woche, sowie einen Vorfall, bei dem ein autonomer Agent nach dem Einbruch selbstständig weiterarbeitete und eine Datenbank in weniger als einer Stunde exfiltrierte.

Unterschiedliche Absender, unterschiedliche Interessen, gleiche Richtung. Die auffälligste Bewegung ist nicht der Schaden pro Vorfall. Es ist das Tempo.

Wie hoch dieses Tempo ist, zeigt ein Detail, das ich beim Schreiben dieses Textes selbst korrigieren musste. Als ich im Juni über Cybersecurity schrieb, waren Modelle der Mythos-Klasse einem kleinen Kreis von Verteidigern vorbehalten. Seit dem 9. Juni ist ein solches Modell allgemein verfügbar, abgesichert durch Filter, die Anfragen aus dem Cyberbereich an ein schwächeres Modell umleiten. Die Variante ohne diese Filter bleibt ausgewählten Partnern vorbehalten. Zwischen zwei ordentlichen Verwaltungsratssitzungen hat sich damit eine Grundannahme verschoben.

Ein Angreifer, der in Stunden arbeitet, trifft auf eine Verteidigung, die in Tagen und Wochen arbeitet, und auf einen Verwaltungsrat, der in Monaten und Quartalen arbeitet. Der beste Quartalsbericht der Welt ändert an dieser Rechnung nichts. Er beschreibt einen Vorfall, der abgeschlossen ist, bevor das Gremium überhaupt davon erfährt.

Zwei unterschiedliche Zeitmessungen

Daraus abzuleiten, alles werde schneller, wäre zu einfach. Der NDB zeichnet für die staatliche Seite ein anderes Bild. Staatliche und staatlich beauftragte Cyberakteure verfügen über weit grössere Ressourcen als finanziell motivierte Gruppen, und sie können sich Zeit lassen. Von der ersten Auskundschaftung bis zur Exfiltration von Daten oder zur Sabotage können laut NDB Monate vergehen, wenn nicht Jahre.

Ein Verwaltungsrat hat es also mit zwei Uhren gleichzeitig zu tun. Die eine tickt in Stunden: kriminell, ökonomisch motiviert, opportunistisch, zunehmend automatisiert. Die andere in Jahren: staatlich, geduldig, gezielt. Eine Governance, die nur auf eine der beiden ausgelegt ist, verfehlt die andere zuverlässig.

Die Schweiz ist dabei Zielgebiet und nicht Zuschauer. Der NDB hält zur Ransomware-Lage nüchtern fest: In der Schweiz gibt es pro Monat einen bis zwei solche Angriffe auf kritische Infrastrukturen. Meistens trifft es Unternehmen und nicht Behörden. Russische Gruppierungen verantworten die grosse Mehrheit dieser Angriffe. Wer sehen will, wie das konkret aussieht, findet auf öffentlich zugänglichen Leak-Seiten laufend Schweizer Kliniken, Industriebetriebe, Logistiker und Dienstleister, mit Namen, Datum und Datenmenge. Das ist kein Lagebild. Das ist eine Liste.

Meine Frage, auf die es keine Antwort gab

In einem früheren Projekt habe ich eine einfache Frage gestellt: Wie verhalten wir uns, wenn wir morgen informiert werden, dass eine Ransomware-Attacke unsere Systeme verschlüsselt hat. Haben wir die Prozesse, ist klar, wer entscheidet, und welchen vorbehaltenen Entschluss haben wir gefasst.

Die erste Hälfte der Antwort kam schnell und war, wie ich sie erwartet hatte. Die technischen Prozesse waren vorhanden. Dank verschiedener und tatsächlich getesteter Datensicherungen liess sich der Betrieb in kurzer Zeit wieder aufnehmen, Ersatzhardware war vorbereitet. So weit hätte man die Sitzung zufrieden beenden können, und jeder Bericht hätte das korrekt so abgebildet.

Dann meine Zusatzfrage: Und was passiert, wenn zusätzlich unsere Kundendaten im Darknet landen? Darauf gab es keine Antwort mehr. Die Meinungen gingen weit auseinander.

In einer Diskussion darf das der Fall sein, muss es vielleicht sogar. Nur muss man sich bewusst machen, wann diese Diskussion im Ernstfall geführt wird: unter Zeitdruck, mit unvollständiger Information, unter Beobachtung von Kunden, Medien und Regulator. Es ist fraglich, ob unter diesen Bedingungen die gute Entscheidung getroffen wird. Ich sage bewusst nicht die richtige, denn eine richtige gibt es in einem solchen Fall nicht.

Genau hier liegt die Aufgabe für den Verwaltungsrat, und sie steht in keinem Bericht. Es braucht nicht mehr Zeit im Kalender. Es braucht die Verlagerung von Entscheiden nach vorne auf der Zeitachse. Für den Verwaltungsrat heisst das zwingend: die Auseinandersetzung mit einem realistischen Worst-Case-Szenario und die Vorbereitung darauf. Das bedeutet:

  • Vorbehaltener Entschluss statt Entscheid unter Zeitdruck: Was im Ernstfall entschieden werden muss, muss vorher entschieden sein, zumindest als vorbehaltener Entschluss auf Basis der heute verfügbaren Informationen. Zahlen wir oder zahlen wir nicht bei einer Ransomware-Attacke mit Kundendatenverlust, und wer legt das fest. Wer darf Systeme oder Standorte vom Netz nehmen, ohne zu fragen. Ab welcher Schwelle wird das Gremium ausserhalb des Kalenders einberufen, brauchen wir einen Krisenstab, und in welcher Frist muss das Gremium beschlussfähig sein. Wer löst die Meldung an den EDÖB aus, und wer entscheidet über die Kommunikation nach aussen und nach innen. Ein Verwaltungsrat, der im Ernstfall zuerst seinen eigenen Handlungsspielraum klären muss, ist Teil der Verzögerung und nicht Teil der Lösung.
  • Delegation mit Grenzen statt Delegation mit Vertrauen: Die Sorgfalt nach Art. 754 OR lässt sich organisatorisch verteilen, aber nicht abgeben, und die Oberaufsicht nach Art. 716a Abs. 1 Ziff. 5 OR ist unübertragbar. Beides spricht nicht gegen eine schnelle operative Führung, im Gegenteil. Es verlangt aber, dass deren Handlungsraum definiert, dokumentiert und beschlossen ist, bevor er benötigt wird.
  • Geübt statt beschrieben: Ein Notfallplan, der nie unter Zeitdruck getestet wurde, ist eine Absichtserklärung. Dasselbe gilt für die Rolle des Verwaltungsrats darin. Wiederherstellung aus dem Backup lässt sich testen, und viele testen sie. Die Frage, wie man mit veröffentlichten Kundendaten umgeht, testet fast niemand. Sie ist die schwierigere der beiden, denn es geht meist um Datenschutz, Reputation und Vertrauen. Im Worst-Case-Szenario kann ein solcher Fall die Unternehmung ruinieren.

Architektur und Datenmanagement hinterfragen

Wenn grosse Datenmengen unbemerkt abfliessen können, stellen sich drei Fragen:

  • Wieso fiel ein solcher massiver Datentransfer nicht auf?
  • Wieso waren diese Daten überhaupt so exponiert, und ist es notwendig, dass sie es sind?
  • Beherrscht die Unternehmung die Komplexität ihrer eigenen Architektur noch?

Ich habe an anderer Stelle beschrieben, dass gewachsene Umgebungen ihr grösstes Risiko oft in der eigenen Komplexität tragen. Über Jahre und Jahrzehnte werden Systeme, Datenbanken und Services integriert, und irgendwann stellt niemand mehr die Frage, ob sich die Umgebung vereinfachen und entschlacken liesse. Dasselbe gilt im Übrigen in M&A-Prozessen, wo Systeme zweier oder mehrerer Unternehmen plötzlich integriert werden. Oft liegt der Fokus auf den Daten und den Prozessen und weniger auf der Cybersecurity.

Auch hier ist der Verwaltungsrat gefragt, und zwar mit einer Frage, die in keinem Bericht steht: Haben wir unsere Systeme überhaupt noch im Griff?

Der Massstab kommt nicht von der Regulierung

Verschiedene Regelwerke beschreiben mit zunehmender Präzision, was ein Leitungsorgan genehmigen, überwachen und verantworten muss. Keines davon sagt jedoch, wie schnell beispielsweise eine offene Lücke behoben werden muss.

Das Reporting bleibt notwendig. Es ist nur nicht der einzige Ort, an dem Cyber-Governance stattfindet. Der Verwaltungsrat, der einen guten Bericht entgegennimmt, diesen aber mangels Technologiekompetenz nicht hinterfragen kann und für die denkbaren Szenarien keinen vorbehaltenen Entschluss gefasst hat, ist informiert und nicht vorbereitet. Vorbereitung macht eine Krise nicht einfach. Sie entscheidet aber darüber, ob im Ernstfall überhaupt entschieden wird oder eben bloss reagiert werden kann.

Weiterführende Quellen