Top-Priorität und trotzdem keine Entscheidung: Decision Avoidance

Veröffentlicht: 17.04.2026

Warum aus «Top-Risiko» und «Top-Priorität» in der Diskussion oft kein Entscheid in der Praxis wird.

Das Muster wiederholt sich mit bemerkenswerter Konstanz. Auf dem Podium heisst es «Top-Risiko», «höchste Priorität», «wir müssen handeln». Im Unternehmen folgt: kein Entscheid, kein Owner, kein Programm und wenig Veränderung.

Gleichzeitig erzeugt der Markt eine permanente Dringlichkeit. Kaum eine Woche ohne die nächste Studie, die warnt, wer jetzt nicht handle, sei morgen abgehängt. Ein erheblicher Teil dieses Drucks wird von der KI- oder Cybersecurity-Industrie selbst erzeugt, durch Anbieter, Analysten und Konferenzen, die ein kommerzielles Interesse an schnellen Entscheidungen haben. Diese Dringlichkeit verdient Skepsis. Nicht alles, was als zwingend dargestellt wird, ist es auch. Nicht jede vermeintlich sofortige Handlungsnotwendigkeit hält einer nüchternen strategischen Prüfung stand.

Wer in Verwaltungsrat und Geschäftsleitung Initiativen zu Cybersicherheit und Künstlicher Intelligenz steuern will, muss beide Seiten verstehen: den Marktdruck, der zum überstürzten Handeln verführt, und die Mechanismen, die trotz aller Dringlichkeit zu Stillstand führen. Das Problem ist in den meisten Fällen weder Unkenntnis noch fehlender Ernst. Das Problem hat einen Namen: Decision Avoidance.

Die unterlassene Entscheidung ist eine Entscheidung

In meiner Führungspraxis habe ich dieses Muster häufig beobachtet, als CEO und als VR-Mitglied ebenso wie in Mandaten ausserhalb der eigenen Organisation. Die Entscheidungstragenden wissen sehr genau, worum es geht. Trotzdem wird nicht entschieden. Die Begründungen dafür sind auffallend konsistent.

Die vier Begründungen und ihre Mechanik

Priorisierung: «Wir haben schon genug im Tagesgeschäft.» Diese Aussage ist selten Ausdruck von Ignoranz. Sie beschreibt ein Kapazitäts- und Priorisierungsproblem. Wenn das Vorhaben gross wirkt und die Ressourcen knapp sind, wird Aufschub zur Standardoption. In der Entscheidungsforschung heisst dieses Verhalten Choice Deferral, also der systematische Entscheidungsaufschub bei steigender Komplexität: Je unübersichtlicher der Entscheidungsraum, desto attraktiver wird das Nicht-Entscheiden.
Wertehebel: «Der ROI ist nicht klar.» Dieser Einwand ist verständlich, führt aber zu einem gefährlichen Denkfehler. Cyber- und KI-Initiativen werden wie gewöhnliche Investitionsprojekte behandelt, obwohl sie in ihrem Kern Risikosteuerung, Resilienz und strategischer Wertehebel zugleich sind. Der ROI ist nicht die einzige Legitimationslogik für Vorhaben, die primär der Schadenvermeidung und der strategischen Positionierung dienen. Tversky und Shafir haben die dahinterliegende Dynamik bereits vor drei Jahrzehnten beschrieben: Je mehr Konflikt ein Entscheidungsraum enthält, desto wahrscheinlicher wird die Vertagung. Wer einen klaren ROI als Vorbedingung für jede Entscheidung setzt, hat die Vertagung bereits institutionalisiert.
Harmonie und Management-Schulden: «Solche Projekte fördern Aspekte ans Tageslicht, die wir momentan nicht thematisieren wollen.» Das ist der heikelste der vier Einwände. Und zugleich derjenige, der am seltensten offen ausgesprochen wird. In meiner Erfahrung formuliert ihn kaum jemand direkt. Was stattdessen passiert: Der Widerstand kommt aus dem operativen Geschäft, getarnt als Ressourcen- oder Kostenargument, als Verweis auf laufende Initiativen, die man gerade jetzt nicht stören dürfe. Was tatsächlich dahintersteht, sind ineffiziente Prozesse, Workarounds um Menschen herum, siloartige Digitalisierung, unklare Datenverantwortung, Schatten-IT, technische Schulden, Integrationslücken, Altlasten. Aktives Handeln erzeugt Transparenz, Transparenz erzeugt Verantwortlichkeit. Genau diese Verantwortlichkeit ist der Punkt, den viele vermeiden. Der Omission Bias beschreibt, warum Unterlassen subjektiv attraktiver erscheinen kann als Handeln: Schäden, die aus Nicht-Handeln entstehen, werden oft milder beurteilt als Schäden, die aus aktivem Handeln resultieren, selbst wenn das Unterlassen objektiv riskanter ist. Das ist menschlich nachvollziehbar und aus Governance-Sicht trotzdem untragbar.
Never change a running system: «Wir bleiben erstmal beim Bewährten.» Das ist die eleganteste Form der Blockade. Kleine, unverbindliche Schritte werden gemacht, strukturelle Entscheide vermieden. Der Status-quo-Bias bevorzugt systematisch das Bestehende, weil es weniger Begründungsdruck erzeugt. Das Bestehende gilt als selbstlegitimiert. Das Neue muss sich rechtfertigen. Diese Asymmetrie ist in den meisten Gremien strukturell verankert, selten explizit diskutiert.

Zwei Reflexe, ein Weg

Auf der anderen Seite kann es selbstverständlich nicht die Antwort sein, das Thema auf die lange Bank zu schieben. Wer wartet, bis die Regulierung, der Wettbewerb oder ein Vorfall erzwingt, was ein Entscheid hätte vorwegnehmen können, hat bereits Zeit, Handlungsspielraum und in vielen Fällen auch Vertrauen verloren.

Die Konsequenzen beider Reflexe sind unterschiedlich, aber gleich schädlich:

Decision Avoidance produziert Risikoakkumulation: Schwachstellen bleiben offen, Abhängigkeiten wachsen unkontrolliert, und der Handlungsdruck steigt mit jedem Quartal, das ungenutzt verstreicht.
Action Bias produziert Rückbaukosten: Zehn Proof-of-Concepts laufen parallel, drei Security-Tools werden lizenziert, bevor die Anforderungen klar sind, und eine Taskforce liefert Aktivität statt Ergebnisse. In beiden Fällen fehlt dasselbe: eine bewusste strategische Entscheidung darüber, wie das Thema angegangen wird. Nicht ob, nicht sofort, nicht alles auf einmal. Sondern mit klarem Zielbild, nachvollziehbarer Priorisierung und einer Steuerungslogik, die Fortschritt messbar macht.

Was ich in meinen eigenen Sitzungen verändert habe: Fokus

Vom Thema zum Entscheid. Die wirksamste Veränderung in meiner eigenen Führungspraxis war, Themen konsequent in Entscheidungsfragen zu übersetzen. Die Frage «Wir sollten Cyber- und KI-Risiken besser steuern» lädt zur Vertagung ein. Status: Ongoing. Die Frage «Welche drei Risiken senken wir in den nächsten neunzig Tagen messbar?» zwingt zu einer Antwort. Der Unterschied scheint klein, der Effekt ist aber erheblich.

Den Standard umdrehen. Wenn Vertagen die Standardoption ist, wird vertagt. Wenn Entscheiden die Standardoption ist, wird entschieden. In Verwaltungsrat und Geschäftsleitung braucht es Formate, die einen Beschluss erzwingen: eine Entscheidungsvorlage mit klar unterscheidbaren Optionen, eine Einschätzung zu Risiko, Kosten, Owner und Termin, und am Ende ein klarer Beschluss mit «Ja», «Nein» oder «Ja mit Bedingungen». Dieses Format nimmt dem Status quo seine stille Mehrheit.

ROI in der Sprache des Risikos neu stellen. Wer ROI als alleinige Messlatte ansetzt, wird bei Cyber- und KI-Programmen regelmässig scheitern, weil ein wesentlicher Teil des Werts in vermiedenen Ausfällen liegt und dieser Wert naturgemäss schwer präzise zu beziffern ist. Hilfreicher sind Fragen, die direkt steuerbar und beantwortbar sind: Welche Ausfallzeit ist akzeptabel, gemessen an RTO und RPO? Welche Kronjuwelen haben Priorität? Welche Mindestkontrollen sind nicht verhandelbar, etwa Privileged Access, Multi-Faktor-Authentisierung, Backup- und Recovery-Fähigkeit, Prüfung kritischer Drittparteien? Welche KI-Anwendungsfälle sind erlaubt, welche ausgeschlossen, und unter welchen Leitplanken? Diese Fragen sind auch ohne perfekten ROI-Rechner beantwortbar. Und sie ergeben eine Steuerungsgrundlage, die ein ROI-Modell in dieser Form nicht liefern kann.

Transparenz als Werkzeug, nicht als Bedrohung. Wenn ein Projekt Altlasten sichtbar macht, ist das kein Scheitern. Es ist frühe Risikoreduktion. Die Steuerungslogik sollte entsprechend aufgebaut sein: Was neu sichtbar wird, kommt in das Backlog. Was kritisch ist, kommt in den Neunzig-Tage-Plan. Was strukturell ist, kommt in das Mehrjahresprogramm. Der Verwaltungsrat steuert dann nicht die einzelnen Funde. Er steuert den Umgang damit. Das entspannt die politische Situation im Unternehmen erheblich, weil die Botschaft lautet: Wir wollen es wissen, wir ordnen es, wir arbeiten es ab.

«The secret of getting ahead is getting started.» – zugeschrieben Mark Twain (Urheberschaft nicht gesichert)

Der kleinste sinnvolle Start. Ein Start, den ich in unterschiedlichen Konstellationen erfolgreich umgesetzt habe, folgt drei Horizonten.

In den ersten dreissig Tagen werden die Kronjuwelen definiert, die drei grössten Risiken aus Cybersicherheit und KI benannt und ein Owner mit VR-Sponsor bestimmt.
In den nächsten neunzig Tagen werden Basismassnahmen in beiden Feldern tatsächlich geliefert: auf der Cyber-Seite etwa Privileged Access, Multi-Faktor-Authentisierung, ein geprüfter Backup- und Recovery-Test, ein Drittparteien-Review und ein einsatzbereites Incident-Playbook; auf der KI-Seite ein Inventar der bereits genutzten KI-Anwendungen einschliesslich nicht sanktionierter Nutzung, eine erste Risikobewertung der identifizierten Anwendungsfälle und klare Nutzungsregeln für den Umgang mit sensiblen Daten.
Im sechsten Monat folgen das KI-Use-Register, geklärte Datenverantwortung, Guardrails, ein bis zwei skalierte KI-Anwendungsfälle sowie die Integration der Cyber- und KI-Steuerung in die bestehende Risiko-Governance.

Wichtig sind kleine, aber gezielte Schritte in eine definierte Richtung zu einem definierten Ziel. Keine unrealistischen Erwartungen, kein übertriebener Zeitdruck, aber konstante Schritte zum Ziel.

Was am Ende bleibt

Die unterlassene Entscheidung ist selbst eine Entscheidung. Sie ist leise, sie ist kurzfristig bequem, und sie ist im Governance-Verständnis eines Verwaltungsrats ebenso zurechenbar wie eine aktive Entscheidung. Aber auch der hektische Entscheid, getrieben von Marktdruck und ohne strategische Grundlage, schützt nicht vor Verantwortung. Im Gegenteil: Er erzeugt Kosten, Komplexität und Rückbauprojekte, die sich später als vermeidbar herausstellen.

Wer im Verwaltungsrat oder in der Geschäftsleitung die Verantwortung für Cybersicherheit und Künstliche Intelligenz trägt, steht nicht vor der Frage, ob entschieden wird. Er steht vor der Frage, ob bewusst und informiert entschieden wird oder ob der Markt, der Zufall oder der Vorfall die Entscheidung trifft. Decision Avoidance und Action Bias sind zwei Seiten derselben Münze: Beides ist ein Ausweichen vor der eigentlichen Führungsaufgabe, nämlich eine tragfähige strategische Entscheidung zu fällen und sie konsequent umzusetzen.

Glossar

Decision Avoidance bezeichnet das systematische Vermeiden oder Aufschieben von Entscheidungen, um die psychologische Belastung des Entscheidens zu umgehen.
Choice Deferral ist eine spezifische Form der Decision Avoidance, bei der eine Entscheidung bewusst vertagt wird, weil die Optionen als zu komplex oder konflikthaft empfunden werden.
Omission Bias beschreibt die Tendenz, Schäden aus Unterlassen als weniger schwerwiegend zu bewerten als gleichwertige Schäden aus aktivem Handeln.
Status-quo-Bias ist die systematische Bevorzugung des bestehenden Zustands gegenüber Veränderungen, unabhängig davon, ob der bestehende Zustand objektiv vorteilhaft ist.
Action Bias bezeichnet die Neigung, unter Unsicherheit oder Beobachtungsdruck zu handeln, auch wenn Abwarten oder gezieltes Analysieren das bessere Ergebnis brächte.
Tool-Sprawl bezeichnet die unkontrollierte Ausbreitung von Software-Werkzeugen in einer Organisation.
RTO (Recovery Time Objective) definiert die maximal akzeptable Zeitspanne, bis ein System oder Geschäftsprozess nach einem Ausfall wieder funktionsfähig sein muss.
RPO (Recovery Point Objective) definiert den maximal akzeptablen Datenverlust, gemessen in Zeit, also wie weit die letzte gesicherte Version zurückliegen darf.

Quellen und weiterführende Literatur

Tversky, A. & Shafir, E. (1992). Choice under conflict: The dynamics of deferred decision. Psychological Science, 3(6), 358–361.
Samuelson, W. & Zeckhauser, R. (1988). Status quo bias in decision making. Journal of Risk and Uncertainty, 1(1), 7–59.
Baron, J. & Ritov, I. (2004). Omission bias, individual differences, and normality. Organizational Behavior and Human Decision Processes, 94(2), 74–85.
Anderson, C. J. (2003). The psychology of doing nothing: Forms of decision avoidance result from reason and emotion. Psychological Bulletin, 129(1), 139–167.