Cybersicherheit ist Überlebensfähigkeit

„A company that collapses when prevention fails was never truly secure. It was only protected until the first failure." — Howard Solomon, CSO Online

Howard Solomons Beitrag liest sich wie ein ärgerlicher Spaziergang durch eine sehr deutsche Diskussion: Wir reden seit Jahren über „Assume Breach", aber wir bauen, budgetieren und proben weiter, als ob die Mauer hält. Solomon nennt das Theater. Er hat recht.

Wer sich die Mühe einer zynischen Bestandsaufnahme spart, kommt am Kern trotzdem nicht vorbei: Die Frage, ob Angriffe abgewehrt werden, ist die falsche. Die richtige Frage lautet, ob ein Unternehmen weiter funktionieren kann, wenn der Angriff erfolgreich war — und wie lange diese Funktion eingeschränkt bleibt.

Was an Solomons Argument für deutsche Leser:innen besonders zählt

Solomon schreibt aus US-Perspektive, in der Resilienz vor allem über Marktdruck, SEC-Meldungen und CISA-Pledges entstehen soll. Er nennt das selbst „policy theater with potential" — und beneidet implizit den europäischen Weg, in dem Resilienz Pflicht wird statt Empfehlung.

In Deutschland ist diese Pflicht angekommen:

• NIS2-Umsetzung im NIS2UmsuCG. Über 30 000 Unternehmen werden als „wichtige" oder „besonders wichtige" Einrichtungen erfasst. §30 verlangt explizit Risikomanagement und Lieferketten-Kontrolle, §38 macht die Geschäftsleitung persönlich haftbar, die Meldefristen sind eng.
• DORA für Finanzdienstleister. Operationale Resilienz ist seit Januar 2025 prüfungsrelevante Tatsache, kein Powerpoint-Begriff mehr. Threat-Led Penetration Testing (TLPT) macht das Wort „tested incident response" sehr konkret.
• CRA (Cyber Resilience Act). Software-Hersteller müssen Sicherheit in den gesamten Lebenszyklus von Produkten mit digitalen Elementen einbauen. Wer als Lieferant für KRITIS-Unternehmen agiert, gibt sich nicht mehr mit „wir patchen, wenn was kommt" zufrieden.

Wo Solomon dem US-Markt rät, Resilienz als Strategie zu begreifen, ist sie in Europa bereits Rechtsgut. Das macht den Unterschied größer, als viele Vorstände im deutschen Mittelstand bereit sind anzuerkennen.

Der eigentliche blinde Fleck heißt „kritische Abhängigkeit"

Solomons stärkster Punkt ist nicht die Survival-Metapher — die ist alt — sondern die Verschiebung von „kritischer Infrastruktur" zu „kritischer Abhängigkeit":

„A company may not be critical to the state, but it may be critical to every customer that relies on it."

Genau hier liegt der unbequeme Punkt für viele NIS2-pflichtige Unternehmen. Der Mittelständler in der zweiten Reihe der Lieferkette ist im Sinne des Gesetzes vielleicht nur „wichtig", nicht „besonders wichtig". Aber wenn sein ERP-Provider, sein MSP, sein E-Mail-Filter, seine Identitäts-Plattform oder seine Build-Pipeline kompromittiert wird, kollabieren die Produktionsprozesse von dreihundert Kunden gleichzeitig. Die Pflicht entsteht durch Abhängigkeit, nicht durch Etikett.

In den Lageinformationen, die wir bei NEOSEC Intel täglich beobachten, ist das Muster eindeutig: Die größten Vorfälle in Deutschland 2026 sind keine spektakulären Nation-State-Operationen mehr, sondern Lieferketten-Ausfälle. Bekanntmachungen des BSI in den letzten Monaten betrafen wiederholt SaaS-Dienste, die selbst nicht „kritisch" waren, deren Ausfall aber drei- bis vierstellig viele wichtige Einrichtungen lahmlegte.

Was Resilienz operationalisiert bedeutet

Solomons Liste — Wiederherstellbarkeit, Identitäts-Restoration, saubere Build-Pipelines, geprüfte Incident-Response — ist gut. Sie wird konkret, wenn man sie gegen die deutsche Realität spiegelt:

1. Backup-Integrität jenseits von „wir haben Backups". Die Frage lautet, ob die Wiederherstellung getestet ist und ob die Backups vom kompromittierten Identity-Provider entkoppelt sind. Die meisten „Veeam-läuft"-Antworten überleben keinen 4-Wochen-Restore-Test.
2. Identity-Restoration. Wenn das AD- oder Entra-Tenant kompromittiert ist, ist die zentrale Frage nicht „Wie sperren wir Konten?", sondern „Wie öffnen wir kontrolliert Notfallzugänge in eine isolierte Wiederaufbau-Umgebung?". Das hat fast niemand geübt.
3. Lieferanten-Fallback. §30 NIS2 verlangt Sicherheitsanforderungen an Lieferanten. In den Verträgen steht das mittlerweile oft drin. Was dort selten steht: was passiert, wenn der Lieferant ausfällt. „Exit-Plan in 72 Stunden" sucht man in den meisten Vereinbarungen vergeblich.
4. Krisen-Governance. Wer entscheidet, wer kommuniziert, wer informiert die BSI-Zentralstelle, wer redet mit dem ICS-Hersteller, wer schließt das Werk? Wenn diese Antworten erst im Vorfall geklärt werden, ist es zu spät.
5. AppSec als Resilienz, nicht als Pflichtübung. Saubere SBOMs sind kein Compliance-Anhang, sondern Voraussetzung für eine glaubwürdige Wiederherstellung. Wer im Vorfall nicht weiß, was er ausliefert, kann auch nicht sauber zurückspielen.

CISO-Verantwortung ohne CISO-Mandat ist Theater

Der vielleicht wichtigste Satz in Solomons Beitrag richtet sich an Vorstände und Geschäftsführungen:

„A board that funds only prevention but expects resilience after failure is not governing cyber risk. It is buying a bucketload of denial."

Im NIS2-Kontext ist das nicht nur Kommentar, sondern Rechtslage. Wer dem oder der CISO die Verantwortung überträgt, aber nicht das Budget, nicht den Zugang zum Vorstand, nicht die Durchgriffsrechte ins Procurement und nicht die formale Risikoakzeptanz-Kompetenz, kauft sich keine Resilienz — sondern eine Person, die im Ernstfall unter dem Kronleuchter steht.

Was bleibt

Die Burg-Metapher in Solomons Beitrag — Burg Eltz im Morgenlicht — ist hübsch und falsch zugleich. Burg Eltz hat 850 Jahre überlebt, weil sie nie ernsthaft belagert wurde, nicht weil ihre Mauer besonders gut war. Das ist die unbequemste Wahrheit der gesamten Diskussion: Wir wissen nicht, ob unsere Mauern halten würden, weil wir sie nie unter realen Belastungen geprüft haben.

Was uns bleibt, ist das, was Solomon „organisatorische Muskulatur" nennt: tatsächliche Übungen, tatsächliche Wiederherstellungstests, tatsächliche Konfrontation mit Lieferanten-Ausfällen — und tatsächliche Bereitschaft, das Ergebnis ernst zu nehmen, auch wenn die Powerpoint nachher hässlich aussieht.

Cybersicherheit als Überlebensfähigkeit ist keine philosophische Wendung. Sie ist die Bedingung dafür, dass ein Unternehmen unter NIS2 nicht nur compliant, sondern weiterhin funktionsfähig ist, wenn der Vorfall eintritt. Und der Vorfall tritt ein.

Originalquelle nur englisch verfügbar: Howard Solomon, „Cybersecurity is no longer about protection. It's about survival.", CSO Online. Zitate im englischen Original belassen.