Allzeithoch für Verwundbarkeit?

Der 29. Global CEO Survey von PwC zeigt einen klaren Befund: Ein Drittel der deutschen CEOs sieht ihr Unternehmen durch Cyberangriffe sehr oder extrem bedroht – mehr als im globalen Schnitt und mehr als im Vorjahr. Diese Einschätzung kommt aus einem Wirtschaftsstandort, der viel zu verlieren hat. Deutschland vereint finanzstarke Unternehmen, hohe digitale Vernetzung und eine zentrale Rolle in Europa. Das zieht organisierte Kriminalität an und rückt deutsche Unternehmen zugleich stark in den Fokus staatlicher und staatsnaher Akteure. 

Gleichzeitig planen 62 Prozent der deutschen CEOs, ihre Cybersicherheit in den kommenden drei Jahren in großem Umfang zu verbessern. Die Investitionsbereitschaft steigt, doch technologische Abhängigkeiten, neue Angriffswege durch KI und lückenhafte Verantwortlichkeiten bremsen den Fortschritt. Der Global CEO Survey macht damit deutlich: Es reicht nicht, mehr Mittel bereitzustellen. Vorstände müssen jetzt Entscheidungen treffen, die Cybersicherheit dauerhaft im Geschäftsmodell verankern.

Risiko wird zur strategischen Größe

Diese Zahl markiert eine Zäsur: 34 Prozent der deutschen CEOs stufen die Bedrohung durch Angriffe als sehr oder extrem hoch ein, so ein zentrales Ergebnis der 29. Global CEO Survey. Risiko bewegt sich damit als relevante Kenngröße zunehmend in die Mitte strategischer Debatten. Vorstände sprechen nicht mehr allein über Wachstum, Transformation und Effizienz, sondern mehr denn je auch über Verwundbarkeit und Ausfallfähigkeit.

Auffällig: Weltweit ist mit zunehmender Unternehmensgröße eine leicht steigende, subjektiv empfundene Bedrohung durch Cyberrisiken erkennbar. Besonders stark betroffen fühlen sich dabei Unternehmen aus der Gesundheitsbranche sowie aus den Bereichen Technologie, Medien und Telekommunikation. Die höchste Bereitschaft, auf diese Cyberrisiken zu reagieren und entsprechende Maßnahmen zu ergreifen, zeigt hingegen die Finanzbranche.

Der Standort Deutschland steht unter besonderem Druck. Viele Unternehmen verfügen über erhebliche finanzielle Reserven und betreiben komplexe Wertschöpfungsketten, sichern diese aber oft nur oberflächlich ab. Diese Kombination macht sie zu attraktiven Zielen für professionelle Angreifer, die gezielt nach hoher Zahlungsbereitschaft, kritischen Abhängigkeiten und mangelnder Absicherung suchen. Gleichzeitig erhöht die Rolle Deutschlands als wirtschaftliches und politisches Zentrum in Europa das Interesse vieler staatlicher und staatsnaher Akteure.

Hinzu kommt die technologische Dynamik: Insbesondere disruptive Entwicklungen wie der Boom generativer KI senken die Hürden für Angreifer. Schadsoftware verbreitet sich schneller, Angriffskampagnen lassen sich professionell organisieren und laufend anpassen.

Nur 15 % der CEOs gaben in der Umfrage an, dass sie KI in großem oder vollem Umfang für Support-Dienste nutzen. Damit wächst auch der Abstand zwischen klassischen Abwehrmustern und der tatsächlichen Angriffswirklichkeit. Für deutsche Unternehmen ergibt sich daraus ein klares Bild: Resilienz und Sicherheit sind kein abstrakter Zustand, sondern das Ergebnis konkreter Entscheidungen – und damit gestaltbar.

Klarer Plan statt lose Einzelinitiativen

62 Prozent der deutschen CEOs planen der Umfrage zufolge, ihre Sicherheitsvorkehrungen in den nächsten drei Jahren in großem Umfang auszubauen.

Das kann beispielsweise eine mehrjährige Roadmap sein, die Technologien, Prozesse und Fähigkeiten zusammenführt und regelmäßig an die Bedrohungslage anpasst.

Der Unterschied zwischen Einzelmaßnahmen und einer echten Roadmap zeigt sich meist in der Krise. Beispiel: Ein deutscher Maschinenbauer wurde nach einem Ransomware‑Angriff im Produktionsnetzwerk binnen weniger Minuten zu weitreichenden Entscheidungen gezwungen. In den Jahren zuvor waren verschiedene Sicherheitslösungen eingeführt worden – vom E‑Mail‑Filter bis zur Netzwerksegmentierung. Doch es fehlte ein abgestimmtes Gesamtkonzept: Notfallpläne waren nicht mit der Produktionsplanung verknüpft, der CISO saß nicht mit am Tisch, als über Wiederanlaufreihenfolgen und Lieferprioritäten entschieden wurde.

In Unternehmen mit einer klar definierten Cyber‑Roadmap sieht das Bild anders aus: Dort sind Wiederanlaufprozesse, Verantwortlichkeiten und Entscheidungswege vorab festgelegt und getestet. Der Vorstand kennt akzeptable Ausfallzeiten für zentrale Geschäftsbereiche, die IT weiß, welche Systeme zuerst wieder hochgefahren werden müssen, und das Krisenteam hat geübte Szenarien für die Kommunikation mit Kunden, Lieferanten und Aufsichtsbehörden. Die gleiche Art von Angriff führt dann nicht zu einem Kontrollverlust, sondern zu einem strukturierten, messbaren Wiederanlauf.

Kontinuität spielt dabei eine zentrale Rolle. Unternehmen, die ihre Abwehrfähigkeit gezielt stärken, reservieren feste Mittel für spezialisierte Teams, 24/7‑Überwachung, Schulungen und realistische Übungen. Die Verantwortlichen testen Notfallpläne unter Zeitdruck, messen Wiederanlaufzeiten und leiten Konsequenzen aus den Ergebnissen ab. So entstehen Kennzahlen, die Vorstände verstehen und aktiv einfordern. Sicherheit rückt damit von der Projekt- in die Steuerungslogik des Unternehmens.

Aus guten Absichten konkrete Entscheidungen machen 

Der 29. Global CEO Survey macht deutlich, wie stark das Thema Cybersicherheit in Vorstände hineinwirkt. Sie sehen das Risiko, sie planen höhere Investitionen und hinterfragen technologische Abhängigkeiten. Die nächsten Schritte entscheiden darüber, ob aus dieser Wahrnehmung eine belastbare Steuerungslogik entsteht – oder nur eine Momentaufnahme im Rahmen einer Studie bleibt.

Auf Ebene der Unternehmensführung geht es jetzt um klare Zielbilder. Vorstände legen fest, welches Schutzniveau sie für zentrale Geschäftsbereiche anstreben und wie sie Fortschritt messen. Sie holen den CISO in strategische Diskussionen und bewerten größere Digitalisierungsinitiativen immer auch unter dem Blickwinkel zusätzlicher Angriffsflächen. So ziehen sie eine Linie zwischen Ambitionen und den tatsächlichen Prioritäten in Strategiemeetings, Budgetrunden und M&A-Entscheidungen.

Wenn ein erheblicher Teil der deutschen CEOs höhere Ausgaben einplant, entsteht ein Benchmark – und der Druck, diese Mittel sichtbar wirksam einzusetzen. Vorstände, die ihre Investitionsbereitschaft nüchtern prüfen, stellen die Kosten des Nichtstuns realistisch daneben: Produktionsunterbrechungen, Wiederanlaufzeiten, Datenverluste, Reputationsschäden und regulatorische Folgen. Skalierbare Sicherheitslösungen mit nutzungsabhängiger Bezahlung und Opex-Struktur erleichtern den Einstieg in kontinuierliche Investitionen. So werden die im Survey sichtbaren Absichten zu konkreten Entscheidungen – und Verwundbarkeit zu einer Größe, die sich Schritt für Schritt zurückdrängen lässt.