Die Schutzbedarfsfeststellung ist eine der zentralen Grundlagen der Informationssicherheit – und trotzdem gehört sie zu den am meisten unterschätzten Disziplinen. Viele Unternehmen starten in Projekte, schreiben Sicherheitskonzepte oder definieren Maßnahmen, ohne vorher genau zu wissen, welchen Schutzbedarf ihre Informationen und Systeme eigentlich haben. Das Ergebnis sind oft überdimensionierte Lösungen, die Zeit und Geld verschwenden, oder zu schwache Schutzmechanismen, die kritische Werte unzureichend absichern. Eine systematische und pragmatische Einstufung verhindert genau das. Sie sorgt dafür, dass Sicherheitsmaßnahmen zielgerichtet und angemessen sind – nicht zu wenig, aber auch nicht zu viel. Und das Beste: Mit einer klaren Methode ist die Schutzbedarfsfeststellung weder kompliziert noch bürokratisch, sondern ein handfestes Planungswerkzeug.

Die Schutzziele im Kern – plus zwei, die oft vergessen werden

Der Kern der Schutzbedarfsermittlung besteht darin, für jedes Asset – also jede Information, jedes IT-System, jede Anwendung, jede Schnittstelle und jeden Prozess – festzulegen, wie hoch die Anforderungen an Vertraulichkeit (C), Integrität (I) und Verfügbarkeit (A) sind.

Die Business Impact Analyse (BIA) gilt in vielen Unternehmen als kompliziertes und theoretisches Verfahren, das vor allem Berater oder Auditoren lieben, aber in der Praxis schwer greifbar ist. Tatsächlich ist sie ein zentrales Werkzeug für Business Continuity Management (BCM), Notfallplanung und Informationssicherheit – und weit weniger mysteriös, als ihr Ruf vermuten lässt. Eine gut gemachte BIA beantwortet im Kern eine einfache Frage: Was passiert, wenn ein bestimmter Geschäftsprozess oder ein bestimmtes System ausfällt – und wie schnell müssen wir wieder arbeitsfähig sein? Die Kunst besteht darin, diese Frage strukturiert, nachvollziehbar und in einer Sprache zu beantworten, die alle im Unternehmen verstehen.

Begriffe im Klartext: Prozesskritikalität, RTO, RPO, MAO

Damit alle dasselbe meinen, wenn sie diskutieren, lohnt sich eine klare Begriffswelt:

In der Informationssicherheit gibt es unzählige Maßnahmen, Frameworks, Tools und Methoden. Wer sich in der Fachliteratur oder auf Messen umschaut, könnte glauben, dass es für jedes Risiko ein eigenes, hochspezialisiertes Werkzeug gibt – und dass man am besten alles gleichzeitig einführt. In der Realität haben Unternehmen jedoch begrenzte Ressourcen. Zeit, Budget und personelle Kapazitäten sind endlich. Deshalb ist die entscheidende Frage: Welche Maßnahmen bringen tatsächlich den größten Sicherheitsgewinn? Die Antwort darauf ist nicht immer offensichtlich, denn nicht alles, was technisch beeindruckend klingt, wirkt auch im Alltag nachhaltig. Wirkungsvolle Sicherheitsmaßnahmen sind solche, die messbar Risiken reduzieren, praxistauglich sind und langfristig Bestand haben. Sie kombinieren technische, organisatorische und personelle Komponenten – und sie sind so gestaltet, dass sie von den Menschen in der Organisation verstanden, akzeptiert und gelebt werden.

Risikobasierter Start: zuerst verstehen, dann entscheiden

Ein zentrales Merkmal wirksamer Sicherheitsmaßnahmen ist ihr Bezug zu konkreten Risiken. Sicherheitsarbeit beginnt nicht mit dem Einkauf neuer Technologie, sondern mit einer sauberen Risikoanalyse. Diese zeigt, welche Bedrohungen für die eigenen Systeme, Daten und Prozesse tatsächlich relevant sind. Erst danach sollte entschieden werden, welche Maßnahmen am besten geeignet sind, diese Risiken zu reduzieren. Wer ohne diese Grundlage agiert, läuft Gefahr, Ressourcen in Schutzmechanismen zu investieren, die zwar modern wirken, aber an den tatsächlichen Schwachstellen vorbeigehen. Das klassische Gegenbeispiel: Ein Unternehmen investiert in eine teure KI-gestützte Angriffserkennung, übersieht aber, dass sensible Daten unverschlüsselt in einer Cloud gespeichert werden. Das ist, als würde man eine Alarmanlage installieren, aber die Haustür unverschlossen lassen.

Mit der NIS2-Richtlinie rückt ein Aspekt besonders in den Fokus, der in vielen Unternehmen bisher unterschätzt wurde: die persönliche Haftung von Führungskräften. Während Cybersicherheit früher zu oft als „IT-Thema“ betrachtet wurde, macht NIS2 unmissverständlich klar: Die Verantwortung liegt an der Spitze – und sie lässt sich nicht delegieren. Das verändert Entscheidungswege, Prioritäten und auch die Art, wie über Risiken gesprochen wird.

Im Kern verpflichtet NIS2 Unternehmensleitungen, angemessene (und nachweisbar wirksame) Sicherheits- und Risikomanagementmaßnahmen zu etablieren, deren Umsetzung zu überwachen und ausreichende Ressourcen bereitzustellen. Unterbleibt dies, drohen nicht nur Unternehmenssanktionen, sondern auch persönliche Konsequenzen – zivilrechtlich, aufsichtsrechtlich und in Extremfällen strafrechtlich. Dieser Beitrag erklärt den rechtlichen Rahmen, typische Haftungsfallen, praxisnahe Schutzmechanismen und liefert konkrete Vorlagen, wie Leitungsgremien ihre Sorgfaltspflichten geordnet wahrnehmen und belegen können.

In der Welt der Finanzaufsicht kennen viele die großen Namen: MaRisk, DORA, EBA-Guidelines. Doch eine Vorgabe steht oft im Schatten und wird dennoch für bestimmte Unternehmen immer wichtiger: MaGO – die Mindestanforderungen an die Geschäftsorganisation. Gerade Versicherungsunternehmen und Pensionskassen neigen dazu, MaGO als „weniger kritisch“ einzustufen, weil sie im Vergleich zu MaRisk oder DORA weniger öffentlich diskutiert wird. Das ist ein gefährlicher Trugschluss: MaGO greift tief in die Organisations-, Steuerungs- und Entscheidungsprozesse ein. Wer hier unvorbereitet ist, steht bei einer BaFin-Prüfung schnell im Erklärungsnotstand – selbst dann, wenn die operative Praxis „eigentlich funktioniert“.

Dieser Beitrag zeigt, warum MaGO oft unterschätzt wird, welche Pflichten und Nachweise sie konkret mit sich bringt, wie sie mit anderen Regelwerken zusammenspielt (MaRisk VA, VAIT, EIOPA-Leitlinien, DORA) und wie Sie MaGO effizient und prüfungssicher in Ihre Governance integrieren.