6 kritische Sicherheitslücken, die CISOs angehen müssen

width="1024" height="683" sizes="auto, (max-width: 1024px) 100vw, 1024px">Zwischen dem Ist-Zustand in der IT-Sicherheit und den Anforderungen an moderne Bedrohungslagen, klaffen laut Experten einige Lücken. CISOs sollten diese Gaps überbrücken. Golden Dayz / Shutterstock



CISOs räumen meist ein, dass kein Unternehmen vollkommen sicher ist. Viele geben jedoch auch zu, dass ihre Sicherheitsmaßnahmen noch nicht den gewünschten Standard erreichen.



Ein Drittel der für den „2025 Voice of the CISO Report“ (Download gegen Daten) von Proofpoint befragten CISOs gab an, dass die Daten in ihrem Unternehmen nicht ausreichend geschützt seien. 58 Prozent sagten, ihre Betriebe seien nicht darauf vorbereitet, auf einen Cyberangriff zu reagieren. Gleichzeitig waren nur zwei Drittel (67 Prozent) der Meinung, dass ihre Unternehmen über ausreichende Budgets, Personal und Tools verfügten, um ihre Cybersicherheitsziele zu erreichen.



Diese Zahlen deuten darauf hin, dass in vielen, wenn nicht sogar den meisten Betrieben nach wie vor kritische Sicherheitslücken bestehen. Da Angreifer zunehmend auf Automatisierung und Künstliche Intelligenz setzen, wächst der Druck, diese offenen Flanken zu schließen. Es folgen sechs kritische Gaps, die die Aufmerksamkeit der CISOs erfordern.



Die Wahrnehmungslücke



Obwohl CISOs in den letzten Jahren Business-orientierter geworden sind, sehen viele ihre Hauptaufgabe immer noch im Schutz digitaler Systeme. Diese sollten, laut Errol Weiss, CSO bei Health-ISAC, jedoch als Gewährleistung der Geschäftsresilienz betrachten werden.



„CISOs betrachten einen ‚schlechten Tag‘ immer noch aus der IT-Perspektive; sie sehen Sicherheit nach wie vor als ein IT-Problem“, bemerkt Weiss. Sie müssten ihren Fokus verlagern: weg vom Schutz der Systeme um jeden Preis hin zum Aufbau von Resilienz mit Augenmerkt auf Folgewirkungen, wenn etwas ausfällt.



Weiss merkt an, dass diese Lücke in vielen Unternehmen unter anderem deshalb weiterhin besteht, weil die Geschäftskontinuität, die das Herzstück der Resilienz bildet, in der Regel in den Zuständigkeitsbereich anderer Führungskräfte als der CISOs fällt. „Die Geschäftskontinuität war traditionell das Problem anderer, doch nun muss sie zu einem Schwerpunkt für die Sicherheitsorganisation werden“, sagt er.



Wenn CISOs sich umfassend damit auseinandersetzen, wie sich digitale Bedrohungen auf das Unternehmen auswirken könnten, anstatt damit, wie sich Angriffe auf die IT-Umgebung auswirken, erhalten sie ein genaueres Bild der größten Risiken und können das Ausmaß eines Vorfalls besser einschätzen, erklärt Weiss. Dies wiederum ermöglicht es CISOs, Abwehr- und Abhilfemaßnahmen effektiver zu priorisieren, wodurch ein Vorfall wahrscheinlicher eingedämmt werden kann und keine unerwarteten Folgen auftreten, die den Geschäftsbetrieb beeinträchtigen.



Der Speed-Gap zwischen Angreifern und Verteidigern



Der Jahresrückblick 2025 des Threat-Intelligence-Anbieters Cisco Talos stellte fest, dass „die Bedrohungslandschaft 2025 durch eine beispiellose Beschleunigung bei der Ausnutzung von Schwachstellen geprägt war, wobei Angreifer neue Sicherheitslücken wie React2Shell und ToolShell fast unmittelbar nach ihrer Offenlegung als Waffen einsetzten.“



Die meisten Sicherheitsteams agieren nicht so schnell, was zu einer Agilitätslücke zwischen ihnen und den Angreifern führt, sagt Buck Bell, Director of Security Strategy beim IT-Dienstleister CDW. „Die meisten Lücken, die wir heute sehen, sind Lücken in der Umsetzung“, fügt er hinzu.



Viele Sicherheitsprogramme basieren nach wie vor auf veralteten Denkweisen, darunter „statische Sicherheitsmaßnahmen in einer Welt, die Anpassungen in Echtzeit erfordert“, sagt er. Monatliche Penetrationstests und Patch-Dienstage beispielsweise sind Relikte einer vergangenen Ära, die in einigen Sicherheitsabteilungen jedoch nach wie vor bestehen. „Die Realität ist, dass Unternehmen heute schneller handeln müssen“, fügt er hinzu.



Bell sagt, dass zeitgemäße CISOs ihre Abläufe beschleunigen, indem sie KI, Automatisierung und Praktiken wie Continuous Threat Exposure Management (CTEM) einsetzen.



Der Speed-Gap zwischen Geschäft und Sicherheit



Ebenso müssen einige CISOs schneller und agiler werden, damit die Sicherheit genauso schnell voranschreiten kann wie das Geschäft. Wie das Beratungsunternehmen PwC in seinem „2026 CISO Outlook“ feststellt: „Die Rolle des CISOs befindet sich an einem entscheidenden Wendepunkt. Angesichts der technologischen Beschleunigung und neuer Bedrohungen wird von Ihnen erwartet, dass Sie im Tempo des Wandels vorangehen. KI, Quantencomputing und eine hypervernetzte Welt gestalten Risiken neu – und Ihr Unternehmen beobachtet das genau.“



Chirag Shah, Global Information Security Officer und Datenschutzbeauftragter beim Softwareunternehmen Model N, weiß: „Das Geschäft will schneller laufen und wenn es schneller laufen will, bedeutet das, dass wir in den Bereichen Sicherheit und Compliance mit ihm Schritt halten müssen.“ Aber er weiß auch, dass die Sicherheit Mühe hat, Schritt zu halten. „Wir spielen immer ein Aufholspiel“, fügt er hinzu.



Shah hat Maßnahmen ergriffen, um den Prozess zu beschleunigen, beispielsweise durch die Weiterbildung des Sicherheitspersonals im Bereich KI, damit sie gemeinsam mit dem Unternehmen an dessen vorrangigen Projekten arbeiten können.



Chris Cochran, Field CISO und Vizepräsident für KI-Sicherheit am SANS Institute, erklärt, dass CISOs, die Rahmenwerke und Standards einführen und mit ihren Sicherheitskollegen zusammenarbeiten, ebenfalls Geschwindigkeit aufnehmen können, indem sie sich bewährte Strategien zu eigen machen und umsetzen, die sich im Zuge von Veränderungen im Business schnell erweitern und skalieren lassen.



Die Skill-Kluft



CISOs haben seit langem Schwierigkeiten, die benötigten Fachkräfte zu finden. Früher ging es vor allem darum, genügend Personal zu finden, um Stellen zu besetzen. Heute sind sie eher besorgt, dass Sicherheitsexperten nicht über die aktuellen Kompetenzen verfügen, die sie für den Erfolg benötigen.



Laut dem „SANS 2026 Cybersecurity Workforce Research Report“ (Download gegen Daten) „durchläuft die Belegschaft im Bereich Cybersicherheit einen grundlegenden Wandel. Unternehmen bauen ihre Teams top-down neu auf, da künstliche Intelligenz traditionelle Einstiegspunkte verdrängt. Zugleich schaffen regulatorische Compliance-Anforderungen neue Rahmenbedingungen für die Validierung von Kompetenzen. Diese Konvergenz führt zu einer breiter werdenden Qualifikationslücke, die Unternehmen nur schwer schließen können, obwohl sie zunehmend erkennen, dass die richtigen Fähigkeiten wichtiger sind, als einfach den Personalbestand aufzustocken.“



Weiter heißt es: „Der Bedarf an Spezialisten in neuen Rollen hat sich im Jahresvergleich fast verdoppelt, während die zusätzliche Einstellung von Mitarbeitern mit bestehenden Kompetenzen erheblich zugenommen hat.“



Das treibt CISOs zunehmend Sorgenfalten auf die Stirn: 60 Prozent der Sicherheitsverantwortlichen bezeichnen diese Qualifikationslücke als ihre größte Herausforderung im Personalbereich für das Jahr 2026 (gegenüber 52 Prozent im Vorjahr). 40 Prozent gaben an, Personalmangel sei ihr Hauptproblem.



Beth Miller, Global Field CISO beim Softwarehersteller Mimecast, sagt, dass es nicht nur eine Qualifikationslücke im Sicherheitsbereich ist, die CISOs zu schaffen macht. Die Kluft bestehe bei den benötigten Sicherheitskompetenzen im gesamten Unternehmen. „Man kann ein hochqualifiziertes Sicherheitsteam haben, aber wenn man nicht auch im gesamten Betrieb über Sicherheits-Skills verfügt, bleibt dennoch eine Lücke“, sagt sie. Um diese Lücke zu schließen, müsse man „in die menschliche Komponente im gesamten Unternehmen investieren“, fügt sie hinzu.



Cochran vom SANS Institute machte ähnliche Beobachtungen und erklärte, dass CISOs eine Kultur des kontinuierlichen Lernens und der Weiterbildung aufbauen müssen.



Lücken bei der Absicherung von KI



CISOs hinken bei der Absicherung von KI-Implementierungen aus mehreren Gründen hinterher.



Zunächst einmal, so Miller von Mimecast, „entwickelt sich der KI-Bereich schneller, als CISOs darauf vorbereitet sind. Das Muster, das wir in unserem und anderen Unternehmen beobachten, ist, dass die Führungsebene eine Initiative ankündigt, um KI einzuführen – das läuft top-down und ist oft mit Wettbewerbsdruck oder den Erwartungen des Vorstands verbunden. Dann entwickeln die Geschäftsbereiche innerhalb weniger Wochen KI-Tools, verbinden diese mit Daten und integrieren KI in bestehende Systeme, während die CISOs erst während oder nach der Implementierung von diesen [Initiativen] erfahren.“



Es gibt auch KI-Deployments, die von bottom-up erfolgen, oft ohne jegliche Beteiligung oder Kenntnis der Führungsebene. „Schatten-KI findet in der gesamten Branche statt“, sagt Shah von Model N. Während die Sicherheits- oder IT-Abteilung diese Implementierungen vielleicht nachträglich entdeckt, beseitigt das Sicherheitslücke nicht von selbst.



Experten verweisen zudem auf zwei weitere Herausforderungen: Erstens gilt es, die richtigen Sicherheitskontrollen für KI zu entwickeln, während sich die Technologie weiterentwickelt. Zweitens müssen alle Beteiligten davon überzeugt werden, diese Kontrollen und Governance-Rahmenwerke zu akzeptieren und einzuhalten, während sie sich mit der Technologie weiterentwickeln. Diese Dynamik führt unweigerlich zu einer Kluft zwischen dem, was zur Sicherung der KI erforderlich ist, und den tatsächlich umgesetzten Kontrollen. „Es handelt sich um eine Governance-Lücke, die sich als IT-Problem tarnt“, fügt Miller hinzu.



Der SANS-Bericht ergab, dass nur 54 Prozent der befragten Unternehmen über KI-Sicherheitsrichtlinien verfügten und nur ein Fünftel (20 Prozent) über umfassende Governance-Rahmenwerke. Währenddessen implementieren etwa 75 Prozent entweder Governance-Strukturen oder noch dabei waren, diese aufzubauen.



SANS kam zu dem Schluss, dass „die KI-Sicherheits-Governance noch in den Kinderschuhen steckt“. Andere Experten bestätigten dies und erklärten, dass CISOs sich auf




Observability-Tools,



die Fähigkeit, Einfluss auf die Führungsebene zu nehmen,



KI-bezogene Sicherheitssensibilisierung und -schulungen,



neue Best Practices für KI-Sicherheit sowie



neue KI-Governance-Rahmenwerke




stützen müssen, um die in vielen Unternehmen offenbar klaffende Lücke zu schließen.



Die Legacy-Lücke



Laut Jason Lish, Global CISO bei Cisco, legen viele Führungskräfte im Business in Bezug auf Technologie eine „Set-it-and-forget-it-Mentalität“ an den Tag. Sie sträuben sich gegen Modernisierungsmaßnahmen der IT, solange die Systeme funktionieren und keine Wettbewerbsvorteile bieten.



Dies stellt nicht nur CIOs vor Herausforderungen, wenn sie versuchen, KI und andere neue Technologien in Altsysteme zu integrieren, sondern auch CISOs, die moderne Sicherheitspraktiken und -technologien implementieren wollen, erklärt Lish. Dase wird zu einem immer drängenderen Sicherheitsproblem, da Angreifer KI immer geschickter nutzen, um Altsysteme und solche ohne Support, in denen moderne Sicherheitskontrollen nicht implementiert werden können, auszunutzen.



Eine Studie aus dem Jahr 2026 der National Association of State CIOs sowie Deloitte & Touche ergab, dass CISOs die Legacy-Infrastruktur als eines der drei größten Hindernisse bei der Bewältigung von Cybersicherheitsherausforderungen nannten. Daneben nannten sie immer geschicktere Angriffe und unzureichende Finanzmittel für Cybersicherheit.



„CISOs sollten hier über einen risikobasierten Ansatz nachdenken“, sagt Lish, „sich an den Vorstand oder die Führungsetage wenden und sagen: ‚Dies sind die kritischsten Teile der veralteten Geräte, die wir ersetzen müssen‘, und ihnen helfen, das Risiko zu verstehen, das entsteht, wenn dies nicht geschieht. Der CISO muss derjenige sein, der diese Priorisierung vornimmt.“ (jd)