Mitternacht im Krisenstab: Die Herausforderung der CISOs kommt auf die Leinwand

Die Tätigkeit als CISO kann sich wie ein aussichtsloser Kampf anfühlen.

Von CISOs wird heute erwartet, dass sie dem Unternehmen helfen, Cyberrisiken zu verstehen, Kontrollen einzurichten, die seiner Risikobereitschaft angemessen sind, und sicherzustellen, dass es schwierigen Situationen standhalten oder sich schnell davon erholen kann, während es weiterhin die erforderlichen Geschäftsergebnisse erzielt. Und wie ich bereits in der Vergangenheit angemerkt habe, müssen sie dies in einer Welt tun, in der Cyberangreifer nur einmal Recht haben müssen, während von den Verteidigern erwartet wird, dass sie stets Recht haben.

Das ist ein ungleicher Kampf. Es ist aber auch die Realität.

Die neue Cyber-Dokumentation von Semperis, „Midnight in the War Room“, feiert am 5. August 2026 auf der Black Hat USA Premiere. Der Film greift einen Punkt auf, den viele von uns seit Jahren zu verdeutlichen versuchen: Cybersicherheit ist kein rein technisches Unterfangen. Es handelt sich um eine Frage der Unternehmensresilienz, eine Frage der Führung und in vielen Branchen um ein gesellschaftliches Thema.

Genau diese Tatsache thematisiert „Midnight in the War Room “. Allzu oft wird über Cybersicherheit noch immer so gesprochen, als gehöre sie ausschließlich in den Zuständigkeitsbereich der IT-Abteilung. Meiner Erfahrung nach ist das ein Irrtum.

CISOs stehen an vorderster Front im Cyberkrieg

Ein schwerwiegender Cyberangriff entwickelt sich rasch zu einer Unternehmenskrise. Er betrifft den Betriebsablauf, die Kommunikation, den Rechtsbereich, die Finanzen, die Lieferkette, das Vertrauen der Kunden und in manchen Branchen sogar die Sicherheit und das öffentliche Wohl. Für diejenigen, die an vorderster Front einem scheinbar endlosen Ansturm ausgesetzt sind, ist dies zudem eine persönliche Krise. Nicht nur, dass CISOs häufig Angriffe abwehren müssen, die zu echten menschlichen Katastrophen führen können – wie im Fall von Ransomware, die den Krankenhausbetrieb lahmzulegen droht, oder von Cyberangriffen, die im Rahmen globaler Kriegshandlungen gestartet werden –, sondern Angreifer haben auch begonnen, mit Androhungen physischer Gewalt gegen Führungskräfte und Mitarbeiter im Bereich der Cybersicherheit vorzugehen.

Da wir uns dieser Herausforderungen bewusst waren, wollte Semperis nicht lediglich die technischen Aspekte von Malware oder Cyberangriffen untersuchen. Wir wollten den Führungskräften und Teams, von denen erwartet wird, dass sie Unternehmen auch unter größtmöglichem Druck am Laufen halten, eine Stimme geben.

Was versteht man unter Cyber-Resilienz?

Cyber-Resilienz ist gleichbedeutend mit unternehmerischer Resilienz. In der heutigen digitalen Landschaft ist ein Cybervorfall oft nur der Auslöser für ein umfassenderes Ereignis, das sich auf das gesamte Unternehmen auswirkt. Diese Unterscheidung ist von Bedeutung.

„Midnight in the War Room“ legt besonderen Wert auf die emotionalen und psychologischen Belastungen, die die Cyberabwehr mit sich bringt, insbesondere für CISOs, die kritische Infrastrukturen und lebenswichtige Dienste schützen. Ich halte das für absolut zutreffend.

Die Rolle des modernen CISO ist umfassender, als vielen außerhalb des Berufsfeldes bewusst ist. Sie erfordert nicht nur technische Kompetenz, sondern auch Urteilsvermögen, diplomatisches Geschick, Cyber-Krisenmanagement, incident response sowie die Fähigkeit, Cyberrisiken in einer Sprache zu erläutern, auf deren Grundlage Vorstände und Führungsteams handeln können. Von Führungskräften wird erwartet, dass sie sich mit langanhaltenden Ausfällen, grenzüberschreitenden Betriebsstörungen, der Anfälligkeit der Lieferkette und der menschlichen Belastbarkeit auseinandersetzen, die erforderlich ist, um einen Vorfall zu bewältigen, der möglicherweise Tage oder Wochen und nicht nur Stunden andauert.
Die Kosten der Cyberkriminalität werden auf jährlich 10,5 Billionen Dollar geschätzt. Es gibt 3,5 Millionen unbesetzte Stellen im Bereich Cybersicherheit, und die durchschnittliche Amtszeit eines CISO beträgt weniger als 11 Monate. Dies sind nicht nur Gesprächsstoff. Sie beschreiben ein Umfeld, in dem die Verteidiger unter ständigem Druck stehen.

Wie General (a. D.) David Petraeus festgestellt hat: „Jeden einzelnen Tag tobt im Cyberspace ein Krieg.“

Echte Cyber-Resilienz erfordert mehr als nur Prävention

In der Cybersicherheits-Community ist bekannt, dass jede Organisation im Hinblick auf Cyberbedrohungen mittlerweile von einem „Annahme eines Sicherheitsvorfalls“ ausgehen muss. Cyberresilienz lässt sich nicht allein an Ihrer Fähigkeit messen, Angriffe zu verhindern. Die wichtigere Frage ist, ob Sie Ihren Geschäftsbetrieb nach einem Cybervorfall schnell und lückenlos wiederherstellen können.
Dies gilt insbesondere im Bereich der Identitätssicherheit.

Angreifer haben es immer wieder auf Identitätssysteme abgesehen, da sie dort den größtmöglichen Schaden anrichten können. In den meisten Organisationen ist die Identität das Herzstück des digitalen Ökosystems, und Active Directory bildet nach wie vor den Kern dieser Umgebung. Wenn Sie dieser Grundlage nicht vertrauen oder sie nicht schnell wiederherstellen können, können Sie nicht glaubhaft behaupten, widerstandsfähig zu sein.

Identitätssicherheit, operative Widerstandsfähigkeit und die schwierigsten Entscheidungen in einer Cyberkrise

Bei einer starken Führung im Bereich Cybersicherheit geht es nicht nur um technische Maßnahmen. In einer echten Cyberkrise sind die schwierigsten Entscheidungen oft geschäftlicher Natur.

• Wer ist befugt, zu handeln?
• Welche Unternehmensdienstleistungen werden vorrangig behandelt?
• Wann stehen Sie mit Aufsichtsbehörden, Mitarbeitern, Lieferanten, Kunden oder Aktionären in Kontakt?
• Wie lange kann das Unternehmen den Ausfall von Kernsystemen verkraften?
• Welche rechtlichen, rufbezogenen, betrieblichen und sicherheitstechnischen Auswirkungen hat der von Ihnen gewählte Vorgehensweg?

Diese Fragen stehen im Mittelpunkt der operativen Widerstandsfähigkeit.

Bei Tabletop-Übungen habe ich oft festgestellt, dass Organisationen instinktiv auf technologische Diskussionen zurückgreifen und dabei die menschlichen, rechtlichen und rufbezogenen Aspekte vernachlässigen. Doch Technologie ist nur so gut wie der Prozess und die Menschen, die sie verwalten.

Im Zeitalter der zunehmenden Verbreitung künstlicher Intelligenz kann man dies leicht aus den Augen verlieren. Doch im Kern geht es bei einer starken Führung im Bereich der Cybersicherheit um Menschen.

Wie Jen Easterly sagte: „Um die böswilligen Cyberangriffe abzuwehren, die unsere Lebensweise bedrohen, bedarf es mehr als nur sicherer Technologie – es bedarf der Kreativität und Neugier des menschlichen Geistes. Diese Eigenschaften versetzen die Verteidiger in die Lage, ihre Gegner zu überlisten und auszumanövrieren, und es ist mir eine Ehre, Teil von ‚Midnight in the War Room‘ zu sein, um diese Mission voranzutreiben.“

Die besten Führungskräfte im Bereich Cybersicherheit schaffen Raum für unterschiedliche Sichtweisen, sorgen dafür, dass auch die leiseste Stimme im Raum Gehör findet, und sorgen dafür, dass sich die Teams auf die Aufrechterhaltung des Geschäftsbetriebs konzentrieren, während die technischen Einsatzkräfte ihre Aufgaben erfüllen.

Echte Stimmen, echte Herausforderungen

„Midnight in the War Room“ versammelt mehr als 50 Experten, darunter CISOs, ehemalige Hacker, Führungskräfte aus dem Militär und dem Bereich der nationalen Sicherheit, Cyberpsychologen, Journalisten und Opfer. Zu den bekanntesten Namen zählen:

• Chris Inglis
• Jen Easterly
• General a. D. David Petraeus
• Marcus Hutchins
• Professorin Mary Aiken

Zur weiteren Besetzung gehören unter anderem Marene Allison, Krista Arndt, Alan Berry, Roger Brotz, Grace Cassy und Chase Cunningham.

Die Vielfalt der Stimmen in diesem Film ist von großer Bedeutung. Cyber-Resilienz ist nicht das alleinige Anliegen eines einzigen Funktionsbereichs. Sie erfordert Einblicke von Praktikern, politischen Entscheidungsträgern, Forschern und Führungskräften, die verstehen, wie Cyber-Bedrohungen die Entscheidungsfindung in der realen Welt beeinflussen.

Chris Inglis brachte es auf den Punkt: „Die größte Bedrohung, der wir gegenüberstehen, ist nicht nur die Raffinesse staatlich gesteuerter Cyberangriffe, sondern auch Selbstzufriedenheit. Widerstandsfähigkeit entsteht, wenn wir uns weigern, die heutigen Abwehrmaßnahmen als ausreichend anzusehen, und uns auf die noch bevorstehenden Kämpfe vorbereiten.“

Die Menschen, die sich für Resilienz einsetzen

Führungskräfte im Bereich Cybersicherheit agieren in einem Umfeld, das durch zunehmende Komplexität der Bedrohungen, knappe Budgets, anhaltenden Fachkräftemangel und eine immer größere digitale Abhängigkeit gekennzeichnet ist. Vor diesem Hintergrund müssen Unternehmen sich viel klarer darüber werden, was echte Cyber-Resilienz erfordert.

Es reicht nicht aus, davon auszugehen, dass die Technologie verfügbar sein wird, wenn Sie sie benötigen. Es reicht nicht aus, davon auszugehen, dass die üblichen Kommunikationskanäle während einer Cyberkrise weiterhin funktionieren werden. Es reicht nicht aus, davon auszugehen, dass das Problem in der Verantwortung eines anderen liegt.

Führungskräfte müssen in der Lage sein, Cyberrisiken in geschäftlichen Begriffen zu beschreiben, kritische Dienste zu definieren, Prioritäten für die Wiederherstellung festzulegen, die Einsatzkräfte angemessen zu befähigen und sicherzustellen, dass die Organisation auf das Undenkbare vorbereitet ist, anstatt dies lediglich zu dokumentieren.

Jeder incident response wird die Richtigkeit der Aussage von Marcus Hutchins anerkennen: „Letztendlich läuft es darauf hinaus: War die richtige Person zur richtigen Zeit am richtigen Ort?“

Sollte „Midnight in the War Room “ dazu beitragen, dass mehr Führungsteams dies verstehen, hat das Buch seinen Zweck erfüllt.

Treten Sie dem „War Room“ bei

Ich glaube nicht, dass Sicherheitsverantwortliche eine weitere dramatisierte Darstellung von Cyberrisiken benötigen. Was sie brauchen, ist ein klareres und ehrlicheres Verständnis in der Öffentlichkeit dafür, worin ihre Arbeit tatsächlich besteht und welchen Herausforderungen sie täglich gegenüberstehen.

Sind Sie bereit, den „War Room“ zu betreten? Wenn Sie nächsten Monat an der Black Hat USA teilnehmen, besuchen Sie Semperis am 5. August bei der Premierevon „Midnight in the War Room“. Halten Sie außerdem Ausschau nach den „Enter the War Room “-Tabletop-Simulationen mit den Schwerpunkten Gesundheitswesen, kritische Infrastruktur und Einzelhandel, die gemeinsam mit WWT veranstaltet werden und in der Business Hall stattfinden. In der Zwischenzeit können Sie sich hier den Trailer zum Dokumentarfilm ansehen. Nehmen Sie anschließend auf Instagram oder LinkedIn an der Diskussion teil.