In vielen Unternehmen bis 300 Mitarbeitende wird ein IT-Sicherheitsbudget erst nach einem konkreten Anlass freigegeben. Das liegt selten am Preis. Eine Empfehlung ohne Anlass bleibt abstrakt und verliert im Tagesgeschäft gegen jede Investition, deren Nutzen sofort sichtbar ist. Erst ein Ausfall, ein Kundenaudit oder ein Versicherungsfragebogen macht aus einer Empfehlung eine Zahl, über die tatsächlich entschieden wird.
Warum rutscht eine Sicherheitsempfehlung in der Prioritätenliste nach unten?
Ein Angebot für die Absicherung der Postfächer liegt seit dem ersten Quartal auf dem Tisch. Die Rückmeldung: nach der Inventur. Im dritten Quartal: nächstes Budgetjahr. Ein Jahr später ist aus der Rückmeldung ein fester Satz geworden. Kein Thema mehr, ohne dass jemand die Empfehlung inhaltlich abgelehnt hätte.
Das Muster wiederholt sich in vielen Unternehmen ohne eigene IT-Abteilung. Eine neue Maschine hat einen Preis, eine Lieferzeit und einen sichtbaren Effekt auf die Produktion. Eine Sicherheitsempfehlung hat einen Preis und ein Risiko, das bisher nicht eingetreten ist. In der Abwägung zwischen einer Investition mit sofortigem Nutzen und einer Investition gegen ein Ereignis, das vielleicht nie eintritt, gewinnt fast immer die erste — bis das Ereignis eintritt.
Dazu kommt ein Zuständigkeitsproblem. Wer die Empfehlung ausgesprochen hat, sitzt in der Regel nicht in der Position, ein Budget zu bewilligen. Und wer bewilligen kann, hat meist keine Fachperson im Haus, die einordnet, wie dringend die Sache tatsächlich ist. Zwischen diesen beiden Rollen bleibt die Empfehlung liegen, ohne dass jemand eine Entscheidung getroffen hätte.
Warum beantwortet „Wir haben doch einen IT-Dienstleister" die Frage nicht?
Ein externer IT-Dienstleister hält in vielen Unternehmen die tägliche Technik am Laufen: Arbeitsplätze, Drucker, Netzwerk, der laufende Betrieb. Das ist eine andere Aufgabe als die fortlaufende Absicherung einer Microsoft-365-Umgebung, und beide sind selten im selben Vertrag geregelt. Eine einmalige Empfehlung trägt nicht weit, wenn niemand beauftragt ist, sie regelmäßig zu prüfen, zu dokumentieren und in eine Entscheidungsvorlage zu übersetzen.
Damit lässt sich die eigentliche Frage klären, unabhängig davon, wie gut der bestehende Dienstleister im Tagesgeschäft arbeitet: Wer im Unternehmen ist dafür zuständig, den Sicherheitsstand regelmäßig auf den Tisch zu bringen? Ohne eine Antwort darauf bleibt jede Empfehlung ein Vorschlag, über den irgendwann wieder gesprochen wird — meist erst nach dem nächsten Anlass.
Was macht eine Sicherheitsempfehlung entscheidbar?
Eine Geschäftsführung entscheidet über Investitionen jeden Tag. Was sie dafür braucht, ist in fast allen Bereichen dasselbe: einen Preis, einen Zeitrahmen, ein beschreibbares Ergebnis und eine Aussage darüber, was danach anders ist. Eine Sicherheitsempfehlung liefert diese vier Punkte häufig nicht mit — und wird deshalb nicht abgelehnt, sondern vertagt.
| Empfehlung, die vertagt wird | Vorlage, über die entschieden wird | |
|---|---|---|
| Preis | Aufwandsschätzung mit Spanne | Festpreis, vor Beginn bekannt |
| Zeitrahmen | „sobald wir dazu kommen" | Enddatum, vor Beginn vereinbart |
| Ergebnis | „mehr Sicherheit" | Bericht mit priorisierter Maßnahmenliste |
| Danach | offen | benannte Zuständigkeit für den nächsten Schritt |
| Vergleichbarkeit | einmalig, nicht wiederholbar | in zwölf Monaten erneut messbar |
Die rechte Spalte ist kein besseres Argument für dieselbe Sache. Sie ist ein anderes Format. Über eine Maßnahme mit Festpreis, Enddatum und beschriebenem Ergebnis entscheidet eine Geschäftsführung in derselben Sitzung, in der sie über einen Wartungsvertrag oder eine Softwarelizenz entscheidet. Über eine offene Empfehlung entscheidet sie gar nicht.
Was es kostet, wenn Sie nichts tun
Eine verschobene Sicherheitsentscheidung zeigt ihre Kosten selten sofort. Sie zeigt sich, wenn ein Großkunde einen Nachweis über Sicherheitsmaßnahmen verlangt und der Termin dafür näher rückt als die Umsetzung. Sie zeigt sich, wenn eine Cyber-Versicherung einen Fragebogen schickt, den im Haus niemand vollständig beantworten kann. Und sie zeigt sich am deutlichsten bei einem Vorfall: Tage ohne Zugriff auf E-Mail und Dateien, eine Wiederherstellung, die in Tagen statt in Stunden gerechnet wird, und eine Versicherungsprämie, die danach zu anderen Konditionen verhandelt wird.
Keine dieser Folgen tritt garantiert ein. Jede davon wird jedoch wahrscheinlicher, je länger eine Empfehlung ohne Entscheidung bleibt — und je länger niemand im Unternehmen dafür zuständig ist, sie erneut vorzulegen.
Was ändert sich, wenn Sicherheit ein fester Posten wird?
Eine wiederkehrende Budgetdiskussion entsteht meist dann, wenn Sicherheit als einmaliges Projekt behandelt wird. Nexus.365 Security setzt genau dort an. Der Security Scan läuft in sieben Werktagen, wertet Ihre Microsoft-365-Umgebung ausschließlich lesend aus und liefert eine Executive Summary in Klartext plus eine priorisierte Maßnahmenliste. Festpreis und Enddatum stehen vor Beginn fest. Damit liegt der Geschäftsführung eine Vorlage vor, die sich ohne IT-Wissen lesen und entscheiden lässt.
Was danach folgt, richtet sich nach dem Ergebnis: ein Quick-Win für die dringendsten Punkte, eine Basisabsicherung oder die Vorbereitung auf ein konkretes Audit. Nexus.365 SecureWatch übernimmt anschließend den wiederkehrenden Konfigurations-Check und liefert monatlich einen Bericht — womit der Sicherheitsstand ohne erneute Diskussion auf dem Tisch liegt.
Das verändert die Diskussion selbst. Aus „wir sollten uns das mal ansehen" wird ein planbarer Posten mit Preis, Laufzeit und Ergebnis, vergleichbar mit jedem anderen Vertrag, den eine Geschäftsführung ohnehin regelmäßig bewertet.
Häufige Fragen zum Thema
Warum wird IT-Sicherheit meist erst nach einem Vorfall priorisiert?+
Weil ein Vorfall ein abstraktes Risiko in eine konkrete Zahl übersetzt. Vorher konkurriert eine Sicherheitsempfehlung mit Investitionen, deren Nutzen sofort sichtbar ist, und verliert diese Abwägung in der Regel.
Was kostet es, eine Sicherheitsempfehlung zu verschieben?+
Das lässt sich vorab nicht auf einen Betrag festlegen. Sichtbar wird es meist über Umwege: ein verschobenes Audit, eine Cyber-Versicherung, die Nachweise verlangt, oder im ungünstigsten Fall ein Vorfall mit Ausfalltagen und einer höheren Prämie danach.
Wie unterscheidet sich ein Security Scan von einer klassischen IT-Beratung?+
Der Security Scan hat einen Festpreis, sieben Werktage Laufzeit und ein beschriebenes Ergebnis: eine Executive Summary in Klartext und eine priorisierte Maßnahmenliste. Eine klassische Beratung hat oft kein festes Ende und kein vergleichbares Ergebnis.
Reicht der externe IT-Dienstleister aus, um Sicherheit sicherzustellen?+
Er hält in vielen Unternehmen den laufenden Betrieb am Laufen. Die fortlaufende Absicherung einer Microsoft-365-Umgebung ist eine eigene Aufgabe, die eine benannte Zuständigkeit braucht, damit sie nicht bei der nächsten dringenderen Anfrage zurückfällt.
Wer entscheidet über ein IT-Sicherheitsbudget in einem Unternehmen ohne eigene IT-Abteilung?+
In der Regel die Geschäftsführung selbst, oft ohne Fachperson, die die Entscheidung technisch einordnet. Die Entscheidung braucht deshalb eine Grundlage, die ohne IT-Wissen verständlich ist: ein Preis, ein Zeitrahmen, ein Ergebnis.
Aus einer offenen Empfehlung eine Entscheidungsvorlage machen.
Der Nexus.365 Security Scan wertet Ihre Umgebung read-only aus und liefert in sieben Werktagen eine Executive Summary in CEO-Sprache mit priorisiertem Maßnahmenplan. Festpreis und Enddatum stehen vor Beginn fest, das Erstgespräch ist unverbindlich.
Security Scan starten