G DATA: Cybersicherheit in Zahlen 2025/2026

Herr Kneffel, Herr Kleinfeld, warum gibt es die CISO Alliance überhaupt? Was war 2019 der ausschlaggebende Impuls zu ihrer Gründung?

Ralf Kleinfeld: Die Idee entstand bei der Verleihung des ersten CISO Awards 2018, der damals noch von einem Unternehmen vergeben wurde. Schnell kamen Diskussionen auf, ob das der richtige Weg sei, ob ein Preis für herausragende Verdienste um die deutsche Cybersicherheit nicht unabhängig vergeben werden müsste. Doch dazu fehlte es an einer Interessenvertretung für CISOs, an einem Verband, der unserem Berufsstand eine Kommunikationsplattform nach innen bietet und mehr Sichtbarkeit nach außen verleiht.

Wie wird aus einer solchen Idee erst ein Verband und dann ein Netzwerk?

Kleinfeld: Kooperation war von Anfang an ein zentraler Leitgedanke. Die Allianz will CISOs zusammenbringen, damit sie voneinander lernen und profitieren können. Mitstreiter für dieses Anliegen waren von den Gründern schnell gefunden. Sie saßen bei der Verleihung des CISO Awards 2018 ja zahlreich im Publikum. Für mich persönlich war es selbstverständlich, mich der Allianz schnell anzuschließen.

Ron Kneffel: Wir sind zunächst Kooperationen mit nahezu allen großen deutschen Messen und Kongressen im Bereich Cybersicherheit eingegangen. Dabei kamen die Veranstalter oft auf uns zu. Heute sind wir beispielsweise Partner der it-sa in Nürnberg und der Hannover Messe. Außerdem arbeiten wir eng mit der secIT in Hannover, dem NIS-2-Congress und vielen weiteren zusammen.

Was genau hat Ihre Allianz von diesen Kooperationen?

Kneffel: Auf Messen und Kongressen erhalten wir Podiumsplätze, Keynote-Slots und Möglichkeiten, Fachvorträge zu halten. Diese Bühnen bieten wir den CISOs unseres Verbandes. Es ist ein wichtiger Teil der DNA unserer Allianz, unsere Mitglieder mit diesen Plattformen zu vernetzen und ihnen so Sichtbarkeit zu ermöglichen. Und für uns sind diese externen Veranstaltungen gleichzeitig gelebte Kooperation: Wir nutzen sie, um uns untereinander regelmäßig zu treffen und auszutauschen, ganz physisch.

Kleinfeld: Diese Möglichkeit zur physischen Begegnung wird sehr geschätzt. Beim diesjährigen CISO Award waren alle Preisträger und Jurymitglieder vor Ort. Die Menschen nehmen die Reise zum Veranstaltungsort Hannover auf sich, weil ihnen das persönliche Treffen wichtig ist. Diese Gemeinschaftserlebnisse stärken unseren Verband.

Wie muss man sich den Austausch unter CISOs vorstellen? Was genau besprechen Sie miteinander?

Kleinfeld: Wir haben verschiedene Formate mit unterschiedlichen Schwerpunkten und Spielregeln für unseren internen Austausch geschaffen. Überschrift all unserer Bemühungen ist CISOConnect. Der Gedanke der Vernetzung steckt also schon im Namen. Beim Online-Format CISO WebConnect sprechen beispielsweise Experten über aktuelle und relevante Themen. Bei unserem Mentoring-Programm können Mitglieder, die sich in einem bestimmten Bereich weiterentwickeln wollen, von erfahrenen Kollegen begleitet werden. Außerdem bieten wir die sogenannte kollegiale Fallberatung an.

Wer berät da wen?

Kleinfeld: Es geht ganz gezielt um gegenseitige Unterstützung. Ein Mitglied bringt eine konkrete Fragestellung aus seinem Arbeitsalltag ein. Auf rein freiwilliger Basis geben andere Mitglieder dazu Rückmeldung und teilen ihre Erfahrungen. Das kompakte Format ist in der Regel nach eineinhalb Stunden abgeschlossen, und derjenige, der die Problemstellung mitgebracht hat, geht am Ende fast immer mit sehr konkreten Lösungsansätzen nach Hause.

Das erfordert sicher ein hohes Maß an Vertrauen untereinander, zumal in Ihrer Allianz ja durchaus auch CISOs aufeinandertreffen, deren Arbeitgeber in Konkurrenz zueinander stehen. Wie gelingt es Ihnen, einen geschützten Raum zu schaffen, damit Ihre Mitglieder bedenkenlos miteinander kooperieren können? 

Kleinfeld: Mir fallen dazu zwei sehr treffende Zitate von Kollegen ein. Das eine lautet: „Wir brauchen eine Allianz der Guten.“ Das andere: „Wir haben alle denselben Gegner – und das sind die Cyberkriminellen da draußen.“ Genau das sind zwei zentrale Punkte: Sicherheitsexperten sollten sich vernetzen, um Probleme besser lösen zu können. Sonst profitieren nicht wir, sondern unsere Gegner. Bei sämtlichen Kernfragen der Informationssicherheit können wir uns alle wirklich enorm gegenseitig unterstützen!

Wie sieht diese Unterstützung konkret aus?

Kleinfeld: Bei der kollegialen Fallberatung geht es zum Beispiel oft um Themen, bei denen es keine Standardlösungen gibt. Ich behaupte, kein CISO dieser Welt hat bei null begonnen und ein Sicherheitsprogramm komplett stringent aufbauen können. In jedem Unternehmen gibt es gewachsene Strukturen – und Diskussionen über Verantwortlichkeiten, Abläufe oder auch den grundsätzlichen Stellenwert, den die Wirtschaft der IT-Sicherheit einräumt. Das ist überall unterschiedlich ausgeprägt. Es gibt einfach kein: „Genauso musst du das machen.“

Ihr Fachgebiet entwickelt sich rasend schnell weiter. Wie stellen Sie sicher, dass der Austausch im Verband immer auf der Höhe der Zeit bleibt?

Kneffel: Ein ganz wichtiges Element sind unsere Arbeitskreise zu diversen aktuellen Themen wie Gesetzgebung, Prüfverfahren, Compliance oder Berufsbild. Wenn ein Mitglied ein neues relevantes Thema einbringen möchte und sich ausreichend Interessierte finden, kann er einen neuen Arbeitskreis gründen. Diese Gruppen sind dann selbstorganisiert und bestimmen die Regelmäßigkeit ihres Austausches eigenständig. Über die sozialen Medien sind die Beteiligten aber meistens sowieso ständig zu ihrem Thema in Kontakt.

Die aktuellen Diskussionsstände geben wir als Verband dann etwa in Newslettern an alle weiter. Wir halten unsere Mitglieder schon sehr aktiv auf dem Laufenden.

Kann der CISO eines Dax-Konzerns auf Augenhöhe mit dem CISO eines mittelständischen Unternehmens kooperieren?

Kneffel: Wir CISOs haben doch alle dieselben Ziele und Herausforderungen – völlig unabhängig von Unternehmensgröße oder Branche. Was sich unterscheidet, sind die Wege, wie man Aufgaben angeht, beispielsweise mit internen Teams oder externen Dienstleistern. Aber die Inhalte sind überall gleich. Nehmen Sie das Beispiel einer Videokonferenz-Plattform: Die Frage, wie man die sicher nutzt, stellt sich für ein kleines Unternehmen genauso wie für einen Großkonzern. Die Lösungen mögen variieren, aber das Grundproblem ist dasselbe.

Es klingt, als würde in Ihrer Branche ein einziges großes harmonisches Miteinander herrschen. Gibt es denn überhaupt kein Silodenken?

Kneffel: Zumindest unter den CISOs unserer Allianz gibt es in meiner Wahrnehmung kein Silodenken. Wir pflegen untereinander eine Kultur des offenen und ehrlichen fachlichen Austausches. Ein Gastreferent – selbst kein CISO – schrieb uns mal im Nachgang, dass er total überrascht und begeistert vom unverstellten Austausch innerhalb unseres Verbandes gewesen sei. Wir sind dankbar, dass unsere Mitglieder ihr Wissen bereitwillig teilen – und genau diesen Willen zur Kooperation brauchen wir CISOs unbedingt.

Warum?

Kneffel: Informationssicherheit ist nun mal ein sehr breites Feld. Neben Standards sind Best Practices bei der Umsetzung von Maßnahmen, unterschiedliche Herangehensweisen und insbesondere auch andere Perspektiven auf Sicherheitsarchitekturen unheimlich wichtig. Unsere Branche ist extrem dynamisch. Sie lebt deshalb ein ganzes Stück weit davon, dass Erfahrungswissen nicht für sich behalten, sondern geteilt wird.

Im von Ihrer Allianz veröffentlichten Bild des CISO-Berufs wird „Innovationsfähigkeit“ besonders betont. Ist die Offenheit, mit anderen zu kooperieren, ein Teil davon?

Kleinfeld: CISOs haben ganz klar die Macht, Innovationen zu erschweren oder sogar zu verhindern. Denn in Unternehmen haben sie oft eine Gatekeeper-Funktion bei Entscheidungen. Wer als CISO Innovationsfähigkeit nicht als notwendige Kompetenz betrachtet, lehnt neue, vielleicht bessere Technologien möglicherweise als unsicher ab, nur weil sie nicht den bekannten Regeln entsprechen. So kann ein CISO zum Verhinderungsbaustein für die Wettbewerbsfähigkeit seines Arbeitgebers werden. Oder – und das ist noch gefährlicher – er nötigt seine Kollegen im Unternehmen durch seine fehlende Offenheit geradezu, Innovationen an den Sicherheitsfunktionen vorbei umzusetzen. CISOs müssen sich deshalb aktiv mit Innovationen auseinandersetzen. Da ist das Kooperieren mit Gleichgesinnten sehr hilfreich.

Werfen wir einen Blick auf das große Bild: Welche Rolle spielt Vernetzung in Deutschlands Cybersicherheitslandschaft? Und wo finden wir die CISO Alliance in diesem System?

Kleinfeld: Neben großen formalen Organisationen wie der unseren findet man in Deutschland vor allem viele kleine, nicht formal organisierte Gruppen und Netzwerke. Die Vernetzung findet täglich an der Basis statt, oft regional, da Vertrauen in Präsenz leichter aufgebaut wird. Viele CISOs kennen sich untereinander und tauschen sich bilateral aus. Es gibt kein durchorganisiertes bundesweites System. Als CISO Alliance wollen wir in genau diese kleineren Netzwerke hineinwirken und sie unterstützen.

Arbeiten Sie auch mit staatlichen Sicherheitsbehörden zusammen, etwa mit dem Bundesamt für Sicherheit in der Informationstechnik (BSI) oder dem Verfassungsschutz?

Kneffel: Nein, wir haben keine formellen Kooperationen mit Behörden. Wir pflegen aber durchaus intensive Kontakte zu Landeskriminalämtern. In Niedersachsen stehen wir zum Beispiel im engen Austausch mit der Zentralen Ansprechstelle Cybercrime (ZAC) der Polizei. Aber das sind Gespräche, es sind keine Kooperationen. 

Und wie sieht es mit branchenspezifischen Initiativen oder Plattformen zur Cybersicherheit aus?

Kneffel: Mir ist nicht bekannt, dass es in Branchen wie etwa Energie oder Gesundheit strukturierte branchenspezifische Plattformen für den Austausch zur IT-Sicherheit gibt. Wir sprechen aber natürlich mit zahlreichen Einzelunternehmen, das ist auf jeden Fall klar.

Wie bewerten Sie den Willen zur Kooperation in der deutschen Cybersicherheitslandschaft insgesamt? 

Kneffel: Deutschland ist nicht so schlecht aufgestellt, wie es oftmals heißt. Selbst in unserer Branche wird zu häufig über Unsicherheit statt über Sicherheit gesprochen. Kooperation und Kommunikation können hier ein Gamechanger sein. Wir sollten Sicherheit alle gemeinsam als Wettbewerbsvorteil und Innovationstreiber begreifen, als eine Chance für die Wirtschaft zu wachsen. Unternehmen sollten Sicherheit aus Überzeugung auf die Agenda setzen und nicht aus Angst vor Strafen. Diese Angst führt nur zur Lähmung. 

Kleinfeld: Für mich ist Informationssicherheit in erster Linie eine Frage der Haltung, weniger der reinen Fachkenntnisse. Früher wurde ich von Unternehmern oft gefragt: Was musst du tun, wie viel kostet das und wann bist du fertig? Diese Fragen höre ich nur noch selten. Die Erkenntnis, dass IT-Sicherheit kein Thema ist, das sich folgenlos ignorieren lässt, hat sich weitgehend durchgesetzt. Und viele Menschen haben auch begriffen: Ein CISO wird nie fertig! Cybersicherheit entwickelt sich einfach ständig weiter. 

Zusammenarbeit kann man also auch als Form des Selbstschutzes begreifen: Ich nutze die Intelligenz der vielen für meine eigenen Belange?

Kleinfeld: Genau, jeder Einzelne trägt ein Stück zur Antwort bei. Und wenn sich die Fragestellungen ständig ändern, ist es umso wertvoller, mit vielen intelligenten Menschen zu kooperieren, die alle mitdenken.

Kneffel: Zu gelingender Kooperation gehört aber auch, dass wir alle lernen, eine gemeinsame Sprache zu sprechen. So sollten CISOs und die Hersteller von Sicherheits-Hard- und Software einander verstehen können, genauso wie CISOs und Juristen. Kooperationen können helfen, diese gemeinsame Sprache zu finden und die Arbeit für alle Beteiligten zu erleichtern. Wir haben doch alle dasselbe Ziel: Informationssicherheit umsetzen, um Unternehmenswerte schützen zu können. Aber noch reden wir zu oft aneinander vorbei. --

Dieser Text stammt aus unserer Redaktion Corporate Publishing.