Viele Unternehmen verlassen sich bei der IT-Sicherheit auf ihre IT-Abteilungen – und übersehen dabei, dass IT und IT-Security zwei unterschiedliche Disziplinen sind. Eine neue Studie zeigt, wie gefährlich diese Fehleinschätzung werden kann.

Foto: G DATA „IT und IT-Sicherheit sind zwei eigenständige Disziplinen“, warnt Andreas Lüning, Gründer und Vorstand der G DATA CyberDefense AG Eine aktuelle Studie von G DATA CyberDefense, Statista und brand eins beleuchtet das Spannungsverhältnis zwischen wahrgenommener Kompetenz und tatsächlicher Sicherheitslage in Unternehmen. Die Ergebnisse legen nahe: Zu großes Vertrauen in die allgemeine IT-Kompetenz kann dazu führen, dass notwendige Investitionen in Cybersicherheit unterbleiben – mit potenziell gravierenden Folgen.

Vertrauen als Sicherheitsrisiko

Laut der Studie „Cybersicherheit in Zahlen“ sind vier von fünf Beschäftigten überzeugt, dass ihre IT-Abteilung den Anforderungen an effektive IT-Sicherheit gewachsen ist. Fast acht von zehn glauben, dass ihre Kolleginnen und Kollegen in der IT mit der aktuellen Bedrohungslage souverän umgehen können. Was zunächst wie ein Vertrauensbeweis klingt, kann sich in der Praxis als trügerisch erweisen: Wird Sicherheitskompetenz in der IT-Abteilung vorausgesetzt, erkennen insbesondere Führungskräfte oft nicht den Bedarf für gezielte Investitionen in spezialisierte Sicherheitsressourcen.

Denn auch eine leistungsfähige IT-Abteilung deckt nicht automatisch die Anforderungen an professionelle Cybersicherheit ab. Aufgaben wie Netzwerkpflege, Softwarebereitstellung oder Datensicherung binden Ressourcen – spezielle Security-Expertise bleibt dabei häufig auf der Strecke. „IT und IT-Sicherheit sind zwei eigenständige Disziplinen“, warnt Andreas Lüning, Gründer und Vorstand der G DATA CyberDefense AG. „Wer sie in der Praxis gleichsetzt, unterschätzt die Komplexität heutiger Bedrohungsszenarien.“

Kompetenz schafft Vertrauen, ersetzt aber keine Maßnahmen

Die Studie zeigt auch: Je höher die eigene IT-Sicherheitskompetenz der Befragten, desto größer ist ihr Vertrauen in die IT-Abteilung. Neun von zehn Befragten mit hoher oder sehr hoher eigener Kompetenz glauben an die Sicherheitsfähigkeit ihrer IT – bei Personen mit geringer Kompetenz sind es sieben von zehn. Dieser Zusammenhang unterstreicht ein strukturelles Problem: Vertrauen allein genügt nicht, um tatsächliche Sicherheitslücken zu schließen.

Quelle: G DATA (Statista im Auftrag von G DATA)

Cybersicherheit erfordert laut der Studie „klare Strukturen, kontinuierliche Weiterentwicklung und das Bewusstsein, dass IT-Security ein eigenständiges Aufgabenfeld ist“. Ohne gezielte Investitionen in Personal, Budget und Zeit entstehen Schwachstellen, die sich vermeiden ließen. „Wer an der falschen Stelle spart, riskiert vermeidbare Schwachstellen“, betont Lüning. Unternehmen sind daher gut beraten, die tatsächliche Sicherheitslage regelmäßig zu prüfen – unabhängig vom Vertrauen in die allgemeine IT-Kompetenz.