Unternehmen denken in AND. Angreifer denken in OR.
Unternehmen müssen die Möglichkeiten der Digitalisierung und der globalen Vernetzung nutzen, um wettbewerbsfähig zu bleiben. Gleichzeitig werden sie dadurch angreifbarer.
Unternehmen denken in AND
Wettbewerbsfähigkeit entsteht heute durch Vernetzung: Unternehmen verbinden Maschinen mit Anwendungen, Daten mit Prozessen und die eigene Organisation mit Partnern, Kunden und digitalen Plattformen.
Damit ein Geschäftsprozess funktioniert, müssen alle kritischen Voraussetzungen gleichzeitig erfüllt sein: Bestellungen fliessen über Schnittstellen direkt ins System des Lieferanten, Anwendungen laufen in der Cloud, Maschinen melden ihren Zustand übers Netz. Wartungsfirmen greifen aus der Ferne auf Anlagen zu, Mitarbeitende und Freelancer arbeiten über Fernzugänge, Daten werden bei Dritten gespeichert und verarbeitet.
Jedes dieser ANDs schafft Nutzen und hilft dem Unternehmen, wettbewerbsfähiger zu sein.
Angreifer denken in OR
Ein Angreifer verfolgt eine Absicht. Seine Motive sind etwa Geld, Macht, Ideologie oder persönliche Gründe.
Um sein Ziel zu erreichen, braucht er ein AND als Eingang in das anvisierte Unternehmen. Dabei reicht eine einzige nutzbare Schwachstelle. Welche, ist zweitrangig. Ihm genügt ein erreichbarer Zugang, eine verwundbare Anwendung, eine Fehlkonfiguration oder ein kompromittierter Dienstleister.
Somit ist für einen Angreifer grundsätzlich jedes AND in den vernetzten Unternehmensprozessen ein mögliches OR für einen Angriffspunkt.
Wer eine Leistung kauft, kauft auch ORs
Aus Sicht der Wertschöpfung kauft ein Unternehmen eine Leistung ein. Aus Sicht des Risikos holt es sich damit ein AND ins Haus, samt allen SUB-ANDs, auf die der Anbieter seinerseits angewiesen ist.
Oft entscheiden die Fachbereiche dabei ohne die IT: Eine Cloud-Anwendung ist schnell abonniert, eine Anlage mit Fernwartung schnell bestellt. Auf die ORs, die damit entstehen, schaut niemand.
Jedes dieser ANDs hat einen Verantwortlichen, der es nach eigenen Massstäben schützt: intern die IT ihre Systeme und der Einkauf seine Verträge, extern der Dienstleister seine Plattform und dessen Zulieferer ihre Komponenten. Wofür der Kunde ein AND einsetzt und welcher Geschäftsprozess daran hängt, wissen die Verantwortlichen meist nicht. Sie stellen ihr AND zur Verfügung, mehr nicht.
Für den Angreifer aber ist jedes dieser ANDs und SUB-ANDs ein mögliches OR.
Jeder schützt sich selbst, niemand das Ganze
Unternehmensgrenze und Abhängigkeitsgrenze sind nicht mehr identisch. Wer nur den eigenen Perimeter schützt, schützt deshalb nicht automatisch den eigenen Geschäftsbetrieb.
Cloud-Anbieter, IT-Dienstleister, Energieversorger, Logistikpartner und Zulieferer sind heute Teil der eigenen Leistungserbringung. Fällt eine dieser Leistungen aus, kann der eigene Prozess stillstehen, obwohl intern kein System angegriffen wurde.
Jedes Unternehmen investiert nach seinen eigenen Schutzwerten, Verpflichtungen, Möglichkeiten und seiner Risikobereitschaft. Das ist kein Egoismus, sondern Governance. Ein Dienstleister wird seine Kontrollen am eigenen Risiko ausrichten und nicht automatisch am möglichen Schaden jedes einzelnen Kunden.
Für einen kleinen Zulieferer kann ein Unterbruch verkraftbar sein; beim Kunden kann derselbe Unterbruch eine Produktionslinie stoppen. Beide können für sich vernünftig entschieden haben. Trotzdem bleibt die gemeinsame Wertschöpfungskette verletzlich. Das Problem ist nicht zwingend mangelnde Cyber Security, sondern eine nicht abgestimmte Risikobereitschaft.
Den Blick auf alle firmenübergreifenden ANDs im Prozess hat niemand mehr. So bleibt das schwächste Glied unsichtbar.
Ein OR genügt, um ein Unternehmen existenziell zu gefährden
Ein Motorrad veranschaulicht die Logik. Damit es fährt, braucht es einen Rahmen AND einen Motor AND Räder AND Bremsen AND Treibstoff AND Wartung AND einen Fahrer.
Um es stillzulegen, genügt dagegen ein einziges Problem: kein Treibstoff OR ein platter Reifen OR eine blockierte Bremse OR eine unterbrochene Zündung.
Entscheidend ist nicht das defekte Teil, sondern die geschäftliche Wirkung: Lieferungen bleiben liegen, Einnahmen fallen aus und Kunden warten. Aus einer technischen Störung wird ein Geschäftsproblem.
Ob der Ausfall verkraftbar ist, hängt nicht allein von der Technik ab. Bei zehn austauschbaren Motorrädern bleibt der Betrieb handlungsfähig. Hängt die gesamte Leistung an einem Fahrzeug, wird dasselbe Problem existenzbedrohend.
Resilienz entsteht deshalb durch Alternativen, Begrenzung und vorbereitete Wiederherstellung, nicht nur durch Prävention.
Wie konkret solche Abhängigkeiten werden können, zeigte sich im Oktober 2026 in Frankreich: Unbekannte griffen aus der Ferne auf die Steuerungen der Kühlanlagen in Hunderten Supermärkten zu, unter anderem von Intermarché, Carrefour und Coopérative U, und lösten einen stundenlangen Abtaubetrieb aus. Die Kühl- und Tiefkühlmöbel heizten sich auf bis zu 50 Grad auf, grosse Mengen Lebensmittel mussten vernichtet werden.
Getroffen wurde nicht die IT der Händler, sondern aus der Ferne erreichbare Kühlsteuerungen eines Herstellers, die zum grössten Teil keine Sicherheitsupdates mehr erhielten. Es war ein einziges OR in einer Kette, die kaum jemand als kritisch wahrgenommen hatte.
Für einen Lebensmittelhändler ist die Kühlkette ein Schlüsselprozess: Fällt sie aus, ist nicht nur ein System betroffen, sondern das Sortiment. Das Beispiel zeigt, weshalb operative Technik, Fernwartung und externe Dienstleister in die End-to-End-Risikosicht gehören.
Zwei Hürden erodieren durch KI, die dritte war nie hoch
Ein erfolgreicher Angriff braucht drei Dinge: die Absicht und die Fähigkeit eines Angreifers sowie eine nutzbare Schwachstelle im angegriffenen System.
In einem geschlossenen System war die Suche nach Schwachstellen für Angreifer bisher aufwendig. Die globale Vernetzung hat nun eine Vielzahl mehr oder weniger geschützter ANDs geschaffen, und mit KI sind diese heute leicht zu finden. KI-Agenten identifizieren Schwachstellen, entwickeln Angriffspfade und führen Angriffe sogar selbstständig durch. Damit erodieren zwei der drei Hürden: die Suche nach der Schwachstelle und die nötige Fähigkeit.
Bleibt die Absicht. Sie war nie eine hohe Hürde, denn lückenhafte internationale Strafverfolgung und teilweise sogar staatliche Interessen halten das Risiko für Angreifer tief.
Von den drei Hürden hält keine mehr.
Sechs Disziplinen, ein gemeinsames Ziel: Resilienz
Digitalisierung braucht ein Fundament. Die Zeit der schnellen Provisorien ist vorbei.
Wer ANDs nach Belieben aneinanderreiht, erhält Prozesse, die im Alltag funktionieren, unter Druck aber versagen und Unternehmen existenziell gefährden können. Tragfähig werden sie erst, wenn Abhängigkeiten, Risiken, Sicherheit und Wiederanlauf von Anfang an mitgedacht werden.
Dieses Fundament legt keine Disziplin allein. Sechs Perspektiven müssen auf dieselben kritischen Geschäftsprozesse schauen.
Enterprise Architecture macht Prozesse, Systeme, Datenflüsse und externe Abhängigkeiten sichtbar.
Szenariobasiertes Risikomanagement übersetzt mögliche Ereignisse in geschäftliche Auswirkungen und Risiken.
Cyber Security reduziert Angriffsmöglichkeiten, legt unterschiedliche Sicherheitszonen fest, begrenzt Zugriffe und erschwert die Ausbreitung von Malware.
IT-Notfallmanagement erkennt und limitiert die Auswirkungen von Ereignissen, bevor sie sich unkontrolliert ausweiten.
Business Continuity hält kritische Leistungen in den Fachbereichen sowie in der IT als IT Service Continuity aufrecht oder stellt sie innerhalb der erforderlichen Zeit wieder her.
Krisenmanagement sichert die Handlungs- und Entscheidungsfähigkeit des Unternehmens, wenn ein Ereignis die normalen Führungsstrukturen übersteigt.
Der Nutzen der Digitalisierung und der globalen Vernetzung hat seinen Preis: neue Bedrohungen und Risiken.
Cyber Security, IT-Notfallmanagement und IT Service Continuity werden operativ von der IT getragen. Die Unternehmensleitung verantwortet Enterprise Architecture, Risikomanagement, Business Continuity in den Fachbereichen und Krisenmanagement.
Vor allem aber verantwortet sie das abgestimmte Zusammenspiel aller sechs Disziplinen. Ohne dieses Zusammenspiel baut ein Unternehmen seine Zukunft auf Sand.
Resilienz beginnt dort, wo ein Unternehmen die eigenen ANDs mit den Augen des Angreifers betrachtet.
Andy Mühlheim ist Gründer von DESISERA und Entwickler von EARN®.
Dieser Beitrag erschien zuerst auf LinkedIn. Weitere Fachartikel auf der LinkedIn-Seite von DESISERA.
