Organisationale Resilienz: Warum Cybersecurity mehr braucht als Technik

Ein Satz aus der Konferenz blieb besonders hängen: Der Angreifer muss nur einmal erfolgreich sein, der Verteidiger muss jedes Mal Erfolg haben.

Diese Asymmetrie prägt Cybersicherheit. Angreifer suchen eine Lücke. Organisationen müssen viele mögliche Schwachstellen gleichzeitig im Blick behalten, Informationen teilen, Entscheidungen treffen und im Ernstfall schnell reagieren.

Dafür braucht es mehr als Notfallpläne. Es braucht Organisationen, die wachsam bleiben, Komplexität ernst nehmen, Verantwortung teilen und aus Fehlern lernen. In unserem Workshop haben wir Resilienz deshalb nicht als starre Widerstandskraft verstanden, sondern als dynamische Balance aus Stabilität, Anpassungsfähigkeit und Gestaltungskraft. 

Besonders greifbar wurde dieser Gedanke in einer interaktiven Übung mit LEGO Steinen. Die Teilnehmenden arbeiteten an einer gemeinsamen Aufgabe: “Baue den höchsten Turm”. Gleichzeitig mussten sie mit eigenen Teilaufgaben, begrenzten Informationen und gemeinsamen Ressourcen umgehen. Zudem durften sie nicht miteinander sprechen.

Dabei zeigte sich schnell: Wenn jede Person nur versucht, die eigene Aufgabe möglichst gut zu erfüllen, gerät das gemeinsame Ziel aus dem Blick. Genau dieses Muster kennen viele Organisationen. Teams optimieren ihre eigenen Zuständigkeiten, Abteilungen sichern ihre Prozesse ab, einzelne Bereiche erfüllen ihre Vorgaben. Trotzdem kann das Gesamtsystem verwundbar bleiben, wenn Verständigung, Abstimmung und ein gemeinsames Lagebild fehlen.

Die Übung machte sichtbar, wie wichtig es ist, zuerst die große Aufgabe zu verstehen. Was wollen wir gemeinsam erreichen? Welche Ressourcen stehen uns zur Verfügung? Welche Informationen fehlen? Wer sieht etwas, das andere noch nicht sehen? Und welche Konsequenzen hat es, wenn ich meine eigene Aufgabe zu 100 Prozent erfülle, aber dadurch das gemeinsame Ergebnis gefährde? Wie kommuniziere ich, wenn Worte nicht mehr weiterhelfen?  

Für Cybersecurity ist diese Perspektive zentral. Im Ernstfall reicht es nicht, wenn einzelne Bereiche perfekt funktionieren. IT, Führung, Kommunikation, Recht, operative Teams und externe Partner müssen gemeinsam handlungsfähig werden. Resilienz entsteht nicht durch Einzeloptimierung, sondern durch gemeinsames Verstehen, Ausprobieren, Anpassen und Lernen. Resilienz ist Teamsport – niemand schützt kritische Infrastruktur allein.

Ein weiteres Learning aus der Übung: Resiliente Organisationen hinterfragen vorschnelle Annahmen. Sie nutzen alle verfügbaren Ressourcen und fragen, warum sich andere so verhalten, wie sie sich verhalten. Diese Haltung ist in Krisen entscheidend.

Cybervorfälle erzeugen Zeitdruck, Unsicherheit und Stress. Wenn Menschen dann nicht offen sprechen, Risiken nicht melden oder aus Angst vor Schuldzuweisung zögern, verliert eine Organisation wertvolle Zeit. Verständigung und psychologische Sicherheit werden damit zu echten Sicherheitsfaktoren.

Auch deshalb haben wir im Workshop über Fehler und Lernkultur gesprochen. Gerade in Deutschland ist Scheitern häufig negativ besetzt. Für resiliente Organisationen geht es aber nicht darum, Fehler zu beschönigen. Es geht darum, sie differenziert zu betrachten – als vermeidbare Fehler, komplexitätsbedingt Fehler sowie intelligente Fehler. Manche Fehler müssen durch klare Standards und Checklisten verhindert werden. Andere entstehen in komplexen Situationen trotz guter Vorbereitung und sind nicht vermeidbar aber müssen handelbar sein. Hypothesenbasierte intelligente Fehler sind sogar erwünscht und sollen bewusst gefördert werden, weil sie in einem geschützten Experiment neues Wissen ermöglichen.

Die Potsdamer Konferenz fragt danach, wie wir von reaktiver Abwehr zu aktiver Gestaltung von Sicherheit, Resilienz und digitaler Souveränität kommen. Unser Workshop hat gezeigt: Diese Gestaltung beginnt in Organisationen selbst. Sie beginnt dort, wo Menschen Verantwortung nicht nur für ihre eigene Aufgabe übernehmen, sondern für das gemeinsame System.

Organisationale Resilienz ist deshalb kein Nebenthema von Cybersecurity. Sie ist eine Voraussetzung dafür, dass technische Strategien im Ernstfall wirken. Sie zeigt sich in der Art, wie wir kommunizieren, Entscheidungen treffen, Fehler besprechen und unter Unsicherheit handlungsfähig bleiben.

Für uns als HPI d-school heißt das: Wir schaffen Lernräume, in denen Menschen neue Denk und Handlungsoptionen erproben. Denn Zukunftsfähigkeit entsteht nicht allein durch Analyse. Sie entsteht im gemeinsamen Tun. Umgang mit Fehlern, Kommunikation in Teams und Handeln in Unsicherheit sind erlernbar – bei uns!