Warum viele Unternehmen ihre Risiken kennen, aber ihre Verwundbarkeiten unterschätzen

Die paradoxe Entwicklung moderner Unternehmenssteuerung

Viele Unternehmen werden heute professioneller geführt als jemals zuvor. Risikomanagementsysteme wurden ausgebaut, Compliance-Strukturen etabliert, Informationssicherheit gestärkt und interne Kontrollsysteme weiterentwickelt. Gleichzeitig berichten zahlreiche Geschäftsführungen, Gesellschafter und Aufsichtsgremien von einem bemerkenswerten Befund: Trotz steigender Transparenz über Risiken nimmt das Vertrauen in die eigene Widerstandsfähigkeit nicht im gleichen Maße zu.

Diese Wahrnehmung ist keineswegs subjektiv. Cybervorfälle gelten inzwischen weltweit als bedeutendstes Geschäftsrisiko. Gleichzeitig erreichen die wirtschaftlichen Schäden durch Cyberkriminalität, Datendiebstahl und Sabotage neue Größenordnungen, während das Bundesamt für Sicherheit in der Informationstechnik die Sicherheitslage in Deutschland weiterhin als angespannt bewertet.

Auf den ersten Blick erscheint diese Entwicklung widersprüchlich. Wenn Unternehmen ihre Risiken besser kennen als früher, weshalb wächst dann die Sorge um die eigene Widerstandsfähigkeit? Die Erklärung liegt nicht allein in einer zunehmend komplexen Risikolandschaft. Sie liegt auch in einer Eigenschaft erfolgreicher Unternehmen, die häufig unterschätzt wird. Viele der kritischsten Verwundbarkeiten entstehen nicht durch organisatorische Schwächen oder mangelnde Professionalität. Sie entstehen gerade dort, wo Unternehmen besonders erfolgreich sind.

Wachstum führt zu Spezialisierung. Spezialisierung führt zu Konzentration. Effizienz führt zu Abhängigkeiten. Über Jahre hinweg bündeln sich Wissen, Kundenbeziehungen, Lieferketten, Entscheidungsbefugnisse und technische Prozesse an den Stellen, an denen sie den größten wirtschaftlichen Nutzen stiften. Genau diese Konzentrationen schaffen Wettbewerbsfähigkeit. Gleichzeitig erhöhen sie die Empfindlichkeit gegenüber Störungen.

Die paradoxe Nebenwirkung unternehmerischen Erfolgs besteht darin, dass viele Unternehmen mit jeder zusätzlichen Effizienzsteigerung auch neue Verwundbarkeiten aufbauen.

Wenn Risiken sichtbar werden, Abhängigkeiten aber verborgen bleiben.

Risiken lassen sich identifizieren, bewerten und dokumentieren. Für die Steuerung eines Unternehmens ist das unverzichtbar. Die Stabilität eines Unternehmens wird jedoch oftmals nicht durch einzelne Risiken bestimmt, sondern durch die Abhängigkeiten, die hinter diesen Risiken stehen.

Ein Cyberangriff ist beispielsweise nur selten deshalb kritisch, weil IT-Systeme betroffen sind. Die eigentliche Herausforderung entsteht dann, wenn Produktionsprozesse unterbrochen werden, Kundenaufträge nicht mehr bearbeitet werden können oder entscheidungsrelevante Informationen fehlen.

Dasselbe gilt für Lieferkettenrisiken. Nicht die Störung selbst entscheidet über ihre Tragweite, sondern die Frage, wie stark das Unternehmen von einzelnen Lieferanten oder Beschaffungswegen abhängig ist.

Auch personelle Risiken folgen dieser Logik. Der Ausfall einer Schlüsselperson wird nicht deshalb zum Problem, weil eine Stelle vakant ist. Kritisch wird die Situation dort, wo Wissen, Verantwortung, Kundenbeziehungen oder Entscheidungsbefugnisse faktisch an einzelne Personen gebunden sind.

Gerade im Mittelstand entstehen kritische Abhängigkeiten häufig über lange Zeiträume hinweg. Der unternehmerische Erfolg vieler Unternehmen beruht auf Erfahrung, persönlichem Vertrauen und hoher Spezialisierung. Nicht selten konzentrieren sich technisches Know-how, Kundenbeziehungen oder unternehmerische Entscheidungen auf wenige Personen.

Familienunternehmen verfügen häufig über kurze Entscheidungswege und ausgeprägte Marktkenntnis. Genau diese Stärken können jedoch zu Verwundbarkeiten werden, wenn Wissen, Verantwortung oder Kundenkontakte nicht ausreichend abgesichert sind. Die Fragen der Unternehmensnachfolge, des Wissenstransfers und der organisatorischen Entflechtung erhalten vor diesem Hintergrund eine neue strategische Bedeutung.

Bemerkenswert ist dabei, dass solche Abhängigkeiten selten zufällig entstehen. Sie sind häufig die Folge wirtschaftlich sinnvoller Entscheidungen. Unternehmen konzentrieren Beschaffungsvolumina bei leistungsfähigen Partnern, übertragen Verantwortung an erfahrene Führungskräfte und standardisieren Prozesse auf zentralen Plattformen. Gerade diese Maßnahmen steigern Effizienz und Wettbewerbsfähigkeit. Gleichzeitig erhöhen sie jedoch die Abhängigkeit von einzelnen Personen, Prozessen oder Partnern und schaffen damit Verwundbarkeiten, die im normalen Geschäftsbetrieb oft verborgen bleiben.

Aus betriebswirtschaftlicher Sicht sind diese Entscheidungen richtig. Genau deshalb bleiben die daraus entstehenden Verwundbarkeiten oftmals lange unbeachtet. Erst außergewöhnliche Ereignisse machen deutlich, welche Faktoren die tatsächliche Stabilität des Unternehmens bestimmen.

Die Frage ist jedoch nicht allein, ob solche Abhängigkeiten bestehen. Entscheidend ist, welche Folgen sie für die Steuerungs- und Entscheidungsfähigkeit eines Unternehmens haben können. Damit rückt eine Perspektive in den Vordergrund, die über die klassische Risikobetrachtung hinausgeht.

Handlungsfähigkeit als Maßstab wirksamer Unternehmenssteuerung

Aus Sicht der Unternehmensführung führt diese Erkenntnis zu einer wichtigen Perspektivverschiebung. Traditionell richtet sich der Blick auf die Frage, welche Risiken eintreten könnten. Zunehmend relevant wird jedoch die Frage, welche Auswirkungen diese Risiken auf die Steuerungs- und Entscheidungsfähigkeit des Unternehmens hätten.

Diese Unterscheidung ist keineswegs akademisch. Ein Unternehmen kann einen Lieferantenausfall erfolgreich bewältigen, wenn alternative Beschaffungswege vorhanden sind. Ein Cybervorfall bleibt beherrschbar, wenn kritische Prozesse kurzfristig wiederhergestellt werden können. Selbst erhebliche Marktveränderungen müssen nicht zwangsläufig existenzbedrohend sein, wenn Entscheidungsstrukturen funktionieren und Verantwortlichkeiten eindeutig geregelt sind.

Umgekehrt können vergleichsweise kleine Störungen erhebliche Folgen haben, wenn sie kritische Abhängigkeiten treffen. Für Geschäftsführungen, Gesellschafter und Aufsichtsgremien rückt deshalb zunehmend eine Fragestellung in den Mittelpunkt, die über die klassische Risikobetrachtung hinausgeht:

Welche Faktoren bestimmen die Handlungsfähigkeit unseres Unternehmens, und wie gut sind diese Faktoren tatsächlich abgesichert?

Diese Perspektive verändert den Blick auf Unternehmensrisiken grundlegend. Sie verlagert den Fokus von der Betrachtung einzelner Gefahren auf die Voraussetzungen wirksamer Unternehmenssteuerung.

Die Grenzen isolierter Steuerungs- und Kontrollsysteme

Die meisten Unternehmen verfügen heute über eine Vielzahl etablierter Steuerungsinstrumente. Risikomanagement, Compliance Management, Internes Kontrollsystem, Informationssicherheit, Business Continuity Management und Krisenmanagement erfüllen jeweils wichtige Funktionen.

Die Herausforderung liegt in der Praxis jedoch häufig nicht in der Qualität dieser einzelnen Disziplinen. Vielmehr zeigt sich, dass sie oftmals unabhängig voneinander entstanden sind. Unterschiedliche regulatorische Anforderungen, organisatorische Zuständigkeiten und historische Entwicklungen haben dazu geführt, dass relevante Informationen in verschiedenen Bereichen des Unternehmens vorliegen.

Dadurch entsteht ein scheinbarer Widerspruch. Die Organisation verfügt über eine hohe Transparenz innerhalb einzelner Funktionen, besitzt jedoch nicht immer ein vollständiges Bild ihrer kritischen Abhängigkeiten. Gerade diese Abhängigkeiten entscheiden jedoch darüber, wie widerstandsfähig ein Unternehmen tatsächlich ist.

So können Informationen über kritische Lieferanten im Einkauf vorliegen, Risiken aus IT-Abhängigkeiten in der Informationssicherheit dokumentiert werden und personelle Schlüsselrisiken im Personalbereich bekannt sein. Dennoch fehlt häufig die integrierte Sicht auf die Frage, wie diese Faktoren zusammenwirken und welche Auswirkungen sie auf die Stabilität des Unternehmens haben könnten.

Die eigentliche Aufgabe besteht deshalb nicht darin, weitere Systeme zu etablieren. Entscheidend ist vielmehr die Fähigkeit, bestehende Informationen durch ein Enterprise Risk Management (ERM) miteinander zu verbinden und daraus ein belastbares Verständnis organisatorischer Verwundbarkeiten abzuleiten.

Resilienz beginnt vor der Krise

Die Diskussion über Resilienz wird häufig auf Notfallpläne, Krisenorganisationen oder Cybersecurity reduziert. Diese Instrumente sind wichtig. Sie greifen jedoch zu kurz, wenn die eigentlichen Ursachen organisatorischer Verwundbarkeit unbeachtet bleiben.

Die Widerstandsfähigkeit eines Unternehmens entsteht nicht erst in der Krise. Sie wird lange vorher geprägt. Sie entsteht dort, wo Verantwortlichkeiten klar geregelt sind, wo kritische Prozesse verstanden werden, wo wesentliche Abhängigkeiten transparent sind und wo Risiken systematisch in unternehmerische Entscheidungen einfließen.

Resilienz ist deshalb keine eigenständige Disziplin neben Risikomanagement, Compliance oder Informationssicherheit. Sie ist vielmehr das Ergebnis einer Unternehmenssteuerung, die Risiken, Kontrollen, Verantwortlichkeiten und Entscheidungsprozesse miteinander verbindet.

Dieser Gedanke gewinnt auch regulatorisch zunehmend an Bedeutung. Mit NIS2 rückt die Verantwortung der Unternehmensleitung für die Beherrschung von Risiken und die Sicherstellung organisatorischer Widerstandsfähigkeit stärker in den Vordergrund.

Kritische Abhängigkeiten verstehen, bevor sie sichtbar werden

Die Komplexität moderner Unternehmen wird weiter zunehmen. Digitale Geschäftsmodelle, technologische Vernetzung, internationale Lieferketten und regulatorische Anforderungen erhöhen die Zahl potenzieller Störfaktoren kontinuierlich.

Vor diesem Hintergrund besteht die zentrale Aufgabe der Unternehmensführung nicht allein darin, Risiken zu identifizieren. Sie besteht vielmehr darin, die Faktoren zu verstehen, von denen die Handlungsfähigkeit des Unternehmens tatsächlich abhängt. Unternehmen, die ihre Risiken kennen, verfügen über eine wichtige Grundlage. Unternehmen, die darüber hinaus ihre kritischen Abhängigkeiten verstehen, gewinnen jedoch einen entscheidenden Vorteil. Sie erkennen potenzielle Verwundbarkeiten, bevor diese unter Belastung sichtbar werden.

Die entscheidende Frage für die Unternehmensführung lautet deshalb nicht, welche Risiken bekannt sind. Entscheidend ist, ob die Faktoren verstanden werden, von denen die Handlungsfähigkeit des Unternehmens tatsächlich abhängt.

Unternehmen geraten selten deshalb unter Druck, weil Risiken vollständig unbekannt waren. Häufiger entstehen Krisen dort, wo die Tragweite bestehender Abhängigkeiten unterschätzt wurde.

Die meisten Unternehmen dokumentieren Risiken.

Die widerstandsfähigeren Unternehmen verstehen ihre Abhängigkeiten.

Genau darin liegt der Kern unternehmerischer Resilienz und zugleich eine der zentralen Führungsaufgaben moderner Unternehmenssteuerung.

Quellen und weiterführende Informationen

• Bundesamt für Sicherheit in der Informationstechnik (BSI): Die Lage der IT-Sicherheit in Deutschland 2025
• Bundesamt für Sicherheit in der Informationstechnik (BSI): Informationen zur Umsetzung der NIS2-Richtlinie und zu DORA
• Bitkom e. V.: Wirtschaftsschutz 2025 – Lagebild der deutschen Wirtschaft