Sicherheitsakzeptanz beginnt im Boardroom, nicht am Helpdesk

Die MSP-Branche spricht endlich über Adoption. Es geht um Copilot-Lizenzen, Awareness-Scores und Teams-Strukturen, alles bezogen auf Endanwender. Das schwierigere Gespräch, dasjenige, das am meisten zählt, ist noch nicht ernsthaft in Gang gekommen: Verstehen die Personen, die persönlich für das Cyberrisiko verantwortlich sind, die Dashboards, die ihnen ihr MSP zeigt, tatsächlich?

Diese Frage kam in mehreren aktuellen Kundengesprächen erneut zur Sprache, in verschiedenen Partner-Sessions, und noch einmal während einer aktuellen Folge von MSP Late Night, in der Adoption endlich das zentrale Thema war. Die Stimmen am Tisch waren scharfsinnig zu Copilot, zu Awareness-Trainings und zu der Kluft zwischen dem Verkauf einer Lizenz und der tatsächlichen Verhaltensänderung. Doch die Diskussion blieb fast ausschließlich beim Endanwender. In der Informationssicherheit und Compliance, wo NIS2 Direktoren mittlerweile persönlich verantwortlich gemacht hat, liegt der größere blinde Fleck eine Etage höher.

Akzeptanz ist nicht nur ein Problem der Endanwender

Wenn MSPs von Akzeptanz sprechen, meinen sie meist dasselbe wie die Produktivitätsanbieter. Nutzen die Menschen das Tool? Prompten sie Copilot? Schließen sie das Awareness-Modul ab? Klicken sie auf die richtigen Schaltflächen im richtigen System?

Diese Fragen sind wichtig. Doch in Security und Compliance gibt es eine zweite Adoptionsfrage, die fast nie gestellt wird. Versteht die Führungskraft, die den Vertrag unterzeichnet hat, was das Tool ihr mitteilt? Liest der Direktor, der persönlich für das Ergebnis verantwortlich ist, das Dashboard? Steuert das Managementteam, das das Geschäftsrisiko verantwortet, die Organisation auf Basis der Zahlen, die es liefert?

Wenn nicht, ist das Dashboard nicht akzeptiert. Es ist lediglich bezahlt. Das ist etwas anderes.

Woher weiß ein Direktor, ob sein MSP ihn tatsächlich schützt?

Dies ist die Frage, die Eigentümer, Direktoren und Aufsichtsratsmitglieder in Suchleisten eintippen und ihren vertrauten Beratern stellen. Es ist auch die Frage, auf die MSPs am wenigsten gut vorbereitet sind, wenn es darum geht, sie in einer für den Vorstand verständlichen Sprache zu beantworten.

Der Global Cybersecurity Outlook 2026 des World Economic Forum, im Januar 2026 gemeinsam mit Accenture veröffentlicht und basierend auf den Antworten von 804 Führungskräften aus 92 Ländern, bringt die Lücke in zwei Zahlen auf den Punkt. Unter den Organisationen, die das WEF als hochgradig widerstandsfähig einstuft, geben 99 Prozent an, dass ihr Vorstand in Cybersicherheit eingebunden ist. Auf den ersten Blick ermutigend. Liest man im selben Bericht weiter, geben nur 52 Prozent derselben Organisationen an, dass ihre Vorstandsmitglieder tatsächlich regelmäßig Cybersecurity-Updates erhalten. “Einbindung ohne Information ist nicht dasselbe wie Aufsicht.”

Dieselbe Erhebung ist unverblümt über einen zweiten Punkt: Was den CEO beunruhigt und was den CISO beunruhigt, stimmt nicht mehr überein. CEOs setzen cybergestützten Betrug und Phishing an die Spitze ihrer Sorgen; CISOs stufen Ransomware nach wie vor als wichtigstes Risiko ein. Sie blicken auf dieselbe Bedrohungslandschaft und ziehen unterschiedliche Schlüsse, weil sie unterschiedliche Dashboards in unterschiedlichen Vokabularen lesen.

Für einen Direktor lässt sich die Frage “bin ich geschützt” nicht beantworten, indem man auf einen Secure Score, einen Compliance-Prozentsatz oder eine farbcodierte Heatmap verweist. Sie lässt sich nur von jemandem beantworten, der bereit ist, den Score in die Konsequenzen für das Unternehmen zu übersetzen: Umsatz auf dem Spiel, Verträge auf dem Spiel, persönliche Haftung auf dem Spiel.

Ein Dashboard ist keine Strategie

Betreten Sie eine durchschnittliche Mid-Market-Organisation, die einen MSP für Security und Compliance einsetzt, und Sie finden Dashboards. Microsoft Secure Score. Eine Anzahl von Schwachstellen aus einem Scanner. Einen ISO-27001-Bereitschaftsprozentsatz. Eine NIS2-Selbstbewertung. Eine Defender- oder EDR-Konsole. Manchmal eine eigene Ansicht des MSP selbst.

Was Sie in der Regel nicht finden, ist eine kurze Antwort auf die Frage: “Was bedeutet das alles für unser Unternehmen in diesem Quartal?”

Die 2025 Defenders Survey von Trend Micro, in der mehr als dreitausend Cybersicherheitsfachleute befragt wurden, brachte diesen Punkt klar auf den Punkt. Nur rund 30 Prozent der Befragten gaben an, dass ihre Organisation über “ein strukturiertes, fortlaufendes Modell zur Kommunikation über Sicherheitsereignisse mit Stakeholdern” verfügt. Der Bericht kam zu dem Schluss, dass das Management von Cyberrisiken auf Führungsebene “Übersetzung erfordert: die Risiken in geschäftlichen statt in technischen Begriffen auszudrücken.”

Die Dashboards existieren, die Daten existieren, die Tools funktionieren. Der Engpass ist die Übersetzungsebene. Und diese Übersetzungsebene ist, fast per Definition, die Rolle desjenigen, der zwischen der Technologie und dem Boardroom steht. Für die meisten Mid-Market-Organisationen ist das der MSP.

Hans ten Hove, ein Stammgast am Tisch von MSP Late Night, brachte es in einem niederländischsprachigen LinkedIn-Beitrag unverblümt auf den Punkt: “eine nicht akzeptierte Lösung, schrieb er, ist schlicht eine teure Rechnung mit einem angehängten Dashboard.” Ein Satz, den man sich merken sollte, jedes Mal, wenn wieder ein neues Compliance-Dashboard ausgerollt wird.

Was hat NIS2 im Stillen an der Verantwortung des Vorstands geändert?

Diese Diskussion wäre theoretisch, gäbe es nicht die rechtliche Verschiebung, die inzwischen fest eingetreten ist.

Gemäß Artikel 20 der NIS2-Richtlinie muss die Leitungsebene einer wesentlichen oder wichtigen Einrichtung die Risikomanagementmaßnahmen für Cybersicherheit der Organisation genehmigen, deren Umsetzung überwachen und eine verpflichtende Schulung absolvieren, um Cyberrisiken bewerten zu können. Wie DLA Piper in einer Analyse der Richtlinie vom November 2025 darlegte, kann diese Verantwortung nicht an die IT-Abteilung weitergegeben oder an einen externen Anbieter ausgelagert werden. Den Mitgliedstaaten wurde die Befugnis eingeräumt, einzelne Direktoren persönlich haftbar zu machen und in schwerwiegenden Fällen einen CEO oder gesetzlichen Vertreter von seinen Aufgaben zu suspendieren.

Das novellierte deutsche BSI-Gesetz, das am 6. Dezember 2025 in Kraft getreten ist, geht noch weiter. Es macht Leitungsorgane persönlich verantwortlich für die tatsächliche Umsetzung der Cyberrisikomaßnahmen, nicht nur für deren Genehmigung. Die deutsche Aufsichtsbehörde hat bestätigt, dass nach Ablauf der Registrierungsfrist am 6. März 2026 nun aktiv durchgesetzt wird.

Für einen MSP ist die Implikation schärfer, als sie zunächst erscheint. Ein Direktor, der persönlich für das Cyberrisiko verantwortlich ist und der in einfacher Sprache nicht erklären kann, was sein Compliance-Dashboard bedeutet, ist exponiert. Nicht weil der MSP technisch versagt hat, sondern weil die Akzeptanzlücke zwischen dem Tool und der Person, die rechtlich für das Ergebnis verantwortlich ist, nie geschlossen wurde.

NIS2 verlangt nicht, dass MSPs zu geschäftlichen Übersetzern werden müssen. Aber es macht es für jedes ernsthafte Vorstandsmitglied unmöglich, ein passiver Empfänger eines Secure Score zu bleiben, den es nicht liest.

Vom IT-Anbieter zum geschäftlichen Übersetzer

Genau hier muss sich die Rolle des MSP weiterentwickeln, und genau das finden viele MSPs ehrlich gesagt am unangenehmsten. Implementierung ist vertrautes Terrain. Patch-Zyklen, Baselines, Monitoring, Incident Response, Ticket-SLAs. Das technische Handwerk, eine IT-Landschaft am Laufen zu halten, ist wirklich anspruchsvoll, und die Menschen, die das gut machen, verdienen mehr Anerkennung, als sie bekommen.

Was das technische Handwerk nicht automatisch hervorbringt, ist ein Gespräch, in dem ein Direktor innerhalb von fünf Minuten versteht, wogegen er geschützt ist, wogegen nicht, was es kosten würde, die Lücke zu schließen, und was mit dem Unternehmen geschehen würde, wenn die Lücke ausgenutzt würde.

Dieses Gespräch erfordert eine andere Fähigkeit. Es braucht jemanden, der zwischen einer Microsoft-Defender-Konsole und einer Gewinn- und Verlustrechnung stehen und erklären kann, warum das eine das andere beeinflusst. Es braucht jemanden, der ohne Zögern sagen kann: “Ihr Compliance-Score liegt bei 78 Prozent, hier sind die drei fehlenden Controls, und hier ist der Vertrag, den Sie verlieren könnten, falls ein Kundenaudit sie entdeckt.” Es erfordert vom MSP, aufzuhören, Tools zu verkaufen, und stattdessen Klarheit zu verkaufen.

Einige MSPs auf dem niederländischen, belgischen und deutschen Markt bauen diese Fähigkeit still in ihren eigenen Teams auf. Die meisten tun dies noch nicht. Wer es tut, wird feststellen, dass Vertragsverlängerungsgespräche kürzer werden und die Margen besser, weil der gelieferte Mehrwert für denjenigen sichtbar wird, der den Scheck unterzeichnet. Wer es nicht tut, wird als der Anbieter in Erinnerung bleiben, dessen Dashboards niemand gelesen hat.

Wo Guardian360 in dieses Bild passt

Ich leite einen ISV, der eines dieser Dashboards baut, daher wäre es unehrlich, diesen Beitrag zu schreiben, ohne zu benennen, was wir tun und was nicht.

Die Lighthouse-Plattform liefert die üblichen technischen Ergebnisse, die jedes ernsthafte Security-Tool liefert: Scan-Ergebnisse über Netzwerke, IPs und Webanwendungen, Microsoft-365-Sicherheitseinblicke über die Graph API, Schwachstellenfunde und Compliance-Empfehlungen gegenüber mehr als vierzig Normen und Gesetzen. Nichts davon ist einzigartig. Woran wir in den letzten Jahren gebaut haben, und was unserer Meinung nach für das Gespräch in diesem Beitrag am wichtigsten ist, ist ein Business Risk Score, der neben den technischen Risikoscores steht. Das Ziel ist einfach: dem Vorstand eine Zahl zu geben, die mit dem Unternehmen verbunden ist, nicht nur mit dem Asset.

Eine Plattform kann das Übersetzungsgespräch unterstützen. Sie kann das Gespräch nicht selbst führen. Das ist die Aufgabe des Partners, und dabei sind wir jeden Tag auf die MSPs, Integratoren und Berater angewiesen, die mit uns zusammenarbeiten. Das Tooling schließt einen Teil der Akzeptanzlücke. Die Beziehung schließt den Rest.

Eine andere Frage für Ihr nächstes MSP-Review

Wenn Sie Direktor, Eigentümer oder Vorstandsmitglied sind, müssen Sie die NIS2-Artikel nicht selbst lesen, um nach ihrer Bedeutung zu handeln. Fragen Sie bei Ihrem nächsten Review mit Ihrem IT-Partner nicht, was in diesem Quartal implementiert wurde. Fragen Sie, ob Sie, Ihr Managementteam und idealerweise auch Ihr Aufsichtsrat verstehen, was diese Implementierungen für das Unternehmen bedeuten.

Wenn die Antwort länger dauert als die Zusammenfassung der Implementierung, haben Sie Ihre Erkenntnis bereits.

Sicherheitsakzeptanz beginnt im Boardroom, nicht am Helpdesk. Die MSP-Branche, der breitere IT-Sektor und die Regulierungsbehörden haben alle, jeder auf seine Weise, begonnen, in dieselbe Richtung zu drängen. Die Blogs und Podcasts über die Akzeptanz bei Endanwendern sind ein guter Anfang. Das nächste Gespräch, das schwierigere, betrifft die Personen, deren Namen ganz oben im Organigramm stehen und deren Unterschriften am Ende auf dem Schreiben der Aufsichtsbehörde landen.

Wenn dieses Gespräch in Ihrer Organisation noch nicht stattgefunden hat, ist es das nützlichste Gespräch, das Sie jetzt einplanen können.