An einem Freitagabend ruft ein Kunde Sophie B. kurz vor dem Auflegen noch einmal an: "Woran erkennen Sie eigentlich, dass Ihr Schutz wirklich funktioniert?" Sie antwortet, sie habe "ein Antivirenprogramm und einen Dienstleister, der sich darum kuemmert", und wird dann nachdenklich. Ihr wird bewusst, dass sie keine einzige Zahl hat, um ihre Cybersicherheit zu steuern - weder um diesen Kunden zu beruhigen noch sich selbst.
Cybersicherheit steuern heisst zuerst messen
In einem Treuhandbuero wirkt die IT-Sicherheit oft wie eine Blackbox: Man bezahlt einen externen Dienstleister, drueckt die Daumen und nimmt an, "es sei geregelt". Das Problem ist: Eine Annahme laesst sich nicht steuern. Man weiss nicht, ob sich die Lage verbessert, stagniert oder verschlechtert - und an dem Tag, an dem ein Kunde, ein Auditor oder die Versicherung nachfragt, hat man nichts vorzuweisen.
Steuern heisst nicht, zur Informatikerin zu werden. Es heisst, einige Kennzahlen zu verfolgen - im Englischen spricht man von KPIs, also einer einfachen Zahl, die eine klare Frage beantwortet: "Funktioniert das?" Eine gute Kennzahl passt in eine Zeile, ist auf einen Blick lesbar und fuehrt zu einer Entscheidung. Sie brauchen kein Dashboard mit dreissig Spalten: Fuer ein KMU sagen drei oder vier gut gewaehlte Zahlen mehr aus als ein Bericht, den niemand liest.
Ein Treuhandbuero ist aus drei sehr konkreten Gruenden besonders betroffen. Erstens verarbeitet es einige der sensibelsten Daten ueberhaupt: Buchhaltung, Loehne, Steuer- und Bankangelegenheiten von Dutzenden Kunden. Zweitens hat es meist keine interne IT-Fachperson - die Sicherheit ist ausgelagert und damit kaum sichtbar fuer die Person, welche die Verantwortung gegenueber den Kunden traegt. Drittens sind es genau diese Kunden, die zunehmend Garantien verlangen, bevor sie ihre Dossiers anvertrauen. In diesem Kontext genuegt "Ich vertraue meinem Dienstleister" nicht mehr: Sie muessen etwas Greifbares vorzeigen koennen.
Klartext. Eine nuetzliche Kennzahl ist eine Zahl, die Sie zum Handeln bringt. Wenn ihre Bewegung keine Ihrer Entscheidungen aendert, ist sie wertlos: Streichen Sie sie und behalten Sie eine, die wirklich zaehlt.
Nehmen wir ein Beispiel, das zu einem Buero wie dem von Sophie B. passt. Die Frage "Nutzen alle die Zwei-Faktor-Authentisierung?" - die Zwei-Faktor-Authentisierung (MFA) bedeutet, zusaetzlich zum Passwort einen zweiten Nachweis zu verlangen, etwa einen Code auf dem Telefon - wird zur Kennzahl, sobald man sie in einen Prozentsatz umwandelt: "8 von 14 Konten sind durch Zwei-Faktor-Authentisierung geschuetzt." Aus einem vagen Eindruck wird eine Zahl. Und eine Zahl laesst sich verfolgen, mit einem Ziel versehen und vorzeigen.
Aber Achtung: Nicht jede Zahl ist gleich viel wert. "Anzahl der letzten Monat vom Antivirenprogramm blockierten E-Mails" wirkt in einem Bericht eindruecklich, laesst Sie aber nichts entscheiden - das nennt man eine Vanity-Kennzahl. Dagegen weisen "Anteil der durch Zwei-Faktor-Authentisierung geschuetzten Konten" oder "Haben wir dieses Quartal eine Wiederherstellung des Backups getestet?" auf eine klare Handlung hin, wenn die Antwort nicht gefaellt. Bevor Sie eine Kennzahl uebernehmen, stellen Sie eine Frage: "Wenn diese Zahl schlecht ist, weiss ich dann, was zu tun ist?" Wenn ja, behalten Sie sie. Wenn nein, lassen Sie sie beiseite.
Was Sie sich merken sollten
Wenige Kennzahlen genuegen. Der klassische Fehler besteht darin, alles auf einmal messen zu wollen und nach zwei Monaten aufzugeben. Drei einfache, ueber die Zeit verfolgte Kennzahlen sind mehr wert als fuenfzehn, die einmal gemessen und dann in einer Tabelle vergessen werden. Fangen Sie klein an: Sie fuegen weitere hinzu, sobald die ersten zur muehelosen Gewohnheit geworden sind. Regelmaessigkeit zaehlt mehr als Vollstaendigkeit - eine bescheidene Zahl, die Sie jedes Quartal ansehen, wiegt schwerer als ein perfektes Dashboard, das nur einmal aufgerufen wird.
Eine Kennzahl ist nur etwas wert, wenn sie eine Entscheidung antreibt. Zu wissen, dass die Haelfte des Teams noch keine Zwei-Faktor-Authentisierung hat, zaehlt nur, wenn es eine Handlung ausloest: das Thema beim Dienstleister ansprechen, die Aktivierung planen, im Folgemonat erneut pruefen. Die Zahl ist ein Ausgangspunkt, kein Selbstzweck.
Messen ist auch das, wonach man Sie fragen wird. Das revDSG - das revidierte Schweizer Datenschutzgesetz - erwartet von einem KMU, das sensible Daten haelt (und ein Treuhandbuero haelt sehr viele), "angemessene" Sicherheitsmassnahmen. Ohne einige Kennzahlen laesst sich nicht belegen, dass Sie tatsaechlich etwas steuern. Immer mehr Kunden und Auftraggeber stellen die Frage, bevor sie ihre Dossiers anvertrauen, manchmal in Form eines auszufuellenden Sicherheitsfragebogens. An dem Tag, an dem dieses Dokument eintrifft, ist es besser, bereits einige Zahlen zur Hand zu haben, als alles unter Druck rekonstruieren zu muessen.
Schritte fuer diese Woche
1. Drei Kennzahlen waehlen, die zu Ihrem Geschaeft passen
Sie brauchen nicht die vollstaendige Liste - heben Sie sie fuer spaeter auf. Waehlen Sie diese Woche drei Zahlen, die leicht zu erheben und fuer ein Treuhandbuero aussagekraeftig sind. Zum Beispiel: den Prozentsatz der durch Zwei-Faktor-Authentisierung geschuetzten Konten; die "Ja / Nein"-Antwort auf "Haben wir in den letzten drei Monaten eine Wiederherstellung des Backups getestet?"; den Anteil der Mitarbeitenden, die dieses Jahr eine kurze Sensibilisierung absolviert haben. Drei konkrete Kennzahlen, die Sie ohne Fachwissen verstehen.
2. Einen Ausgangswert und ein Ziel festlegen
Notieren Sie fuer jede Kennzahl den heutigen Wert - auch wenn er unangenehm ist. Er ist Ihr Bezugspunkt, und niemand wird Sie an dieser Startlinie messen. Legen Sie dann ein einfaches, datiertes Ziel fest: "von 8 geschuetzten Konten von 14 auf 14 von 14 innerhalb von drei Monaten". Ein Ziel verwandelt eine Feststellung in eine Richtung. Ohne Ziel ist eine Kennzahl nur eine Momentaufnahme; mit Ziel ist sie eine Richtung - und ein Fortschritt, den Sie beim naechsten Termin konkret sehen.
3. Diese Zahlen an einem festen Datum ansehen
Eine Kennzahl, die man nie ansieht, nuetzt nichts. Blockieren Sie pro Quartal dreissig Minuten im Kalender - allein oder mit Ihrem Dienstleister -, um Ihre drei Zahlen durchzugehen. Haben sie sich in die richtige Richtung bewegt? Wenn nicht, warum, und welche kleine Handlung entscheiden wir? Halten Sie die Entscheidung in einer Zeile fest, und Quartal fuer Quartal entsteht ein Nachweis Ihres Fortschritts: genau das, was Sie einem Kunden oder einem Auditor zeigen koennen. Dieser regelmaessige Termin macht - mehr als jedes Werkzeug - den Unterschied, ob Sie Ihre Sicherheit erdulden oder steuern. Das Bundesamt fuer Cybersicherheit (BACS, ehemals NCSC) veroeffentlicht zudem praktische Empfehlungen fuer KMU, hilfreich, um hinter jeder Zahl die richtigen Schritte zu waehlen.
Wo stehen Sie wirklich?
Die richtigen Kennzahlen zu waehlen und zu wissen, welche fuer ein Schweizer KMU angesichts des revDSG und der Fragen seiner Kunden wirklich zaehlen, ist genau das, was eine strukturierte Selbsteinschaetzung offenlegt. Cyber Passport zertifiziert nichts und erklaert Sie nicht fuer "konform": Es zeigt Ihnen Frage fuer Frage, wo Ihre Organisation solide ist und wo sie noch auf Vertrauen und Gewohnheit beruht. Sie erhalten ein Bild Ihrer Reife, ohne Fachjargon und ohne Urteil - und eben einige klare Kennzahlen, um Ihre Cybersicherheit zu steuern und sie einem Kunden oder Auditor mit Vertrauen zu zeigen. Der Blueprint "Cyber-Kennzahlen" liefert Ihnen anschliessend den vollstaendigen Satz an Kennzahlen zum Verfolgen, mit empfohlenen Zielen, Warnschwellen und einer einsatzbereiten Tabelle fuer Ihren naechsten Quartalstermin.
