Burnout-Gefahr: : Hohe psychische Belastung für CEOs und CISOs
Einer Umfrage von Cohesity unter 100 deutschen CEOs zufolge erleben diese eine hohe psychische Belastung aufgrund der Bedrohung durch Cyber-Angriffe. Zusätzlich zu der ohnehin schon großen Gefahr durch Angreifer mit wirtschaftlichen Zielen und staatlichen Akteuren, die Spionage betreiben und geopolitische Interessen verfolgen, steigern aktuelle Zwischenfälle durch autonom agierende KI-Systeme zusätzlich den Druck auf Verantwortliche.
Laut der Studie empfinden 77 % der deutschen CEOs psychischen Druck durch ihre Verantwortung für Cybersicherheit – 60 % äußern gar die Sorge vor einem Burnout. Nur 49 % sehen sich psychologisch auf ihre Verantwortung in diesem Bereich vorbereitet. Mehr als ein Drittel (36 %) sagen sogar, dass einen „nichts auf diese möglichen Folgen vorbereiten“ könne. Damit reiht eine Erhebung nun die Top-Manager in eine lange Reihe von Untersuchungen ein, die auch CISOs schon seit vielen Jahren viel Stress und ein hohes Burnout-Risiko bescheiden, mehrfach mit tatsächlichen Burnout-Quoten von über 50 % – und überdies auch mit negativen Konsequenzen für die Unternehmenssicherheit.
Die jetzt befragten CEOs fürchten als persönliche Konsequenz durch Cyberangriffe auf ihr Unternehmen vor allem die rechtliche Haftung (41 %); es folgen Rufschädigung (34 %), Karriereknick (33 %), persönliche Haftbarkeit (30 %) und Jobverlust (28 %). Viele haben sogar Angst um die Sicherheit für sich selbst (23 %) oder ihre Familie (17 %).
„Die psychische Belastung zeigt, dass vielen CEOs die möglichen Folgen eines Cyberangriffs bewusst sind. Entscheidend ist, aus dieser Sorge eine konkrete Vorbereitung abzuleiten“, sagt Christoph Linden, Director Solution Architecture Europe bei Cohesity. „Wer sich frühzeitig mit möglichen Szenarien auseinandersetzt, weiß, was im Ernstfall zu tun ist, und reduziert damit auch den Druck, unter Unsicherheit entscheiden zu müssen. Ein Cyberangriff ist nicht mit dem Ausfall eines Rechenzentrums gleichzusetzen. Unternehmen müssen deshalb vorab festlegen, welche Prozesse, Systeme und Abhängigkeiten sie mindestens benötigen, um handlungsfähig zu bleiben. Das ist ihre „Minimum Viable Company“. Dieses Ziel muss regelmäßig getestet werden. Nur so lässt sich die Wiederherstellung kontrolliert planen und der Geschäftsbetrieb in einem vertrauenswürdigen Zustand wieder aufnehmen.“
DE schlechter auf Angriffe vorbereitet als FR oder UK
Die Realität sieht jedoch anders aus, konstatiert die Studie: Deutsche CEOs seien schlechter auf Cyberangriffe vorbereitet als ihre Kollegen aus Frankreich oder Großbritannien. Hierzulande würden zum Beispiel nur 13 % der CEOs innerhalb von fünf Minuten über eine Cyberattacke benachrichtigt, in Frankreich seien es 30 %, in Großbritannien 19 %. Und lediglich 49 % der Deutschen haben vorab bereits die finanziellen Auswirkungen eines Cyberangriffs abgeschätzt (FR 64 %, UK 76 %).
Gleichzeitig erwarten 29 % der deutschen CEOs, dass ihr Unternehmen im Falle einer Cyberattacke innerhalb eines Tages wieder voll betriebsfähig ist. Das gilt bei schlechter Vorbereitung jedoch als unmöglich, warnt Cohesity. In Frankreich würden nur 16 % diesen Status erwarten, in Großbritannien 20 %. 8 % der befragten Deutschen glaubten sogar, innerhalb einer Stunde den Betrieb vollständig wiederherstellen zu können. Demnach haben deutsche CEOs im europäischen Vergleich höhere Erwartungen an die Resilienz ihres Unternehmens, was an sich nicht falsch sein muss – heikel ist es hingegen bei ungenügender Vorbereitung. Die Studienautoren verweisen zudem darauf, dass es laut ransomware.live im ersten Halbjahr 2026 über 1,5-mal mehr Angriffe auf deutsche als auf französische Unternehmen gegeben habe. Die Umfrage zeige daher insgesamt, dass deutsche CEOs die Sicherheitslage deutlich unrealistischer einschätzen als ihre Kollegen aus Frankreich oder Großbritannien.
Minimale Maßnahmen zur Notfallvorsorge
Um im Störfall funktionsfähig zu sein, benötigen Unternehmen eine Möglichkeit, die Kontrolle schnell wiederherzustellen. Dabei könne ein so genannter „Digital Jump Bag“ – eine Art virtuelle Notfalltasche – helfen: ein sicherer, isolierter Speicherort, der alles Notwendige enthält, um eine Gegenreaktion einzuleiten und einen vertrauenswürdigen Ausgangspunkt für die Wiederherstellung zu schaffen.
Zudem sollten Unternehmen das Konzept der Minimum Viable Company (MVC) umsetzen. Darunter versteht man die kleinste Version einer Organisation, die im Notfall weiterarbeiten, Kunden bedienen und ihren Verpflichtungen nachkommen kann. Sie ist die minimale Kombination aus Mitarbeitern, Prozessen, Technologie, Dokumentation, Einrichtungen und Abhängigkeiten von Drittanbietern, die erforderlich ist, um den Geschäftsbetrieb unter beeinträchtigten Bedingungen aufrechtzuerhalten. Mit diesen Maßnahmen seien Unternehmen auf Cyberangriffe vorbereitet – und CEOs könnten dann wieder ruhig schlafen, meint Cohesity.
vielleicht interessieren Sie auch die folgenden <kes>-Beiträge: