Wenn die technische Einschätzung noch kein Befund ist

Ein Dienstleister hat eine technische Einschätzung abgegeben. Im Haus wird daraus rasch eine Frage an die Geschäftsführung: Sagen wir das intern weiter, informieren wir Kunden, stellen wir etwas ab?

Der Betrieb soll weiterlaufen, Mitarbeitende brauchen Orientierung, und der Dienstleister will seine technische Sicht einbringen. In diesem Moment kann eine Einschätzung einen Status bekommen, den sie noch nicht hat: Sie wird wie ein Befund behandelt, obwohl deren Belegumfang oder offene Fragen nicht sichtbar sind. Dann trägt die Geschäftsführung eine Aussage, deren Grundlage sie noch nicht klar vor sich hat. „Ich muss morgen entscheiden, ob wir das tun, und keiner kann mir sagen, ob’s stimmt.“

Drei Dinge auf einer Seite

Das BSI veröffentlichte am 7. Oktober 2026 die Ergebnisse einer gemeinsamen Untersuchung mit dem TÜV-Verband. Befragt wurden mehr als 500 Unternehmen ab 20 Mitarbeitenden. Von den Unternehmen mit bestehender oder geplanter KI-Nutzung verfügen laut der Mitteilung 11 Prozent über besondere Abläufe für KI-bezogene Sicherheitsvorfälle. Weitere 43 Prozent greifen auf allgemeine IT-Sicherheitsprozesse zurück, die noch keine KI-spezifischen Regeln enthalten. [BSIKI-F01, BSIKI-F02, BSIKI-F03]

Diese Zahlen sagen nichts über die Lage in Ihrem Betrieb. Sie zeigen aber, wie leicht eine zusätzliche Frage im Vorfall ohne eigenen Ablauf bleibt. Dann steht möglicherweise eine technische Aussage im Raum, während niemand festhält, worauf sie sich stützt, wer sie einordnen darf und welche Frage noch offen ist.

Der Dienstleister soll seine technische Einschätzung liefern. Dafür kennt er die Systeme und die verfügbaren Hinweise. Die Geschäftsführung muss zugleich entscheiden, welche Aussage der Betrieb tragen kann und wer sie weitergibt. Das sind zwei Aufgaben, die zusammengehören. Werden sie nicht miteinander verbunden, bleibt eine Arbeitsgrundlage liegen, die niemand wirklich verantwortet.

Wie ich das sehe: Eine technische Einschätzung wird durch ihre Weitergabe nicht klarer. Klarheit entsteht, wenn Leitung und Technik dasselbe Blatt vor sich haben und dort erkennbar ist, was tatsächlich beobachtet wurde, was daraus abgeleitet wird und was weiter geprüft werden muss. Das ist auch der Kern von IT-Security ist Chefsache: Die betriebliche Entscheidung lässt sich nicht an ein Werkzeug oder an einen Dienstleister abgeben.

Was eine Arbeitsfassung leistet

Eine Arbeitsfassung hält eine Lage für den nächsten Schritt fest. Sie ist keine fertige Erklärung über den Vorfall. Gerade deshalb darf sie vorläufig sein. Wichtig ist, dass die Vorläufigkeit lesbar bleibt. Wer die Notiz öffnet, sollte erkennen können, welche Information auf einer Beobachtung beruht und an welcher Stelle eine fachliche Einschätzung beginnt.

Das hilft auch dem Dienstleister. Er muss seine technische Sicht nicht so formulieren, als sei jede Frage bereits abgeschlossen. Und die Geschäftsführung muss aus einer ersten Einordnung keine endgültige Aussage machen. Beide können mit derselben Lage arbeiten, wenn die offene Frage einen Namen hat und die Verantwortung für die nächste Entscheidung benannt ist.

Eine kurze Arbeitsseite hält fest, wo die Beobachtung endet und die fachliche Einschätzung beginnt. Sie schafft keinen Beweis. Sie bewahrt die Unterscheidung, die für die nächste betriebliche Entscheidung nötig ist. So schauen alle Beteiligten beim nächsten Schritt auf dieselbe Frage.

Der ehrliche Einwand

Man kann einwenden, dass im Vorfall keine Zeit für drei Überschriften bleibt. Das ist richtig. Niemand sollte erst ein Papierverfahren erfinden, wenn ein technischer Hinweis geklärt werden muss.

Nur ersetzt Tempo keine Einordnung. Wenn die technische Einschätzung und der Befund im selben Satz stehen, lässt sich später kaum noch sagen, welche Aussage gesichert war und welche als Arbeitshypothese begonnen hat. Das erschwert die Entscheidung, die im Betrieb als Nächstes ansteht. Es ist auch keine Kritik am Dienstleister. Seine Einschätzung kann wichtig sein. Sie braucht einen Ort, an dem deren Umfang und offene Punkte mitgeführt werden.

Für mich ist das eine Führungsfrage. Technik kann die Lage sichtbar machen. Welche Arbeitsfassung der Betrieb vertritt, braucht eine benannte Rolle. Ohne diese Rolle wartet die Entscheidung zwischen Geschäftsführung, Admin und Dienstleister.

Ein kleiner Schritt für den nächsten Hinweis

Nehmen Sie einen wichtigen IT-gestützten Ablauf und die zuständigen Ansprechpartner bei Geschäftsführung und Dienstleister. Die Geschäftsführung benennt intern eine Person, die eine Arbeitsfassung tragen kann. Admin oder Dienstleister bringen die technische Einschätzung und den Belegumfang ein.

Vereinbaren Sie für den nächsten sicherheitsrelevanten Hinweis eine Seite mit drei Überschriften: „beobachtet“, „technische Einschätzung“ und „offen zu prüfen“. Diese Fragen helfen dabei:

• Was wurde tatsächlich beobachtet?
• Wer hat die technische Einschätzung abgegeben?
• Welche Quelle oder Log-Auswertung trägt sie?
• Welche Frage ist noch offen?
• Wer darf die Arbeitsfassung intern oder nach außen weitergeben?

Das ist eine Arbeitsgrundlage, keine vollständige Methode für einen Sicherheitsvorfall. Sie sorgt dafür, dass eine vorläufige Einschätzung ihren Platz hat, ohne zum Befund erklärt zu werden.

Wenn die Grenze zwischen Geschäftsführung und Technik bei Ihnen noch unscharf ist, kann ich als Übersetzer zwischen Geschäftsführung und Technik helfen, die Fragen und Zuständigkeiten gemeinsam zu sortieren.

Quellen

• BSIKI-F01, BSIKI-F02, BSIKI-F03: Bundesamt für Sicherheit in der Informationstechnik, „Nur jedes zehnte Unternehmen gegen KI-gestützte Angriffe gerüstet – jedes sechste Unternehmen berichtet von Vorfällen“, 07.10.2026, abgerufen 16.10.2026.
• bsi.bund.de

---

Michael Höner ist IT-Architekt und strategischer Sparringspartner für den Mittelstand. Er berät Unternehmen in NRW und bundesweit zu IT-Sicherheit, KI-Verantwortung und digitaler Architektur, ohne Produktprovisionen und ohne Implementierungsmandat.

Beitragsbild: KI-generiertes Bild.