Cybersecurity ist weit mehr als der Schutz von Daten und IT-Systemen. Über Lieferketten, externe Zugänge und vernetzte operative Systeme können Cyberkriminelle direkt in Produktion und Betrieb eingreifen und ganze Geschäftsprozesse lahmlegen.
Operational Technology (OT) lenkt physische Abläufe in Produktions- und Steuerungsumgebungen. Ihr Ausfall hat mitunter verheerende Konsequenzen für gesellschaftlich relevante Prozesse und Einrichtungen. Das macht sie zu einem beliebten Angriffsziel. Eine vollständige Risikobetrachtung muss deshalb auch operative Systeme, vernetzte Geräte, externe Zugänge sowie Dienstleister und Lieferanten miteinschließen.
Key Facts
Cyberangriffe treffen nicht nur die IT
Unternehmen vernetzen Lieferanten, Dienstleister und operative Systeme immer stärker miteinander. Dadurch entstehen leistungsfähige digitale Wertschöpfungsketten, gleichzeitig wachsen jedoch die Abhängigkeiten. Die Ergebnisse der KPMG & KSÖ Studie „Cybersecurity in Österreich“ 2026 zeigen, dass bereits jeder fünfte Cyberangriff über die Lieferkette erfolgt.
Somit reicht es nicht, Cybersecurity ausschließlich als Schutz des Unternehmensnetzwerks zu verstehen. Entscheidend ist vielmehr die Frage: Welche Geschäftsprozesse fallen aus, wenn eine digitale Komponente, ein Lieferant oder ein operatives System kompromittiert wird?
Wenn Cyberangriffe physische Prozesse erreichen
Besonders deutlich wird diese Entwicklung bei Operational Technology (OT). Sie steuert physische Abläufe und kommt etwa in Produktions- und Steuerungsumgebungen zum Einsatz. Anders als bei klassischen IT-Systemen ist dort die Verfügbarkeit besonders wichtig. Viele Komponenten bleiben zudem wesentlich länger im Einsatz.
Welche Folgen ungeschützte Zugänge haben können, zeigte ein Fall aus Frankreich im Oktober 2026: Cyberkriminelle manipulierten über das Internet erreichbare Steuerungssysteme von Kühlanlagen in hunderten Märkten. Lebensmittel mussten entsorgt, Standorte geschlossen und Anlagen vom Netz getrennt werden.
Das Beispiel zeigt: Auch eine technisch wenig auffällige Komponente kann Teil eines geschäftskritischen Prozesses sein. Die Risikobetrachtung sollte deshalb neben klassischen IT-Systemen auch operative Systeme, vernetzte Geräte, externe Zugänge sowie kritische Dienstleister und Lieferanten berücksichtigen.
Ein Krisenplan muss in der Praxis funktionieren
Wenn ein Cyberangriff erfolgreich ist, entsteht gleichzeitig technischer, organisatorischer und kommunikativer Druck auf die Betroffenen. Gewohnte Kommunikationswege können ausfallen, wichtige Kontaktpersonen sind möglicherweise nicht wie üblich erreichbar und dennoch benötigen Geschäftsführung, Aufsichtsrat und weitere Stakeholder:innen verlässliche Informationen.
Geschwindigkeit ist dabei nicht mit Hektik gleichzusetzen. Unternehmen müssen rasch entscheiden können, ohne unkontrolliert zu handeln. Diese Fähigkeit lässt sich nicht erst während eines Vorfalls aufbauen.
Klare Verantwortlichkeiten, vorbereitete Informations- und Meldewege, alternative Kommunikationsmöglichkeiten und realitätsnahe Übungen schaffen die Grundlage für die richtige Reaktion im Ernstfall. Übungen machen sichtbar, ob definierte Abläufe auch dann funktionieren, wenn zentrale Systeme nicht verfügbar sind und mehrere Entscheidungen gleichzeitig getroffen werden müssen.
Vorstand und Aufsichtsrat brauchen klare Rollen
Cybersecurity gehört auf die Agenda der Unternehmensführung, bevor ein Vorfall eintritt. Der Aufsichtsrat wird in einer Cyberkrise nicht operativ tätig, behält jedoch seine Überwachungsfunktion. Er muss sich daher regelmäßig über wesentliche Cyberrisiken, Sicherheitsvorfälle, Awareness-Maßnahmen und den Sicherheitsstatus des Unternehmens informieren.
Im Krisenfall kann der Aufsichtsrat als Sparringspartner der Geschäftsführung wirken und bei wesentlichen Entscheidungen eingebunden sein. Nach einem Vorfall sollte außerdem nachvollziehbar sein, welche Informationen zum jeweiligen Entscheidungszeitpunkt vorlagen und warum bestimmte Maßnahmen getroffen wurden. Eine strukturierte Betrachtung der Lessons Learned hilft dabei, technische und organisatorische Verbesserungen abzuleiten und umzusetzen.
Vier Handlungsfelder für mehr Cyberresilienz
1. Kritische Abhängigkeiten sichtbar machen
Cyberrisikomanagement endet nicht beim Unternehmensnetzwerk. Neben klassischen IT-Systemen müssen auch operative Systeme, vernetzte Geräte, externe Zugänge und Abhängigkeiten von kritischen Dienstleistern und Lieferanten berücksichtigt werden.
Was ist jetzt zu tun: Cyberrisikomanagement muss Geschäftsprozesse und technische Abhängigkeiten gemeinsam betrachten.
2. Technische Grundlagen konsequent absichern
Grundlegende Sicherheitsmaßnahmen reduzieren das Risiko deutlich. Dazu gehören unter anderem der Schutz von Zugängen, die sichere Trennung kritischer Systembereiche sowie ein konsequenter Umgang mit Schwachstellen und verfügbaren Sicherheitsupdates. Die konkrete Umsetzung muss zur jeweiligen Betriebsumgebung passen.
Was ist jetzt zu tun: Sicherheitsmaßnahmen müssen risikoorientiert priorisiert und auf die jeweilige Betriebsumgebung abgestimmt werden.
3. Krisenfähigkeit praktisch testen
Dokumentierte Pläne allein schaffen noch keine Krisenfähigkeit. Meldewege, Eskalationen, Entscheidungsabläufe und alternative Kommunikationswege müssen regelmäßig unter realistischen Bedingungen getestet werden. Dabei sollten neben IT und Security auch Geschäftsführung und weitere für den Krisenfall wichtige Funktionen einbezogen werden.
Was ist jetzt zu tun: Cybersecurity-Übungen müssen fester Bestandteil des Krisenmanagements werden und auch Entscheidungsträger:innen involvieren.
4. Kritische Dienstleister in das Krisenmanagement einbeziehen
Vertragliche Anforderungen und Sicherheitsnachweise sagen noch lange nichts darüber aus, ob die Zusammenarbeit im Ernstfall funktioniert. Unternehmen und kritische Dienstleister müssen wissen, wen sie erreichen, welche Informationen benötigt werden und wie bei einem Sicherheitsvorfall gemeinsam gehandelt wird.
Was ist jetzt zu tun: Die Steuerung von Risiken durch Dritte muss neben Sicherheitsanforderungen auch die tatsächliche gemeinsame Reaktionsfähigkeit berücksichtigen.
1. Kritische Abhängigkeiten sichtbar machen
Cyberrisikomanagement endet nicht beim Unternehmensnetzwerk. Neben klassischen IT-Systemen müssen auch operative Systeme, vernetzte Geräte, externe Zugänge und Abhängigkeiten von kritischen Dienstleistern und Lieferanten berücksichtigt werden.
Was ist jetzt zu tun: Cyberrisikomanagement muss Geschäftsprozesse und technische Abhängigkeiten gemeinsam betrachten.
2. Technische Grundlagen konsequent absichern
Grundlegende Sicherheitsmaßnahmen reduzieren das Risiko deutlich. Dazu gehören unter anderem der Schutz von Zugängen, die sichere Trennung kritischer Systembereiche sowie ein konsequenter Umgang mit Schwachstellen und verfügbaren Sicherheitsupdates. Die konkrete Umsetzung muss zur jeweiligen Betriebsumgebung passen.
Was ist jetzt zu tun: Sicherheitsmaßnahmen müssen risikoorientiert priorisiert und auf die jeweilige Betriebsumgebung abgestimmt werden.
3. Krisenfähigkeit praktisch testen
Dokumentierte Pläne allein schaffen noch keine Krisenfähigkeit. Meldewege, Eskalationen, Entscheidungsabläufe und alternative Kommunikationswege müssen regelmäßig unter realistischen Bedingungen getestet werden. Dabei sollten neben IT und Security auch Geschäftsführung und weitere für den Krisenfall wichtige Funktionen einbezogen werden.
Was ist jetzt zu tun: Cybersecurity-Übungen müssen fester Bestandteil des Krisenmanagements werden und auch Entscheidungsträger:innen involvieren.
4. Kritische Dienstleister in das Krisenmanagement einbeziehen
Vertragliche Anforderungen und Sicherheitsnachweise sagen noch lange nichts darüber aus, ob die Zusammenarbeit im Ernstfall funktioniert. Unternehmen und kritische Dienstleister müssen wissen, wen sie erreichen, welche Informationen benötigt werden und wie bei einem Sicherheitsvorfall gemeinsam gehandelt wird.
Was ist jetzt zu tun: Die Steuerung von Risiken durch Dritte muss neben Sicherheitsanforderungen auch die tatsächliche gemeinsame Reaktionsfähigkeit berücksichtigen.
Fazit: Entscheidend ist die Handlungsfähigkeit
Die zentrale Frage lautet nicht nur: Wie verhindern wir einen Cyberangriff? Ebenso wichtig ist: Bleiben wir entscheidungs- und handlungsfähig, wenn ein Angriff unsere digitalen oder physischen Geschäftsprozesse tatsächlich trifft?
Dafür müssen technische Schutzmaßnahmen, klare Verantwortlichkeiten und funktionierende Krisenprozesse zusammenspielen. Unternehmen, die ihre kritischen Abhängigkeiten kennen und ihre Krisenabläufe unter realistischen Bedingungen testen, schaffen eine wichtige Grundlage, um auch unter hohem Druck kontrolliert handeln zu können.
FAQ
KI verändert die Geschwindigkeit und Effizienz bei der Suche nach und beim Ausnutzen von Schwachstellen. Dadurch steigt der Druck auf Unternehmen, Schwachstellen konsequent zu behandeln, Sicherheitsereignisse rasch zu erkennen und kontrolliert darauf zu reagieren.
OT steuert physische Prozesse und arbeitet unter anderen Rahmenbedingungen als klassische IT. Viele Komponenten bleiben über lange Zeit in Betrieb, gleichzeitig hat die Verfügbarkeit der Systeme eine hohe Bedeutung. Sicherheitsmaßnahmen müssen deshalb an die jeweilige Betriebsumgebung angepasst werden.
Der Aufsichtsrat erfüllt keine operative, sondern eine Überwachungsfunktion bei einem Cyberangriff. Bereits vor einem Vorfall sollte er sich regelmäßig mit Cybersecurity befassen. Während einer Krise kann er die Geschäftsführung bei wesentlichen Entscheidungen als Sparringspartner begleiten. Anschließend sollte er in die Aufarbeitung und daraus abgeleitete Maßnahmen involviert sein.
Entscheidend sind klare Verantwortlichkeiten sowie vorbereitete Informations-, Melde- und Kommunikationswege. Da reguläre Kommunikationsmittel bei einem Cybervorfall ausfallen können, sollten alternative Wege und erreichbare Kontaktpersonen bereits im Vorfeld festgelegt und getestet werden.
Unternehmen sind über digitale Wertschöpfungsketten eng mit Dienstleistern und Lieferanten verbunden. Die Ergebnisse der KPMG & KSÖ Studie „Cybersecurity in Österreich“ 2026 zeigen, dass jeder fünfte Cyberangriff über die Lieferkette erfolgt. Deshalb sollten neben Sicherheitsanforderungen auch Ansprechpartner:innen und die gemeinsame Reaktion auf Sicherheitsvorfälle vorbereitet werden.
Zu den Grundlagen gehören der Schutz von Zugängen, die Trennung kritischer Systembereiche sowie ein konsequenter Umgang mit Schwachstellen und Sicherheitsupdates. Welche Maßnahmen geeignet sind, hängt von der jeweiligen Betriebsumgebung ab.
