Cyberrisiken finanziell messbar machen: Warum Cybersicherheit in die Sprache des Vorstands übersetzt werden muss
Was man nicht messen kann, kann man auch nicht steuern. Dieser Grundsatz gilt in der Betriebswirtschaft seit Jahrzehnten — nur in der Cybersicherheit wird er konsequent ignoriert. Unternehmen investieren jährlich erhebliche Mittel in Security-Maßnahmen, ohne ein echtes Verständnis dafür zu haben, welche Risiken sie damit tatsächlich adressieren — und welche nicht.
In einem aktuellen Interview für contentway erläutert Asdrúbal Pichardo, Managing Director und CEO von Squalify, warum die finanzielle Quantifizierung von Cyberrisiken ein zentraler Hebel für bessere Sicherheitsentscheidungen ist.
Cyberrisiken als betriebswirtschaftliche Größe
Das Kernproblem: Cybersicherheit wird in den meisten Unternehmen weiterhin als Angelegenheit der IT-Abteilung behandelt. Investitionen orientieren sich an Checklisten oder subjektiven Einschätzungen statt an messbaren Auswirkungen auf das Geschäft. Die Folge: Vorstände und Geschäftsführer können nicht beurteilen, ob jeder investierte Euro dort wirkt, wo er das Unternehmen tatsächlich schützt.
Squalify verfolgt einen anderen Ansatz: Das Unternehmen übersetzt Cyberrisiken in finanzielle Kennzahlen — ROI, EBIT, Cashflow. Damit sprechen IT und Vorstand endlich die gleiche Sprache. Das Cyberrisiko wird auf Unternehmensebene betrachtet: die Konsequenzen eines Cyber-Vorfalls auf das Unternehmen quantifiziert, mit direkter Relevanz für die Geschäftsführung.
42 Datenpunkte für belastbare Risikoaussagen
Bemerkenswert ist die Effizienz des Ansatzes: Anhand von nur 42 Datenpunkten berechnet die Squalify-Plattform bereits belastbare Zahlen mit Vorstandsrelevanz. Das Quantifizierungsmodell basiert auf historischen Daten zu tatsächlichen Cyber-Verlusten von mehr als 100.000 Unternehmen weltweit und der Expertise von Munich Re, einem der führenden Cyber-Rückversicherer.
Die Ergebnisse werden auf Basis eines standardisierten, an Unternehmensdaten angepassten Modells in finanzielle Kennzahlen übersetzt. Das ermöglicht präzise Risikoaussagen mit minimalem Aufwand — ein entscheidender Vorteil gegenüber klassischen Risk-Assessments, die oft Monate dauern und trotzdem abstrakt bleiben.
Typische Anwendungsfälle
Unternehmen nutzen die Plattform laut Pichardo vor allem, um festzustellen, welche Investitionen in Cybersicherheit den größten Effekt haben und das Risiko am stärksten reduzieren. Gerade Großunternehmen setzen Squalify außerdem zur transparenten Steuerung von Tochtergesellschaften oder für objektive Benchmarks mit Wettbewerbern ein. Darüber hinaus unterstützt die Plattform bei der Auswahl geeigneter Cyberversicherungen.
Warum das für die Geschäftsführung relevant ist
Die finanzielle Quantifizierung von Cyberrisiken adressiert ein Problem, das mit NIS-2 akuter denn je ist: Geschäftsführer haften persönlich für die Angemessenheit ihrer Sicherheitsmaßnahmen. Doch wie weist man Angemessenheit nach, wenn man die Risiken nicht beziffern kann? Wer seine Cyberrisiken in Euro ausdrücken kann, trifft bessere Entscheidungen — und kann diese gegenüber Aufsichtsbehörden, Versicherern und Geschäftspartnern belegen.
Der Ansatz zeigt, wohin sich die Branche entwickelt: Weg vom Bauchgefühl, hin zu datengetriebenen Sicherheitsentscheidungen auf Vorstandsebene.
J. Benjamin Espagné
Messen ist gut — Sichtbarkeit ist die Voraussetzung
Der Ansatz von Squalify ist interessant und adressiert ein reales Problem: Viele Geschäftsführer können nicht beurteilen, ob ihre Security-Investitionen angemessen sind, weil ihnen die Zahlen fehlen. Cyberrisiken in finanziellen Kennzahlen auszudrücken, macht sie für die Geschäftsführung greifbar und entscheidbar.
Aber: Jede Quantifizierung ist nur so gut wie die Daten, die ihr zugrunde liegen. Und genau hier beginnt unsere Arbeit. Ohne ein funktionierendes SIEM, das alle sicherheitsrelevanten Ereignisse erfasst und korreliert, fehlt die empirische Basis für jede Risikobewertung. Sie können Ihr Cyberrisiko in Euro ausdrücken — aber wenn Sie nicht sehen, was in Ihrem Netz tatsächlich passiert, sind diese Zahlen bestenfalls Schätzungen.
Unsere Empfehlung: Kombinieren Sie finanzielle Risikoquantifizierung mit operativer Sichtbarkeit. Ein SIEM liefert die Echtzeit-Datenbasis, ein SOC die kontinuierliche Bewertung, und eine NIS-2-Gap-Analyse den regulatorischen Rahmen. Erst dann wird aus einer Zahl auf dem Papier eine belastbare Entscheidungsgrundlage.
contentway / Squalify — „Cyberrisiken finanziell messbar machen“ (Partner Content, 02.04.2026)
Squalify — Cyber Risk Quantification Platform