Die IT-Umgebungen in Unternehmen sind zunehmend vernetzt. Zur digitalen Infrastruktur gehören heute unter anderem Komponenten des Internet of Things, Clouddienste und mobile Endgeräte. Hinzu kommen neue Arbeitsmodelle mit Auswirkungen auf die Cybersicherheit. "Work from Anywhere" ist in vielen Unternehmen nun Standard. Mitarbeiter greifen von diversen Standorten, auf unterschiedlichen Geräten und mit einer variierenden Mischung aus Betriebssystemen und Anwendungen auf Unternehmensressourcen zu.

Mit der wachsenden Komplexität geht eine wachsende Verantwortung einher. Sowohl IT-Betrieb als auch IT-Security tragen mehr Verantwortung als je zuvor. Sie verwalten eine digitale Infrastruktur, die sich dynamisch verändert und jederzeit wachsen kann. Die Vielzahl an Endpunkten vergrößert die Angriffsfläche, die Cyberkriminelle heute in einem völlig neuen Ausmaß und Tempo sondieren können. Kurz gesagt: Wer zu langsam ist, macht es Angreifern unnötig leicht.

Es wird aber immer schwieriger, Schritt zu halten, und jede interne Verzögerung verlängert die Reaktionszeit, sodass Bedrohungen länger unentdeckt bleiben. Ohne eine enge Abstimmung zwischen IT-Betrieb und IT-Security können Lücken bei der Sichtbarkeit und Kontrolle von Geräten entstehen. Das zeigt sich in der Praxis: Laut einer Untersuchung der Enterprise Strategy Group aus dem Jahr 2025 haben 54 Prozent der befragten Organisationen Cyberangriffe erlebt, die von unzureichend gesicherten, unbekannten, nicht verwalteten oder schlecht verwalteten Endpunkten ausgingen.

Die klassische Antwort auf mangelnde Abstimmung lautet: mehr Kommunikation, bessere Schnittstellen und klare Eskalationswege. Das ist nicht falsch, greift aber zu kurz. Denn nicht die Kommunikation ist das eigentliche Problem, sondern die Aufgabenverteilung. Welches Team macht was? Es braucht neu geregelte, eindeutig definierte Verantwortlichkeiten.

Der IT-Betrieb sollte dabei das gesamte Patchmanagement verantworten – nicht nur das Einspielen von Patches, was er bereits erledigt, sondern auch die Identifikation und Priorisierung dessen, was gepatcht werden muss. Aber was bedeutet das für das Team der IT-Security? Eine dedizierte Führungsverantwortung für die Cybersicherheit bleibt unverzichtbar, auch wenn sich die Rolle zunehmend in Richtung Governance und übergreifende Steuerung entwickelt. Die Rolle der IT-Security im Vulnerability-Management ist nach wie vor von entscheidender Bedeutung. Zu ihren Aufgaben gehört es, Richtlinien festzulegen, die Behebung von Schwachstellen zu überwachen und die allgemeine Risikolage zu managen. Wichtig für die Zusammenarbeit der Teams ist ein einheitlicher Blick auf die eigene digitale Infrastruktur, Risiken und Bedrohungen.

Ein zentrales Problem in vielen Unternehmen ist, dass mehrere Tools parallel zum Einsatz kommen und Daten daher manuell zusammengeführt werden müssen, um ein vollständiges Lagebild zu erhalten. Das kostet Zeit, führt zu Fehlern und verlangsamt die Reaktion genau dann, wenn Geschwindigkeit entscheidend ist. Ein Ausweg ist eine einheitliche Plattform, die eine geteilte operative Sicht mit denselben Daten bietet. Mit den richtigen Funktionen ausgestattet, ermöglicht sie es auch, das Monitoring und die Incident Response zusammenzuführen.

Angesichts der Geschwindigkeit, mit der Angreifer heute vorgehen, wird besonders im Patch- und Vulnerability-Management eines deutlich: Wie wichtig eine engere Abstimmung zwischen IT-Betrieb und IT-Security ist. Oft liegen diese Aufgaben in verschiedenen Händen. Der IT-Betrieb ist für das Einspielen von Patches zuständig und die IT-Security für die Schwachstellenanalyse. Daraus entsteht aber ein ernstes Problem, denn diese Trennung erzeugt eine gefährliche Lücke zwischen der Identifikation einer Schwachstelle und ihrer tatsächlichen Behebung. Angreifer warten nicht auf den nächsten Jour fixe. Eine Lücke im Prozess ist eine Einladung. Genau diese Lücke nutzen Cyberkriminelle aus – oft innerhalb von Stunden nach Bekanntwerden oder sogar bevor eine Schwachstelle öffentlich wird. Die Konvergenz beider Workflows ist deshalb entscheidend. Am Ende zählt Geschwindigkeit.

Der IT-Betrieb sollte die operative Arbeit komplett übernehmen. So lässt sich eine Lücke zwischen den Teams bei der Cyberabwehr vermeiden. Zugleich verkürzt sich die Reaktionszeit auf Bedrohungen, da es nicht erst einen Austausch geben muss. Aber die IT-Security sollte die operative Arbeit überprüfen und weiterhin Richtlinien festlegen. Das umfasst unter anderem, welche Arten von Schwachstellen als kritisch gelten, was die Service Level Agreements für die Schwachstellenbehebung sind und was als akzeptables Risiko eingestuft wird. In diesem Modell legt die IT-Security die Regeln fest und der IT-Betrieb setzt sie um.

Durch diese klaren Rollen wissen beide Teams, welche Funktion sie wahrnehmen und was sie tun müssen. Verantwortlichkeiten werden nicht in Silos aufgeteilt, sondern eindeutig definiert. Zwischen den Teams besteht volle Transparenz. Als Leistungskennzahl für den IT-Betrieb sollte die durchschnittliche Zeit bis zur Behebung einer Schwachstelle herangezogen werden. Denn wenn Angreifer schneller denn je agieren, kommt es auf die eigene Geschwindigkeit an. Die IT-Security sollte sich weiterhin an der Sicherheits- und Risikostrategie messen lassen, aber nicht an einer Lücke, auf die sie keinen Einfluss hat. Zwei Teams, zwei Verantwortungsbereiche – die Messlatte ist jeweils klar.

Mit der zunehmenden Komplexität der digitalen Infrastruktur von Unternehmen und dem weiterhin bestehenden Fachkräftemangel steigt auch der Bedarf an überlappenden Kompetenzen. Wünschenswert ist es, dass IT-Fachkräfte ein Verständnis für die Cybersicherheit haben und Experten für diesen Bereich den IT-Betrieb und die Endpunktverwaltung kennen. Unternehmen sollten solche Fachkräfte mit Querschnittskompetenzen suchen und gezielt fördern. Mit dem geteilten Fachwissen als gemeinsamer Basis gestalten IT-Betrieb und -Security ihre Abstimmung und Zusammenarbeit reibungsloser und effizienter. Zudem können sie bei Bedarf vereinzelt Aufgaben des jeweils anderen Teams übernehmen.

Darüber hinaus hat es sich bewährt, Rollen schriftlich zu dokumentieren und regelmäßig in sogenannten "Tabletop-Exercises" zu überprüfen. Das britische National Cyber Security Centre empfiehlt solche Übungen ausdrücklich, damit jeder weiß, wer in welcher Situation was zu tun hat. Was nicht geprobt wird, funktioniert im Ernstfall selten reibungslos. Übung macht bekanntlich den Meister. Schnelles Handeln im Ernstfall setzt regelmäßige Abstimmung im Normalbetrieb voraus. Gemeinsame Lagebesprechungen, definierte Übergabepunkte und klare Eskalationspfade erhöhen die Chancen auf eine erfolgreiche Cyberabwehr erheblich. Der Informationsaustausch sollte strukturiert und kontinuierlich erfolgen – nicht reaktiv und ad hoc.

Neben dem Patch- und Vulnerability-Management gibt es noch weitere Szenarien, die deutlich machen, warum Silos in der Cyberabwehr gefährlich sind. Ein Beispiel: Ein Mitarbeiter installiert eine mobile Anwendung, die Produktivitätssteigerungen verspricht, und gewährt bei der Einrichtung Zugriff auf sein E-Mail-Konto. Auf den ersten Blick ist das ein routinemäßiger Ablauf für die Anwendungsintegration. Der Vorgang klingt harmlos. Doch der Schein kann trügen. Wenn die Anwendung bösartig ist oder zu weitreichende Berechtigungen hat, kann sie einen dauerhaften Zugriffsweg auf Unternehmensdaten schaffen. Im Fall von Silos hat der IT-Betrieb möglicherweise kaum Einblick darin, welche Apps von Drittanbietern autorisiert wurden, während die IT-Security isoliert ungewöhnliche Zugriffsmuster erkennen könnte. Die Folgen sind verzögerte Untersuchungen und eine unkoordinierte Reaktion.

Das Szenario zeigt noch einmal, wie wichtig es ist, das richtige Tool und einen einheitlichen Überblick zu haben. Durch den Einsatz von künstlicher Intelligenz ist eine kontinuierliche Überwachung der eigenen digitalen Infrastruktur möglich. Bedrohungen lösen dann in Echtzeit automatisch Benachrichtigungen aus. Diese Unterstützung ermöglicht es, schneller auf Probleme zu reagieren. KI kann die Reaktionszeiten dadurch deutlich verkürzen. Im Rennen mit Angreifern kann genau das den Unterschied ausmachen. Zugleich kann KI repetitive Aufgaben von IT-Betrieb und -Security übernehmen. Die gewonnene Zeit können beide Teams nutzen, um sich auf komplexere und strategisch wichtigere Aufgaben zu konzentrieren.

Idealerweise bieten geeignete Werkzeuge außerdem umfassende Funktionen für Analysen und das Reporting. Durch sie können die Teams jede Situation genau erfassen, fundierte Entscheidungen treffen, Fortschritte messen und aus vergangenen Vorfällen lernen. Gleichzeitig gilt es, die Integrationen zwischen Tools und sicherheitskritischen Systemen sorgfältig zu prüfen und zu kontrollieren. Denn eine schlecht konfigurierte Integration kann selbst zur Schwachstelle werden.

Eine starke Zusammenarbeit zwischen IT-Betrieb und IT-Security setzt voraus, dass sich die Teams gegenseitig als wichtige Partner betrachten. Transparente Workflows, klare Rollen und eine einheitliche Plattform für bestimmte Aufgaben sind Grundvoraussetzungen für eine erfolgreiche Zusammenarbeit. Wenn Unternehmen hier konsequent handeln, sind sie widerstandsfähiger gegenüber Cyberangriffen, reagieren schneller im Ernstfall und arbeiten effizienter im Alltag. Wer dagegen weiterhin in Silos denkt und handelt, hinterlässt eine Lücke, die Angreifer gezielt ausnutzen. Diese Lücke schließen nicht zwingend die Unternehmen mit den größten Budgets für die Cybersicherheit, sondern die, die ihre Prozesse optimieren: Gute Prozesse schlagen große Budgets.

(ln)

Andre Schindler ist General Manager EMEA bei NinjaOne.