Veröffentlicht am 08. July 2026
INTERVIEW
Peter Vahrenhorst im Interview über die persönliche Haftung von Geschäftsführungen unter NIS2, typische Fehleinschätzungen im Umgang mit der neuen Gesetzgebung und die Frage, warum eine gute Vorbereitung am Ende mehr zählt als jeder einzelne Angriff.
Peter Vahrenhorst gilt als einer der Pioniere im Kampf gegen Cyberkriminalität in Deutschland. 43 Jahre lang war er im Sicherheitsumfeld tätig: Ab 1998 ermittelte der Kriminalhauptkommissar a. D. bei der Polizei Nordrhein-Westfalen im Bereich Computer- und Cyberkriminalität und verantwortete ab 2011 den Awareness- und Präventionsbereich im Cybercrime-Kompetenzzentrum des LKA NRW. Für die Beratungsarbeit von Behörden und Unternehmen wurde er mit dem „Landespreis Innere Sicherheit“ ausgezeichnet. Seit seinem Ausstieg aus dem Polizeidienst im Jahr 2023 gibt er seine Erfahrung weiter: als selbstständiger Berater, als Dozent der Deutschen Akademie für Informationssicherheit (DAFI), als deutschlandweit gefragter Speaker für Unternehmen, Vorstände und Geschäftsführer oder auch als Mitglied des Industry Boards des europäischen Risikokapitalfonds Verne Capital.
Herr Vahrenhorst, Sie sind in zahlreichen Bereichen als erfahrener Experte tätig. Wie sieht diese Arbeit konkret aus?
Während es zum Beispiel im Rahmen meiner Dozenten-Tätigkeit bei der DAFI darum geht, künftige Informationssicherheitsbeauftragte für ihren Einsatz in Unternehmen zu qualifizieren, setze ich mich über verschiedene Kanäle dafür ein, mit meiner Expertise die Sicherheitslandschaft von morgen zu stärken. Besonders die aktuelle Bedrohungslage durch hybride Kriegsführung, der Wandel unserer Haltung gegenüber amerikanischen Tech-Konzernen oder die Vielzahl neuer regulatorischer Anforderungen bringen aktuell viel Bewegung und komplexe Herausforderungen mit sich. Dadurch bedingt bin ich als Experte beratend für Führungskräfte, verschiedenste Ausschüsse oder auch den Senat der deutschen Wirtschaft tätig. Natürlich fällt darunter genauso die Durchführung von Geschäftsführerschulungen im Bereich NIS2.
Was glauben Sie, warum aktuell auf Geschäftsführerebene so viel Bedarf an Beratung und Expertise in Bezug auf die NIS2-Richtlinie besteht?
Bedingt durch die NIS2-Richtlinie wird Verantwortung für IT-Sicherheit auf die Ebene der Geschäftsführung verlagert und aus einem Bereich herausgezogen, in dem sie in der Vergangenheit fast selbstverständlich verortet wurde: die IT-Abteilung. Der lange vorherrschende Gedanke „Sicherheit ist Aufgabe der IT - ich habe damit gar nichts zu tun“ hat durch die Einführung der NIS2 einfach eine ganz andere Wertigkeit bekommen. Denn wir sehen nun, dass nicht etwa die IT, sondern ein Geschäftsführer im Ernstfall in die persönliche Haftung geht - und das auch mit seinem Privatvermögen. Eben diese Grundlage zwingt die verantwortlichen Entscheider in Unternehmen und Einrichtungen, sich dem Thema verpflichtend zu stellen. Die Zielsetzung dabei ist, in der Geschäftsführung eine gewisse Ernsthaftigkeit gegenüber IT-Sicherheit zu etablieren und sicherzustellen, dass angesetzte Regelungen greifen bzw. Ressourcen dafür bereitgestellt werden. Die Botschaft hinter der NIS2-Richtlinie ist also klar: IT-Sicherheit ist Chefsache und kommt aus dieser Ebene auch nicht mehr heraus.
Woran merken Sie denn in der Praxis, ob eine Geschäftsführung das Thema wirklich ernst nimmt?
Das zeigt sich tatsächlich an vielen kleinen Schlüsselerlebnissen. Sicherheit darf zum Beispiel nicht nur als Statement begriffen werden, ganz frei nach dem Motto „wir nehmen das schon ernst“. Sicherheit muss viel eher in die Gesamtverantwortung eines Unternehmens eingebunden sein und authentisch gelebt werden. Genau an diesem Punkt trennt sich bereits sichtbar die Spreu vom Weizen. Man kann in der Regel auf den ersten Blick erkennen: Wie oft steht das Thema Cybersicherheit überhaupt auf der Agenda von Management-Meetings? Ist das Thema nach dem Meeting immer noch präsent oder auch direkt danach bereits vergessen. Mit einem Blick auf die aktuelle Sicherheitslage liegt klar auf der Hand: Das Thema Sicherheit sollte ein regelmäßiger Tagesordnungspunkt bei Geschäftsführungsmeetings sein. Allein schon, weil wir mittlerweile sehr viele flächendeckende IT-Abhängigkeiten im Unternehmen haben. Dementsprechend hat die Thematik eine enorme Wertigkeit und Komplexität, sodass die IT-Sicherheit auch immer mit am Tisch sitzen muss. Genau an solchen Verhaltensweisen merkt man schnell, ob das Thema wirklich in der Mitte der Führungsverantwortung angekommen ist. In der Praxis sehe ich dabei immer noch, wie viele Unternehmen und Geschäftsführer in diesem Punkt Nachholbedarf haben.
Was ist der größte Irrtum, dem Geschäftsführungen im Zusammenhang mit NIS2 unterliegen?
Es ist und bleibt die generelle Haltung: „IT? - Da bin ich raus! Ich habe keine Zeit und habe doch einen IT-Leiter, der sich darum kümmert.“ Aber dieser Punkt ist halt entscheidend: Die Aufgaben kann man zwar delegieren, die Haftung hingegen nicht. Und ein Geschäftsführer trägt die Verantwortung, dass alle Maßnahmen in der Praxis eingehalten werden, dass Budget freigegeben wird und Maßnahmen unter NIS2 konstant ihre Wirkung entfalten.
Zugegebenermaßen ist die gesetzliche Ausgestaltung dazu etwas unglücklich: Schaut man nämlich in das BSI-Gesetz - das Gesetz über das Bundesamt für Sicherheit in der Informationstechnik, in das die NIS2 als nationales Recht eingebunden wurde -, findet man in § 30 BSI-Gesetz die Pflichten und Aufgaben, die ein Unternehmen zu erfüllen hat. Wie genau aber ein Geschäftsführer oder Verantwortlicher diese Aufgaben konkret umsetzen soll, ist hier noch nicht aufgeführt. Man findet dazu erst ein paar Paragrafen später etwas, in § 38 BSI-Gesetz. Dort ist dann explizit aufgeführt, dass sich die Geschäftsführung regelmäßig schulen, weiterbilden und qualifizieren lassen muss.
Persönlich fände ich es sinnvoller, die Reihenfolge umzudrehen, also einleitend die Aussage aufzuführen „Du musst dich kümmern“, fortführend die Überleitung „du musst geschult und qualifiziert werden“ abzubilden und erst danach konkrete Aufgaben aufzuführen. So wie es jetzt geregelt ist, fangen nämlich viele mit ersten Umsetzungen an, ohne überhaupt qualifiziert und geschult zu sein. Deswegen ist ein wesentlicher Punkt der Umsetzungsrichtlinie, dass sich Verantwortliche regelmäßig zu diesem Thema informieren und sich der Dynamik der Situation bewusst sein müssen. Nur so können die richtigen Schritte eingeleitet und umgesetzt werden. Warum das alles so wichtig ist, zeigen in der Praxis viele Fälle, an denen deutlich wird: Viele Krisen sind mittlerweile IT-gestützt, IT-abhängig und werden überhaupt erst durch die Nicht-Funktionalität von IT ausgelöst.
Sie waren lange für Cyberkriminalität beim LKA zuständig. Wenn Sie an reale Cybervorfälle denken: Was hat Unternehmen im Ernstfall am meisten geschadet und gekostet? Waren es die Angriffe an sich, die fehlende Vorbereitung oder etwas ganz anderes?
Realistisch betrachtet werden wir hundertprozentigen Schutz nie erreichen können. Das zeigt gerade auch die Entwicklung im Bereich künstlicher Intelligenz: KI kann Schwachstellen mittlerweile viel schneller entdecken und ausnutzen als jeder Mensch. Die Erfahrung zeigt dennoch: Eine gute Vorbereitung seitens der Unternehmen garantiert zwar keine hundertprozentige Sicherheit, aber sie macht uns handlungsfähig. Genau das hilft Unternehmen am Ende viel mehr, als man denkt. Ein Konzept zu haben bedeutet nämlich, im Ernstfall nicht ins Chaos zu verfallen und trotz eines Angriffs oder eines IT-Schadens arbeitsfähig zu bleiben. Es ist immer die Handlungsunfähigkeit, die Unternehmen oftmals mehr geschadet hat als der eigentliche Cyberangriff.
Wenn ein Unternehmen zum Beispiel im Erpressungsfall eine Million Euro Lösegeld zahlt, wird am Ende noch ein Vielfaches dieser Summe fällig, um den Schaden zu reparieren, widerstandsfähiger zu werden und aus der Krise herauszukommen. Diese Folgeschäden und Ausfallzeiten sind schmerzhafter als die Mittel, die eine gute Vorbereitung erfordert hätte. Insofern ist Prävention - oder, wie ich es lieber nenne, Resilienz - tatsächlich entscheidend. Es geht darum, trotz einer Krise in der Aktionsphase zu bleiben und nicht in die Reaktivität zu geraten. Wer aktionsfähig ist, kann selbst entscheiden, was getan wird. Wer reaktiv wird, hat leider keine Wahl mehr.
Welche drei Entscheidungen muss eine Geschäftsführung vor einem Cybervorfall getroffen haben, um auf den Ernstfall wirklich vorbereitet zu sein?
Erstens: sich der eigenen Verantwortung bewusst sein und die Haftung ernst nehmen - das ist die wichtigste Entscheidung.
Zweitens: sich der Risiken bewusst zu sein. Das heißt ein Risikomanagement etablieren und die eigenen Schwachstellen kennen. Kein Unternehmen ist gleich, jedes bewegt sich in einem eigenen Rahmen mit eigenen Parametern. Das heißt: für das eigene Unternehmen einen Plan zum Umgang mit Haftung und Risiken entwickeln. Die Risiken, die am meisten wehtun, müssen Geschäftsführer besonders im Blick haben und entsprechend reagieren, während sie bei anderen Themen etwas nachlässiger sein können.
Drittens: basierend auf diesem Verantwortungsbewusstsein und der Risikoidentifikation, Aufgaben an die richtigen Personen delegieren. Festlegen, wer in welcher Krisensituation welche Verantwortung trägt, und sich gezielt auf den Notfall vorbereiten. Das sind die drei Schlüsselelemente, die am Ende dabei helfen, einen Ausfall mit einem Minimalschaden zu überstehen und schnell wieder arbeits- und reaktionsfähig zu werden.
Eine Geschäftsführung kann sich nicht mit allen Aspekten auskennen und für alles verantwortlich sein. Man ist auch auf gute Mitarbeiter und externe Beratung angewiesen. Wie erkennt eine Geschäftsführung, ob sie an bestimmten Punkten nur beruhigt wird oder tatsächlich eine fundierte Risikoeinschätzung erhält?
Das ist tatsächlich eine schwierige Frage und eine echte Herausforderung. Ein Geschäftsführer muss sich nämlich selbst in alle möglichen Themen einarbeiten: in Compliance, die eigene Branche, die Unternehmensführung. Das ist eine sehr anspruchsvolle Aufgabe. Genau deshalb geht es darum, sich die Expertise von Menschen zu holen, die im jeweiligen Kernbereich wirklich helfen können.
Hier gerät man schnell an seine Grenzen: Welcher Berater ist der richtige? Ist es vielleicht der, der am teuersten ist? Oder vielleicht der Mitarbeiter, der am längsten da ist? Wir haben bereits darüber gesprochen, dass sich eine Geschäftsleitung ihrer Verantwortung und Haftungssituation bewusst sein muss. Genau deshalb muss sie sich aber auch bestimmte Grundkompetenzen in IT-Sicherheit aneignen, selbst wenn Aufwand dahintersteckt. Dennoch: Als Geschäftsführung muss man nicht gleich selbst programmieren, es geht viel eher darum, Zusammenhänge und Prozesse zu verstehen, Risiken richtig einzuschätzen und die richtigen Entscheidungen an richtiger Stelle einbringen zu können.
Dafür muss ich mich auch mit dem Thema Cyberkriminalität beschäftigen und verstehen, wie solche Angriffe ablaufen. Denn wenn ich auf einem Auge blind bin, ist meine Risikoeinschätzung von vornherein falsch. Denken Sie an das alte Sprichwort: „Unter den Blinden ist der Einäugige König“. Und dazu verpflichtet sie auch das Schulungsgebot in § 38 BSI-Gesetz, um auf der Basis des gesammelten Wissens selbst die richtigen Entscheidungen zu treffen.
„Unter den Blinden ist der Einäugige König.“
Was wäre ein pragmatischer NIS2-Einstieg für ein Unternehmen mit begrenztem Budget und kleiner IT-Abteilung?
Zunächst sollte man prüfen: Bin ich überhaupt von der NIS2 betroffen? Man könnte zwar sagen: „Wir fallen nicht unter NIS2, also können wir uns entspannt zurücklehnen“, allerdings halte ich das für den falschen Ansatz. Sobald ein Unternehmen nämlich Zulieferer oder Dienstleister für ein NIS2-pflichtiges Unternehmen ist, fällt es damit indirekt eben doch unter die Regelung.
Nicht jedes Unternehmen muss allerdings gleich mit einer aufwändigen ISO-27001-Zertifizierung um die Ecke kommen. Es gibt Reglements wie den BSI-Grundschutz, oder die VdS 10000, mit der man die ersten Schritte machen kann. Wie in jedem anderen Lebensbereich gilt auch hier: Jeder erste Schritt, sei er noch so klein, ist bereits ein Schritt in Richtung einer funktionierenden IT-Sicherheit. Auch der größte Berg wird nicht an einem Tag bezwungen; alles beginnt aber damit, den Weg überhaupt einzuschlagen.
Hilfreich ist dabei in der Regel schon eine erste Bestandsaufnahme: Wo stehe ich eigentlich, welche IT-Systeme laufen bei mir? Welche etablierten Standards kann ich nutzen? Nicht unbedingt die teuerste Lösung, sondern das, was pragmatisch umsetzbar ist. Am Ende geht es außerdem darum, die IT-Abteilung und die Mitarbeitenden in den verschiedensten Bereichen mitzunehmen. Diese müssen ebenfalls eingebunden werden, denn sie sind wesentlicher Bestandteil eines IT-Sicherheitskonzepts für den gesamten Unternehmenskontext.
Welcher Satz zu NIS2, der vielleicht immer wieder auf LinkedIn oder in der allgemeinen Debatte kursiert, ist aus Ihrer Sicht gefährlich falsch?
Ganz klar dieses Märchen: „Wir sind doch nur ein kleiner Mittelständler, wir haben nur ein paar Leute, wir sind völlig uninteressant. Was gibt es schon bei uns zu holen? Warum sollte man gerade uns angreifen?“ Genau das ist der große Denkfehler. Wir glauben immer, ein Hacker oder Angreifer geht nach logischen Gesichtspunkten vor. Das tut er aber gar nicht, und wenn ein System manipuliert, angegriffen oder kompromittiert wurde, dann ist der Schaden bereits da.
„Cyberkriminelle denken in digitaler Infrastruktur, nicht in Branchenbüchern.“
Deshalb kann sich ein Unternehmen den Luxus dieser Aussage „wir sind viel zu klein und uninteressant“ gar nicht leisten. Sobald ein Unternehmen nämlich IT-Systeme hat – und das ist in der Regel so - ist es Teil einer Angriffsfläche, die niemand mehr vollständig überblicken kann. Das fängt schon beim smarten Kühlschrank im Gemeinschaftsraum an oder beim smarten Fernseher im Besprechungsraum, der ebenfalls digitale Komponenten hat.
Was wäre Ihre wichtigste Botschaft an Geschäftsführer, die NIS2 jetzt angehen müssen?
Eine ganz wichtige Botschaft: NIS2 ist kein bürokratisches Monster, sondern ein wesentlicher Bestandteil und Schutzfaktor für die Existenz eines Unternehmens. Auf den ersten Blick wirkt die ganze Richtlinie vielleicht wie ein bürokratisches Monster, aber sobald man sich damit beschäftigt, wird einem sehr schnell die Ernsthaftigkeit und die Schutzfunktion dahinter bewusst. Im besten Fall kommt dann auch die Einsicht, dass die Richtlinie etwas ist, das hilft, den Fortbestand des Unternehmens und damit viele Arbeitsplätze, Vermögen und unser Wohlergehen zu schützen. Das ist der entscheidende Punkt, zu dem uns NIS2 zunächst zwingt.
Vielen Dank für dieses Gespräch, Herr Vahrenhorst.
Das Gespräch führte Angelina Duchale. Es wurde für die Veröffentlichung redaktionell bearbeitet und gekürzt.
Expertise teilen. Menschen verbinden. Zukunft gestalten.
Werden Sie Teil des DAFI Knowledge Hubs und melden sich zu unserem Newsletter an:
Insights von Experten zur IT- und Informationssicherheit
Wissen, verständlich aufbereitet für die Praxis
Einladungen zu exklusiven Events und Netzwerken
NIS2 in Kürze
Die EU-Richtlinie NIS2 (Richtlinie (EU) 2022/2555) verschärft die Cybersicherheitspflichten in 18 Sektoren. In Deutschland gilt sie seit dem 6. Dezember 2025 über das NIS2-Umsetzungsgesetz (NIS2UmsuCG) - ohne Übergangsfrist.
Betroffen sind rund 29.500 Unternehmen (zuvor ca. 4.500), in den regulierten Sektoren in der Regel ab 50 Beschäftigten oder 10 Mio. Euro Jahresumsatz.
Zentrale Pflichten: Registrierung beim BSI, Meldung erheblicher Sicherheitsvorfälle (Frühwarnung nach 24 Stunden, Bericht nach 72 Stunden, Abschlussbericht nach einem Monat), umfassendes Risikomanagement sowie die Schulungspflicht der Geschäftsleitung nach § 38 BSI-Gesetz.
Bei Verstößen drohen Bußgelder von bis zu 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes, genau wie die persönliche Haftung der Geschäftsleitung.
Die Registrierungsfrist beim BSI lief am 6. März 2026 ab; bis dahin hatten sich erst rund 11.500 Unternehmen registriert. Eine Nachregistrierung ist weiterhin möglich und Pflicht.
