Security & BCM verkaufen: So überzeugst du das ganze Unternehmen
Endlich überzeugend Security & BCM verkaufen - Julian Faller
Security ist das Schwarze Loch im Budget: Das Geld fließt hinein, und sichtbar kommt nichts heraus. Genau das macht es so schwer, Sicherheit und Business Continuity Management (BCM) intern durchzusetzen. Wer nur Firewalls, Notstromaggregate und Richtlinien aufzählt, erntet höchstens ein höfliches Nicken.
Deshalb gilt: Du musst Security verkaufen. Nicht mit Angst, sondern mit Nutzen, Beispielen und einem klaren Plan. In diesem Artikel erfährst du, wie du Bedarfe herausarbeitest, ein Programm aufbaust, das wirklich trägt, und warum alle im Unternehmen mitgenommen werden müssen, nicht nur die Admins.
Security überzeugend verkaufen
Dein Selbstverständnis: Du hilfst dem Business
Deine Aufgabe ist nicht, das Business sicher zu machen. Deine Rolle ist, das Business dabei zu unterstützen, sich selbst abzusichern. Das ist der Kern guter Sicherheitsarbeit. Sicherheit ist kein Selbstzweck, sondern dient den Unternehmenszielen.
Bedarfe herausarbeiten statt Lösungen aufdrängen
Bevor du etwas anbietest, frag nach den Bedürfnissen deines Gegenübers. Was beschäftigt die Abteilung wirklich? Wo drückt der Schuh? Nutze Beispiele, wie andere Unternehmen mit ähnlichen Situationen umgegangen sind. So pflanzt du Ideen in die Köpfe, statt sie vorzuschreiben. Am Ende soll dein Gegenüber merken: Security und BCM sind für mich wirklich wichtig.
Nutzen zeigen und mit Zahlen belegen
Stell die Frage so, wie du eine Reiseentscheidung stellen würdest: Fährst du lieber mit dem Fahrrad oder nimmst du den Zug? Beides bringt dich ans Ziel, aber mit unterschiedlichem Aufwand, Tempo und Kosten. Um solche Vergleiche zu führen, brauchst du Metriken. Ohne Kennzahlen bleibt Security Bauchgefühl, mit ihnen wird sie entscheidbar.
Für alle relevant machen
Die größte Herausforderung: Security muss für alle relevant sein, nicht nur für die Admins. Dafür braucht es Kreativität. Love is creative - such neue Wege, Partner und Kollegen abzuholen. Und berücksichtige verschiedene Lernstile:
- Hören (z. B. Präsentationen oder Vorträge)
- Slides und visuelle Formate
- Print-Material zum Nachlesen
Wichtig ist außerdem, dass dein Ansatz replizierbar ist. Was nur einmal funktioniert, skaliert nicht.
Das Programm dahinter: Struktur statt Einzelprojekte
Policy ist das Fundament, das Programm der Weg
Die Security- bzw. BCM-Policy ist die Basis. Eine Firewall oder ein Notstromaggregat ist ein Projekt. Ein Programm dagegen ist eine Reihe von Projekten, die zusammen eine Richtung ergeben. Es gibt dir Struktur und eine Grundlage, wie du Sicherheit im Unternehmen ausrollst.
| Aspekt | Projekt | Programm |
|---|---|---|
| Beispiel | Firewall, Notstromaggregat | Gesamtes Security-/BCM-Programm |
| Umfang | einzelne Maßnahme | Reihe zusammenhängender Projekte |
| Zweck | konkretes Problem lösen | Struktur und Richtung vorgeben |
Wissen, wo du stehst
Julian Faller im wichtigsten Gespräch im Beriech Security & BCM: die Ausgangslage und Richtung
Es zählt vor allem eine Frage: Wo stehst du wirklich? Du musst wissen, wo du bist und wo du hinwillst. Dabei gilt: Es ist egal, wo du startest, du startest immer dort, wo du bist.
Stell dir vor, du willst von Kopenhagen nach Tokio. Wie kommst du hin? Den kompletten Weg kennst du nicht, aber das Ziel steht fest. Also gehst du Schritt für Schritt: erst mit der Fähre nach Y, dann mit dem Bus nach Z, danach folgt der nächste Abschnitt. Genauso funktioniert ein gutes Programm.
Das Programm muss zum Unternehmen passen
Ein Security-Programm muss die echten Probleme des Unternehmens lösen. Standards wie ISO sind gut, aber nur eine Baseline. Dein Programm sollte flexibel und individuell sein, ohne das akzeptable Mindestniveau zu unterschreiten. Ein Wohnhaus braucht andere Maßnahmen als ein großes Einkaufszentrum, aber die Kernpunkte dürfen nie fehlen.
Alle Bedrohungen im Blick, die richtigen Leute im Team
Ein gutes Programm betrachtet sämtliche Bedrohungen, nicht nur die IT. Dafür brauchst du die richtigen Menschen. Und weil Geld und Zeit immer knapp sind, plane das Programm wie ein Fußballspiel: mit einem klaren Ziel, auf das alles zuläuft.
Fazit
Security und BCM verkaufst du nicht mit Technik, sondern mit Nutzen, Beispielen und Metriken. Starte dort, wo du stehst, definiere dein Ziel und gehe Schritt für Schritt. Mach es für alle relevant, nicht nur für die IT.
Probier es diese Woche aus: Führe ein Gespräch mit einer Abteilung, stell Fragen zu ihren Bedürfnissen und bring ein konkretes Beispiel mit.
Was ist der Unterschied zwischen einem Projekt und einem Programm?
Ein Projekt löst eine konkrete Aufgabe, etwa die Einführung einer Firewall. Ein Programm besteht aus mehreren Projekten und gibt dem Unternehmen Struktur und Richtung für die Sicherheit.
Reicht eine ISO-Zertifizierung aus?
Nein. ISO-Standards sind eine gute Baseline, aber dein Programm muss zusätzlich zu den individuellen Problemen und Risiken des Unternehmens passen.
Wie erreiche ich Mitarbeitende außerhalb der IT?
Nutze verschiedene Lernformate wie Audio, Slides und Print und gestalte Inhalte so, dass sie für alle Rollen relevant und wiederverwendbar sind.
Womit fange ich an?
Mit einer ehrlichen Standortbestimmung: Wo stehst du heute, und wo willst du hin? Von dort planst du die nächsten Schritte.