Die Schutzbedarfsfeststellung ist eine der zentralen Grundlagen der Informationssicherheit – und trotzdem gehört sie zu den am meisten unterschätzten Disziplinen. Viele Unternehmen starten in Projekte, schreiben Sicherheitskonzepte oder definieren Maßnahmen, ohne vorher genau zu wissen, welchen Schutzbedarf ihre Informationen und Systeme eigentlich haben. Das Ergebnis sind oft überdimensionierte Lösungen, die Zeit und Geld verschwenden, oder zu schwache Schutzmechanismen, die kritische Werte unzureichend absichern. Eine systematische und pragmatische Einstufung verhindert genau das. Sie sorgt dafür, dass Sicherheitsmaßnahmen zielgerichtet und angemessen sind – nicht zu wenig, aber auch nicht zu viel. Und das Beste: Mit einer klaren Methode ist die Schutzbedarfsfeststellung weder kompliziert noch bürokratisch, sondern ein handfestes Planungswerkzeug.

Die Schutzziele im Kern – plus zwei, die oft vergessen werden

Der Kern der Schutzbedarfsermittlung besteht darin, für jedes Asset – also jede Information, jedes IT-System, jede Anwendung, jede Schnittstelle und jeden Prozess – festzulegen, wie hoch die Anforderungen an Vertraulichkeit (C), Integrität (I) und Verfügbarkeit (A) sind.

Viele Unternehmen betrachten regulatorische Vorgaben zunächst als zusätzliche Belastung. Neue Gesetze bringen neue Pflichten, mehr Dokumentation, strengere Kontrollen – und das alles kostet Zeit, Geld und Nerven. Auch beim Digital Operational Resilience Act (DORA) war die erste Reaktion in manchen Vorständen und IT-Abteilungen verhalten. „Schon wieder eine EU-Verordnung, die uns Arbeit macht“, lautete der Tenor. Doch wer DORA nur als Pflichtübung versteht, übersieht das Potenzial, das in dieser Verordnung steckt. Richtig umgesetzt, kann DORA nicht nur helfen, Risiken zu reduzieren und Compliance sicherzustellen, sondern auch zu einem echten Wettbewerbsvorteil werden. Resilienz ist in einer digitalisierten Wirtschaft nicht nur eine Frage der Sicherheit – sie ist ein entscheidender Faktor für Vertrauen, Reputation und langfristigen Erfolg.

Von Mindeststandards zu Marktvorteilen: Die fünf Säulen als Wachstumshebel

Das beginnt mit einem Blick auf die Grundidee hinter DORA. Die Verordnung will nicht einfach nur Mindeststandards für die IT-Sicherheit festlegen, sondern die gesamte digitale Widerstandsfähigkeit von Finanzunternehmen und ihren Dienstleistern stärken. Das umfasst IKT-Risikomanagement, Incident Reporting, Resilienztests, Management von Drittparteien und den Informationsaustausch im Sektor. Wer diese fünf Säulen konsequent umsetzt, ist nicht nur gesetzeskonform, sondern auch deutlich robuster gegenüber Cyberangriffen, Systemausfällen oder Lieferkettenstörungen. Diese Robustheit ist kein Selbstzweck – sie sorgt dafür, dass das Unternehmen in Krisensituationen handlungsfähig bleibt, Kundenbeziehungen stabil hält und Schäden minimiert. Genau hier entstehen handfeste Vorteile: niedrigere Ausfallzeiten, schnellere Wiederanläufe, bessere Konditionen in Ausschreibungen, höhere Abschlussquoten im Vertrieb und ein spürbar geringeres Reputationsrisiko.

Viele Unternehmen sammeln, speichern und verarbeiten heute mehr Daten denn je – Kundendaten, Produktinformationen, Vertragsunterlagen, Forschungsdokumente, Quellcodes, Finanzzahlen, interne Kommunikationsströme. Doch nur ein Teil dieser Daten ist wirklich geschäftskritisch. Die Herausforderung liegt darin, diesen Teil zu identifizieren und gezielt zu schützen, ohne dabei in einer Flut von Informationsbeständen unterzugehen. Hier kommt ein strukturiertes Asset Management ins Spiel, das nicht nur auflistet, welche IT-Systeme und Daten vorhanden sind, sondern gezielt den Wert, die Sensibilität und die Schutzbedürftigkeit dieser Assets bewertet. Wer weiß, welche Daten für den Unternehmenserfolg unverzichtbar sind, kann Sicherheitsmaßnahmen effizient einsetzen, Risiken realistisch einschätzen und im Ernstfall schnell reagieren.

Warum „Asset Management mit Mehrwert“?

Ein Asset-Inventar, das nur Seriennummern und Standorte führt, ist Verwaltung. Mehrwert entsteht, wenn das Inventar eine Entscheidungsplattform wird: Es verknüpft fachlichen Geschäftswert, Schutzbedarf, Abhängigkeiten, rechtliche Pflichten, Wiederanlaufziele und Verantwortlichkeiten – und liefert so die Grundlage für Priorisierung, Budgetsteuerung und Krisenfestigkeit. Gerade unter NIS2, ISO 27001, BSI IT-Grundschutz oder DORA ist dieses Informationsfundament kein „nice to have“, sondern Prüfungs- und Steuerungsgrundlage.

Die Schlagworte sind bekannt: niedrige Latenz, hohe Zuverlässigkeit, Millionen vernetzter Geräte. Doch erst dort, wo 5G den Maschinenraum eines Unternehmens erreicht – in Fertigung, Lager, Yard, Flotte, Feldservice –, zeigt sich, was hinter den Marketingfolien steckt: ein Netz, das sich wie ein Werkzeug verhält. Planbar. Zuschneidbar. Belastbar. Und genau dadurch wirtschaftlich. Wer 5G als „schnelleres LTE“ einordnet, denkt in Balkendiagrammen. Wer 5G als Steuerungsebene der eigenen Prozesse begreift, denkt in Durchlaufzeit, Stillstand, Ausschuss, OEE, Backhaul-Kosten, Auditfähigkeit. Dieser Beitrag führt praxisnah durch Industrie, IoT und Logistik: Wo 5G heute trägt, wie Architekturen aussehen, wie man sauber migriert – und welche Entscheidungen den ROI bestimmen.

Warum 5G jetzt reif ist – und was das konkret bedeutet

Die letzten Jahre brachten die Bausteine zusammen, die Unternehmen brauchen: Standalone-5G (SA) mit 5G-Core statt LTE-Anhängsel, Network Slicing mit QoS-Klassen, Multi-Access Edge Computing (MEC) für Nähe zur Maschine, reife Industrie-Endgeräte (Router, Modems, CPEs, Ruggedized Handhelds), erste Welle RedCap-Module für schlanke IoT-Profile, Campuslizenzen und Providerangebote mit dedizierten Business-Slices. Dazu kommt: Preis und Verfügbarkeit haben die Schwelle gesenkt – vom Einzelslice im öffentlichen Netz bis hin zum voll privaten Campus mit lokaler Funk- und Core-Infrastruktur.

In der Welt der Finanzaufsicht kennen viele die großen Namen: MaRisk, DORA, EBA-Guidelines. Doch eine Vorgabe steht oft im Schatten und wird dennoch für bestimmte Unternehmen immer wichtiger: MaGO – die Mindestanforderungen an die Geschäftsorganisation. Gerade Versicherungsunternehmen und Pensionskassen neigen dazu, MaGO als „weniger kritisch“ einzustufen, weil sie im Vergleich zu MaRisk oder DORA weniger öffentlich diskutiert wird. Das ist ein gefährlicher Trugschluss: MaGO greift tief in die Organisations-, Steuerungs- und Entscheidungsprozesse ein. Wer hier unvorbereitet ist, steht bei einer BaFin-Prüfung schnell im Erklärungsnotstand – selbst dann, wenn die operative Praxis „eigentlich funktioniert“.

Dieser Beitrag zeigt, warum MaGO oft unterschätzt wird, welche Pflichten und Nachweise sie konkret mit sich bringt, wie sie mit anderen Regelwerken zusammenspielt (MaRisk VA, VAIT, EIOPA-Leitlinien, DORA) und wie Sie MaGO effizient und prüfungssicher in Ihre Governance integrieren.