Kontrollwirksamkeit klingt nach etwas, das man „einfach messen“ müsste: Kontrolle definiert, Kontrolle durchgeführt, fertig. Viele Dashboards funktionieren genau nach dieser Logik. Sie zeigen Quoten: wie viele Kontrollen wurden ausgeführt, wie viele waren „ok“, wie viele Maßnahmen sind offen. Und trotzdem bleibt bei Führung und Prüfern oft ein ungutes Gefühl: Das sieht nach Aktivität aus, aber es sagt nicht zuverlässig, ob das Unternehmen tatsächlich stabiler und sicherer geworden ist. Genau hier biegen viele GRC-Dashboards falsch ab. Sie messen vor allem, dass etwas passiert – nicht, dass es wirkt.

Das ist kein akademischer Einwand. Es ist ein praktisches Problem, weil falsche Messlogik zu falscher Steuerung führt. Wenn Sie „Erfüllung“ reporten, optimieren Teams auf Erfüllung. Wenn Sie „Wirksamkeit“ reporten, optimieren Teams auf Wirksamkeit. Das klingt trivial, ist aber einer der größten Hebel in GRC. Denn Kennzahlen verändern Verhalten. Und wenn Kennzahlen das falsche Verhalten fördern, wird GRC mit jeder Ausbaustufe schwerer – ohne dass die Risikolage spürbar sinkt.

GRC-KPIs sind in vielen Unternehmen ein Dauerbrenner – und trotzdem bleibt ein unangenehmes Gefühl: Wir messen viel, aber es verändert zu wenig. Es gibt Dashboards, Ampeln, Kontrollquoten, Reifegradwerte, Audit-Feststellungen, Maßnahmenlisten. Und dennoch fragen Führungskräfte irgendwann (zu Recht): „Was soll ich damit konkret entscheiden?“ Spätestens an diesem Punkt wird sichtbar, ob KPI-Reporting eine reine „Pflichtlage“ ist oder ein echtes Steuerungsinstrument.

Der Kern des Problems liegt selten in fehlenden Daten. Er liegt in der Logik dahinter. Viele GRC-KPIs sind so gebaut, dass sie zeigen, ob etwas existiert oder ob etwas erledigt wurde. Das ist nicht wertlos – aber es ist nur die erste Stufe. Führung braucht nicht primär ein Bild davon, dass Kontrollen „irgendwie laufen“. Führung braucht ein Bild davon, wo das Unternehmen gerade verwundbar ist, was die wahrscheinlichsten Ausfall- oder Schadensszenarien sind und welche Entscheidungen die Situation spürbar verbessern. Genau an dieser Stelle kippt das Reporting häufig: Es ist entweder zu technisch, zu detailliert oder zu sehr auf „Kontroll-Abarbeitung“ fokussiert. Dann wird es zwar geliefert, aber nicht genutzt.

Die meisten Unternehmen reden über Resilienz, als wäre sie ein Gefühl: „Wir sind besser vorbereitet“, „Unsere Verteidigung ist gestärkt“, „Wir haben vieles verbessert“. Das klingt beruhigend – und ist doch häufig nur ein Echo aus Projektsitzungen. Resilienz ist kein Stimmungsbild, sondern ein Ergebnis. Und Ergebnisse lassen sich messen. Genau darin liegt die eigentliche Herausforderung: Cyber-Resilienz messbar zu machen, ohne sich in Zahlen zu verlieren, die zwar schön aussehen, aber nichts verändern. Wer mit Kennzahlen nur berichtet, statt zu steuern, betreibt Statistik – nicht Führung. Dieser Beitrag zeigt, wie messbare Resilienz wirklich funktioniert: mit wenigen, harten Kennzahlen, die Verhalten lenken; mit einer Zeitlogik, die Kosten sichtbar macht; mit Nachweisen aus dem Betrieb statt aus PowerPoint; mit Lieferkettenmetriken, die nicht beschwichtigen, sondern verlässlich machen; mit Übungen, die Zahlen erzeugen, auf die man bauen kann; und mit Governance, die Kennzahlen in Konsequenzen übersetzt.

Warum Resilienz Zahlen braucht – und zwar die richtigen

Cyber-Resilienz ist die Fähigkeit, trotz Vorfällen handlungsfähig zu bleiben, schnell zu erkennen, zügig zu entscheiden, gezielt zu isolieren und verlässlich wiederherzustellen. Dieses „trotz, schnell, zügig, gezielt, verlässlich“ ist keine Poesie, es ist eine Zeitkette. Solange Unternehmen Resilienz als Zustand beschreiben – „reif“, „fortgeschritten“, „gut unterwegs“ – bleibt sie angreifbar, weil niemand weiß, ob das Urteil hält, wenn Stress einsetzt. Zahlen zwingen zur Klarheit: Wie lange dauert Erkennung in kritischen Prozessen? Wieviel Zeit vergeht, bis eine Entscheidung getroffen ist? Wie fix gelingt die Isolation? Wie zuverlässig der Wiederanlauf? Wie verändert sich der erwartete Schaden, wenn eine dieser Zeiten um 30 Minuten länger wird? Antworten darauf beenden Bauchgefühl. Sie schaffen eine Führungssprache, die Technik, Recht, Betrieb, Finanzen und Kommunikation zusammenbringt: Zeit, Wirkung, Kosten.