Cyberrisiken in Business Impact übersetzen – und in Euro messen

In einem Interview mit Carsten J.Pinnow, Hrsg. von DATENSICHERHEIT.DE (DS), machte Sumedh Thakar, Präsident und CEO Qualys, am 20. Oktober 2026 deutlich, dass im Zeitalter Künstlicher Intelligenz (KI) Zögerlichkeit keine akzeptable Option für Führungskräfte mehr sein kann: „Wer nur folgt, kommt nur dorthin, wo die anderen schon sind“, so Thakar.

Es wurde im weiteren Verlauf über Zero-Day-Remediation gesprochen sowie die Herausforderung, dass KI „auf beiden Seiten der Front“ zum Einsatz kommt und erörtert, warum Vorstände ihre Cyberrisiken endlich konkret in Euro statt über das Vorhandensein von Schwachstellen bewerten sollten.

Vor gut zwei Jahrzehnten scannten Unternehmen ihre Netze alle 90 Tage und ließen der IT-Abteilung ebenso viel Zeit zum Patchen. Heute schrumpfe das Zeitfenster zwischen der Veröffentlichung einer Schwachstelle und ihrer Ausnutzung auf nur noch Stunden: KI-Modelle wie „Mythos“ könnten Lücken schneller finden, als IT-Sicherheitsteams sie abarbeiten könnten.

Thakar hat diesen Wandel bei Qualys demnach von innen erlebt: 2003 startete er als „Engineer“, heute führt er das Unternehmen als CEO. Unter seiner Verantwortung hat sich Qualys vom Schwachstellen-Scanner zur Plattform für Risikomanagement und automatisierte Behebung entwickelt.

Die beiden tauschten sich über Fehlentscheidungen und „kluge Wetten“ aus, diskutierten das Wettrennen zwischen Angreifern und Verteidigern und auch darüber, was Geschäftsführungen jetzt tun sollten.

Der Werdegang vom „Engineer“ zum CEO

DS: Sie sind seit 2003 bei Qualys und haben den Weg vom ,Engineer’ bis an die Unternehmensspitze gemacht. Was würden Sie heute anders machen?

Thakar: Auf einer grundsätzlichen Ebene würde ich nichts ändern. Alles, was passiert ist, hat mich dorthin gebracht, wo ich heute bin – an die Spitze eines Unternehmens, das wächst und sich gut entwickelt. Niemand weiß, wohin ein anderer Weg geführt hätte.
Ein Beispiel: Ein Jahr nach meinem Einstieg bei Qualys hatte ich ein Jobangebot von Yahoo in der Tasche. Ich habe es abgelehnt, und hier sind wir. Hätte ich angenommen, würde ich mich heute vielleicht fragen, ob ich CEO von Qualys geworden wäre!
Ich bin sehr zufrieden damit, wo ich stehe. Was ich aber sehr wohl tue: Ich schaue mir meine Entscheidungen an, welche Wirkung sie hatten und was ich beim nächsten Mal in einer ähnlichen Situation anders machen würde. Darauf liegt mein Fokus, auf dem Lernen.

Die Wette auf Remediation

DS: Die Cybersecurity-Landschaft hat sich radikal verändert. Welche Entscheidung der vergangenen Jahre bereuen Sie am meisten – und welche hat sich im Rückblick als klüger erwiesen, als sie damals schien?

Thakar: Von ,Reue’ würde ich nicht sprechen, eher von ,Lernchancen’. Als ich bei Qualys anfing, scannten Unternehmen alle 90 Tage und gaben der ,IT’ 90 Tage Zeit für die Behebung. Heute sorgen wir uns, wenn seit einer Veröffentlichung ein oder zwei Stunden vergangen sind.
Eine Lektion aus dieser Zeit: Zwischenzeitlich sind wir dem hinterhergelaufen, was im Markt gerade angesagt war. Wir haben zum Beispiel ernsthaft überlegt, eine Firewall zu bauen, und auch damit angefangen. Dann haben wir gemerkt, dass das nicht unsere ,DNA’ ist. Also sind wir zurückgekehrt zu dem, was unsere Kunden tatsächlich brauchen.

Als ich ,Chief Product Officer’ wurde, haben wir uns neu gefragt, was die eigentliche Herausforderung im Schwachstellen-Management ist. Die Entscheidung, auf die ich bis heute sehr stolz bin: Wir haben das Unternehmen auf die Behebung ausgerichtet. Damals hat sich kein anderer Anbieter in unserem Segment, schon gar kein Unternehmen im Bereich Schwachstellen-Scanner um Remediation gekümmert.
Viele haben uns gesagt: Remediation kauft niemand bei Qualys, das ist ein anderer Einkäufer, eine andere Abteilung. Ich war überzeugt, dass Kunden einen Weg brauchen, Probleme tatsächlich zu beheben, weil die Menge an Funden schlicht zu groß wird. Heute, wo alle fragen, wie sie mit dem Tempo der Angreifer mithalten sollen, macht diese Entscheidung den Unterschied. Wir haben es getan, bevor der Markt es brauchte, und gegen den Rat anderer.

DS: Meine besten Entscheidungen waren auch die, von denen andere abgeraten haben…

Thakar: Genau! Wer nur anderen folgt, kommt nur dorthin, wo diese schon sind. Wer aber führen will, muss mehr oder etwas Anderes tun! Wenn ich nur die Konkurrenz kopiere, erreiche ich bestenfalls ihr Niveau. Entscheidend ist, dabei immer das Ergebnis für den Kunden im Blick zu behalten. Wer Dingen aber hinterherläuft, die Kunden von uns gar nicht erwarten, liegt falsch.

Schluss mit dem „Dashboard-Tourismus“

DS: Qualys entwickelt sich vom Schwachstellen-Scanner zur Plattform für Risikomanagement und Behebung. Der Schwerpunkt verschiebt sich von VMDR zu ,Enterprise TruRisk Management’ (ETM) und KI-gestützter autonomer Remediation. Was bedeutet das für Ihre Position im ,Exposure Management’, etwa gegenüber Tenable, Rapid7 oder CrowdStrike?

Thakar: Um ein Unternehmen abzusichern, braucht es viele Beteiligte. Verschiedene Anbieter konzentrieren sich auf verschiedene Bereiche, und das ist grundsätzlich gut: CISOs haben die Wahl und können die Fähigkeit auswählen, die zu ihrer Umgebung passt.
Als CEO blickt man aber auf das ganze Unternehmen, auf Umsatz und Ergebnis. Dann erkennt man: Jenseits aller Technik geht es in der Cybersecurity darum, das Risiko eines finanziellen Schadens zu steuern. Jeder Anbieter spricht von seinem Risk-Score und seinem risikobasierten Ansatz. Tatsächlich herrschte eine Art ,Dashboard-Tourismus’ – ein Score für die Cloud, ein Dashboard für Identitäten, ein weiteres für etwas Anderes. Keines davon beantwortete die Frage: ,Wie hoch ist mein Gesamtrisiko, also wie viele Euro oder Dollar könnte ich verlieren?‘

Genau das wollen Vorstände aber wissen: ,Wie hoch ist der mögliche Verlust, und liegen wir innerhalb unseres akzeptablen Risikoappetits?‘ Denn wie viel ich in die Reduzierung eines Verlusts investiere, hängt davon ab, wie groß er ist.

Risikomanagement hat dabei drei Komponenten:

1. Mindern: ,Was gebe ich für Kontrollen, Tools und Personal aus, um das Risiko zu senken?‘
2. Akzeptieren: Null Risiko gibt es nicht. ,Welches Restrisiko trage ich bewusst?‘
3. Transferieren: Was ich weder mindern noch akzeptieren kann, übertrage ich an einen Cyberversicherer.

Es gab keine Plattform, die technische Befunde mit möglichen Geschäftsverlusten verknüpft und daraus konkrete Maßnahmen zur Behebung ableitet. Deshalb habe ich vor einigen Jahren das Konzept des ,Risk Operations Center’ (ROC) entwickelt. Wir müssen Risikomanagement operationalisieren, statt bei jeder neuen Bedrohung wieder überrascht zu werden. Das ROC ist kein Qualys-Produkt, sondern ein allgemeines Framework: Technische Risiken erfassen, sie mit Geschäftsverlusten abgleichen und das, was wirklich Schaden anrichten kann, schnell beheben.

Mit KI und seit ,Mythos’ finden Angreifer mehr Schwachstellen in kürzerer Zeit. Unternehmen müssen deshalb innerhalb eines Tages beheben statt wie früher innerhalb von 30 Tagen. Das gelingt nur, wenn sie selbst KI einsetzen und Risikomanagement sowie Entscheidungsprozesse operationalisiert haben. Wer an jeder Stelle Menschen einbindet und sich E-Mails und ,Jira-Tickets’ hin- und herschickt, schafft keine Behebung in 24 Stunden. Dafür braucht es ein ROC, das Datensammlung, Entscheidung und Umsetzung zusammenführt.

Von der Zero-Day-Lücke zur Zero-Day-Remediation

DS: KI als Angreifer gegen KI als Verteidiger – wer gewinnt? Sie haben argumentiert, dass ,Mythos’ keine neue Bedrohung geschaffen, sondern vor allem den Zeitrahmen verkürzt hat – aus 30 Tagen wurden 24 Stunden. Wenn die Zeit bis zur Ausnutzung weiter schrumpft, können Verteidiger strukturell mithalten? Oder verschaffen Produkte wie ,InstaScan’, das eine Erkennung binnen Minuten nach Bekanntwerden verspricht, nur Zeit in einem Rennen, das die Angreifer gewinnen?

Thakar: Angreifer betreiben in den meisten Fällen ein Geschäft. Wie jedes Unternehmen fragen sie: ,Wenn eine neue Technologie uns hilft, schneller und mit weniger Leuten Geld zu verdienen, warum sollten wir sie nicht nutzen?‘ Sie konkurrieren sogar untereinander darum, wer zuerst in ein Netz eindringt. Solange es Geld zu holen gibt, oder staatliche Interessen im Spiel sind, werden sie ihre Methoden weiterentwickeln. Wir Verteidiger müssen ähnliche oder bessere Technologie einsetzen. Das ist ein ,Katz-und-Maus-Spiel’, und ich glaube nicht, dass Verteidiger es jemals dauerhaft für sich entscheiden. Trotz aller Versprechen der Branche sehen wir weiterhin Kompromittierungen.

Dazu kommt: Nur weil ,Mythos’ zehnmal mehr Schwachstellen findet, steigen die Security-Budgets nicht um das Zehnfache. Wir müssen also genau überlegen, wo jeder Euro die schnellste Behebung bringt.

Woher kamen eigentlich die 30 Tage für kritische Schwachstellen? Sie beruhten auf dem Konsens, dass Angreifer für die Bewaffnung einer Lücke wegen manueller Prozesse recht lange brauchten. Das gilt nicht mehr. Wir müssen schlicht ein bisschen schneller sein als die Angreifer: Brauchen sie drei Tage, beheben wir in zwei. Brauchen sie zwei, beheben wir in einem. Deshalb wird der Schritt von der Zero-Day-Schwachstelle zur Zero-Day-Remediation so wichtig: Die relevantesten Lücken müssen in den ersten 24 Stunden nach Erscheinen eines Patches geschlossen sein.

Qualys setzt dazu auf drei KI-gestützte Fähigkeiten, die ineinandergreifen:

• Erkennen in der ersten Stunde (,InstaScan’): Wer in 24 Stunden beheben will, darf nicht zwei Tage für die Erkennung brauchen. Beim letzten ,Microsoft Patch Tuesday’ haben wir die Exposition unserer Kunden 13 Minuten nach der Ankündigung ermittelt. Damit bleiben gut 23 Stunden für Priorisierung und Behebung.
• Validieren statt warten (,Agent Val’): Warum sollten wir darauf warten, dass Angreifer Exploits gegen uns ausführen? Mit agentischer KI führen wir dieselben Exploits sicher gegen die eigenen Systeme aus und wissen dann, welche wirken und welche nicht. So schrumpft die Liste innerhalb weniger Stunden auf die 0,1 Prozent, die wirklich zählen.
• Beheben mit Zuversicht (,TruConfidence’): Der einzige Grund, warum Unternehmen nicht patchen, ist die Sorge vor einem Ausfall. Aus inzwischen rund einer halben Milliarde ausgerollter Patches leiten wir mit KI und ,Machine Learning’ ab, welche Patches oder Mitigationen sich jetzt sicher einspielen lassen.

Wie weit Kunden schon sind, zeigen die Zahlen: In den vergangenen zwölf Monaten wurden über Qualys 170 Millionen Patches in Kundenumgebungen ausgerollt. 94 Millionen davon liefen vollständig autonom, ohne menschliches Zutun. Damit schließen Kunden ihre Exposition bereits in den ersten acht Stunden nach Erscheinen eines Patches. Ich erinnere mich gut, wie viele damals sagten, das werde niemand nutzen.

Wichtig ist, dass das bezahlbar bleibt. Kostet eine Lösung dreistellige Millionenbeträge, akzeptieren Unternehmen das Risiko lieber oder suchen andere Wege. ETM ist unsere Umsetzung des ROC-Gedankens. Es betrachtet nicht nur Schwachstellen, sondern auch Fehlkonfigurationen und Identitäten. Künftig kommen weitere Signale hinzu, etwa KI-Deployments oder Post-Quanten-Kryptografie (PQC), über die ich auf unserer Konferenz ,ROCon’ gesprochen habe. Ziel ist ein Framework, das dem Board unabhängig von neuen Technologien oder Bedrohungen eine Frage beantwortet: Liegen wir bei unseren Ausgaben innerhalb des akzeptablen Risikoappetits, oder müssen wir vielleicht fünf Prozent mehr investieren? Null Risiko sollte niemand anstreben, denn dann sinkt der ,Return on Investment’ sehr schnell.

DS: Wenn ich auf die letzten 20 Jahre zurückblicke, war es immer ein ,Katz-und-Maus-Spiel’…

Thakar: Immer – und das wird so bleiben! Hinzu kommt: Wir fügen ständig neue Technologie hinzu, aber alte verschwindet selten. Heute bucht ein KI-Agent auf Zuruf eine fünftägige Reise nach Hawaii. Gleichzeitig laufen rund 70 Prozent der Reservierungssysteme von Airlines weltweit noch auf Mainframes. Darüber liegen ,Linux’, Webanwendungen, APIs, mobile Apps und jetzt KI. Als Sicherheitsverantwortlicher muss ich jede dieser Schichten absichern. Kommt morgen PQC hinzu, verschwinden Cloud und KI deshalb nicht. Unser Risikomanagement muss sich also ständig weiterentwickeln, um Risiken mit vertretbarem Aufwand zu mindern.

Das Security-Team 2030

DS: Wenn KI Schwachstellen findet, priorisiert und behebt – was bleibt dann für das menschliche Security-Team? Wie sieht die Organisation eines CISO in fünf Jahren aus, und was bedeutet das für den viel beklagten Fachkräftemangel?

Thakar: Die Zukunft vorherzusagen ist unmöglich. Vor fünf Jahren hätte niemand über ,Mythos’ gesprochen. Eines hat sich aber nicht geändert: CISOs suchen damals wie heute nach Wegen, das Unternehmen mit der neuesten verfügbaren Technologie zu schützen. Angreifer werden jede technische Möglichkeit nutzen, und Verteidiger müssen sich entsprechend schnell weiterentwickeln.
Den Fachkräftemangel gibt es in der Cybersecurity, solange ich denken kann. Dazu kommt eine große Erschöpfung, weil die Arbeit belastend ist. Die gute Nachricht: Mit KI können Unternehmen schneller skalieren und ihre bestehenden Teams durch agentische Workflows verstärken, die schneller zu Ergebnissen führen.

Je besser Verteidiger relevante Schwachstellen beheben, desto mehr weichen Angreifer auf andere Wege aus: KI-Agenten, Identitäten oder schlichte Fehlkonfigurationen. Ein vollständig gepatchtes System nützt wenig, wenn noch der Standard-Login aktiv ist. Egal welche Technologie kommt, ob KI, Cloud oder PQC, das ROC stellt immer dieselben vier Fragen:

1. Inventar: ,Wo befindet sich das Asset?‘ Das wissen die wenigsten.
2. Bewertung: ,Welche Probleme gibt es damit?‘
3. Priorisierung: Es lässt sich nie alles beheben. ,Was zählt für mein Geschäft?‘
4. Behebung: Ich muss es tatsächlich beheben.

Eine Schwachstelle mag hochgradig ausnutzbar sein. Entscheidend ist, ob sie zu einem echten Geschäftsverlust führt oder nur ein technischer Exploit bleibt. Deshalb werden das ROC und ein risikobasierter Ansatz immer wichtiger. CISOs müssen mit dem Vorstand in der Sprache des Geschäfts sprechen: ,Wie hoch ist das mögliche Risiko, wie viel geben wir für seine Minderung aus, und wie übertragen wir den Rest an einen Cyberversicherer?‘ Unternehmen steuern längst finanzielle und geopolitische Risiken. ,Cyber’ ist eines davon. Mit neuer Technologie zu den Angreifern aufzuschließen und das im Geschäftskontext zu tun, wird uns dauerhaft begleiten.

Empfehlungen für die Chefetage: Risiko endlich definieren

DS: Cyberbedrohungen, wachsende regulatorische Anforderungen, schärferer Wettbewerb, Führungsaufgaben und ein volatiles wirtschaftliches Umfeld fordern CEOs und Top-Manager stark. Wie sollten Führungskräfte Risikomanagement angehen, um die langfristige Resilienz ihres Unternehmens zu stärken? Welche praktischen Empfehlungen geben Sie Entscheidern?

Thakar: Mir gefällt, dass diese Frage das Thema auf die Geschäftsebene hebt. Meine Empfehlung an alle: Schauen Sie sich das Risk-Operations-Center-Framework genau an, denn Sie müssen Ihr Risikomanagement operationalisieren! Konkret heißt das:

• Den CISO befähigen, über Geschäftsrisiken zu sprechen statt über technische Risiken! Die zentrale Frage lautet: ,Wie hoch ist unser aktuelles Risiko im Verhältnis zu unserem akzeptablen Risikoappetit?‘ Und falls es darüber liegt: ,Wie bringen wir es darunter?‘
• Nicht jeder Schlagzeile hinterherlaufen! Vorstandsmitglieder sollten CISOs nicht zu jeder einzelnen Schwachstelle aus den Nachrichten befragen. Sie sollten sicherstellen, dass ihr CISO die nötige Unterstützung für ein Reporting hat, welches das aktuelle Risiko an das Geschäft koppelt und einen Weg für das Restrisiko aufzeigt.
• Auf operative Resilienz achten! Das Unternehmen muss Risiken steuern können, ohne dabei selbst Betriebsausfälle zu verursachen. Ein so aufgestelltes Risikomanagement hält auch künftigen Bedrohungen und Technologien stand.
• Risiko definieren! Wer sein Risiko nicht definiert, kämpft per Definition gegen ein unendliches Risiko. Deshalb haben so viele das Gefühl, nie genug getan zu haben. Erst mit einem definierten Risiko weiß ich, wie hoch der mögliche Verlust ist, wie viel ich für seine Reduzierung ausgebe und wie viel ich an einen Cyberversicherer übertrage.

Weitere Informationen

DATENSICHERHEIT.DE, 04.08.2026
Cyberrisiken schneller eindämmen: Qualys erkennt Schwachstellen in Minuten

DATENSICHERHEIT.DE, 28.06.2026
Neuer CNAPP-Standard als Basis der Hyper-Priorisierung und autonomen Behebung im Cloud-Maßstab

DATENSICHERHEIT.DE, 20.07.2025
Fehlender Geschäftskontext: Trotz erhöhter Investitionen ausgebremstes Cyberrisiko-Management