Keine der Sicherheitslösungen war falsch. Alle zusammen waren es.

Ich saß mal vor einem Rechner, auf dem zwei, teilweise drei Systemscans gleichzeitig liefen. Dazu das VPN. Der Rechner war damit beschäftigt, sich selbst zu überwachen, und ich saß davor und hab gewartet. Nicht einmal, sondern über Wochen.

Jedes einzelne Werkzeug hatte seine Berechtigung. Jede Anschaffung war sauber begründet, von jemandem, der wusste, was er tut, und der eine reale Lücke geschlossen hat. Nur hatte nie jemand geprüft, was passiert, wenn alle gleichzeitig arbeiten.

Das ist keine Anekdote über langsame Rechner. Es ist das Grundmuster, nach dem Sicherheit in den meisten Unternehmen entsteht.

Warum das technisch überhaupt passiert

Sicherheitssoftware arbeitet nicht neben dem Betriebssystem, sondern in ihm. Echtzeitschutz klinkt sich tief in die Dateizugriffe ein, um jeden Vorgang mitzubekommen. Wenn zwei Lösungen dasselbe an derselben Stelle tun, konkurrieren sie um dieselben Zugriffe. Herstellerdokumentationen mehrerer Anbieter beschreiben das seit Jahren übereinstimmend, die Spanne reicht von spürbarer Verlangsamung bis zu Systemabstürzen und dazu, dass am Ende keine der beiden Lösungen zuverlässig erkennt.

Die übliche Antwort darauf sind Ausschlussregeln. Man nimmt Verzeichnisse und Prozesse gegenseitig von der Prüfung aus, damit sich die Systeme nicht mehr gegenseitig im Weg stehen. Das funktioniert, und es hat einen Preis, über den selten jemand spricht. Jede Ausschlussregel ist eine bewusst geöffnete Stelle. Wenn sie einmal gesetzt ist, weil ein Performanceproblem gelöst werden musste, überlebt sie oft die Software, für die sie gedacht war.

So entsteht ein System, das nach außen doppelt geschützt aussieht und im Inneren eine Landkarte an Ausnahmen trägt, die niemand mehr vollständig kennt.

Die Zahlen dahinter

Größere Unternehmen betreiben heute im Schnitt 75 Sicherheitswerkzeuge parallel, ab zehntausend Mitarbeitenden sind es 79. Das ist keine Verirrung einzelner Häuser, es ist der Durchschnitt einer Befragung von fünfhundert Sicherheitsverantwortlichen.

Was daraus folgt, lässt sich beziffern. Der Microsoft- und Omdia-Bericht zum Stand der Security Operations 2026 kommt darauf, dass sechsundvierzig Prozent aller Alarme Fehlalarme sind. Knapp die Hälfte der Arbeit eines Analysten erzeugt also keinen Sicherheitswert. Eine Erhebung von Vectra AI aus demselben Jahr kommt auf durchschnittlich knapp dreitausend Sicherheitsmeldungen pro Tag und Organisation, von denen dreiundsechzig Prozent unbearbeitet bleiben.

Man kann das als Personalproblem lesen. Ich halte es für ein Architekturproblem. Wer sieben Systeme betreibt, die alle dieselbe Auffälligkeit sehen und alle einzeln melden, hat nicht siebenfache Sicht. Er hat siebenfaches Rauschen.

Auf der kaufmännischen Seite sieht es ähnlich aus. Der SaaS Management Index von Zylo für 2026 kommt darauf, dass im Schnitt sechsunddreißig Prozent aller Lizenzen ungenutzt bleiben. Andere Erhebungen liegen höher: Vertice zählt für das erste Quartal 2026 fünfzehn Prozent der Anwendungen, die nie benutzt werden, und weitere einundfünfzig Prozent, die zu weniger als der Hälfte der eingekauften Kapazität laufen.

Und die Konsequenz ist längst gezogen. Gartner hat erhoben, wie viele Organisationen ihre Sicherheitsanbieter aktiv reduzieren wollen. Der Wert ist von neunundzwanzig Prozent im Jahr 2020 auf fünfundsiebzig Prozent im Jahr 2022 gestiegen. Konsolidierung ist keine Prognose mehr, sie ist die Absicht der Mehrheit.

Der Kunde, der kauft, was er schon hat

Und dann sitzt du beim Kunden und siehst dasselbe Muster von der anderen Seite.

Da fragt jemand nach einer Lösung, die er längst im Haus hat. Sie steckt in einem Produkt, das seit Jahren läuft, in einem Modul, das mitlizenziert wurde und nie aktiviert wurde, oder in einer Funktion, die zwei Versionen später dazugekommen ist und in keiner Schulung vorkam. Der Kollege, der die Anschaffung damals verantwortet hat, ist nicht mehr da. Die Dokumentation endet bei der Installation.

Das ist keine Nachlässigkeit einzelner Unternehmen. Es ist die vorhersehbare Folge davon, dass fast überall ein belastbares Verzeichnis dessen fehlt, was im Haus eigentlich läuft und was es kann. In der Theorie löst das eine Konfigurationsdatenbank, in der jedes System mit seinen Attributen und Beziehungen erfasst ist. In der Praxis ist genau diese Datenbank der Teil, der zuerst veraltet, weil ihre Pflege niemandem zugerechnet wird und weil sie kein Projekt ist, sondern eine Gewohnheit.

Fehlt sie, entsteht eine merkwürdige Umkehrung. Das Unternehmen kennt den Markt besser als den eigenen Bestand. Über neue Produkte gibt es Webinare, Analystenberichte und Vertriebler, die anrufen. Über die eigene installierte Basis gibt es niemanden, dessen Job das ist.

Seit dem 6. Dezember 2025 ist das nicht mehr nur ein betriebswirtschaftliches Problem. NIS2 gilt in Deutschland ohne Übergangsfrist, rund 29.500 Unternehmen stehen damit unter Aufsicht des BSI, und das Gesetz verlangt ein Risikomanagement, das nachweisbar ist. Ein Wildwuchs, den niemand vollständig überblickt, ist per Definition nicht nachweisbar. Wer unter NIS2 oder KRITIS fällt, hat das Inventarproblem damit nicht mehr als Aufräumaufgabe vor sich, sondern als Pflicht.

Warum trotzdem gekauft wird

An dieser Stelle greift der bequeme Reflex, es sei zu viel Auswahl auf dem Markt und die lähme. So einfach ist es nicht, und die Forschung ist da überraschend uneindeutig.

Die erste große Metaanalyse zu diesem Effekt kam über alle untersuchten Experimente hinweg zu dem Ergebnis, dass zu große Auswahl im Mittel gar nicht überfordert. Erst die zweite Metaanalyse, gestützt auf 99 Beobachtungen aus 53 Studien mit über siebentausend Befragten, hat gezeigt, wovon es tatsächlich abhängt. Vier Faktoren entscheiden. Wie schwierig die Entscheidungsaufgabe an sich ist, etwa weil Produkte über viele Eigenschaften beschrieben werden oder weil Zeitdruck herrscht. Wie komplex die Auswahlmenge ist, insbesondere ob es eine klar dominante Alternative gibt. Wie unsicher der Käufer über seine eigenen Präferenzen ist, was vor allem bei neuen Produktkategorien der Fall ist. Und welches Ziel er mitbringt, ein konkretes oder ein umherschauendes.

Wer diese vier Faktoren nebeneinanderlegt und an den Sicherheitsmarkt hält, sieht das Ergebnis sofort. Produkte mit dutzenden Eigenschaften. Dauerhafter Zeitdruck durch Vorfälle und Regulatorik. Keine dominante Alternative, sondern zwanzig Anbieter, die alle dasselbe Wort auf die Folie schreiben. Ständig neue Kategorien, zu denen im Haus keine Erfahrung existiert. Und ein Ziel, das oft von außen gesetzt wurde, etwa durch einen Auditbefund.

Das ist die Konstellation, in der Überforderung tatsächlich entsteht. Und Überforderung führt im Einkauf selten zum Nichtstun. Sie führt zur sichtbarsten Option, und die sichtbarste Option ist fast immer ein neues Produkt.

Der Wildwuchs ist damit kein Betriebsunfall. Er ist das erwartbare Ergebnis eines Marktes, der Unterscheidbarkeit schlecht kommuniziert, und einer Kundenseite, die ihren eigenen Bestand nicht kennt.

Was das für den Vertrieb heißt

Ich verkaufe, ich kaufe nicht. Aber genau deshalb sehe ich diese Situation mehrmals im Monat. Vier Dinge habe ich daraus gelernt.

1. Bestandsaufnahme gehört ins Gespräch, nicht in die Vorbereitung. Die Frage, welche Funktionen aus vorhandenen Verträgen heute schon nutzbar wären, gehört in den ersten Termin. Nicht als rhetorischer Trick, sondern weil die Antwort das ganze Gespräch verändert. In der Hälfte der Fälle kommt dabei etwas heraus, das der Kunde selbst nicht auf dem Schirm hatte.

2. Der ehrlichste Termin ist der, in dem du nichts verkaufst. Das brauchen Sie nicht, das haben Sie schon. Dieser Satz kostet dich kurzfristig einen Auftrag. Er gewinnt dir eine Position, aus der die nächste Anfrage nicht mehr über eine Ausschreibung kommt, sondern über einen Anruf. Wer das für Idealismus hält, sollte sich anschauen, wie lange ein Ersatzverkauf hält, bei dem der Kunde nach acht Monaten merkt, dass er doppelt bezahlt hat.

3. Verkauft wird gegen den Wildwuchs, nicht gegen den Angreifer. Die Bedrohungslage ist im Mittelstand längst niemandem mehr zu erklären. Was fehlt, ist nicht Problembewusstsein, es ist Übersicht. Ein Vertriebsgespräch, das mit einer Bedrohung anfängt, adressiert ein Problem, das der Kunde schon hat. Ein Gespräch, das mit einer Bestandsfrage anfängt, adressiert das Problem, an dem er tatsächlich hängt.

4. Die Integrationsfrage ist die eigentliche Kaufentscheidung, und sie wird zu spät gestellt. Nicht ob ein Produkt eine Funktion hat, sondern ob es mit dem redet, was schon da ist. Wer sie erst in der Umsetzung stellt, hat den Wildwuchs um ein Element erweitert.

Wie man einen Vertrieb darauf einstellt

Die vier Punkte oben klingen nach Haltung einzelner Vertriebler. Das sind sie nicht. Kein Vertriebler sagt freiwillig „das haben Sie schon“, wenn seine Zielvereinbarung ihn dafür bestraft. Ob ein Team so verkaufen kann, entscheidet sich nicht im Kundengespräch, sondern davor, in drei Entscheidungen der Führung.

1. Die Bestandsfrage ist Pflicht, nicht Kür. Sie gehört als fester Teil in jedes Erstgespräch und in jede Gesprächsvorbereitung, so selbstverständlich wie die Frage nach dem Budget. Das lässt sich einfordern und nachhalten, in der Pipelinebesprechung wie im Mitfahren. Wer sie einem Team als Empfehlung mitgibt, bekommt sie in einem von zehn Terminen. Wer sie als Standard setzt und selbst danach fragt, bekommt sie in neun.

2. Das Zielsystem muss den Verzicht aushalten. Ein Vertrieb, der ausschließlich an Neulizenz gemessen wird, wird nie gegen den Wildwuchs verkaufen, weil er ihn selbst braucht. Wer dagegen Bestandsentwicklung, Verlängerungsquote und die Tiefe der Nutzung beim Kunden in die Ziele nimmt, verändert das Verhalten, ohne einen einzigen Appell an die Ehrlichkeit. Der kurzfristige Auftrag, der bei einem ehrlichen Termin liegen bleibt, ist eine Führungsentscheidung. Wenn die Führung ihn nicht deckt, trägt ihn niemand.

3. Das Team muss den Bestand des Kunden lesen können. Die meisten Enablement-Programme schulen das eigene Portfolio. Was ein Vertriebler für diese Gespräche braucht, ist das Gegenteil. Er muss erkennen, was in einer vorhandenen Landschaft steckt, welche Module eines Wettbewerbsprodukts typischerweise brachliegen und wo sich Funktionen überschneiden. Das ist Presales-Wissen, das im Vertrieb ankommen muss, und es entsteht nicht durch Produkttrainings, sondern durch gemeinsame Bestandsaufnahmen beim Kunden.

Das ist der Unterschied zwischen einer Vertriebsorganisation, die man verwaltet, und einer, die man aufbaut. Verwalten heißt, das Zielsystem zu übernehmen und die Zahlen einzusammeln. Aufbauen heißt, zu entscheiden, welches Verhalten man beim Kunden sehen will, und dann alles dahinter so zu stellen, dass dieses Verhalten belohnt wird.

Das eigentliche Problem ist nicht die Anzahl

Über die Zahl fünfundsiebzig lässt sich trefflich streiten, und sie taugt gut für eine Schlagzeile. Sie führt trotzdem in die Irre.

Ein Unternehmen mit siebzig Werkzeugen, die sich gegenseitig kennen, Ereignisse an eine gemeinsame Stelle geben und ein gemeinsames Inventar teilen, ist besser dran als eines mit fünfzehn Insellösungen. Das Problem ist nicht die Menge. Es ist, dass keines vom anderen weiß.

IT-Management und Security laufen in den meisten Häusern nebeneinander statt miteinander. Die eine Seite weiß, welche Geräte existieren, welche Software darauf liegt und in welchem Zustand sie ist. Die andere Seite entscheidet, was davon ein Risiko ist. Wenn diese beiden Seiten getrennte Datenbestände haben, kann keine von beiden ihre Arbeit richtig machen. Die Security bewertet Risiken auf einem Inventar, das sie nicht kontrolliert. Das IT-Management pflegt ein Inventar, dessen Sicherheitsrelevanz es nicht beurteilt.

Wenige Hersteller lösen das wirklich. Die meisten verkaufen lieber das nächste Modul, und das ist keine Bosheit, sondern die Logik eines Geschäftsmodells, das an verkauften Funktionen verdient und nicht an eingesparten. Deshalb wird der Druck zur Konsolidierung nicht von der Anbieterseite kommen. Er kommt von Kunden, die ihre Ausschlussregeln zählen.

An anderer Stelle habe ich beschrieben, warum Sicherheitsprojekte in der Produktion daran scheitern, dass ihr Erfolg unsichtbar ist. Beim Wildwuchs ist es umgekehrt. Hier ist der Erfolg sofort sichtbar, weil die Leute ihre Rechner wieder benutzen können. Nur schreibt ihn sich niemand auf die Fahne, weil ein abgeschalteter Scanner in keiner Zielvereinbarung steht.

Sicherheit, die den Alltag lahmlegt, ist keine Sicherheit. Sie ist nur teurer.