Im Austausch mit dem ADAC — die vier Themen, die große Security-Organisationen 2026 wirklich beschäftigen

23 Millionen Mitglieder. 37 Gesellschaften. Ein CISO.

Diese Woche haben wir mit Ümit Kuşdoğan, CISO des ADAC, über die Themen gesprochen, die große Security-Organisationen 2026 wirklich beschäftigen. Kein Meeting über Tools, sondern ein Austausch über die Fragen, die auf Konzern-Level auf dem Tisch liegen — und die exakt jene sind, an denen wir jeden Tag mit institutionellen Investoren, M&A-Beratern und wachsenden Portfoliofirmen arbeiten.

Vier Punkte sind hängengeblieben. Der vierte hat die längste Halbwertszeit.

1. KI im Security-Betrieb

Die Frage ist nicht mehr, ob KI ins Vulnerability Management gehört. Die Frage ist, wer die KI kontrolliert, die priorisiert. Genau hier trennt sich gerade Pilot von Papier: Zwischen einer KI, die Findings sortiert, und einer Organisation, die versteht, nach welcher Logik sortiert wird, liegt der Unterschied zwischen Beschleunigung und blindem Vertrauen.

2. Third-Party-Risk, speziell regulierte Lieferanten

Ein ausgefüllter Fragebogen ist kein Sicherheitsnachweis. Wer regulierte Lieferanten in der Kette hat, braucht eine Bewertung nach Business-Impact — nicht nach Rücklaufquote. Die Frage lautet nicht „Wie viele Assessments sind zurückgekommen?", sondern „Welcher Lieferant kann welchen Geschäftsprozess zum Stillstand bringen?".

3. Regulatorik ist im Testat angekommen

Wirtschaftsprüfer prüfen inzwischen aktiv Cyber-Compliance. Damit ist das Thema endgültig dort angekommen, wo Leitungsorgane persönlich haften — nicht mehr nur in der IT. Das verschiebt die Dringlichkeit von der Technik in den Aufsichtsrat.

4. KI-Souveränität

Die unbequeme Realität: Zwischen US-Anbietern und China gibt es aktuell keine dritte Option auf Augenhöhe. Wer heute KI einführt, entscheidet über die Datenflüsse von morgen. Verträge, Richtlinien und dokumentierte Datenflüsse sind die einzige Souveränität, die sofort verfügbar ist — nicht die Wahl des „richtigen" Anbieters.

Der rote Faden

Security ist im Business angekommen. Die knappe Ressource ist nicht mehr Budget — sondern Urteilsfähigkeit. Die Fähigkeit, technisches Risiko in belastbaren Business- und Financial-Impact zu übersetzen und daraus die drei Entscheidungen abzuleiten, die wirklich zählen.

Genau das ist der Unterschied zwischen einem Konzern mit Millionen Mitgliedern und einer Portfoliofirma kurz vor Closing: nicht das „Was", sondern der Kontext, die Geschwindigkeit und die Konsequenz der Entscheidung.

Genau an dieser Schnittstelle arbeitet Woodlands

Cyber Due Diligence für institutionelles Kapital im DACH-Raum. Private Equity, Venture Capital, Family Offices und M&A-Berater, die vor der Transaktion wissen wollen, was sie kaufen — und danach, wie sie es schützen. Getragen von einem kuratierten Team aus Senior-Praktikern mit Cloud-, Identity-, AppSec- und Compliance-Schwerpunkt und einem strukturierten Partnernetzwerk (u.a. Vanta, Kertos, Aikido) — kein Outsourcing, keine Junior-Substitution.

Wenn Sie eine konkrete Transaktion im Blick haben oder ein Portfoliomandat, bei dem der Cyber-Workstream im Standard-DD-Setup nicht greift: 20-minütiges Erstgespräch vereinbaren. Vertraulich, auf Augenhöhe.

Wer die Argumentation vertiefen möchte: Die 4-Mio-Frage — wie Cyber Due Diligence den Kaufpreis bewegt.

---

Danke für das offene Gespräch, Ümit. Fortsetzung folgt.