Wie lässt sich Informationssicherheit wirksam organisieren, wenn Verantwortung verteilt ist, Reifegrade heterogen sind und zentrale Weisungsbefugnisse fehlen? Der Vortrag zeigt am Beispiel einer hochschulübergreifenden Sicherheitsstruktur im öffentlichen Sektor, wie gemeinsame Sicherheitswirkung dennoch entstehen kann. Im Mittelpunkt stehen Mindestmechanismen statt Idealarchitekturen, Rollenklärung, Erwartungsmanagement, Incident-Strukturen, hochschulübergreifende Koordination und digitale Resilienz unter realen Rahmenbedingungen. Der Beitrag macht deutlich, dass Sicherheitsprobleme in föderierten Organisationen häufig nicht primär an fehlender Technik scheitern, sondern an verteilten Zuständigkeiten, Abstimmungsaufwand und mangelnder Verbindlichkeit. Die Zuhörenden erhalten einen praxisnahen Einblick, welche organisatorischen Hebel funktionieren, wo typische Grenzen liegen und welche Elemente auch auf andere öffentliche oder komplexe Multi-Stakeholder-Strukturen übertragbar sind.