Anti-Pattern
- Das Nie-wieder-Versprechen
Nach dem Vorfall verspricht jemand, dass es nie wieder passiert. Halten kann dieses Versprechen niemand.
- Quellcode-GlÀubigkeit
GeprĂŒft wird der Quelltext. Ausgeliefert wird, was die Werkzeugkette daraus macht â und die prĂŒft niemand.
- Was eine Rechnung hat
Was keine Rechnung hat, steht in keinem Asset-Verzeichnis â und hat damit weder Verantwortliche noch Schutzbedarf.
- Einmal quantensicher
Wer einmal auf quantensichere Verfahren umstellt, hat die Wette nur verschoben. AgilitÀt gehört in Entwurf und Betrieb.
- Die Schubladen-Leitlinie
Ein Bekenntnis, das niemand sieht, ist keines. Die Leitlinie ist Werbung fĂŒr die Informationssicherheit â keine Auditunterlage.
- Der MaĂregelungsreflex
Wer klickt, ist selten die Ursache. Der Disziplinarprozess beginnt dort, wo die Fehleranalyse endet â nicht davor.
- Das Phishing-Blame-Game
Die Klickquote macht Schuld messbar, nicht Sicherheit â und bringt genau die Meldungen zum Verstummen, auf die es ankommt.
- Das Netz am selben Haken
Ein Backup am zweiten Standort schĂŒtzt nicht, wenn dasselbe Konto beide Seiten erreicht. Ransomware reist ĂŒber Berechtigungen.
- Die fremde Gewichtung
Ein Score presst viele Dimensionen in eine Zahl â und verschweigt, wer entschieden hat, was schwerer wiegt.
- Die eigene Phishing-Simulation
Eine dringende Mail der eigenen IT, die niemand prĂŒfen kann â und die sich vom Angriff nicht unterscheiden lĂ€sst.
- Die KI hat's geprĂŒft
Teilen Modell und PrĂŒfmodell dieselben blinden Flecken, ist der zweite Blick keiner. Wer freigibt, wird zur Knautschzone.
- Die SLA-LĂŒcke
Nach auĂen lesen wir jede Verantwortungsgrenze genau. Nach innen ersetzt Vertrauen die Vereinbarung.
- Warten auf den groĂen Wurf
Wer auf die perfekte Lösung wartet, schĂŒtzt niemanden. Der groĂe Wurf ist der unwahrscheinlichere Weg.
- Die stille Dauerduldung
Wer eine Ausnahme genehmigt, hat noch kein Risiko akzeptiert. Ohne Frist wird aus beidem Duldung.
- Die letzte Leitplanke
Kein endlicher Regelsatz sichert ein Sprachmodell ab. Gödel beweist es. Bleibt ein Wettlauf, den wir gestalten mĂŒssen.
- Bericht statt Beschluss
ISO 27001 verlangt in der Managementbewertung Entscheidungen, keinen Jahresbericht. Reden schlÀgt Nicht-Lesen.
- Sichtbar, aber blind
GrĂŒne Dashboards, trotzdem monatelang unentdeckt: Ein einzelnes Werkzeug erkennt nicht alles â erst kombinierte Verfahren samt Deception schlieĂen die LĂŒcke.
- Das macht man so
Best Practices ohne Risikofrage werden zu Ritualen ohne Wirkung. Was billig wirkt, anwenden; Teures und Zweifelhaftes prĂŒfen.
- Der Gute-Nachrichten-Filter
Warum Risiken auf dem Weg nach oben verschwinden â und wie psychologische Sicherheit die Wahrheit wieder sichtbar macht.
- Der ĂŒbergriffige Auditor
Wenn die PrĂŒfung mehr verlangt, als die Norm fordert, wird sie selbst zum Regulierungsreflex â und schadet der Sicherheit.
- Eins hochzĂ€hlen genĂŒgt
Fast eine Million Ausweise offen im Netz â kein Zero-Day, sondern grobe FahrlĂ€ssigkeit: Broken Access Control und IDOR aus dem Lehrbuch.
- Regeln auf Vorrat
Warum gute ISMS nicht jede SelbstverstĂ€ndlichkeit regeln â und ISO 27001 risikobasiert dokumentiert statt auf Verdacht.
- Der Wiederherstellungs-Mythos
GrĂŒne Backup-Reports beweisen nichts: Wer die Wiederherstellung nie probt, hofft im Ernstfall auf ein ungetestetes Sicherheitsnetz.
- Die Drittanbieter-Blindheit
Lieferantenbewertung fragt, wie sicher der Anbieter ist â nicht, wie abhĂ€ngig wir sind. Ohne AbhĂ€ngigkeits-Karte bleibt Resilienz Zufall.
- Das Nilpferd am Tisch
Wenn die ranghöchste Meinung die kalibrierte SchĂ€tzung ĂŒberstimmt: Position ist keine Evidenz â Treffsicherheit muss messbar sein.
- Der leere Stuhl
Die Stakeholder-Analyse versammelt nur Wohlgesonnene. Die am stÀrksten interessierte Partei fehlt: der Angreifer.
- Mehr Deckblatt als Inhalt
Sicherheitsrichtlinien ersticken unter Versionstabellen und Freigabematrizen â Metainformation gehört ins Dokumentenmanagement, nicht in den Text.
- Die Nebenwirkung ohne Beipackzettel
Jede SchutzmaĂnahme ist ein Eingriff mit Nebenwirkungen â wer nur das gelöste Risiko sieht, ĂŒbersieht das neu geschaffene.
- Die Datenmonokultur
Wer die NVD als einzige Schwachstellenquelle behandelt, ĂŒbersieht ihre wachsenden LĂŒcken â und hĂ€lt falsch-negative Scans fĂŒr Entwarnung.
- Die seriöse Zahl
PrĂ€zise aussehende Risikozahlen sind oft verkleidetes BauchgefĂŒhl â die ObjektivitĂ€tsillusion.
- Die fertige Liste
Das Risikoregister bildet ab, was wir kennen â nicht was uns bedrohen kann.
- Schulung aus der Konserve
Eingekaufte eLearnings ohne Bezug zur eigenen Organisation. Wissen wÀchst nicht, die Haltung zur Sicherheit kippt fast immer.
- Wenn jeder alles findet
Oversharing in Microsoft 365 war ein schlafendes Risiko â bis Copilot die Summe offener Freigaben in Sekunden durchsuchbar macht.
- Das strategische Hoch
Vage Risikokategorien wie »hoch« schĂŒtzen nicht vor Risiken â sie schĂŒtzen vor Aussagen.
- Vibe Coding als Methode
Vibe Coding hebelt den Secure SDLC systematisch aus und produziert messbar AngriffsflÀche statt Software.
- Apfel Ă Handtuch = Regen
Multiplikation auf Ordinalskalen ist mathematisch undefiniert. Risikomatrizen rechnen trotzdem und sortieren weniger als zehn Prozent der Paare korrekt.
- Compliance als Waffe
Wenn Admins Security ablehnen und ISMS-Specs wörtlich befolgen, wird Compliance zur Sabotage in BĂŒrokratie-Verkleidung.
- Richtlinien fĂŒr alle â Richtlinien fĂŒr keinen
Wer alle Richtlinien fĂŒr alle zur PflichtlektĂŒre macht, erzeugt Compliance-Nachweise â aber keine Awareness.
- Der kognitive Exploit
Angreifer brechen keine VerschlĂŒsselung mehr â sie brechen das mentale Modell der Nutzenden. Ăber kognitive Exploits in Sicherheitsprotokollen.
- Die Sicherheitsinventur
Das ATV-Modell reduziert Risikomanagement auf Inventur â und verwechselt bestĂ€tigte Probleme mit Risiken.
- Goodhart's Falle
Sobald eine Metrik zum Ziel wird, optimiert man die Metrik â nicht das dahinterliegende Risiko.
- Risiko ohne Ziel
Wer Risiken ohne Organisationsziele bewertet, misst eine Abweichung von nichts.
- Die unsichtbaren Stakeholder
Wer Clause 4.2 als Formalie abhandelt, baut ein ISMS, das Audits besteht â aber keine echten Erwartungen erfĂŒllt.
- Magic Security Dust
Security als letzter Schritt kaschiert Designfehler â und schafft eine gefĂ€hrliche VollstĂ€ndigkeitsillusion.
- Die KI-Richtlinie
KI-generierte ISO-27001-Policies klingen richtig â aber niemand kann im Audit die Entscheidungen dahinter erklĂ€ren.
- Die Angstmaschine
FUD als Budget-Strategie erzeugt kein Vertrauen, sondern Management-Taubheit gegenĂŒber Security.
- Der Agent darf alles
KI-Agenten mit Administratorrechten verstoĂen gegen Least Privilege und richten unverhĂ€ltnismĂ€Ăigen Schaden an.
- Der Nestbeschmutzer
Security-Anbieter profitieren von anhaltenden Problemen â das Nash-Gleichgewicht verhindert echte Lösungen.
- Das SBOM-Feigenblatt
Einmaliger SBOM ohne kontinuierliches Monitoring ist ein Compliance-Feigenblatt ohne Sicherheitswert.
- Security-Team: Toll, ein anderer macht's
Wer Security ans Sicherheitsteam delegiert, gibt zu, dass es nicht zur eigenen Fachkompetenz gehört.
- Hire a Hero
Den CISO mit Cybersecurity-Verantwortung zu belasten, löst das Problem der verteilten RisikoeigentĂŒmerschaft nicht.
- Einmal bewertet, fĂŒr immer gĂŒltig
Risikoregister, die nie aktualisiert werden, sind Entscheidungen auf Basis veralteter Annahmen.
- Das abgeschlossene Bedrohungsmodell
Einmalig erstellte Bedrohungsmodelle veralten unbemerkt und erzeugen eine gefÀhrliche VollstÀndigkeitsillusion.
- Das eine RisikomaĂ
Ein universeller Risiko-Score versteckt die entscheidende Frage: Wessen Ziele sind eigentlich betroffen?
- Die unmessbaren Versprechen
RTO-Zielwerte, die nie getestet werden, sind Papierlösungen â die RealitĂ€t liegt Faktor drei daneben.
- Der Festungs-Irrtum
Wer alles in PrÀvention investiert, hat beim ersten Einbruch kein Wiederherstellungskonzept mehr.
- Punktlandung im Nebel
ScheinprĂ€zise Punktwerte verschleiern Unsicherheit â Imprecise Probabilities machen SchĂ€tzungen ehrlicher.
- Einmal bewertet, fĂŒr immer gĂŒltig
Risikoregister, die nie aktualisiert werden, sind Entscheidungen auf Basis veralteter Annahmen.
- Ohne Daten keine Wahrscheinlichkeit
Wer auf statistische Daten wartet, bevor er Risiken schÀtzt, wird bei singulÀren Ereignissen nie fertig.
- Babylonische Sprachverwirrung im Risikomanagement
Ohne gemeinsames Risikoglossar vergleichen Workshops Ăpfel mit Birnen â Bewertungen werden unvergleichbar.
