Anti-Pattern on .kais blog

Das Nie-wieder-Versprechen

Fri, 11 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

Nach einem schweren Vorfall steht die Frage im Raum, wie sich so etwas künftig ausschließen lässt. Aus der Antwort wird ein Programm, aus dem Programm ein Versprechen: Das kann uns nicht noch einmal passieren. Ich habe diesen Satz oft gehört. Geglaubt habe ich ihn nie: Prävention braucht nur einen guten Gegner.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist berechtigt. ISO 27001 verlangt, die Ursachen einer Abweichung zu beseitigen, damit sie sich nicht wiederholt. Wer nach einem Vorfall nichts ändert, hat nichts verstanden.

Quellcode-Gläubigkeit

Wed, 09 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

Code-Review, SAST, Dependency-Scan: Die gesamte Prüfarbeit richtet sich auf den Quelltext. Nach Compiler, Build-Image und Pipeline-Plugins frage ich meist vergeblich. Sie gelten als Werkzeug, nicht als Angriffsfläche.

🎯 Was soll eigentlich erreicht werden?

Ausgeliefert werden soll nur, was geprüft wurde. Der Quelltext ist dafür der naheliegende Ort: lesbar, versioniert, nachvollziehbar.

⚠️ Warum funktioniert das nicht?

Ken Thompson hat 1983 in seinem Turing-Award-Vortrag „Reflections on Trusting Trust“ vorgeführt, warum das nicht reicht. Er präparierte einen C-Compiler: Beim Übersetzen des Login-Programms baute dieser eine Hintertür ein. Und beim Übersetzen seiner selbst gab er genau diese Fähigkeit an die nächste Compiler-Fassung weiter. Danach ließ sich der Compiler-Quelltext säubern: Die Hintertür lebte im Binary weiter – sichtbar war sie in keiner einzigen Zeile. Ausgeliefert wird nicht, was man liest, sondern was das Werkzeug daraus macht.

Was eine Rechnung hat

Fri, 04 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Audits bekomme ich Asset-Verzeichnisse zu sehen, die einander gleichen: Seriennummer, Anschaffungsdatum, Standort, Kostenstelle, Abschreibung. Sie stammen aus der Anlagenbuchhaltung, und man sieht es ihnen an. Den Geschäftsprozess, der die Zahlungen auslöst, oder die Schnittstelle, über die Kundendaten das Haus verlassen, finde ich darin nicht.

🎯 Was soll eigentlich erreicht werden?

ISO 27001:2022 verlangt in A.5.9 ein Verzeichnis der Informationen und zugehörigen Werte – ausdrücklich nicht nur der Geräte. Was man nicht kennt, betreibt man schlecht. Schützen kann man es gar nicht.

Einmal quantensicher

Wed, 02 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

In den meisten Organisationen ist Post-Quanten-Kryptografie kein Vorhaben, sondern ein Buzzword aus der Fachpresse. Wo doch ein Migrationsplan existiert, enthält er ein Zieldatum und einen Zielalgorithmus: Bis 2030 oder 2035 soll umgestellt sein, danach gilt die Sache als erledigt. Wie die Organisation den neuen Algorithmus wieder loswird, falls er schwächer ist als erhofft, steht in keinem dieser Pläne.

🎯 Was soll eigentlich erreicht werden?

Zwei Ziele auf einmal: der Kryptokalypse zuvorkommen, ohne die Sicherheit von heute preiszugeben. Das BSI hat im Februar 2026 erstmals Fristen gesetzt: Ende 2031 sollen klassische Verfahren nicht mehr allein verschlüsseln, für Signaturen gilt Ende 2035 – der NIST-Entwurf IR 8547 zielt auf denselben Zeitraum.

Die Schubladen-Leitlinie

Fri, 28 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich frage nach der Informationssicherheitsleitlinie und bekomme einen Vorlagentext: generische Sätze, austauschbar, ohne erkennbaren Absender. In der Organisation kennt sie kaum jemand. Hervor holt sie nur, wer das Audit vorbereitet.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Clause 5.2 verlangt von der obersten Leitung eine Leitlinie, die Richtung vorgibt und ihr Bekenntnis zur Informationssicherheit dokumentiert. Sie ist das eine Dokument, mit dem Führung sichtbar wird.

Der Maßregelungsreflex

Wed, 26 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

A.6.4 gehört zu den wenigen Maßnahmen, die fast jede Organisation sauber dokumentiert hat. Ermahnung, Abmahnung, Kündigung – die Eskalation steht. Frage ich dagegen, was die Analyse des letzten Vorfalls ergeben hat, wird es still. Der Weg in die Personalakte ist kürzer als der Weg zur Ursache.

🎯 Was soll eigentlich erreicht werden?

Regeln ohne Konsequenz sind Empfehlungen. ISO 27002 konkretisiert das: ein formales, kommuniziertes Verfahren – abgestuft nach Art, Schwere, Vorsatz, Wiederholung und Schulungsstand.

Das Phishing-Blame-Game

Fri, 21 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe simulierte Phishing-Mails, die auf das zielen, was Menschen bewegt: Gehaltsanpassung, Paketbenachrichtigung, Bitte der Geschäftsführung. Wer klickt, landet auf einer Seite mit rotem Balken, wird namentlich erfasst und zur Nachschulung eingeladen. Die Klickquote wandert als Fortschrittsbeleg ins Management-Reporting.

🎯 Was soll eigentlich erreicht werden?

Beschäftigte sollen Angriffe erkennen. ISO 27001:2022 fordert in A.6.3 Sicherheitsbewusstsein, und eine Simulation macht messbar, was eine Folienschulung nur behauptet.

Das Netz am selben Haken

Wed, 19 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe saubere Sicherungskonzepte: zweiter Standort, eigene Appliance, Kopie in der Cloud. Dann frage ich, wer darauf zugreifen darf. Meist dieselbe Administration, dieselbe Domäne, dieselben Konten – und in der Cloud dieselbe Control-Plane, die auch die Produktivdaten verwaltet.

🎯 Was soll eigentlich erreicht werden?

Das Backup ist das letzte Netz. ISO 27001 A.8.13 verlangt Sicherungen, ihren Schutz und regelmäßige Tests.

Die fremde Gewichtung

Fri, 14 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Schwachstellen bekommen einen CVSS-Wert, Bedrohungen eine DREAD-Summe, Risiken eine Farbe in der Matrix. Danach streiten alle über die Zahl, nie über den Weg dorthin. Ich habe früher selbst nach Score sortiert und das für Priorisierung gehalten.

🎯 Was soll eigentlich erreicht werden?

Vergleichbarkeit. Aus vielen Einzelmerkmalen soll eine Reihenfolge werden, an der sich Aufwand, Budget und Termine festmachen lassen.

Die eigene Phishing-Simulation

Wed, 12 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe dieses Muster in unterschiedlichen Organisationen. Die IT verschickt außerhalb der Geschäftszeiten eine Mail an alle Beschäftigten: dringend, kritisch, mit einer klaren Handlungsaufforderung. Eine zweite Stimme, die den Vorgang bestätigt, gibt es nicht. Wer die Nachricht öffnet, kann nicht prüfen, ob sie echt ist.

🎯 Was soll eigentlich erreicht werden?

Tempo. Eine kritische Lage duldet keinen Dienstweg, und alle sollen gleichzeitig erfahren, was zu tun ist. ISO 27001 verlangt in A.5.24 genau diese Reaktionsfähigkeit.

Die KI hat's geprüft

Fri, 07 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe Pull-Requests, in denen jede Zeile aus einem Modell stammt – auch das Review darunter. Ein Agent generiert, ein zweiter prüft, ein dritter schreibt die Zusammenfassung. Wer freigibt, liest meist nur diese Zusammenfassung.

🎯 Was soll eigentlich erreicht werden?

Die Prüfung soll mit der Produktion Schritt halten. Wenn KI den Code-Ausstoß vervielfacht, wird das menschliche Review zum Engpass – und dieser Engpass ist real, nicht wegzuorganisieren. NIST SSDF verlangt ohnehin nur, dass geprüft wird, nicht dass ein Mensch prüft.

Die SLA-Lücke

Wed, 05 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich lese, was IT und Fachbereich miteinander vereinbaren. Verfügbarkeit, Reaktionszeiten und Eskalationsstufen stehen dort auf die Minute genau. Sicherheit taucht hin und wieder auf – als Absichtserklärung. Wer verschlüsselt, wer härtet, wer Schwachstellen beobachtet und wer einen Vorfall bearbeitet, steht nirgends.

🎯 Was soll eigentlich erreicht werden?

Eine belastbare Leistungsbeziehung: Der Fachbereich weiß, was er bekommt, die IT weiß, was sie schuldet. ISO 27001 verlangt das in Clause 5.3 und konkretisiert es in Annex A 5.2: definierte und zugewiesene Rollen und Verantwortlichkeiten.

Warten auf den großen Wurf

Fri, 31 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe Vorhaben, die seit Monaten im Konzeptstatus feststecken. Das Berechtigungskonzept soll erst alle Sonderfälle abdecken, bevor die erste Rolle ausgerollt wird. Die Multifaktor-Authentifizierung wartet, bis die letzte Altanwendung sie unterstützt. Ich habe selbst schon so argumentiert.

🎯 Was soll eigentlich erreicht werden?

Der Anspruch ist ehrenwert. Wer eine Sicherheitsmaßnahme einführt, will sie nicht nach drei Wochen zurücknehmen – Halbfertiges erzeugt Lücken, Verwirrung und Widerstand.

Die stille Dauerduldung

Wed, 29 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Fast jede Organisation führt eine Liste genehmigter Ausnahmen. Ich finde dort Einträge ohne Ablaufdatum, begründet mit einer Migration, die vor zwei Jahren beginnen sollte. Eine im Mai 2026 veröffentlichte Befragung von 200 Sicherheitsverantwortlichen in den USA ergab: Alle Organisationen hatten in den vergangenen zwölf Monaten Ausnahmen erteilt, gut jede dritte auf informellem Weg.

🎯 Was soll eigentlich erreicht werden?

Eine Organisation muss handlungsfähig bleiben. Wenn eine Regel ein Vorhaben blockiert und der Aufwand den Nutzen übersteigt, ist die dokumentierte Ausnahme das richtige Instrument.

Die letzte Leitplanke

Fri, 24 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe Organisationen, die ihre KI-Anwendungen mit Leitplanken versehen und das Thema damit für abgeschlossen halten. Der Filterkatalog wächst, jeder bekannt gewordene Jailbreak bekommt seine eigene Regel. In der Freigabe steht dann: gegen Prompt-Injection abgesichert.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist berechtigt. Ein KI-System soll nur das tun, was die Organisation will. Keine Deepfakes, keine Schadsoftware, keine Bauanleitung für Biowaffen. Leitplanken sind der naheliegende Weg dorthin.

Bericht statt Beschluss

Wed, 22 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Einmal im Jahr entsteht ein Sicherheitsbericht: achtzig Seiten, Ampelgrafiken, Kennzahlen. Er geht per Mail an die Leitung, wird bestenfalls zur Kenntnis genommen und abgelegt. Im nächsten Audit dient er als Nachweis für die Managementbewertung.

🎯 Was soll eigentlich erreicht werden?

Die Leitung soll das ISMS bewerten: Passt es noch, wirkt es, wo muss nachgesteuert werden? ISO 27001 fordert das in Abschnitt 9.3 – und meint die oberste Führungsebene, nicht das Sicherheitsteam.

Sichtbar, aber blind

Fri, 17 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe, wie Organisationen Monitoring einrichten und das Problem der Erkennung damit für gelöst halten. SIEM steht, Logs fließen, Alarme sind konfiguriert. Die Frage, wie lange ein echter Angriff unentdeckt bliebe, stellt niemand.

🎯 Was soll eigentlich erreicht werden?

Zeitnahe Erkennung. Wer angreift, soll auffallen, bevor großer Schaden entsteht. Das BSI fordert für KRITIS genau das – ein System zur Angriffserkennung aus Protokollierung, Detektion und Reaktion.

Das macht man so

Wed, 15 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe, wie Maßnahmen eingeführt werden, weil sie als Best Practice gelten. Passwort-Rotation alle 30 Tage, ein weiteres Awareness-Modul, noch eine Richtlinie. Auf die Frage, welches Risiko das adressiert, kommt: „Das macht man so."

🎯 Was soll eigentlich erreicht werden?

Sicherheit durch Bewährtes – und das ist zunächst vernünftig. Manche Maßnahmen sind billig und erkennbar wirksam; sie jedes Mal neu herzuleiten wäre Verschwendung. Nicht jede Entscheidung ist eine eigene Analyse wert.

Der Gute-Nachrichten-Filter

Fri, 10 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe es immer wieder: Je höher eine Information in der Unternehmenshierarchie steigt, desto besser klingt sie. Was an der Basis ein offenes Sicherheitsproblem ist, wird auf jeder Ebene eine Spur geglättet. Oben kommt eine Lage an, die niemand mehr wiedererkennt.

🎯 Was soll eigentlich erreicht werden?

Führung will klare, entscheidungsreife Berichte – keine Panik, keine Rohdaten. Verdichtung ist legitim: Nicht jedes Detail gehört in den Vorstand.

Der übergriffige Auditor

Wed, 08 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Eine prüfende Person verlangt, alle Daten zu verschlüsseln – unabhängig vom Schutzbedarf. Eine andere besteht auf einer Richtlinie, die keine Norm fordert. Manche suchen so lange, bis sich eine Abweichung findet. Schon in meiner Ausbildung, vor zwanzig Jahren, lernte ich: Eine Abweichung zu finden ist leichter, als Sicherheit zu bestätigen. Die eigentliche Frage aber lautet nicht, ob sich eine Abweichung findet – sondern ob sie ein Risiko bedeutet. Persönliche Präferenz ersetzt den Maßstab der Norm.

Eins hochzählen genügt

Fri, 03 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Eine App sammelt Ausweise zur Altersprüfung und legt die Bilder an URLs ab, die schlicht durchnummeriert sind. Wer eine Mitglieds-ID um eins erhöht, sieht den nächsten Pass. Keine Anmeldung, keine Prüfung, wer da zugreift. Genau das ist im Juni beim Cannabis-Club-Dienstleister Nefos bekannt geworden.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist legitim: Altersverifikation und Mitgliederverwaltung. Schon das Mittel ist fragwürdig – vollständige Ausweise zu sammeln, setzt in Deutschland etwa das Personalausweisgesetz enge Grenzen, und für den reinen Altersnachweis gäbe es längst die eID. Doch das eigentliche Versagen liegt woanders.

Regeln auf Vorrat

Wed, 01 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Eine Richtlinie verlangt, den Bildschirm zu sperren – das System tut es längst nach fünf Minuten. Eine Regel schreibt vor, die Tür zum Serverraum zu schließen – die alle ohnehin zuziehen. Eine zwölfseitige Nutzungsvereinbarung unterschreiben alle, niemand liest sie. Ich erlebe, wie für fast jeden Fall eine Regel entsteht – meist zur Beschwichtigung der Prüfenden, selten zur Steuerung.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist legitim: Verlässlichkeit, Nachvollziehbarkeit, Schutz vor Willkür. Ein klarer Soll-Zustand schafft Orientierung; auf Missstände muss man reagieren dürfen.

Der Wiederherstellungs-Mythos

Fri, 26 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Backup-Konzepte sind Standard: Die Jobs laufen, die Reports sind grün, der Snapshot liegt in der Cloud. Nach einer Wiederherstellungsübung frage ich trotzdem meist vergeblich. Geprobt wird selten – und wenn, dann eine einzelne Datei, nie der kritische Geschäftsprozess.

🎯 Was soll eigentlich erreicht werden?

Backups sind das letzte Sicherheitsnetz: Wenn Ransomware alles verschlüsselt, stellt die Organisation ihre Systeme wieder her und bleibt handlungsfähig. ISO 27001 verlangt deshalb, die Wiederherstellung regelmäßig zu testen.

Die Drittanbieter-Blindheit

Wed, 24 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Das Lieferantenmanagement läuft: Fragebögen verschickt, Zertifikate geprüft, Risikoklassen vergeben. Dann frage ich, welche Geschäftsprozesse der Ausfall eines einzigen Anbieters trifft. Die Antwort beginnt mit Schweigen und endet in Excel-Archäologie.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 und NIS2 verlangen, Risiken aus Lieferantenbeziehungen zu steuern. Das eigentliche Ziel ist Resilienz: vorher wissen, was reißt, wenn ein Glied der Kette bricht.

Das Nilpferd am Tisch

Fri, 19 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe es immer wieder: Im Risiko-Workshop schätzt das Team Eintrittswahrscheinlichkeit und Schadenshöhe. Dann spricht die ranghöchste Person, und die Bewertung wandert in ihre Richtung. Das Muster hat einen Namen: HiPPO, die Highest Paid Person’s Opinion.

🎯 Was soll eigentlich erreicht werden?

Risikoentscheidungen brauchen Verantwortung, und die liegt zu Recht bei der Leitung. ISO 27001 legt die Akzeptanz von Restrisiken in die Hände der Risikoverantwortlichen – die Bewertung selbst soll Methode haben.

Der leere Stuhl

Wed, 17 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Stakeholder-Analysen listen Kundschaft, Regulatoren, Beschäftigte, Lieferanten. Lauter wohlgesonnene Parteien. Wer der Organisation schaden will, steht auf keiner dieser Listen. Sein Stuhl am Tisch bleibt leer.

🎯 Was soll eigentlich erreicht werden?

Die Analyse soll erfassen, wer die Organisation beeinflusst und was diese Parteien von ihr erwarten. ISO 27001 nennt das „interessierte Parteien".

⚠️ Warum funktioniert das nicht?

Niemand ist stärker am Ergebnis interessiert als die Angreifenden. Sie verfolgen ein Interesse, nur ein feindliches. Fehlen sie auf der Karte, leiten wir Maßnahmen aus freundlichen Erwartungen und Checklisten ab. Die Frage „Cui bono?" – wem nützt unser Schaden? – stellt niemand. So verteidigen wir gegen eine abstrakte Bedrohung statt gegen eine Ransomware-Gruppe mit Motiv, Fähigkeit und Absicht.

Mehr Deckblatt als Inhalt

Fri, 12 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich öffne eine Richtlinie und scrolle erst einmal. Deckblatt, Klassifizierungsstempel, Änderungshistorie, Freigabematrix, Verteilerliste – Seite um Seite. Die eigentliche Aussage steht in drei Sätzen, irgendwo hinter dem Verwaltungsapparat.

🎯 Was soll eigentlich erreicht werden?

Die Absicht ist legitim: ISO 27001 verlangt, dokumentierte Information zu lenken – Identifikation, Version, Freigabe, Nachvollziehbarkeit. Ohne diese Kontrolle ist ein Dokument wertlos.

⚠️ Warum funktioniert das nicht?

Weil die Norm Kontrolle verlangt, nicht Tabellen im Dokument. Clause 7.5 fordert, dass Version und Freigabe gelenkt werden – nicht, dass sie als Ballast die Seiten füllen. Wer die Metainformation in den Text presst, verwechselt das Dokument mit dem Dokumentenmanagement. Bei sechs Teilen Verwaltung auf einen Teil Inhalt liest niemand mehr bis zur Regel. Und was niemand liest, steuert kein Verhalten.

Die Nebenwirkung ohne Beipackzettel

Wed, 10 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ein Risiko wird behandelt, die Kennzahl färbt sich grün, das Register meldet Vollzug. Ich erlebe dann denselben Moment der Erleichterung – und dieselbe Lücke danach: Niemand prüft, welche neuen Risiken die Maßnahme selbst eingeführt hat.

🎯 Was soll eigentlich erreicht werden?

Die Absicht ist richtig: Ein erkanntes Risiko soll sinken, ein Schwachpunkt geschlossen werden. Risikobehandlung ist der Kern jedes ISMS.

Die Datenmonokultur

Fri, 05 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Viele Schwachstellen-Prozesse hängen an einer einzigen Quelle: der National Vulnerability Database. Werkzeuge gleichen Software gegen NVD-Daten ab, das Ergebnis landet ungeprüft im Report. Fehlt dort ein Eintrag, gilt die Komponente als unauffällig.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist legitim: maschinenlesbare, angereicherte Schwachstellendaten – CPE, CWE, CVSS – als Fundament für automatisiertes Scanning und SBOM-Abgleich. Über Jahre war die NVD dafür der De-facto-Standard.

Die seriöse Zahl

Wed, 03 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risiko-Workshops kommen Zahlen heraus, die wie Messungen aussehen: 23 % Eintrittswahrscheinlichkeit, 2,5 Mio. € Schaden. Niemand fragt, woher die Eingaben stammen. Die Zahl trägt ihre Herkunft nicht an sich.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar machen, Entscheidungen begründen. ISO/IEC 27001 verlangt in Abschnitt 6.1.2 b ein Verfahren, das wiederholt konsistente, valide und vergleichbare Ergebnisse liefert.

Die fertige Liste

Fri, 29 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Risikoworkshops enden mit einem gepflegten Register: Bedrohungen erfasst, Schwachstellen zugeordnet, Schäden geschätzt. Was nicht im Register steht, gilt als abgedeckt. Die nicht identifizierten Risiken hinterlassen keine Spur – also gibt es sie nicht.

🎯 Was soll eigentlich erreicht werden?

ISO/IEC 27001 verlangt in Abschnitt 6.1.2 b ein Verfahren, das wiederholt konsistente, valide und vergleichbare Ergebnisse liefert. Das Register soll Entscheidungen tragen, Ressourcen lenken und Verantwortung sichtbar machen.

Schulung aus der Konserve

Wed, 27 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Beschäftigte arbeiten sich durch eingekaufte Module. Begriffe heißen anders als bei uns: „Information Owner" statt „Datenverantwortliche". Meldewege gibt es nicht: „Vorfall an die Hotline". Empfehlungen widersprechen den eigenen Vorgaben: zwölf Zeichen, wo intern vierzehn gefordert sind oder Nutzung eines Buttons zur Meldung von Phishing wo keiner ausgerollt ist. Am Ende ein Bestätigungsklick.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Annex A.6.3 verlangt Sicherheitsbewusstsein passend zur Funktion. Eingekaufte Standardinhalte sparen Produktionsaufwand und decken den Pflichtkatalog ab.

Wenn jeder alles findet

Fri, 22 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

In M365-Umgebungen wächst Oversharing still: Zugriffsrechte werden breit geteilt und kaum je zurückgenommen. Jedes Projekt erstellt eine Teams-Site, jede Abteilung ihre SharePoint-Gruppe. Wer einmal Zugriff bekommt, behält ihn – nach Projektende, nach Rollenwechseln, nach Jahren. Die Organisation fokussiert sich auf privilegierte Zugänge und Admin-Accounts. Auf Endnutzerberechtigungen schaut niemand.

🎯 Was soll eigentlich erreicht werden?

Das Least-Privilege-Prinzip: Zugriff nur auf das, was gerade gebraucht wird. In der Praxis fragt man schneller nach neuem Zugriff, als Governance-Prozesse hinterherkommen.

Das strategische Hoch

Wed, 20 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Risikoworkshops enden mit Ampelfarben. „Hoch", „mittel", „niedrig" – ohne Zahlen, ohne Herleitung. Nicht weil Daten fehlen. Sondern weil „hoch" niemanden festlegt. Wer nie eine Zahl nennt, kann nie danebenliegen.

🎯 Was soll eigentlich erreicht werden?

Risiken sollen priorisierbar sein – über Zeit, über Personen, über Budgetentscheidungen hinweg.

⚠️ Warum funktioniert das nicht?

„Hoch" ist nicht falsifizierbar. Ein Risiko mit 5 % Wahrscheinlichkeit und 10 Mio. € Schaden ist „hoch". Eines mit 40 % und 200.000 € auch. Was kostet die Gegenmaßnahme – und lohnt sie sich für welches der beiden? Die Ampel kann diese Frage nicht beantworten. Sie schützt nicht vor dem Risiko. Sie schützt vor der Aussage.

Vibe Coding als Methode

Fri, 15 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Kickoffs höre ich neuerdings: „Das vibe-coden wir mit Lovable." Zwei Sätze später ist der Prototyp live, ohne Threat-Model, ohne Code-Review, ohne Dependency-Liste. Was die KI vorschlägt, gilt als gebaut, sobald das Gefühl stimmt.

🎯 Was soll eigentlich erreicht werden?

Schnellere Wertschöpfung. Wer in natürlicher Sprache prototypen kann, springt direkt von Idee zu Demo – ohne sechs Tickets, drei Reviews und eine SAST-Pipeline.

Apfel × Handtuch = Regen

Wed, 13 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

In jeder zweiten Risikomatrix multipliziert jemand Wahrscheinlichkeit mit Schadenshöhe. Aus „2 × 4 = 8" wird ein „mittleres Risiko", aus „3 × 3 = 9" ein „hohes". Die Ampel springt auf Rot, das Steuerungsgremium nickt.

🎯 Was soll eigentlich erreicht werden?

Risiken sollen vergleichbar werden. Eine Zahl, eine Farbe, eine Entscheidung. Die Risikomatrix gilt seit Jahrzehnten als pragmatische Standardmethode.

Compliance als Waffe

Fri, 08 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Manche Admins behandeln Security als Fremdkörper, obwohl sie für ihre Systeme operativ verantwortlich sind. Eine Spielart: Passivität – keine Patches, keine Härtung, keine Initiative. Die andere: das ISMS soll detaillierte Umsetzungsvorgaben liefern, die Admins folgen wörtlich, das System knirscht, der Beweis steht – diese Security-Leute verstehen nichts.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Annex A.5.4 fordert: Beschäftigte sollen Informationssicherheit aktiv anwenden, nicht abnicken. Operative Sicherheit liegt bei denen, die das System betreiben; das ISMS gibt Rahmen, keine Bedienungsanleitung.

Richtlinien für alle – Richtlinien für keinen

Wed, 06 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Jährlich landen bei allen Beschäftigten dieselben Richtlinien im Posteingang. Die Entwicklerin liest die Sicherheitsrichtlinie für physische Aktenräume. Der Buchhalter liest die Patch-Management-Policy. Manche Systeme erzwingen Mindestlesezeiten, damit niemand überspringt. Das Ergebnis: ein grünes Häkchen, kein Wissenszuwachs.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Annex A.6.3 fordert Sicherheitsbewusstsein für Beschäftigte mit relevantem Informationszugang. Der Nachweis ist einfach: Bestätigungsquote 100 %, Auditor zufrieden.

Der kognitive Exploit

Fri, 01 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Russland greift Abgeordnete im Deutschen Bundestag via Signal an – nicht die App, sondern die Nutzenden. Gefälschte Support-Nachrichten fordern PIN oder QR-Code-Scan. MFA-Prompt-Bombing funktioniert genauso: dreißig Anfragen, eine falsch bestätigt. Kein technischer Exploit. Ein Verständnisexploit.

🎯 Was soll eigentlich erreicht werden?

Vertrauliche Kommunikation soll vertraulich bleiben, Zugänge vor Übernahme geschützt sein. Ende-zu-Ende-Verschlüsselung, MFA und sichere Messenger erfüllen genau diesen Zweck – technisch einwandfrei.

Die Sicherheitsinventur

Wed, 29 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risk-Workshops werden Assets der Reihe nach durchgegangen: Schwachstellen-Scans, Bedrohungskataloge, Einstufungen nach Vertraulichkeit, Integrität und Verfügbarkeit. Das nennt sich Risikoidentifikation. Das Ergebnis ist eine priorisierte Schwachstellenliste – kein Risikoregister.

🎯 Was soll eigentlich erreicht werden?

Risiken systematisch identifizieren und priorisieren. ISO 31000 und ISO 27001 fordern genau das. Nur die Methode – Asset-Inventur plus Bedrohungsabgleich – führt nicht dorthin.

Goodhart's Falle

Fri, 24 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Security-Dashboards quellen über: Patch-Rate, offene Findings, Mean Time to Detect, Awareness-Klickrate. Ich frage in solchen Besprechungen manchmal: Welche Entscheidung würde sich ändern, wenn dieser Wert um 10 Prozent schlechter wäre? Die Antwort ist oft Schweigen.

🎯 Was soll eigentlich erreicht werden?

Messgrößen sollen Entscheidungen verbessern – besser priorisieren, besser investieren, echtes Risiko sichtbar machen. Douglas Hubbard definiert Messen als Reduktion von Unsicherheit durch Beobachtung: Die Zahl hilft, eine Entscheidung anders zu treffen.

Risiko ohne Ziel

Wed, 22 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risk-Workshops sehe ich regelmäßig dasselbe Muster: Risiken werden bewertet, priorisiert, mit Controls versehen. Vorher hat niemand gefragt, welche Geschäftsziele auf dem Spiel stehen. Das Risikoregister ist korrekt ausgefüllt – und völlig kontextlos.

🎯 Was soll eigentlich erreicht werden?

Risikomanagement soll Entscheidungen ermöglichen: Welche Risiken akzeptiere ich, welche behandle ich zuerst? ISO 31000 definiert Risiko als „Auswirkung von Unsicherheit auf Ziele" – die Bewertung setzt damit voraus, dass Ziele existieren.

Die unsichtbaren Stakeholder

Fri, 17 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

ISMS-Projekte starten mit Scope, Maßnahmen und Richtlinien. ISO 27001 Clause 4.2 – die Analyse interessierter Parteien – wird dabei oft als Formalie abgehakt: eine Liste mit Regulatoren, Kunden und Lieferanten. Was diese konkret erwarten, weiß niemand – und so richtig interessiert es auch niemanden.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Clause 4.2 verlangt: Wer sind die interessierten Parteien – und welche Anforderungen stellen sie? Externe Erwartungen sind der Ausgangspunkt – nicht das Anhängsel.

Magic Security Dust

Wed, 15 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Features werden entwickelt, dann kommt Security als letzter Schritt. WAF davor, TLS drauf, Audit-Log angehängt – fertig. Design-Entscheidungen wie hartcodierte Credentials, fehlende Authentifizierung oder unnötige Netzwerkzugriffe sind dabei bereits in Stein gemeißelt.

🎯 Was soll eigentlich erreicht werden?

Sicherheit. Compliance. Vertrauen. CISA fordert in seinen Secure-by-Design-Prinzipien genau das: Security muss eingebettet sein – nicht als Schicht obendrauf. Die Idee ist richtig. Die Umsetzung kommt meist zu spät.

Die KI-Richtlinie

Fri, 10 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Policies für ISO 27001 werden mit KI-Tools generiert: korrekt formatiert, mit den richtigen Klauseln. Risikoabschätzungen folgen demselben Muster. Im Audit kommt die Frage: „Warum ist dieses Risiko so bewertet worden?" – und niemand kann antworten. Nicht weil Dokumentation fehlt, sondern weil kein Mensch die Bewertung tatsächlich durchgeführt hat.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 verlangt Richtlinien und Risikoabschätzungen, die den Organisationskontext widerspiegeln – als Grundlage für echte Sicherheitsentscheidungen, nicht als Compliance-Nachweis.

Die Angstmaschine

Wed, 08 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Sicherheitspräsentationen beginnen mit den schlimmsten Vorfällen des Quartals. Budgetanfragen enden mit „wenn das passiert, ist alles verloren." Bedrohungslisten ohne Wahrscheinlichkeit, ohne Kontext. Angst ist das implizite Kommunikationsmodell geworden.

🎯 Was soll eigentlich erreicht werden?

Entscheidende sollen Security ernst nehmen und Investitionen freigeben. Das Ziel ist berechtigt – Sicherheit braucht Ressourcen und Aufmerksamkeit.

⚠️ Warum funktioniert das nicht?

Kelly Shortridge analysierte das spieltheoretische Dilemma: Wer Angst verkauft, bekommt Budget – kurzfristig. Langfristig lernt das Management, dass „kritisch" die Standardeinstellung ist. Andrew Jaquith nannte das schon 2007 FUD: Fear, Uncertainty and Doubt ist das Fundament der Security-Industrie – und produziert ein Management, das gelernt hat, Sicherheitskommunikation zu misstrauen. Angstgetriebene Kommunikation erzeugt keine Entscheidungshaltung. Sie erzeugt Taubheit.

Der Agent darf alles

Fri, 03 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

KI-Agenten kommen mit Produktions-Credentials, Datenbankzugängen und Admin-Rechten ausgestattet. Die Argumentation: Einschränkungen kosten Zeit, und der Agent soll ja Dinge erledigen. Was ich sehe, sind Systeme, in denen ein autonomes System mit mehr Rechten läuft als die meisten menschlichen Beschäftigten.

🎯 Was soll eigentlich erreicht werden?

Agenten sollen Aufgaben selbständig lösen – ohne ständige menschliche Intervention. Das ist legitim; KI-Agenten werden in Entwicklung, Betrieb und Security-Operations zunehmend eingesetzt.

Der Nestbeschmutzer

Wed, 01 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Anbieter-Portfolios wachsen. Threat-Reports erscheinen quartalsweise. Breaches werden zu Verkaufsargumenten. Und ein Consulting-Projekt, das nach drei Monaten endet, gilt intern als Misserfolg – obwohl es das Beste sein könnte, was einer Organisation passiert.

🎯 Was soll eigentlich erreicht werden?

Organisationen sollen sicherer werden – und unabhängig bleiben. Das ist das erklärte Ziel jedes Anbieters, jeder Beratung, jedes Standards-Komitees.

⚠️ Warum funktioniert das nicht?

Ross Anderson zeigte 2001: Informationssicherheit scheitert so oft an Fehlanreizen wie an Technik. Für Anbieter ist das Nash-Gleichgewicht bekannt – Kelly Shortridge hat es formalisiert: Wer eine Bedrohungskategorie eliminiert, eliminiert sein Produktsegment. Für Beratende gilt etwas Subtileres. Wer ein ISMS schlank konzipiert, Wissen überträgt und nach drei Monaten statt achtzehn verschwindet, hat die beste Arbeit geleistet – und den kleinsten Umsatz erzielt. Die Logik ist wie beim Doping: individuell rational, systemisch destruktiv. Niemand plant das.

Das SBOM-Feigenblatt

Fri, 27 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Zwei Versäumnisse, oft gleichzeitig: Ein SBOM wird einmalig erzeugt – nicht für jeden Build. Welche Komponentenversionen im letzten Release stecken? Unbekannt. Und selbst wo SBOMs existieren, werden sie nicht beobachtet. Ein neuer CVE für eine enthaltene Komponente bleibt unsichtbar – bis jemand zufällig nachschaut.

🎯 Was soll eigentlich erreicht werden?

Zwei Dinge: wissen, was deployed ist – und wissen, ob das noch sicher ist. Der SBOM beantwortet die erste Frage: Er dokumentiert Komponentenversionen eines Builds. Die zweite beantwortet er nur, wenn er kontinuierlich gegen Schwachstellendatenbanken geprüft wird.

Security-Team: Toll, ein anderer macht's

Wed, 25 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Die IT fragt das Informationssicherheitsteam: „Wie genau sollen wir das umsetzen?" Entwicklungsteams öffnen Tickets und warten auf Freigabe. Führungskräfte eskalieren Entscheidungen, die sie selbst treffen könnten. Das ist kein böser Wille – es ist eine eingespielte Haltung: Wer ein Security-Team hat, hat Security.

🎯 Was soll eigentlich erreicht werden?

Security als Eigenschaft aller Prozesse und Entscheidungen – getragen von allen Beteiligten, nicht delegiert an ein Silo. Genau das fordern ISO 27001 und jede ernstzunehmende Security-Strategie.

Hire a Hero

Fri, 20 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Die Stelle ist ausgeschrieben, das Organigramm aktualisiert, die Pressemitteilung fertig. Die Organisation hat einen CISO – damit ist Cybersicherheit geregelt. Im besten Fall bringt der CISO auch noch Magical Security Dust mit. Hire a Hero: Expertise einkaufen, Verantwortung abgeben, fertig.

🎯 Was soll eigentlich erreicht werden?

Cyber-Risiken professionell managen. Sicherheitsverantwortung verankern – nicht bei einer Person, sondern dort, wo täglich Entscheidungen mit Sicherheitsrelevanz fallen.

Einmal bewertet, für immer gültig

Wed, 18 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Risikobewertungen entstehen einmal im Jahr vor dem Audit. Danach ruhen sie im Register. Zwischendurch passiert ein Vorfall in der Branche, eine neue Schwachstelle wird bekannt, die Bedrohungslage ändert sich. Neue Services gehen live, IT-Systeme werden migriert, Abteilungen umstrukturiert. Die Bewertungen bleiben, wie sie sind.

🎯 Was soll eigentlich erreicht werden?

Ein aktuelles Lagebild der Risikosituation.

⚠️ Warum funktioniert das nicht?

Eine Wahrscheinlichkeitsschätzung ist kein Foto, das man einmal macht und einrahmt. Sie spiegelt den Wissensstand zum Zeitpunkt der Bewertung. Neue Informationen verändern diesen Wissensstand. Wer das ignoriert, trifft Entscheidungen auf Basis veralteter Annahmen.

Das abgeschlossene Bedrohungsmodell

Fri, 13 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Die Threat-Modeling-Session liegt sechs Monate zurück. Damals war die Architektur überschaubar, die Abhängigkeiten bekannt. Seitdem kam ein neuer Cloud-Provider dazu, drei Bibliotheken wurden ausgetauscht, und die Auslieferungspipeline hat neue Wege in die Produktion bekommen. Das Bedrohungsmodell weiß davon nichts.

🎯 Was soll eigentlich erreicht werden?

Threat Modeling soll Angriffsflächen sichtbar machen, bevor Angreifer sie finden. Das Threat Modeling Manifesto fordert Continuous Refinement: Das Bedrohungsmodell muss parallel zum System gepflegt, aktualisiert und verfeinert werden – nicht einmalig erstellt und abgelegt.

Das eine Risikomaß

Wed, 11 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Jedes Security-Dashboard zeigt Risiko-Scores. CVSS, Risk-Index, Risikorating – alles landet auf einer Skala. Die Ampel springt auf Rot, der Score überschreitet 7,5, also wird priorisiert. Wessen Abweichung von welchem Ziel dabei gemeint ist, fragt niemand.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar und priorisierbar machen. Entscheidungstragende sollen auf einen Blick sehen, was kritisch ist – und Investitionen dorthin lenken, wo der Handlungsbedarf am größten ist.

Die unmessbaren Versprechen

Fri, 06 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

In vielen Notfallhandbüchern stehen sie: RTO von vier Stunden, RPO von einer Stunde. Präzise dokumentiert, sorgfältig abgestimmt, nie getestet. Diese Zielwerte entstammen der Business-Impact-Analyse – und dort sind sie geblieben. Ein Versprechen, das niemand einlösen muss, solange kein Ernstfall eintritt.

🎯 Was soll eigentlich erreicht werden?

RTO und RPO sind keine Kennzahlen für das Notfallhandbuch – sie sind operative Zusagen. ISO 22301 versteht sie als messbare Zielwerte, die Strategie, Infrastruktur und regelmäßige Tests voraussetzen.

Der Festungs-Irrtum

Wed, 04 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Sicherheitsbudgets fließen mehrheitlich in Prävention: Firewalls, EDR, Zugangskontrollen. Wer fragt, was passiert, wenn ein Angreifer trotzdem durchkommt, bekommt oft keine klare Antwort – manchmal gar keine.

🎯 Was soll eigentlich erreicht werden?

Angriffe verhindern, Daten schützen, Schäden abwenden. Ein legitimes Ziel – aber als alleinige Strategie zu eng gedacht.

⚠️ Warum funktioniert das nicht?

Angreifende müssen nur einmal erfolgreich sein. Wer alles in die Mauern investiert, hat nichts für den Moment, in dem sie fallen. Ransomware-Gruppen wählen gezielt Organisationen ohne Wiederherstellungsfähigkeit: Ausfall erzeugt Druck, Druck erzeugt Zahlung. WEF 2026: 17 % der Organisationen berichten über unzureichende Resilienz.

Punktlandung im Nebel

Fri, 27 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

Im Risk-Register steht: Eintrittswahrscheinlichkeit 30%. Schadenshöhe 250.000 Euro. Zwei Nachkommastellen Genauigkeit, null Nachkommastellen Ehrlichkeit. Niemand fragt, wie sicher sich die schätzende Person bei diesen Zahlen ist.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar und priorisierbar machen.

⚠️ Warum funktioniert das nicht?

Ein einzelner Punktwert suggeriert eine Präzision, die nicht existiert. Wer “30%” sagt, meint vielleicht “irgendwo zwischen 10% und 50%”. Diesen Unterschied verschluckt die Zahl. Entscheidungstragende treffen auf dieser Basis Investitionsentscheidungen - ohne zu wissen, wie dünn das Eis ist.

Einmal bewertet, für immer gültig

Wed, 25 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

🎯 Was soll eigentlich erreicht werden?

Ein aktuelles Lagebild der Risikosituation.

⚠️ Warum funktioniert das nicht?

Ohne Daten keine Wahrscheinlichkeit

Fri, 20 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

“Wir können keine Wahrscheinlichkeiten angeben - uns fehlen die statistischen Daten.” Diesen Satz höre ich in fast jedem Risk-Assessment-Workshop. Die Folge: Risiken werden gar nicht bewertet oder mit bedeutungslosen Kategorien wie “mittel” versehen.

🎯 Was soll eigentlich erreicht werden?

Eine fundierte Einschätzung, wie plausibel der Eintritt eines Risikos ist.

⚠️ Warum funktioniert das nicht?

Wer auf objektive Statistiken wartet, wartet bei singulären Risiken für immer. Die nächste Ransomware-Attacke auf genau diese Organisation ist kein wiederholbares Zufallsexperiment. Objektive Häufigkeiten helfen hier nicht weiter. Also passiert nichts - oder jemand schätzt ohne Methode.

Babylonische Sprachverwirrung im Risikomanagement

Wed, 18 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

Zehn Leute bewerten Risiken im Workshop. Drei meinen mit “Risiko” die Eintrittswahrscheinlichkeit, zwei den Schaden, der Rest irgendetwas dazwischen. Alle nicken. Niemand meint dasselbe.

🎯 Was soll eigentlich erreicht werden?

Eine gemeinsame Risikobewertung. Eine Sprache, vergleichbare Ergebnisse.

⚠️ Warum funktioniert das nicht?

ISO 31000 definiert Risiko als “Auswirkung von Unsicherheit auf Ziele”. NIST spricht von Threats und Vulnerabilities. FAIR zerlegt Risiko in Loss Event Frequency und Loss Magnitude. Alle bringen ihr Framework im Kopf mit. Niemand legt die Karten auf den Tisch. Das Ergebnis: Ein Risk-Register voller Bewertungen, die nicht vergleichbar sind.