🔍 Was beobachte ich?

Anbieter-Portfolios wachsen. Threat-Reports erscheinen quartalsweise. Breaches werden zu Verkaufsargumenten. Und ein Consulting-Projekt, das nach drei Monaten endet, gilt intern als Misserfolg – obwohl es das Beste sein könnte, was einer Organisation passiert.

🎯 Was soll eigentlich erreicht werden?

Organisationen sollen sicherer werden – und unabhĂ€ngig bleiben. Das ist das erklĂ€rte Ziel jedes Anbieters, jeder Beratung, jedes Standards-Komitees.

⚠ Warum funktioniert das nicht?

Ross Anderson zeigte 2001: Informationssicherheit scheitert so oft an Fehlanreizen wie an Technik. FĂŒr Anbieter ist das Nash-Gleichgewicht bekannt – Kelly Shortridge hat es formalisiert: Wer eine Bedrohungskategorie eliminiert, eliminiert sein Produktsegment. FĂŒr Beratende gilt etwas Subtileres. Wer ein ISMS schlank konzipiert, Wissen ĂŒbertrĂ€gt und nach drei Monaten statt achtzehn verschwindet, hat die beste Arbeit geleistet – und den kleinsten Umsatz erzielt. Die Logik ist wie beim Doping: individuell rational, systemisch destruktiv. Niemand plant das.

💡 Was funktioniert besser?

FĂŒr Anbieter: Ergebnismetriken statt Produktmetriken. FĂŒr Beratende bleibt Reputation. Wer dafĂŒr bekannt ist, schnell, sauber und ohne FolgeabhĂ€ngigkeit zu liefern, kann höhere TagessĂ€tze rechtfertigen – und ist trotzdem gĂŒnstiger als ein 18-Monats-Projekt. Das ist kein Abrechnungsmodell. Es ist eine Haltung.

📚🔍