In welcher Welt spielen wir

❓ Die Frage, die wir überspringen

Wir behandeln Informationssicherheit gern als Ingenieursdisziplin. Risiken werden identifiziert, in einer Matrix bewertet, in ein Register überführt, behandelt. Das funktioniert erstaunlich oft. Und manchmal versagt es vollständig – obwohl die Methode sauber angewandt wurde. Die Frage, die wir selten stellen, lautet: Warum eigentlich?

🔍 Die erste Antwort

Weil nicht jedes Problem dieselbe Art von Problem ist. Dave Snowdens Cynefin-Modell unterscheidet Problemwelten. Im Klaren gibt es bewährte Praxis – Härtungs-Checklisten, klare Ursache und Wirkung. Im Komplizierten helfen Fachwissen und Analyse; hier sind unsere Risikomatrizen und Register zu Hause, hier gibt es eine richtige Antwort, man muss sie nur finden. Doch ein lernender Angreifer, eine verzweigte Lieferkette, ein über Jahre gewachsenes Systemgefüge gehören nicht hierher. Sie sind komplex: Ursache und Wirkung zeigen sich erst im Nachhinein.

⚡ Die unbequeme Folgefrage

Wenn unsere Methoden für das Komplizierte gebaut sind – was tun wir im Komplexen? Dort trägt keine Vorab-Analyse, weil sich das System mit jeder Maßnahme verändert. Hier zählt das Tasten: kleine, sichere Experimente, beobachten, anpassen. Probieren statt planen. Und im Chaotischen, mitten im laufenden Vorfall, zählt zuerst Handeln, dann Analyse. Wer hier auf die perfekte Bewertung wartet, hat schon verloren. Woher aber weiß ich, in welcher Welt ich gerade stehe?

🎯 Die Antwort, die bleibt

Genau das ist die gefährlichste Frage – weil wir sie überspringen. Snowden nennt die Mitte seines Modells die Verwirrung: den Zustand, in dem wir nicht erkennen, welche Welt vor uns liegt, und reflexhaft zum vertrauten Werkzeug greifen. Wer aus der Analyse kommt, rechnet. Wer aus der Compliance kommt, dokumentiert. Wer aus dem Notfall kommt, handelt. Jede Prägung greift zu ihrem Lieblingswerkzeug, ganz gleich, welches Problem auf dem Tisch liegt. Der eigentliche Fehler im Risikomanagement ist selten das falsche Werkzeug. Es ist, die Landkarte nie aufgeschlagen zu haben.

📚🔍

• Cynefin-Framework – Überblick und Quellen (Wikipedia) https://en.wikipedia.org/wiki/Cynefin_framework
• The Cynefin Co – Über das Cynefin-Framework https://thecynefin.co/
• SRA Glossary (Aven et al.) – epistemische vs. aleatorische Ungewissheit https://www.sra.org/wp-content/uploads/2020/04/SRA-Glossary-FINAL.pdf