Das macht man so

🔍 Was beobachte ich?
Ich sehe, wie Maßnahmen eingeführt werden, weil sie als Best Practice gelten. Passwort-Rotation alle 30 Tage, ein weiteres Awareness-Modul, noch eine Richtlinie. Auf die Frage, welches Risiko das adressiert, kommt: „Das macht man so."
🎯 Was soll eigentlich erreicht werden?
Sicherheit durch Bewährtes – und das ist zunächst vernünftig. Manche Maßnahmen sind billig und erkennbar wirksam; sie jedes Mal neu herzuleiten wäre Verschwendung. Nicht jede Entscheidung ist eine eigene Analyse wert.
⚠️ Warum funktioniert das nicht?
Das Problem beginnt, wo „das macht man so" die einzige Begründung ist. Phil Venables nennt das „ceremonial security": Maßnahmen imitieren die Form von Sicherheit, ohne ihre Wirkung zu erzeugen – wie ein Cargo-Kult, der Landebahnen nachbaut und auf Flugzeuge wartet. Bleibt die Wirkung aus, glaubt die Organisation, sie habe das Ritual nicht gründlich genug vollzogen – statt zu fragen, ob es das falsche ist. Manche Rituale kehren ihren Zweck sogar um: Die erzwungene Passwort-Rotation verschlechtert nachweislich die Passwortqualität.
💡 Was funktioniert besser?
Es geht nicht darum, jede Maßnahme zu zerreden. Was billig ist und erkennbar wirkt, wendet man an – ohne Zeremonie. Der Prüfaufwand lohnt dort, wo die Maßnahme teuer, riskant oder zweifelhaft ist: Welche Bedrohung, welches Asset, welcher Schaden? So richtet sich die Skepsis nach dem Einsatz, nicht nach Gewohnheit – und tote Rituale fallen auf, weil niemand ihre Wirkung mehr belegen kann.
📚🔍
- Phil Venables: Ceremonial Security and Cargo Cults https://www.philvenables.com/post/ceremonial-security-and-cargo-cults
- The Cargo Cult of Cybersecurity (KuppingerCole) https://www.kuppingercole.com/blog/balaganski/the-cargo-cult-of-cybersecurity
- NIST SP 800-63-4 – Digital Identity Guidelines (Rev. 4, 2025; gegen erzwungene Passwortwechsel) https://pages.nist.gov/800-63-4/