🔍 Was beobachte ich?

Ich sehe, wie Maßnahmen eingeführt werden, weil sie als Best Practice gelten. Passwort-Rotation alle 30 Tage, ein weiteres Awareness-Modul, noch eine Richtlinie. Auf die Frage, welches Risiko das adressiert, kommt: „Das macht man so."

🎯 Was soll eigentlich erreicht werden?

Sicherheit durch Bewährtes – und das ist zunächst vernünftig. Manche Maßnahmen sind billig und erkennbar wirksam; sie jedes Mal neu herzuleiten wäre Verschwendung. Nicht jede Entscheidung ist eine eigene Analyse wert.

⚠️ Warum funktioniert das nicht?

Das Problem beginnt, wo „das macht man so" die einzige Begründung ist. Phil Venables nennt das „ceremonial security": Maßnahmen imitieren die Form von Sicherheit, ohne ihre Wirkung zu erzeugen – wie ein Cargo-Kult, der Landebahnen nachbaut und auf Flugzeuge wartet. Bleibt die Wirkung aus, glaubt die Organisation, sie habe das Ritual nicht gründlich genug vollzogen – statt zu fragen, ob es das falsche ist. Manche Rituale kehren ihren Zweck sogar um: Die erzwungene Passwort-Rotation verschlechtert nachweislich die Passwortqualität.

💡 Was funktioniert besser?

Es geht nicht darum, jede Maßnahme zu zerreden. Was billig ist und erkennbar wirkt, wendet man an – ohne Zeremonie. Der Prüfaufwand lohnt dort, wo die Maßnahme teuer, riskant oder zweifelhaft ist: Welche Bedrohung, welches Asset, welcher Schaden? So richtet sich die Skepsis nach dem Einsatz, nicht nach Gewohnheit – und tote Rituale fallen auf, weil niemand ihre Wirkung mehr belegen kann.

📚🔍