---
title: "Das macht man so"
date: 2026-07-15T07:35:00+02:00
draft: false
image: "2026-07-15_Das-macht-man-so.jpg"
tags: ["Anti-Pattern", "ISMS", "Sicherheitskultur", "Risikomanagement"]
description: "Best Practices ohne Risikofrage werden zu Ritualen ohne Wirkung. Was billig wirkt, anwenden; Teures und Zweifelhaftes prüfen."
---

## 🔍 Was beobachte ich?

Ich sehe, wie Maßnahmen eingeführt werden, weil sie als Best Practice gelten. Passwort-Rotation alle 30 Tage, ein weiteres Awareness-Modul, noch eine Richtlinie. Auf die Frage, welches Risiko das adressiert, kommt: „Das macht man so."

## 🎯 Was soll eigentlich erreicht werden?

Sicherheit durch Bewährtes – und das ist zunächst vernünftig. Manche Maßnahmen sind billig und erkennbar wirksam; sie jedes Mal neu herzuleiten wäre Verschwendung. Nicht jede Entscheidung ist eine eigene Analyse wert.

## ⚠️ Warum funktioniert das nicht?

Das Problem beginnt, wo „das macht man so" die einzige Begründung ist. Phil Venables nennt das „ceremonial security": Maßnahmen imitieren die Form von Sicherheit, ohne ihre Wirkung zu erzeugen – wie ein Cargo-Kult, der Landebahnen nachbaut und auf Flugzeuge wartet. Bleibt die Wirkung aus, glaubt die Organisation, sie habe das Ritual nicht gründlich genug vollzogen – statt zu fragen, ob es das falsche ist. Manche Rituale kehren ihren Zweck sogar um: Die erzwungene Passwort-Rotation verschlechtert nachweislich die Passwortqualität.

## 💡 Was funktioniert besser?

Es geht nicht darum, jede Maßnahme zu zerreden. Was billig ist und erkennbar wirkt, wendet man an – ohne Zeremonie. Der Prüfaufwand lohnt dort, wo die Maßnahme teuer, riskant oder zweifelhaft ist: Welche Bedrohung, welches Asset, welcher Schaden? So richtet sich die Skepsis nach dem Einsatz, nicht nach Gewohnheit – und tote Rituale fallen auf, weil niemand ihre Wirkung mehr belegen kann.

## 📚🔍

- Phil Venables: Ceremonial Security and Cargo Cults [https://www.philvenables.com/post/ceremonial-security-and-cargo-cults](https://www.philvenables.com/post/ceremonial-security-and-cargo-cults)
- The Cargo Cult of Cybersecurity (KuppingerCole) [https://www.kuppingercole.com/blog/balaganski/the-cargo-cult-of-cybersecurity](https://www.kuppingercole.com/blog/balaganski/the-cargo-cult-of-cybersecurity)
- NIST SP 800-63-4 – Digital Identity Guidelines (Rev. 4, 2025; gegen erzwungene Passwortwechsel) [https://pages.nist.gov/800-63-4/](https://pages.nist.gov/800-63-4/)