🔍 Was beobachte ich?

Ich sehe Vorhaben, die seit Monaten im Konzeptstatus feststecken. Das Berechtigungskonzept soll erst alle Sonderfälle abdecken, bevor die erste Rolle ausgerollt wird. Die Multifaktor-Authentifizierung wartet, bis die letzte Altanwendung sie unterstützt. Ich habe selbst schon so argumentiert.

🎯 Was soll eigentlich erreicht werden?

Der Anspruch ist ehrenwert. Wer eine Sicherheitsmaßnahme einführt, will sie nicht nach drei Wochen zurücknehmen – Halbfertiges erzeugt Lücken, Verwirrung und Widerstand.

⚠️ Warum funktioniert das nicht?

Weil der Vergleich unfair ist: Wir vergleichen nicht mit dem Zustand von heute, sondern mit einer Ideallösung, die nirgends existiert. Wer eine Maßnahme verwirft, weil ein Restproblem bleibt, verwirft jede Maßnahme – die Logik kennt das als Trugschluss der perfekten Lösung. Harold Demsetz nannte ihn 1969 den Nirvana-Ansatz. John Gall hat 1975 die Kehrseite beschrieben: Jedes funktionierende komplexe System ist aus einem einfacheren entstanden, das funktionierte. Am Reißbrett entworfene Gesamtlösungen funktionieren nicht. Der große Wurf ist damit nicht nur der langsamere Weg, sondern der unwahrscheinlichere. Und solange wir am Konzept schreiben, bleibt das Risiko, wo es ist – nur unterschreibt diese Entscheidung niemand.

💡 Was funktioniert besser?

ISO 27001:2022 hat die Antwort eingebaut: 10.1 verlangt fortlaufende Verbesserung, nicht den perfekten Erstentwurf. Womit klein anfangen? Dafür gibt es fertige Mindeststandards – die 56 Safeguards der CIS-Implementierungsgruppe 1 (IG1) oder die 25 Kontrollen des Minimum Viable Secure Product. Und ich gebe einem Konzept lieber ein Enddatum als einen Vollständigkeitsanspruch.

Die perfekte Lösung schützt niemanden, solange sie ein Dokument ist. Fertig schlägt perfekt.

📚🔍