---
title: "Warten auf den großen Wurf"
date: 2026-07-31T07:35:00+02:00
draft: false
image: "2026-07-31_Grosser-Wurf.jpg"
tags: ["Anti-Pattern", "ISMS", "ISO 27001", "CIS Controls"]
description: "Wer auf die perfekte Lösung wartet, schützt niemanden. Der große Wurf ist der unwahrscheinlichere Weg."
---

## 🔍 Was beobachte ich?

Ich sehe Vorhaben, die seit Monaten im Konzeptstatus feststecken. Das Berechtigungskonzept soll erst alle Sonderfälle abdecken, bevor die erste Rolle ausgerollt wird. Die Multifaktor-Authentifizierung wartet, bis die letzte Altanwendung sie unterstützt. Ich habe selbst schon so argumentiert.

## 🎯 Was soll eigentlich erreicht werden?

Der Anspruch ist ehrenwert. Wer eine Sicherheitsmaßnahme einführt, will sie nicht nach drei Wochen zurücknehmen – Halbfertiges erzeugt Lücken, Verwirrung und Widerstand.

## ⚠️ Warum funktioniert das nicht?

Weil der Vergleich unfair ist: Wir vergleichen nicht mit dem Zustand von heute, sondern mit einer Ideallösung, die nirgends existiert. Wer eine Maßnahme verwirft, weil ein Restproblem bleibt, verwirft jede Maßnahme – die Logik kennt das als Trugschluss der perfekten Lösung. Harold Demsetz nannte ihn 1969 den Nirvana-Ansatz. John Gall hat 1975 die Kehrseite beschrieben: Jedes funktionierende komplexe System ist aus einem einfacheren entstanden, das funktionierte. Am Reißbrett entworfene Gesamtlösungen funktionieren nicht. Der große Wurf ist damit nicht nur der langsamere Weg, sondern der unwahrscheinlichere. Und solange wir am Konzept schreiben, bleibt das Risiko, wo es ist – nur unterschreibt diese Entscheidung niemand.

## 💡 Was funktioniert besser?

ISO 27001:2022 hat die Antwort eingebaut: 10.1 verlangt fortlaufende Verbesserung, nicht den perfekten Erstentwurf. Womit klein anfangen? Dafür gibt es fertige Mindeststandards – die 56 Safeguards der CIS-Implementierungsgruppe 1 (IG1) oder die 25 Kontrollen des Minimum Viable Secure Product. Und ich gebe einem Konzept lieber ein Enddatum als einen Vollständigkeitsanspruch.

Die perfekte Lösung schützt niemanden, solange sie ein Dokument ist. Fertig schlägt perfekt.

## 📚🔍

- Nirvana Fallacy – der Trugschluss der perfekten Lösung (Wikipedia) [https://en.wikipedia.org/wiki/Nirvana_fallacy](https://en.wikipedia.org/wiki/Nirvana_fallacy)
- John Gall, Systemantics (1975) – Gall's Law im Original (Wikiquote) [https://en.wikiquote.org/wiki/John_Gall](https://en.wikiquote.org/wiki/John_Gall)
- ISO 27001 Clause 10.1: Continual Improvement (ISMS.online) [https://www.isms.online/iso-27001/requirements-2022/10-1-continual-improvement-2022/](https://www.isms.online/iso-27001/requirements-2022/10-1-continual-improvement-2022/)
- CIS Critical Security Controls Implementation Group 1 – Essential Cyber Hygiene (Center for Internet Security) [https://www.cisecurity.org/controls/implementation-groups/ig1](https://www.cisecurity.org/controls/implementation-groups/ig1)
- Minimum Viable Secure Product – 25 Controls (mvsp.dev) [https://mvsp.dev/mvsp.en/](https://mvsp.dev/mvsp.en/)