---
title: "Die letzten Romantiker"
date: 2026-08-17T07:35:00+02:00
draft: false
image: "2026-08-17_Die-letzten-Romantiker.jpg"
tags: ["Montagspost", "Security-Awareness", "Sicherheitskultur", "Motivation"]
description: "Compliance erzwingt Pflicht, nie Sorgfalt – und verdrängt dabei genau die Motivation, die gute Sicherheitsarbeit trägt."
---

## ❓ Wer macht Security besser?

Nicht die Norm. Nicht das Audit. Menschen machen Security besser – eine bestimmte Sorte: die Security-Romantiker. Sie wollen Systeme wirklich sicher sehen, nicht nur zertifiziert. Sie denken den Fall zu Ende, den keiner hören will. Sie fragen nach, wo ein Häkchen genügt hätte. Diese Spezies wird selten. An ihre Stelle treten die Überlasteten und Getriebenen.

## 🔍 Warum stirbt der Romantiker aus?

Nicht weil jemand das wollte. Die Bedingungen erledigen es. 71 Prozent der Beschäftigten im SOC sind ausgebrannt, 60 Prozent sehen ihre Last im vergangenen Jahr steigen. Wer im Alarm-Dauerfeuer arbeitet, verliert zuerst die Neugier. Übrig bleibt Erschöpfung. Und Compliance liefert den bequemen Ausweg: Erfülle die Liste, dann bist du fein raus.

## ⚡ Was richtet der Minimaleinsatz an?

Er wahrt den Schein. Ein Audit prüft, ob eine Regel existiert, nicht ob sie gelebt wird. So entsteht Sicherheit auf dem Papier. Sie hält, solange niemand angreift. SANS nennt diese Stufe "Compliance Focused": erfüllt, aber wirkungslos. Wer nur die Pflicht bedient, baut Kontrollen, die genau dann versagen, wenn es zählt – im Ernstfall, für den keine Checkliste geschrieben war.

## 🎯 Was bleibt?

Compliance kann Pflicht erzwingen, nie Sorgfalt. Sorgfalt kommt von innen.

Intrinsisch motiviert heißt: Ich denke den Fall zu Ende, weil er eintreten kann – nicht, weil jemand danach gefragt hat. Die Selbstbestimmungstheorie führt diese Haltung auf drei Bedürfnisse zurück: Autonomie, Kompetenz, Zugehörigkeit. Ein Compliance-Regime bedient keines davon. Es setzt Vorgaben, Fristen und Kontrolle. Eine Meta-Analyse über 128 Experimente zeigt, was das anrichtet: Belohnungen, die an das Erfüllen einer Vorgabe geknüpft sind, senken die intrinsische Motivation messbar. Sie addiert sich nicht zur äußeren – sie weicht ihr.

Vielleicht ist das die eigentliche Sicherheitslücke unserer Branche. Wir haben die Romantiker zu Getriebenen werden lassen – und wundern uns, dass niemand mehr den Fall zu Ende denkt, den keiner hören will.

## 📚🔍

- Tines: Voice of the SOC Analyst (2022) [https://www.tines.com/reports/voice-of-the-soc-analyst/](https://www.tines.com/reports/voice-of-the-soc-analyst/)
- SANS Security Awareness & Culture Maturity Model (Stufe 2: Compliance Focused) [https://www.sans.org/white-papers/security-awareness-maturity-model](https://www.sans.org/white-papers/security-awareness-maturity-model)
- ENISA: Cybersecurity Culture Guidelines – Behavioural Aspects [https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity](https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity)
- Deci, Koestner & Ryan: Extrinsic Rewards and Intrinsic Motivation (Meta-Analyse) [https://www.selfdeterminationtheory.org/SDT/documents/2001_DeciKoestnerRyan.pdf](https://www.selfdeterminationtheory.org/SDT/documents/2001_DeciKoestnerRyan.pdf)
- Deci, Olafsen & Ryan (2017): Self-Determination Theory in Work Organizations [https://selfdeterminationtheory.org/wp-content/uploads/2017/03/2017_DeciOlafsenRyan_annurev-orgpsych.pdf](https://selfdeterminationtheory.org/wp-content/uploads/2017/03/2017_DeciOlafsenRyan_annurev-orgpsych.pdf)