🔍 Was beobachte ich?

Nach einem schweren Vorfall steht die Frage im Raum, wie sich so etwas kĂŒnftig ausschließen lĂ€sst. Aus der Antwort wird ein Programm, aus dem Programm ein Versprechen: Das kann uns nicht noch einmal passieren. Ich habe diesen Satz oft gehört. Geglaubt habe ich ihn nie: PrĂ€vention braucht nur einen guten Gegner.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist berechtigt. ISO 27001 verlangt, die Ursachen einer Abweichung zu beseitigen, damit sie sich nicht wiederholt. Wer nach einem Vorfall nichts Àndert, hat nichts verstanden.

⚠ Warum funktioniert das nicht?

Weil das Versprechen etwas voraussetzt, das wir nicht haben: Angreifende, die sich an unsere Erwartungen halten. Am 11. September 2001 starben fast dreitausend Menschen. Der Abschlussbericht der Untersuchungskommission nennt als wichtigstes Versagen das der Vorstellungskraft – die Einsatzplanung von FAA und NORAD kannte diesen Fall nicht. Bruce Schneier hat gezeigt, wohin die Forderung nach vollstĂ€ndiger Verhinderung fĂŒhrt: EntfĂŒhrungen lassen sich zuverlĂ€ssig verhindern, indem man alle Flugzeuge am Boden lĂ€sst. Gegen Menschen, die jeden Preis zu zahlen bereit sind, kennt Verhinderung keine Obergrenze.

💡 Was funktioniert besser?

Das Restrisiko benennen, statt es wegzuversprechen. PrĂ€vention, Detektion und Reaktion gehören ins Gleichgewicht, und die Reaktion kommt zuerst: Wer die Grenze der Verhinderung kennt, ĂŒbt das Reagieren, bevor er es braucht. Am 11. September rief Lieutenant Michael Day von der KĂŒstenwache ĂŒber Funk alle verfĂŒgbaren Boote. FĂ€hren, Schlepper und Ausflugsboote brachten in etwa neun Stunden rund eine halbe Million Menschen aus Lower Manhattan heraus. Einen Plan fĂŒr diese Lage gab es nicht. Day griff zum Einsatzplan der Schiffsparade OPSAIL 2000, in dem Sammelpunkte und Rettungswege schon standen. Es gab Menschen, die wussten, was ihr Schiff kann. Mein Respekt gilt allen, die an diesem Tag geholfen haben.

📚🔍