InfoSec, AppSec und AISec
für Menschen
- Der leere Stuhl
Die Stakeholder-Analyse versammelt nur Wohlgesonnene. Die am stärksten interessierte Partei fehlt: der Angreifer.
- Mehr Deckblatt als Inhalt
Sicherheitsrichtlinien ersticken unter Versionstabellen und Freigabematrizen – Metainformation gehört ins Dokumentenmanagement, nicht in den Text.
- Die Nebenwirkung ohne Beipackzettel
Jede Schutzmaßnahme ist ein Eingriff mit Nebenwirkungen – wer nur das gelöste Risiko sieht, übersieht das neu geschaffene.
- Die Datenmonokultur
Wer die NVD als einzige Schwachstellenquelle behandelt, übersieht ihre wachsenden Lücken – und hält falsch-negative Scans für Entwarnung.
- Die seriöse Zahl
Präzise aussehende Risikozahlen sind oft verkleidetes Bauchgefühl – die Objektivitätsillusion.
- Die fertige Liste
Das Risikoregister bildet ab, was wir kennen – nicht was uns bedrohen kann.
- Schulung aus der Konserve
Eingekaufte eLearnings ohne Bezug zur eigenen Organisation. Wissen wächst nicht, die Haltung zur Sicherheit kippt fast immer.
- Wenn jeder alles findet
Oversharing in Microsoft 365 war ein schlafendes Risiko – bis Copilot die Summe offener Freigaben in Sekunden durchsuchbar macht.
- Das strategische Hoch
Vage Risikokategorien wie »hoch« schützen nicht vor Risiken – sie schützen vor Aussagen.
- Vibe Coding als Methode
Vibe Coding hebelt den Secure SDLC systematisch aus und produziert messbar Angriffsfläche statt Software.
- Apfel × Handtuch = Regen
Multiplikation auf Ordinalskalen ist mathematisch undefiniert. Risikomatrizen rechnen trotzdem und sortieren weniger als zehn Prozent der Paare korrekt.
- Compliance als Waffe
Wenn Admins Security ablehnen und ISMS-Specs wörtlich befolgen, wird Compliance zur Sabotage in Bürokratie-Verkleidung.
- Richtlinien für alle – Richtlinien für keinen
Wer alle Richtlinien für alle zur Pflichtlektüre macht, erzeugt Compliance-Nachweise – aber keine Awareness.
- Der kognitive Exploit
Angreifer brechen keine Verschlüsselung mehr – sie brechen das mentale Modell der Nutzenden. Über kognitive Exploits in Sicherheitsprotokollen.
- Die Sicherheitsinventur
Das ATV-Modell reduziert Risikomanagement auf Inventur – und verwechselt bestätigte Probleme mit Risiken.
