Fehlerkultur on .kais blog

Der Maßregelungsreflex

Wed, 26 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

A.6.4 gehört zu den wenigen Maßnahmen, die fast jede Organisation sauber dokumentiert hat. Ermahnung, Abmahnung, Kündigung – die Eskalation steht. Frage ich dagegen, was die Analyse des letzten Vorfalls ergeben hat, wird es still. Der Weg in die Personalakte ist kürzer als der Weg zur Ursache.

🎯 Was soll eigentlich erreicht werden?

Regeln ohne Konsequenz sind Empfehlungen. ISO 27002 konkretisiert das: ein formales, kommuniziertes Verfahren – abgestuft nach Art, Schwere, Vorsatz, Wiederholung und Schulungsstand.

Das Phishing-Blame-Game

Fri, 21 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe simulierte Phishing-Mails, die auf das zielen, was Menschen bewegt: Gehaltsanpassung, Paketbenachrichtigung, Bitte der Geschäftsführung. Wer klickt, landet auf einer Seite mit rotem Balken, wird namentlich erfasst und zur Nachschulung eingeladen. Die Klickquote wandert als Fortschrittsbeleg ins Management-Reporting.

🎯 Was soll eigentlich erreicht werden?

Beschäftigte sollen Angriffe erkennen. ISO 27001:2022 fordert in A.6.3 Sicherheitsbewusstsein, und eine Simulation macht messbar, was eine Folienschulung nur behauptet.

Das stille Veto

Mon, 30 Mar 2026 07:35:00 +0200

🌟 Das Versprechen

Psychologische Sicherheit gilt als Fundament jeder ernsthaften Sicherheitskultur. Vorfälle müssen gemeldet, Schwachstellen ehrlich dokumentiert, Risiken realistisch eingeschätzt werden. Ohne ehrliche Signale ist die Sicherheitslage blind – das ist keine weiche Anforderung, sondern eine operative Notwendigkeit.

Jede Organisation, die das ernst nimmt, proklamiert genau das. Viele sogar laut und regelmäßig. Security-Kultur als Wert, als Bekenntnis, als Folie in der Jahrespräsentation.

🔍 Die Wirklichkeit

Aber dann kommt die Praxis. Die Sicherheitsexpertin, die kritische Befunde dokumentiert, bekommt beim nächsten Auftrag einen engeren Scope. Die Risikomanagerin, die „hoch" einschätzt, wird gebeten, die Bewertung vor dem Board-Meeting zu überdenken. Der Entwickler, der in der Sprint-Review einen Einwand äußert, erntet ein Augenrollen. Der CISO, der unbequeme Zahlen präsentiert, lernt mit der Zeit, welche Themen willkommen sind.

Die Generalprobe, die niemand nutzt

Mon, 16 Mar 2026 07:35:00 +0100

📋 Die Situation

Das interne Audit steht an. Entweder beginnt jetzt wochenlange Vorbereitung: Dokumente suchen, Lücken schließen, Antworten einstudieren. Oder es passiert gar nichts – und das Nachdenken beginnt erst, wenn die Auditorin im Raum ist.

❌ Wie es oft läuft

Die Auditorin stellt Fragen. Die Auditierte antwortet präzise und knapp. Jedes Wort ist vorher überlegt. Probleme? Die gibt es offiziell nicht – oder sie tauchen in abgemilderter Form auf. Der Bericht landet im Ordner, die Maßnahmen auf einer Liste, die niemand priorisiert. Ein Jahr später: dasselbe Spiel.