Konflikt & Kommunikation on .kais blog

Ein Befund, vier Wahrheiten

Mon, 29 Jun 2026 07:35:00 +0200

📌 Die gängige Überzeugung

Wenn ein Sicherheitskonflikt eskaliert, greifen wir zu mehr Fakten. Einigt euch auf die Daten, dann löst sich der Streit – so der stille Glaube. Wir behandeln den Konflikt wie ein Ingenieursproblem: einen genaueren Bericht schreiben, die Risikozahl schärfen. Die Annahme dahinter: Es gibt eine richtige Sicht, und wer sie nicht teilt, hat die Fakten noch nicht verstanden.

⚡ Das Gegenbeispiel

Ein Auditbefund liegt auf dem Tisch. Die Auditorin sieht eine Abweichung. Der Entwickler sieht eine Maßnahme, die zwei Sprints kostet – für ein theoretisches Risiko. Die CISO sieht die Haftung, die Bereichsleitung den Liefertermin. Alle haben denselben Bericht vor sich. Niemand lügt. Und je mehr Belege ich nachlege, desto schärfer wird der Streit, weil jede Seite sie in ein anderes Bild einsortiert. Mehr Fakten, mehr Konflikt – das ist kein Zeichen von Unvernunft.

Tektonik der Interessen

Mon, 22 Jun 2026 07:35:00 +0200

🌍 Das vertraute Bild

Erdbeben entstehen selten in der Mitte der Kontinente. Sie entstehen an den Rändern: dort, wo Platten aneinander reiben und sich Spannung über Jahre aufbaut, bis sie sich ruckartig entlädt. Die Geologie kennt diese Zonen – und kartiert sie.

🔬 Die erste Parallele

Organisationen haben ihre eigene Tektonik. Der Finanzbereich drückt auf Kosten, der Betrieb auf Verfügbarkeit, die Entwicklung auf Geschwindigkeit, der Betriebsrat wacht über Beschäftigtendaten, der Vertrieb über seine Deadlines. Jede Platte bewegt sich in ihre eigene Richtung – langsam, kraftvoll, meist unsichtbar. Und Security-Vorhaben leben ausgerechnet auf den Grenzen: MFA berührt Arbeitsabläufe, Monitoring die Mitbestimmung, Patch-Fenster die Verfügbarkeit.

Das Gift ist leise

Mon, 25 May 2026 07:35:00 +0200

❓ Wann ist Streit gesund?

In ISMS-Sitzungen frage ich mich selten, ob gestritten wird. Mich beschäftigt eine andere Frage: Dient dieser Streit dem Thema – oder vergiftet er es? Wir sind darauf trainiert zu prüfen, ob jemand sachlich bleibt. Ich halte das für die falsche Frage.

🔍 Es ist nicht die Lautstärke

Die naheliegende Antwort: Gesunder Streit ist ruhig, vergifteter ist laut. Sie stimmt nicht. Der zerstörerischste Konflikt ist oft der leiseste – der unterkühlte Ton, das pointierte Schweigen, das „machen wir wie immer", die still entzogene Mitarbeit. Eine Sitzung ohne offenen Widerspruch ist deshalb kein gutes Zeichen. Sie kann das Symptom sein, nicht die Heilung. Wenn nicht die Lautstärke entscheidet – was dann?

Compliance als Waffe

Fri, 08 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Manche Admins behandeln Security als Fremdkörper, obwohl sie für ihre Systeme operativ verantwortlich sind. Eine Spielart: Passivität – keine Patches, keine Härtung, keine Initiative. Die andere: das ISMS soll detaillierte Umsetzungsvorgaben liefern, die Admins folgen wörtlich, das System knirscht, der Beweis steht – diese Security-Leute verstehen nichts.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Annex A.5.4 fordert: Beschäftigte sollen Informationssicherheit aktiv anwenden, nicht abnicken. Operative Sicherheit liegt bei denen, die das System betreiben; das ISMS gibt Rahmen, keine Bedienungsanleitung.

Die Angstmaschine

Wed, 08 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Sicherheitspräsentationen beginnen mit den schlimmsten Vorfällen des Quartals. Budgetanfragen enden mit „wenn das passiert, ist alles verloren." Bedrohungslisten ohne Wahrscheinlichkeit, ohne Kontext. Angst ist das implizite Kommunikationsmodell geworden.

🎯 Was soll eigentlich erreicht werden?

Entscheidende sollen Security ernst nehmen und Investitionen freigeben. Das Ziel ist berechtigt – Sicherheit braucht Ressourcen und Aufmerksamkeit.

⚠️ Warum funktioniert das nicht?

Kelly Shortridge analysierte das spieltheoretische Dilemma: Wer Angst verkauft, bekommt Budget – kurzfristig. Langfristig lernt das Management, dass „kritisch" die Standardeinstellung ist. Andrew Jaquith nannte das schon 2007 FUD: Fear, Uncertainty and Doubt ist das Fundament der Security-Industrie – und produziert ein Management, das gelernt hat, Sicherheitskommunikation zu misstrauen. Angstgetriebene Kommunikation erzeugt keine Entscheidungshaltung. Sie erzeugt Taubheit.

Securitas – das verlorene Versprechen

Mon, 23 Mar 2026 07:35:00 +0100

📌 Die gängige Überzeugung

Security schützt die Organisation. Sicherheitsteams sind die Hüter, die Verhinderer des Schlimmsten. Ihr Wert bemisst sich daran, wie viele Risiken sie aufdecken, wie viele Projekte sie stoppen, wie groß die Bedrohung klingt, vor der sie warnen. Diese Logik ist so tief verankert, dass sie kaum noch hinterfragt wird.

⚡ Das Gegenbeispiel

Seneca nannte das Ziel des Weisen „securitas" – sine cura, Freiheit von der Sorge. Nicht Abwesenheit von Gefahr, sondern die Fähigkeit, gelassen und handlungsfähig zu bleiben, obwohl Gefahr existiert. Kelly Shortridge hat beobachtet, dass moderne Cybersecurity dieses Versprechen systematisch umkehrt: Statt Vertrauen und Gelassenheit zu fördern, lebt ein Teil der Branche von Fear, Uncertainty and Doubt. FUD ist kein Versehen. Es ist ein Mechanismus, der Budgets rechtfertigt, Positionen sichert und Abhängigkeiten schafft. Wer das Bedrohungsbild kontrolliert, kontrolliert die Ressourcen.