Rollen & Verantwortung on .kais blog

Was eine Rechnung hat

Fri, 04 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Audits bekomme ich Asset-Verzeichnisse zu sehen, die einander gleichen: Seriennummer, Anschaffungsdatum, Standort, Kostenstelle, Abschreibung. Sie stammen aus der Anlagenbuchhaltung, und man sieht es ihnen an. Den Geschäftsprozess, der die Zahlungen auslöst, oder die Schnittstelle, über die Kundendaten das Haus verlassen, finde ich darin nicht.

🎯 Was soll eigentlich erreicht werden?

ISO 27001:2022 verlangt in A.5.9 ein Verzeichnis der Informationen und zugehörigen Werte – ausdrücklich nicht nur der Geräte. Was man nicht kennt, betreibt man schlecht. Schützen kann man es gar nicht.

Die SLA-Lücke

Wed, 05 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich lese, was IT und Fachbereich miteinander vereinbaren. Verfügbarkeit, Reaktionszeiten und Eskalationsstufen stehen dort auf die Minute genau. Sicherheit taucht hin und wieder auf – als Absichtserklärung. Wer verschlüsselt, wer härtet, wer Schwachstellen beobachtet und wer einen Vorfall bearbeitet, steht nirgends.

🎯 Was soll eigentlich erreicht werden?

Eine belastbare Leistungsbeziehung: Der Fachbereich weiß, was er bekommt, die IT weiß, was sie schuldet. ISO 27001 verlangt das in Clause 5.3 und konkretisiert es in Annex A 5.2: definierte und zugewiesene Rollen und Verantwortlichkeiten.

Die stille Dauerduldung

Wed, 29 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Fast jede Organisation führt eine Liste genehmigter Ausnahmen. Ich finde dort Einträge ohne Ablaufdatum, begründet mit einer Migration, die vor zwei Jahren beginnen sollte. Eine im Mai 2026 veröffentlichte Befragung von 200 Sicherheitsverantwortlichen in den USA ergab: Alle Organisationen hatten in den vergangenen zwölf Monaten Ausnahmen erteilt, gut jede dritte auf informellem Weg.

🎯 Was soll eigentlich erreicht werden?

Eine Organisation muss handlungsfähig bleiben. Wenn eine Regel ein Vorhaben blockiert und der Aufwand den Nutzen übersteigt, ist die dokumentierte Ausnahme das richtige Instrument.

Bericht statt Beschluss

Wed, 22 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Einmal im Jahr entsteht ein Sicherheitsbericht: achtzig Seiten, Ampelgrafiken, Kennzahlen. Er geht per Mail an die Leitung, wird bestenfalls zur Kenntnis genommen und abgelegt. Im nächsten Audit dient er als Nachweis für die Managementbewertung.

🎯 Was soll eigentlich erreicht werden?

Die Leitung soll das ISMS bewerten: Passt es noch, wirkt es, wo muss nachgesteuert werden? ISO 27001 fordert das in Abschnitt 9.3 – und meint die oberste Führungsebene, nicht das Sicherheitsteam.

Compliance als Waffe

Fri, 08 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Manche Admins behandeln Security als Fremdkörper, obwohl sie für ihre Systeme operativ verantwortlich sind. Eine Spielart: Passivität – keine Patches, keine Härtung, keine Initiative. Die andere: das ISMS soll detaillierte Umsetzungsvorgaben liefern, die Admins folgen wörtlich, das System knirscht, der Beweis steht – diese Security-Leute verstehen nichts.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Annex A.5.4 fordert: Beschäftigte sollen Informationssicherheit aktiv anwenden, nicht abnicken. Operative Sicherheit liegt bei denen, die das System betreiben; das ISMS gibt Rahmen, keine Bedienungsanleitung.

Jedes Risiko hat seine Etage

Mon, 27 Apr 2026 07:35:00 +0200

❓ Die Frage, die Governance verdrängt

Welche Ebene der Organisation soll diese Risikoentscheidung treffen? Die Frage klingt banal. Sie wird erstaunlich selten gestellt.

Stattdessen landet alles beim Management — oder jede Einheit entscheidet still für sich. Beides kann teuer sein.

🔍 Warum jede Ebene anders schaut

Jedes Teil-System einer Organisation verfolgt ein eigenes Ziel. Das Entwicklungsteam will schnell liefern. Die Sicherheitsabteilung will Angriffsflächen minimieren. Die Unternehmensleitung will strategische Vorhaben realisieren und regulatorische Anforderungen erfüllen. Jedes Ziel ist legitim.

Security-Team: Toll, ein anderer macht's

Wed, 25 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Die IT fragt das Informationssicherheitsteam: „Wie genau sollen wir das umsetzen?" Entwicklungsteams öffnen Tickets und warten auf Freigabe. Führungskräfte eskalieren Entscheidungen, die sie selbst treffen könnten. Das ist kein böser Wille – es ist eine eingespielte Haltung: Wer ein Security-Team hat, hat Security.

🎯 Was soll eigentlich erreicht werden?

Security als Eigenschaft aller Prozesse und Entscheidungen – getragen von allen Beteiligten, nicht delegiert an ein Silo. Genau das fordern ISO 27001 und jede ernstzunehmende Security-Strategie.

Hire a Hero

Fri, 20 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Die Stelle ist ausgeschrieben, das Organigramm aktualisiert, die Pressemitteilung fertig. Die Organisation hat einen CISO – damit ist Cybersicherheit geregelt. Im besten Fall bringt der CISO auch noch Magical Security Dust mit. Hire a Hero: Expertise einkaufen, Verantwortung abgeben, fertig.

🎯 Was soll eigentlich erreicht werden?

Cyber-Risiken professionell managen. Sicherheitsverantwortung verankern – nicht bei einer Person, sondern dort, wo täglich Entscheidungen mit Sicherheitsrelevanz fallen.