Stakeholder on .kais blog

Tektonik der Interessen

Mon, 22 Jun 2026 07:35:00 +0200

🌍 Das vertraute Bild

Erdbeben entstehen selten in der Mitte der Kontinente. Sie entstehen an den Rändern: dort, wo Platten aneinander reiben und sich Spannung über Jahre aufbaut, bis sie sich ruckartig entlädt. Die Geologie kennt diese Zonen – und kartiert sie.

🔬 Die erste Parallele

Organisationen haben ihre eigene Tektonik. Der Finanzbereich drückt auf Kosten, der Betrieb auf Verfügbarkeit, die Entwicklung auf Geschwindigkeit, der Betriebsrat wacht über Beschäftigtendaten, der Vertrieb über seine Deadlines. Jede Platte bewegt sich in ihre eigene Richtung – langsam, kraftvoll, meist unsichtbar. Und Security-Vorhaben leben ausgerechnet auf den Grenzen: MFA berührt Arbeitsabläufe, Monitoring die Mitbestimmung, Patch-Fenster die Verfügbarkeit.

Der leere Stuhl

Wed, 17 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Stakeholder-Analysen listen Kundschaft, Regulatoren, Beschäftigte, Lieferanten. Lauter wohlgesonnene Parteien. Wer der Organisation schaden will, steht auf keiner dieser Listen. Sein Stuhl am Tisch bleibt leer.

🎯 Was soll eigentlich erreicht werden?

Die Analyse soll erfassen, wer die Organisation beeinflusst und was diese Parteien von ihr erwarten. ISO 27001 nennt das „interessierte Parteien".

⚠️ Warum funktioniert das nicht?

Niemand ist stärker am Ergebnis interessiert als die Angreifenden. Sie verfolgen ein Interesse, nur ein feindliches. Fehlen sie auf der Karte, leiten wir Maßnahmen aus freundlichen Erwartungen und Checklisten ab. Die Frage „Cui bono?" – wem nützt unser Schaden? – stellt niemand. So verteidigen wir gegen eine abstrakte Bedrohung statt gegen eine Ransomware-Gruppe mit Motiv, Fähigkeit und Absicht.

Die unsichtbaren Stakeholder

Fri, 17 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

ISMS-Projekte starten mit Scope, Maßnahmen und Richtlinien. ISO 27001 Clause 4.2 – die Analyse interessierter Parteien – wird dabei oft als Formalie abgehakt: eine Liste mit Regulatoren, Kunden und Lieferanten. Was diese konkret erwarten, weiß niemand – und so richtig interessiert es auch niemanden.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Clause 4.2 verlangt: Wer sind die interessierten Parteien – und welche Anforderungen stellen sie? Externe Erwartungen sind der Ausgangspunkt – nicht das Anhängsel.