Verantwortungsgrenzen on .kais blog

Die SLA-Lücke

Wed, 05 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich lese, was IT und Fachbereich miteinander vereinbaren. Verfügbarkeit, Reaktionszeiten und Eskalationsstufen stehen dort auf die Minute genau. Sicherheit taucht hin und wieder auf – als Absichtserklärung. Wer verschlüsselt, wer härtet, wer Schwachstellen beobachtet und wer einen Vorfall bearbeitet, steht nirgends.

🎯 Was soll eigentlich erreicht werden?

Eine belastbare Leistungsbeziehung: Der Fachbereich weiß, was er bekommt, die IT weiß, was sie schuldet. ISO 27001 verlangt das in Clause 5.3 und konkretisiert es in Annex A 5.2: definierte und zugewiesene Rollen und Verantwortlichkeiten.

Gefangen in der Cloud

Mon, 20 Jul 2026 07:35:00 +0200

🌍 Das vertraute Bild

Ich vergleiche den Bezug einer Cloud gern mit dem Einzug in eine möblierte Wohnung. Alles ist da, sofort nutzbar, keine eigene Anschaffung nötig. Man unterschreibt und lebt am selben Tag. Der Komfort ist echt – und er ist der Anfang der Bindung.

🔬 Die erste Parallele

Die Möbel gehören dem Vermieter. Man richtet sich ein, verlegt Leitungen, baut Regale nach Maß – alles passt exakt in diese eine Wohnung. Übertragen heißt das: proprietäre Dienste, spezifische APIs, verwaltete Datenbanken. Je tiefer man sich einrichtet, desto mehr Arbeit steckt in einer Umgebung, die man nicht besitzt.

Die Lieferkette als blinder Fleck

Mon, 02 Mar 2026 07:35:00 +0100

🤝 Das starke Argument

Lieferantensicherheit ist Sache des Lieferanten. Er hat die Expertise, die Systeme, die Prozesse. Er unterzeichnet den Vertrag, er haftet. Was geht mich an, was hinter seiner Firewall passiert?

⚖️ Was daran stimmt

Die vertragliche Haftung ist real. Und wer mit einem seriösen Dienstleister arbeitet, bekommt tatsächlich Expertise, die intern nicht vorhanden wäre. Das Argument ist nicht falsch.

🔍 Wo es brüchig wird

SolarWinds 2020: Angreifende kompromittierten den Build-Server des Herstellers. 18.000 Organisationen installierten daraufhin freiwillig ein manipuliertes Update – signiert, legitim, vertrauenswürdig. XZ Utils 2024: Monatelang arbeiteten sich Angreifende in das Vertrauen einer Open-Source-Community vor, um eine Hintertür in eine systemkritische Bibliothek einzuschleusen. In beiden Fällen war das Ziel nicht der Lieferant. Es war die Organisation dahinter.