ISMS & Governance on .kais blog

Was eine Rechnung hat

Fri, 04 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Audits bekomme ich Asset-Verzeichnisse zu sehen, die einander gleichen: Seriennummer, Anschaffungsdatum, Standort, Kostenstelle, Abschreibung. Sie stammen aus der Anlagenbuchhaltung, und man sieht es ihnen an. Den Geschäftsprozess, der die Zahlungen auslöst, oder die Schnittstelle, über die Kundendaten das Haus verlassen, finde ich darin nicht.

🎯 Was soll eigentlich erreicht werden?

ISO 27001:2022 verlangt in A.5.9 ein Verzeichnis der Informationen und zugehörigen Werte – ausdrücklich nicht nur der Geräte. Was man nicht kennt, betreibt man schlecht. Schützen kann man es gar nicht.

Die Schubladen-Leitlinie

Fri, 28 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich frage nach der Informationssicherheitsleitlinie und bekomme einen Vorlagentext: generische Sätze, austauschbar, ohne erkennbaren Absender. In der Organisation kennt sie kaum jemand. Hervor holt sie nur, wer das Audit vorbereitet.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Clause 5.2 verlangt von der obersten Leitung eine Leitlinie, die Richtung vorgibt und ihr Bekenntnis zur Informationssicherheit dokumentiert. Sie ist das eine Dokument, mit dem Führung sichtbar wird.

Die SLA-Lücke

Wed, 05 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich lese, was IT und Fachbereich miteinander vereinbaren. Verfügbarkeit, Reaktionszeiten und Eskalationsstufen stehen dort auf die Minute genau. Sicherheit taucht hin und wieder auf – als Absichtserklärung. Wer verschlüsselt, wer härtet, wer Schwachstellen beobachtet und wer einen Vorfall bearbeitet, steht nirgends.

🎯 Was soll eigentlich erreicht werden?

Eine belastbare Leistungsbeziehung: Der Fachbereich weiß, was er bekommt, die IT weiß, was sie schuldet. ISO 27001 verlangt das in Clause 5.3 und konkretisiert es in Annex A 5.2: definierte und zugewiesene Rollen und Verantwortlichkeiten.

Das Budget ist die ehrlichere Risikoanalyse

Mon, 03 Aug 2026 07:35:00 +0200

❓ Wogegen entscheiden wir eigentlich?

„Sicherheit ist ein Entscheidungsproblem, kein Werkzeugproblem." Der Satz stimmt zur Hälfte. Denn jede Beschaffung ist bereits eine Entscheidung: darüber, was zählt, was wartet und was niemand ansieht. Wir entscheiden nicht zu selten. Wir entscheiden verdeckt – und nennen es Einkauf.

🔍 Was verrät das Budget?

Ein Risikoregister zeigt, was eine Organisation zu Protokoll gibt. Das Budget zeigt, was sie tatsächlich vorzieht. Wo beide sich widersprechen, hat das Budget recht. Der Benchmark von IANS und Artico Search zeigt für 2025 eine Asymmetrie: Für Werkzeuge ist Geld da, für Personal nicht. Nur 45 Prozent der befragten CISOs konnten Stellen aufbauen – vor drei Jahren waren es 67 Prozent. Zugleich kommen laut der SANS 2025 SOC Survey zwei Drittel der Teams mit dem Alarmaufkommen nicht hinterher. Wir haben also Augen gekauft und keine Hände. Das ist eine Priorisierung – nur hat sie niemand als solche beschlossen. Den Rahmen setzt selten die Sicherheitsfunktion. Ihn zu füllen aber schon.

Warten auf den großen Wurf

Fri, 31 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe Vorhaben, die seit Monaten im Konzeptstatus feststecken. Das Berechtigungskonzept soll erst alle Sonderfälle abdecken, bevor die erste Rolle ausgerollt wird. Die Multifaktor-Authentifizierung wartet, bis die letzte Altanwendung sie unterstützt. Ich habe selbst schon so argumentiert.

🎯 Was soll eigentlich erreicht werden?

Der Anspruch ist ehrenwert. Wer eine Sicherheitsmaßnahme einführt, will sie nicht nach drei Wochen zurücknehmen – Halbfertiges erzeugt Lücken, Verwirrung und Widerstand.

Die stille Dauerduldung

Wed, 29 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Fast jede Organisation führt eine Liste genehmigter Ausnahmen. Ich finde dort Einträge ohne Ablaufdatum, begründet mit einer Migration, die vor zwei Jahren beginnen sollte. Eine im Mai 2026 veröffentlichte Befragung von 200 Sicherheitsverantwortlichen in den USA ergab: Alle Organisationen hatten in den vergangenen zwölf Monaten Ausnahmen erteilt, gut jede dritte auf informellem Weg.

🎯 Was soll eigentlich erreicht werden?

Eine Organisation muss handlungsfähig bleiben. Wenn eine Regel ein Vorhaben blockiert und der Aufwand den Nutzen übersteigt, ist die dokumentierte Ausnahme das richtige Instrument.

Bericht statt Beschluss

Wed, 22 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Einmal im Jahr entsteht ein Sicherheitsbericht: achtzig Seiten, Ampelgrafiken, Kennzahlen. Er geht per Mail an die Leitung, wird bestenfalls zur Kenntnis genommen und abgelegt. Im nächsten Audit dient er als Nachweis für die Managementbewertung.

🎯 Was soll eigentlich erreicht werden?

Die Leitung soll das ISMS bewerten: Passt es noch, wirkt es, wo muss nachgesteuert werden? ISO 27001 fordert das in Abschnitt 9.3 – und meint die oberste Führungsebene, nicht das Sicherheitsteam.

Das macht man so

Wed, 15 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe, wie Maßnahmen eingeführt werden, weil sie als Best Practice gelten. Passwort-Rotation alle 30 Tage, ein weiteres Awareness-Modul, noch eine Richtlinie. Auf die Frage, welches Risiko das adressiert, kommt: „Das macht man so."

🎯 Was soll eigentlich erreicht werden?

Sicherheit durch Bewährtes – und das ist zunächst vernünftig. Manche Maßnahmen sind billig und erkennbar wirksam; sie jedes Mal neu herzuleiten wäre Verschwendung. Nicht jede Entscheidung ist eine eigene Analyse wert.

Der übergriffige Auditor

Wed, 08 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Eine prüfende Person verlangt, alle Daten zu verschlüsseln – unabhängig vom Schutzbedarf. Eine andere besteht auf einer Richtlinie, die keine Norm fordert. Manche suchen so lange, bis sich eine Abweichung findet. Schon in meiner Ausbildung, vor zwanzig Jahren, lernte ich: Eine Abweichung zu finden ist leichter, als Sicherheit zu bestätigen. Die eigentliche Frage aber lautet nicht, ob sich eine Abweichung findet – sondern ob sie ein Risiko bedeutet. Persönliche Präferenz ersetzt den Maßstab der Norm.

Regeln auf Vorrat

Wed, 01 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Eine Richtlinie verlangt, den Bildschirm zu sperren – das System tut es längst nach fünf Minuten. Eine Regel schreibt vor, die Tür zum Serverraum zu schließen – die alle ohnehin zuziehen. Eine zwölfseitige Nutzungsvereinbarung unterschreiben alle, niemand liest sie. Ich erlebe, wie für fast jeden Fall eine Regel entsteht – meist zur Beschwichtigung der Prüfenden, selten zur Steuerung.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist legitim: Verlässlichkeit, Nachvollziehbarkeit, Schutz vor Willkür. Ein klarer Soll-Zustand schafft Orientierung; auf Missstände muss man reagieren dürfen.

Tektonik der Interessen

Mon, 22 Jun 2026 07:35:00 +0200

🌍 Das vertraute Bild

Erdbeben entstehen selten in der Mitte der Kontinente. Sie entstehen an den Rändern: dort, wo Platten aneinander reiben und sich Spannung über Jahre aufbaut, bis sie sich ruckartig entlädt. Die Geologie kennt diese Zonen – und kartiert sie.

🔬 Die erste Parallele

Organisationen haben ihre eigene Tektonik. Der Finanzbereich drückt auf Kosten, der Betrieb auf Verfügbarkeit, die Entwicklung auf Geschwindigkeit, der Betriebsrat wacht über Beschäftigtendaten, der Vertrieb über seine Deadlines. Jede Platte bewegt sich in ihre eigene Richtung – langsam, kraftvoll, meist unsichtbar. Und Security-Vorhaben leben ausgerechnet auf den Grenzen: MFA berührt Arbeitsabläufe, Monitoring die Mitbestimmung, Patch-Fenster die Verfügbarkeit.

Der leere Stuhl

Wed, 17 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Stakeholder-Analysen listen Kundschaft, Regulatoren, Beschäftigte, Lieferanten. Lauter wohlgesonnene Parteien. Wer der Organisation schaden will, steht auf keiner dieser Listen. Sein Stuhl am Tisch bleibt leer.

🎯 Was soll eigentlich erreicht werden?

Die Analyse soll erfassen, wer die Organisation beeinflusst und was diese Parteien von ihr erwarten. ISO 27001 nennt das „interessierte Parteien".

⚠️ Warum funktioniert das nicht?

Niemand ist stärker am Ergebnis interessiert als die Angreifenden. Sie verfolgen ein Interesse, nur ein feindliches. Fehlen sie auf der Karte, leiten wir Maßnahmen aus freundlichen Erwartungen und Checklisten ab. Die Frage „Cui bono?" – wem nützt unser Schaden? – stellt niemand. So verteidigen wir gegen eine abstrakte Bedrohung statt gegen eine Ransomware-Gruppe mit Motiv, Fähigkeit und Absicht.

Mehr Deckblatt als Inhalt

Fri, 12 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich öffne eine Richtlinie und scrolle erst einmal. Deckblatt, Klassifizierungsstempel, Änderungshistorie, Freigabematrix, Verteilerliste – Seite um Seite. Die eigentliche Aussage steht in drei Sätzen, irgendwo hinter dem Verwaltungsapparat.

🎯 Was soll eigentlich erreicht werden?

Die Absicht ist legitim: ISO 27001 verlangt, dokumentierte Information zu lenken – Identifikation, Version, Freigabe, Nachvollziehbarkeit. Ohne diese Kontrolle ist ein Dokument wertlos.

⚠️ Warum funktioniert das nicht?

Weil die Norm Kontrolle verlangt, nicht Tabellen im Dokument. Clause 7.5 fordert, dass Version und Freigabe gelenkt werden – nicht, dass sie als Ballast die Seiten füllen. Wer die Metainformation in den Text presst, verwechselt das Dokument mit dem Dokumentenmanagement. Bei sechs Teilen Verwaltung auf einen Teil Inhalt liest niemand mehr bis zur Regel. Und was niemand liest, steuert kein Verhalten.

Karte des Unbekannten

Mon, 01 Jun 2026 07:35:00 +0200

🌍 Das vertraute Bild

Vor zweihundert Jahren war fast jeder Landstrich für jemanden ein weißer Fleck. Eine Karte zu zeichnen, war keine Dokumentationsübung – es war eine Übung in Reduktion von Unsicherheit. Wer den nächsten Fluss nicht kannte, konnte ihn nicht überqueren. Die Vermessung war kein Selbstzweck, sondern die Voraussetzung für jede vernünftige Entscheidung.

🔬 Die erste Parallele

Asset-Management hat denselben Zweck. ISO/IEC 27001 A.5.9 verlangt ein Inventar – nicht für den Audit-Tag, sondern damit man weiß, was zu schützen ist. Was nicht bekannt ist, kann nicht durchdacht, nicht bewertet, nicht behandelt werden. Asset-Management ist die methodische Reduktion epistemischer Unsicherheit: Es schließt Wissenslücken, bevor sie zu Sicherheitslücken werden.

Compliance als Waffe

Fri, 08 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Manche Admins behandeln Security als Fremdkörper, obwohl sie für ihre Systeme operativ verantwortlich sind. Eine Spielart: Passivität – keine Patches, keine Härtung, keine Initiative. Die andere: das ISMS soll detaillierte Umsetzungsvorgaben liefern, die Admins folgen wörtlich, das System knirscht, der Beweis steht – diese Security-Leute verstehen nichts.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Annex A.5.4 fordert: Beschäftigte sollen Informationssicherheit aktiv anwenden, nicht abnicken. Operative Sicherheit liegt bei denen, die das System betreiben; das ISMS gibt Rahmen, keine Bedienungsanleitung.

Richtlinien für alle – Richtlinien für keinen

Wed, 06 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Jährlich landen bei allen Beschäftigten dieselben Richtlinien im Posteingang. Die Entwicklerin liest die Sicherheitsrichtlinie für physische Aktenräume. Der Buchhalter liest die Patch-Management-Policy. Manche Systeme erzwingen Mindestlesezeiten, damit niemand überspringt. Das Ergebnis: ein grünes Häkchen, kein Wissenszuwachs.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Annex A.6.3 fordert Sicherheitsbewusstsein für Beschäftigte mit relevantem Informationszugang. Der Nachweis ist einfach: Bestätigungsquote 100 %, Auditor zufrieden.

Jedes Risiko hat seine Etage

Mon, 27 Apr 2026 07:35:00 +0200

❓ Die Frage, die Governance verdrängt

Welche Ebene der Organisation soll diese Risikoentscheidung treffen? Die Frage klingt banal. Sie wird erstaunlich selten gestellt.

Stattdessen landet alles beim Management — oder jede Einheit entscheidet still für sich. Beides kann teuer sein.

🔍 Warum jede Ebene anders schaut

Jedes Teil-System einer Organisation verfolgt ein eigenes Ziel. Das Entwicklungsteam will schnell liefern. Die Sicherheitsabteilung will Angriffsflächen minimieren. Die Unternehmensleitung will strategische Vorhaben realisieren und regulatorische Anforderungen erfüllen. Jedes Ziel ist legitim.

Goodhart's Falle

Fri, 24 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Security-Dashboards quellen über: Patch-Rate, offene Findings, Mean Time to Detect, Awareness-Klickrate. Ich frage in solchen Besprechungen manchmal: Welche Entscheidung würde sich ändern, wenn dieser Wert um 10 Prozent schlechter wäre? Die Antwort ist oft Schweigen.

🎯 Was soll eigentlich erreicht werden?

Messgrößen sollen Entscheidungen verbessern – besser priorisieren, besser investieren, echtes Risiko sichtbar machen. Douglas Hubbard definiert Messen als Reduktion von Unsicherheit durch Beobachtung: Die Zahl hilft, eine Entscheidung anders zu treffen.

Risiko ohne Ziel

Wed, 22 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risk-Workshops sehe ich regelmäßig dasselbe Muster: Risiken werden bewertet, priorisiert, mit Controls versehen. Vorher hat niemand gefragt, welche Geschäftsziele auf dem Spiel stehen. Das Risikoregister ist korrekt ausgefüllt – und völlig kontextlos.

🎯 Was soll eigentlich erreicht werden?

Risikomanagement soll Entscheidungen ermöglichen: Welche Risiken akzeptiere ich, welche behandle ich zuerst? ISO 31000 definiert Risiko als „Auswirkung von Unsicherheit auf Ziele" – die Bewertung setzt damit voraus, dass Ziele existieren.

Die unsichtbaren Stakeholder

Fri, 17 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

ISMS-Projekte starten mit Scope, Maßnahmen und Richtlinien. ISO 27001 Clause 4.2 – die Analyse interessierter Parteien – wird dabei oft als Formalie abgehakt: eine Liste mit Regulatoren, Kunden und Lieferanten. Was diese konkret erwarten, weiß niemand – und so richtig interessiert es auch niemanden.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 Clause 4.2 verlangt: Wer sind die interessierten Parteien – und welche Anforderungen stellen sie? Externe Erwartungen sind der Ausgangspunkt – nicht das Anhängsel.

Die KI-Richtlinie

Fri, 10 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Policies für ISO 27001 werden mit KI-Tools generiert: korrekt formatiert, mit den richtigen Klauseln. Risikoabschätzungen folgen demselben Muster. Im Audit kommt die Frage: „Warum ist dieses Risiko so bewertet worden?" – und niemand kann antworten. Nicht weil Dokumentation fehlt, sondern weil kein Mensch die Bewertung tatsächlich durchgeführt hat.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 verlangt Richtlinien und Risikoabschätzungen, die den Organisationskontext widerspiegeln – als Grundlage für echte Sicherheitsentscheidungen, nicht als Compliance-Nachweis.

Die Angstmaschine

Wed, 08 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Sicherheitspräsentationen beginnen mit den schlimmsten Vorfällen des Quartals. Budgetanfragen enden mit „wenn das passiert, ist alles verloren." Bedrohungslisten ohne Wahrscheinlichkeit, ohne Kontext. Angst ist das implizite Kommunikationsmodell geworden.

🎯 Was soll eigentlich erreicht werden?

Entscheidende sollen Security ernst nehmen und Investitionen freigeben. Das Ziel ist berechtigt – Sicherheit braucht Ressourcen und Aufmerksamkeit.

⚠️ Warum funktioniert das nicht?

Kelly Shortridge analysierte das spieltheoretische Dilemma: Wer Angst verkauft, bekommt Budget – kurzfristig. Langfristig lernt das Management, dass „kritisch" die Standardeinstellung ist. Andrew Jaquith nannte das schon 2007 FUD: Fear, Uncertainty and Doubt ist das Fundament der Security-Industrie – und produziert ein Management, das gelernt hat, Sicherheitskommunikation zu misstrauen. Angstgetriebene Kommunikation erzeugt keine Entscheidungshaltung. Sie erzeugt Taubheit.

Security-Team: Toll, ein anderer macht's

Wed, 25 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Die IT fragt das Informationssicherheitsteam: „Wie genau sollen wir das umsetzen?" Entwicklungsteams öffnen Tickets und warten auf Freigabe. Führungskräfte eskalieren Entscheidungen, die sie selbst treffen könnten. Das ist kein böser Wille – es ist eine eingespielte Haltung: Wer ein Security-Team hat, hat Security.

🎯 Was soll eigentlich erreicht werden?

Security als Eigenschaft aller Prozesse und Entscheidungen – getragen von allen Beteiligten, nicht delegiert an ein Silo. Genau das fordern ISO 27001 und jede ernstzunehmende Security-Strategie.

Securitas – das verlorene Versprechen

Mon, 23 Mar 2026 07:35:00 +0100

📌 Die gängige Überzeugung

Security schützt die Organisation. Sicherheitsteams sind die Hüter, die Verhinderer des Schlimmsten. Ihr Wert bemisst sich daran, wie viele Risiken sie aufdecken, wie viele Projekte sie stoppen, wie groß die Bedrohung klingt, vor der sie warnen. Diese Logik ist so tief verankert, dass sie kaum noch hinterfragt wird.

⚡ Das Gegenbeispiel

Seneca nannte das Ziel des Weisen „securitas" – sine cura, Freiheit von der Sorge. Nicht Abwesenheit von Gefahr, sondern die Fähigkeit, gelassen und handlungsfähig zu bleiben, obwohl Gefahr existiert. Kelly Shortridge hat beobachtet, dass moderne Cybersecurity dieses Versprechen systematisch umkehrt: Statt Vertrauen und Gelassenheit zu fördern, lebt ein Teil der Branche von Fear, Uncertainty and Doubt. FUD ist kein Versehen. Es ist ein Mechanismus, der Budgets rechtfertigt, Positionen sichert und Abhängigkeiten schafft. Wer das Bedrohungsbild kontrolliert, kontrolliert die Ressourcen.

Hire a Hero

Fri, 20 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Die Stelle ist ausgeschrieben, das Organigramm aktualisiert, die Pressemitteilung fertig. Die Organisation hat einen CISO – damit ist Cybersicherheit geregelt. Im besten Fall bringt der CISO auch noch Magical Security Dust mit. Hire a Hero: Expertise einkaufen, Verantwortung abgeben, fertig.

🎯 Was soll eigentlich erreicht werden?

Cyber-Risiken professionell managen. Sicherheitsverantwortung verankern – nicht bei einer Person, sondern dort, wo täglich Entscheidungen mit Sicherheitsrelevanz fallen.

Die Generalprobe, die niemand nutzt

Mon, 16 Mar 2026 07:35:00 +0100

📋 Die Situation

Das interne Audit steht an. Entweder beginnt jetzt wochenlange Vorbereitung: Dokumente suchen, Lücken schließen, Antworten einstudieren. Oder es passiert gar nichts – und das Nachdenken beginnt erst, wenn die Auditorin im Raum ist.

❌ Wie es oft läuft

Die Auditorin stellt Fragen. Die Auditierte antwortet präzise und knapp. Jedes Wort ist vorher überlegt. Probleme? Die gibt es offiziell nicht – oder sie tauchen in abgemilderter Form auf. Der Bericht landet im Ordner, die Maßnahmen auf einer Liste, die niemand priorisiert. Ein Jahr später: dasselbe Spiel.

Die unmessbaren Versprechen

Fri, 06 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

In vielen Notfallhandbüchern stehen sie: RTO von vier Stunden, RPO von einer Stunde. Präzise dokumentiert, sorgfältig abgestimmt, nie getestet. Diese Zielwerte entstammen der Business-Impact-Analyse – und dort sind sie geblieben. Ein Versprechen, das niemand einlösen muss, solange kein Ernstfall eintritt.

🎯 Was soll eigentlich erreicht werden?

RTO und RPO sind keine Kennzahlen für das Notfallhandbuch – sie sind operative Zusagen. ISO 22301 versteht sie als messbare Zielwerte, die Strategie, Infrastruktur und regelmäßige Tests voraussetzen.