Resilienz & Vorfall on .kais blog

Das Nie-wieder-Versprechen

Fri, 11 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

Nach einem schweren Vorfall steht die Frage im Raum, wie sich so etwas künftig ausschließen lässt. Aus der Antwort wird ein Programm, aus dem Programm ein Versprechen: Das kann uns nicht noch einmal passieren. Ich habe diesen Satz oft gehört. Geglaubt habe ich ihn nie: Prävention braucht nur einen guten Gegner.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist berechtigt. ISO 27001 verlangt, die Ursachen einer Abweichung zu beseitigen, damit sie sich nicht wiederholt. Wer nach einem Vorfall nichts ändert, hat nichts verstanden.

Das Netz am selben Haken

Wed, 19 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe saubere Sicherungskonzepte: zweiter Standort, eigene Appliance, Kopie in der Cloud. Dann frage ich, wer darauf zugreifen darf. Meist dieselbe Administration, dieselbe Domäne, dieselben Konten – und in der Cloud dieselbe Control-Plane, die auch die Produktivdaten verwaltet.

🎯 Was soll eigentlich erreicht werden?

Das Backup ist das letzte Netz. ISO 27001 A.8.13 verlangt Sicherungen, ihren Schutz und regelmäßige Tests.

Wenn jedes Blut als infektiös gilt

Mon, 10 Aug 2026 07:35:00 +0200

🌍 Das vertraute Bild

Mitte der achtziger Jahre stand die Medizin vor einem Problem, das sie nicht lösen konnte: Man sah niemandem an, ob das Blut HIV trug. Anamnese und Untersuchung reichten nicht aus. Die CDC zog daraus einen radikalen Schluss und empfahl 1987 die universellen Vorsichtsmaßnahmen. Seither gilt das Blut jedes Menschen als potenziell infektiös – nicht weil alle infiziert wären, sondern weil niemand die eine Ausnahme zuverlässig erkennt.

Der Wiederherstellungs-Mythos

Fri, 26 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Backup-Konzepte sind Standard: Die Jobs laufen, die Reports sind grün, der Snapshot liegt in der Cloud. Nach einer Wiederherstellungsübung frage ich trotzdem meist vergeblich. Geprobt wird selten – und wenn, dann eine einzelne Datei, nie der kritische Geschäftsprozess.

🎯 Was soll eigentlich erreicht werden?

Backups sind das letzte Sicherheitsnetz: Wenn Ransomware alles verschlüsselt, stellt die Organisation ihre Systeme wieder her und bleibt handlungsfähig. ISO 27001 verlangt deshalb, die Wiederherstellung regelmäßig zu testen.

Vielfalt ist kein Luxus

Mon, 08 Jun 2026 07:35:00 +0200

🌱 Das Prinzip der Natur

Ein Feld mit einer einzigen Sorte bringt den höchsten Ertrag - bis ein einziger Erreger kommt. Die irische Hungersnot, das Ende der Gros-Michel-Banane: Jedes Mal vernichtete ein Pathogen eine ganze Monokultur, weil alle Pflanzen dieselbe Schwäche teilten. Vielfältige Ökosysteme überstehen Störungen besser. In der Ökologie heißt das die Versicherungshypothese: Reagieren Arten unterschiedlich auf eine Störung, federt die Gemeinschaft den Schock ab. Diversität ist keine Zierde. Sie ist Risikostreuung.

Wenn Zahlen versagen

Mon, 18 May 2026 07:35:00 +0200

❓ Die zentrale Frage

FAIR-Modelle sind logisch durchdacht, Risk-Register gewissenhaft gepflegt, Eintrittswahrscheinlichkeiten sauber kalkuliert. Und dann: die XZ-Backdoor. Über zwei Jahre schleuste ein Maintainer eine Backdoor in eine Kernbibliothek – entdeckt durch Zufall, Tage bevor sie in jede Linux-Distribution gewandert wäre. Kein Risikomodell hatte diesen Vektor je auf der Liste.

🔍 Die unbequeme Erkenntnis

Das ist kein Versäumnis der Methode. Das ist Frank Knights Erkenntnis von 1921: Es gibt Risiko – messbar, mit bekannter Verteilung. Und es gibt Knightian Uncertainty – Unsicherheit, bei der die Wahrscheinlichkeit selbst unbekannt ist. Zero-Day-Exploits, Supply-Chain-Attacken, geopolitische Kampagnen: das ist der Standard bei echten Bedrohungen.

Die unmessbaren Versprechen

Fri, 06 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

In vielen Notfallhandbüchern stehen sie: RTO von vier Stunden, RPO von einer Stunde. Präzise dokumentiert, sorgfältig abgestimmt, nie getestet. Diese Zielwerte entstammen der Business-Impact-Analyse – und dort sind sie geblieben. Ein Versprechen, das niemand einlösen muss, solange kein Ernstfall eintritt.

🎯 Was soll eigentlich erreicht werden?

RTO und RPO sind keine Kennzahlen für das Notfallhandbuch – sie sind operative Zusagen. ISO 22301 versteht sie als messbare Zielwerte, die Strategie, Infrastruktur und regelmäßige Tests voraussetzen.

Der Festungs-Irrtum

Wed, 04 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Sicherheitsbudgets fließen mehrheitlich in Prävention: Firewalls, EDR, Zugangskontrollen. Wer fragt, was passiert, wenn ein Angreifer trotzdem durchkommt, bekommt oft keine klare Antwort – manchmal gar keine.

🎯 Was soll eigentlich erreicht werden?

Angriffe verhindern, Daten schützen, Schäden abwenden. Ein legitimes Ziel – aber als alleinige Strategie zu eng gedacht.

⚠️ Warum funktioniert das nicht?

Angreifende müssen nur einmal erfolgreich sein. Wer alles in die Mauern investiert, hat nichts für den Moment, in dem sie fallen. Ransomware-Gruppen wählen gezielt Organisationen ohne Wiederherstellungsfähigkeit: Ausfall erzeugt Druck, Druck erzeugt Zahlung. WEF 2026: 17 % der Organisationen berichten über unzureichende Resilienz.