Risiko & Entscheidung on .kais blog

Das Nie-wieder-Versprechen

Fri, 11 Sep 2026 07:35:00 +0200

🔍 Was beobachte ich?

Nach einem schweren Vorfall steht die Frage im Raum, wie sich so etwas künftig ausschließen lässt. Aus der Antwort wird ein Programm, aus dem Programm ein Versprechen: Das kann uns nicht noch einmal passieren. Ich habe diesen Satz oft gehört. Geglaubt habe ich ihn nie: Prävention braucht nur einen guten Gegner.

🎯 Was soll eigentlich erreicht werden?

Das Ziel ist berechtigt. ISO 27001 verlangt, die Ursachen einer Abweichung zu beseitigen, damit sie sich nicht wiederholt. Wer nach einem Vorfall nichts ändert, hat nichts verstanden.

Die falsch gestellte Frage

Mon, 24 Aug 2026 07:35:00 +0200

❓ Die Ausgangsfrage

„Wie riskant ist KI?“ Die Frage fällt in fast jedem Gremium, in dem ich sitze. Sie klingt vernünftig und ist doch unbeantwortbar – nicht weil wir zu wenig wüssten, sondern weil sie fünf Fragen zu einer verdichtet.

🔍 Risiko für wen?

Die KI kann Ziel sein: Prompt-Injection macht sie zur Angriffsfläche. Sie kann Werkzeug sein, wenn Angreifende mit ihr Phishing-Mails, Deepfakes oder Exploits bauen. Und sie kann Verursacherin sein, ohne Angriff – sie erfindet Pakete, meldet Tests grün, die nie liefen, löscht Arbeitsstände. In allen drei Rollen entscheidet am Ende ein Mensch, was installiert, übernommen oder geglaubt wird. In der vierten fehlt er – die Frage ist nur, wen es trifft: Dritte oder uns.

Die fremde Gewichtung

Fri, 14 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Schwachstellen bekommen einen CVSS-Wert, Bedrohungen eine DREAD-Summe, Risiken eine Farbe in der Matrix. Danach streiten alle über die Zahl, nie über den Weg dorthin. Ich habe früher selbst nach Score sortiert und das für Priorisierung gehalten.

🎯 Was soll eigentlich erreicht werden?

Vergleichbarkeit. Aus vielen Einzelmerkmalen soll eine Reihenfolge werden, an der sich Aufwand, Budget und Termine festmachen lassen.

Das Budget ist die ehrlichere Risikoanalyse

Mon, 03 Aug 2026 07:35:00 +0200

❓ Wogegen entscheiden wir eigentlich?

„Sicherheit ist ein Entscheidungsproblem, kein Werkzeugproblem." Der Satz stimmt zur Hälfte. Denn jede Beschaffung ist bereits eine Entscheidung: darüber, was zählt, was wartet und was niemand ansieht. Wir entscheiden nicht zu selten. Wir entscheiden verdeckt – und nennen es Einkauf.

🔍 Was verrät das Budget?

Ein Risikoregister zeigt, was eine Organisation zu Protokoll gibt. Das Budget zeigt, was sie tatsächlich vorzieht. Wo beide sich widersprechen, hat das Budget recht. Der Benchmark von IANS und Artico Search zeigt für 2025 eine Asymmetrie: Für Werkzeuge ist Geld da, für Personal nicht. Nur 45 Prozent der befragten CISOs konnten Stellen aufbauen – vor drei Jahren waren es 67 Prozent. Zugleich kommen laut der SANS 2025 SOC Survey zwei Drittel der Teams mit dem Alarmaufkommen nicht hinterher. Wir haben also Augen gekauft und keine Hände. Das ist eine Priorisierung – nur hat sie niemand als solche beschlossen. Den Rahmen setzt selten die Sicherheitsfunktion. Ihn zu füllen aber schon.

Die stille Dauerduldung

Wed, 29 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Fast jede Organisation führt eine Liste genehmigter Ausnahmen. Ich finde dort Einträge ohne Ablaufdatum, begründet mit einer Migration, die vor zwei Jahren beginnen sollte. Eine im Mai 2026 veröffentlichte Befragung von 200 Sicherheitsverantwortlichen in den USA ergab: Alle Organisationen hatten in den vergangenen zwölf Monaten Ausnahmen erteilt, gut jede dritte auf informellem Weg.

🎯 Was soll eigentlich erreicht werden?

Eine Organisation muss handlungsfähig bleiben. Wenn eine Regel ein Vorhaben blockiert und der Aufwand den Nutzen übersteigt, ist die dokumentierte Ausnahme das richtige Instrument.

Gefangen in der Cloud

Mon, 20 Jul 2026 07:35:00 +0200

🌍 Das vertraute Bild

Ich vergleiche den Bezug einer Cloud gern mit dem Einzug in eine möblierte Wohnung. Alles ist da, sofort nutzbar, keine eigene Anschaffung nötig. Man unterschreibt und lebt am selben Tag. Der Komfort ist echt – und er ist der Anfang der Bindung.

🔬 Die erste Parallele

Die Möbel gehören dem Vermieter. Man richtet sich ein, verlegt Leitungen, baut Regale nach Maß – alles passt exakt in diese eine Wohnung. Übertragen heißt das: proprietäre Dienste, spezifische APIs, verwaltete Datenbanken. Je tiefer man sich einrichtet, desto mehr Arbeit steckt in einer Umgebung, die man nicht besitzt.

Das macht man so

Wed, 15 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe, wie Maßnahmen eingeführt werden, weil sie als Best Practice gelten. Passwort-Rotation alle 30 Tage, ein weiteres Awareness-Modul, noch eine Richtlinie. Auf die Frage, welches Risiko das adressiert, kommt: „Das macht man so."

🎯 Was soll eigentlich erreicht werden?

Sicherheit durch Bewährtes – und das ist zunächst vernünftig. Manche Maßnahmen sind billig und erkennbar wirksam; sie jedes Mal neu herzuleiten wäre Verschwendung. Nicht jede Entscheidung ist eine eigene Analyse wert.

Der Gute-Nachrichten-Filter

Fri, 10 Jul 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe es immer wieder: Je höher eine Information in der Unternehmenshierarchie steigt, desto besser klingt sie. Was an der Basis ein offenes Sicherheitsproblem ist, wird auf jeder Ebene eine Spur geglättet. Oben kommt eine Lage an, die niemand mehr wiedererkennt.

🎯 Was soll eigentlich erreicht werden?

Führung will klare, entscheidungsreife Berichte – keine Panik, keine Rohdaten. Verdichtung ist legitim: Nicht jedes Detail gehört in den Vorstand.

Der Preis der Präzision

Mon, 06 Jul 2026 07:35:00 +0200

📌 Wenn die Antwort schon feststeht

Wir bewerten Risiken, als wäre jede Nachkommastelle bares Geld wert. Konfidenzintervalle enger ziehen, Schadenshöhen dritteln, Eintrittswahrscheinlichkeiten auf die zweite Nachkommastelle schätzen. Doch bei vielen Risiken ändert sich die Behandlungsentscheidung nicht, egal wie genau wir schätzen. Ob der Erwartungswert 40.000 oder 60.000 Euro beträgt - patchen müssen wir so oder so. Die dritte Nachkommastelle kostet Zeit und ändert nichts.

⚡ Der Wert der Gewissheit

Douglas Hubbard rechnet das über den Expected Value of Perfect Information vor. Verändert eine präzisere Schätzung keine einzige Behandlungsentscheidung, ist ihr Informationswert null - unabhängig vom Aufwand dahinter. Genauigkeit ist keine Tugend an sich. Sie ist nur so viel wert, wie sie eine Wahl beeinflusst.

Die Drittanbieter-Blindheit

Wed, 24 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Das Lieferantenmanagement läuft: Fragebögen verschickt, Zertifikate geprüft, Risikoklassen vergeben. Dann frage ich, welche Geschäftsprozesse der Ausfall eines einzigen Anbieters trifft. Die Antwort beginnt mit Schweigen und endet in Excel-Archäologie.

🎯 Was soll eigentlich erreicht werden?

ISO 27001 und NIS2 verlangen, Risiken aus Lieferantenbeziehungen zu steuern. Das eigentliche Ziel ist Resilienz: vorher wissen, was reißt, wenn ein Glied der Kette bricht.

Das Nilpferd am Tisch

Fri, 19 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe es immer wieder: Im Risiko-Workshop schätzt das Team Eintrittswahrscheinlichkeit und Schadenshöhe. Dann spricht die ranghöchste Person, und die Bewertung wandert in ihre Richtung. Das Muster hat einen Namen: HiPPO, die Highest Paid Person’s Opinion.

🎯 Was soll eigentlich erreicht werden?

Risikoentscheidungen brauchen Verantwortung, und die liegt zu Recht bei der Leitung. ISO 27001 legt die Akzeptanz von Restrisiken in die Hände der Risikoverantwortlichen – die Bewertung selbst soll Methode haben.

In welcher Welt spielen wir

Mon, 15 Jun 2026 07:35:00 +0200

❓ Die Frage, die wir überspringen

Wir behandeln Informationssicherheit gern als Ingenieursdisziplin. Risiken werden identifiziert, in einer Matrix bewertet, in ein Register überführt, behandelt. Das funktioniert erstaunlich oft. Und manchmal versagt es vollständig – obwohl die Methode sauber angewandt wurde. Die Frage, die wir selten stellen, lautet: Warum eigentlich?

🔍 Die erste Antwort

Weil nicht jedes Problem dieselbe Art von Problem ist. Dave Snowdens Cynefin-Modell unterscheidet Problemwelten. Im Klaren gibt es bewährte Praxis – Härtungs-Checklisten, klare Ursache und Wirkung. Im Komplizierten helfen Fachwissen und Analyse; hier sind unsere Risikomatrizen und Register zu Hause, hier gibt es eine richtige Antwort, man muss sie nur finden. Doch ein lernender Angreifer, eine verzweigte Lieferkette, ein über Jahre gewachsenes Systemgefüge gehören nicht hierher. Sie sind komplex: Ursache und Wirkung zeigen sich erst im Nachhinein.

Die Nebenwirkung ohne Beipackzettel

Wed, 10 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ein Risiko wird behandelt, die Kennzahl färbt sich grün, das Register meldet Vollzug. Ich erlebe dann denselben Moment der Erleichterung – und dieselbe Lücke danach: Niemand prüft, welche neuen Risiken die Maßnahme selbst eingeführt hat.

🎯 Was soll eigentlich erreicht werden?

Die Absicht ist richtig: Ein erkanntes Risiko soll sinken, ein Schwachpunkt geschlossen werden. Risikobehandlung ist der Kern jedes ISMS.

Die seriöse Zahl

Wed, 03 Jun 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risiko-Workshops kommen Zahlen heraus, die wie Messungen aussehen: 23 % Eintrittswahrscheinlichkeit, 2,5 Mio. € Schaden. Niemand fragt, woher die Eingaben stammen. Die Zahl trägt ihre Herkunft nicht an sich.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar machen, Entscheidungen begründen. ISO/IEC 27001 verlangt in Abschnitt 6.1.2 b ein Verfahren, das wiederholt konsistente, valide und vergleichbare Ergebnisse liefert.

Die fertige Liste

Fri, 29 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Risikoworkshops enden mit einem gepflegten Register: Bedrohungen erfasst, Schwachstellen zugeordnet, Schäden geschätzt. Was nicht im Register steht, gilt als abgedeckt. Die nicht identifizierten Risiken hinterlassen keine Spur – also gibt es sie nicht.

🎯 Was soll eigentlich erreicht werden?

ISO/IEC 27001 verlangt in Abschnitt 6.1.2 b ein Verfahren, das wiederholt konsistente, valide und vergleichbare Ergebnisse liefert. Das Register soll Entscheidungen tragen, Ressourcen lenken und Verantwortung sichtbar machen.

Das strategische Hoch

Wed, 20 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

Risikoworkshops enden mit Ampelfarben. „Hoch", „mittel", „niedrig" – ohne Zahlen, ohne Herleitung. Nicht weil Daten fehlen. Sondern weil „hoch" niemanden festlegt. Wer nie eine Zahl nennt, kann nie danebenliegen.

🎯 Was soll eigentlich erreicht werden?

Risiken sollen priorisierbar sein – über Zeit, über Personen, über Budgetentscheidungen hinweg.

⚠️ Warum funktioniert das nicht?

„Hoch" ist nicht falsifizierbar. Ein Risiko mit 5 % Wahrscheinlichkeit und 10 Mio. € Schaden ist „hoch". Eines mit 40 % und 200.000 € auch. Was kostet die Gegenmaßnahme – und lohnt sie sich für welches der beiden? Die Ampel kann diese Frage nicht beantworten. Sie schützt nicht vor dem Risiko. Sie schützt vor der Aussage.

Wenn Zahlen versagen

Mon, 18 May 2026 07:35:00 +0200

❓ Die zentrale Frage

FAIR-Modelle sind logisch durchdacht, Risk-Register gewissenhaft gepflegt, Eintrittswahrscheinlichkeiten sauber kalkuliert. Und dann: die XZ-Backdoor. Über zwei Jahre schleuste ein Maintainer eine Backdoor in eine Kernbibliothek – entdeckt durch Zufall, Tage bevor sie in jede Linux-Distribution gewandert wäre. Kein Risikomodell hatte diesen Vektor je auf der Liste.

🔍 Die unbequeme Erkenntnis

Das ist kein Versäumnis der Methode. Das ist Frank Knights Erkenntnis von 1921: Es gibt Risiko – messbar, mit bekannter Verteilung. Und es gibt Knightian Uncertainty – Unsicherheit, bei der die Wahrscheinlichkeit selbst unbekannt ist. Zero-Day-Exploits, Supply-Chain-Attacken, geopolitische Kampagnen: das ist der Standard bei echten Bedrohungen.

Apfel × Handtuch = Regen

Wed, 13 May 2026 07:35:00 +0200

🔍 Was beobachte ich?

In jeder zweiten Risikomatrix multipliziert jemand Wahrscheinlichkeit mit Schadenshöhe. Aus „2 × 4 = 8" wird ein „mittleres Risiko", aus „3 × 3 = 9" ein „hohes". Die Ampel springt auf Rot, das Steuerungsgremium nickt.

🎯 Was soll eigentlich erreicht werden?

Risiken sollen vergleichbar werden. Eine Zahl, eine Farbe, eine Entscheidung. Die Risikomatrix gilt seit Jahrzehnten als pragmatische Standardmethode.

Die Erlaubnis zum Zweifel

Mon, 11 May 2026 07:35:00 +0200

🤝 Der vertraute Einwand

“Wir machen doch Risk Assessments.” Diesen Reflex erlebe ich bei jeder Frage nach den verborgenen Risiken eines Projekts. Verständlich. Wer ein ISMS nach ISO 27001 betreibt, hat eine Risikoeinschätzung vorzuweisen. Wer Projekte führt, hat ein Risikoregister. Methodik liegt vor, Werkzeuge auch. Alles geprüft, alles dokumentiert.

⚖️ Was daran stimmt

Die Methodik ist tatsächlich nicht das Problem. Risikoidentifikation, Bewertung, Behandlung – das beherrschen die Werkzeuge gut. Wer eine FAIR-Analyse macht, kommt zu belastbaren Zahlen. Wer Bow-Ties zeichnet, sieht Ursachen und Folgen. Wer Threat-Modelling betreibt, kennt seine Angreifertypen. Auf der Methodenseite liegt alles bereit.

Die Sicherheitsinventur

Wed, 29 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risk-Workshops werden Assets der Reihe nach durchgegangen: Schwachstellen-Scans, Bedrohungskataloge, Einstufungen nach Vertraulichkeit, Integrität und Verfügbarkeit. Das nennt sich Risikoidentifikation. Das Ergebnis ist eine priorisierte Schwachstellenliste – kein Risikoregister.

🎯 Was soll eigentlich erreicht werden?

Risiken systematisch identifizieren und priorisieren. ISO 31000 und ISO 27001 fordern genau das. Nur die Methode – Asset-Inventur plus Bedrohungsabgleich – führt nicht dorthin.

Jedes Risiko hat seine Etage

Mon, 27 Apr 2026 07:35:00 +0200

❓ Die Frage, die Governance verdrängt

Welche Ebene der Organisation soll diese Risikoentscheidung treffen? Die Frage klingt banal. Sie wird erstaunlich selten gestellt.

Stattdessen landet alles beim Management — oder jede Einheit entscheidet still für sich. Beides kann teuer sein.

🔍 Warum jede Ebene anders schaut

Jedes Teil-System einer Organisation verfolgt ein eigenes Ziel. Das Entwicklungsteam will schnell liefern. Die Sicherheitsabteilung will Angriffsflächen minimieren. Die Unternehmensleitung will strategische Vorhaben realisieren und regulatorische Anforderungen erfüllen. Jedes Ziel ist legitim.

Goodhart's Falle

Fri, 24 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Security-Dashboards quellen über: Patch-Rate, offene Findings, Mean Time to Detect, Awareness-Klickrate. Ich frage in solchen Besprechungen manchmal: Welche Entscheidung würde sich ändern, wenn dieser Wert um 10 Prozent schlechter wäre? Die Antwort ist oft Schweigen.

🎯 Was soll eigentlich erreicht werden?

Messgrößen sollen Entscheidungen verbessern – besser priorisieren, besser investieren, echtes Risiko sichtbar machen. Douglas Hubbard definiert Messen als Reduktion von Unsicherheit durch Beobachtung: Die Zahl hilft, eine Entscheidung anders zu treffen.

Risiko ohne Ziel

Wed, 22 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

In Risk-Workshops sehe ich regelmäßig dasselbe Muster: Risiken werden bewertet, priorisiert, mit Controls versehen. Vorher hat niemand gefragt, welche Geschäftsziele auf dem Spiel stehen. Das Risikoregister ist korrekt ausgefüllt – und völlig kontextlos.

🎯 Was soll eigentlich erreicht werden?

Risikomanagement soll Entscheidungen ermöglichen: Welche Risiken akzeptiere ich, welche behandle ich zuerst? ISO 31000 definiert Risiko als „Auswirkung von Unsicherheit auf Ziele" – die Bewertung setzt damit voraus, dass Ziele existieren.

Hire a Hero

Fri, 20 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Die Stelle ist ausgeschrieben, das Organigramm aktualisiert, die Pressemitteilung fertig. Die Organisation hat einen CISO – damit ist Cybersicherheit geregelt. Im besten Fall bringt der CISO auch noch Magical Security Dust mit. Hire a Hero: Expertise einkaufen, Verantwortung abgeben, fertig.

🎯 Was soll eigentlich erreicht werden?

Cyber-Risiken professionell managen. Sicherheitsverantwortung verankern – nicht bei einer Person, sondern dort, wo täglich Entscheidungen mit Sicherheitsrelevanz fallen.

Einmal bewertet, für immer gültig

Wed, 18 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Risikobewertungen entstehen einmal im Jahr vor dem Audit. Danach ruhen sie im Register. Zwischendurch passiert ein Vorfall in der Branche, eine neue Schwachstelle wird bekannt, die Bedrohungslage ändert sich. Neue Services gehen live, IT-Systeme werden migriert, Abteilungen umstrukturiert. Die Bewertungen bleiben, wie sie sind.

🎯 Was soll eigentlich erreicht werden?

Ein aktuelles Lagebild der Risikosituation.

⚠️ Warum funktioniert das nicht?

Eine Wahrscheinlichkeitsschätzung ist kein Foto, das man einmal macht und einrahmt. Sie spiegelt den Wissensstand zum Zeitpunkt der Bewertung. Neue Informationen verändern diesen Wissensstand. Wer das ignoriert, trifft Entscheidungen auf Basis veralteter Annahmen.

Das eine Risikomaß

Wed, 11 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Jedes Security-Dashboard zeigt Risiko-Scores. CVSS, Risk-Index, Risikorating – alles landet auf einer Skala. Die Ampel springt auf Rot, der Score überschreitet 7,5, also wird priorisiert. Wessen Abweichung von welchem Ziel dabei gemeint ist, fragt niemand.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar und priorisierbar machen. Entscheidungstragende sollen auf einen Blick sehen, was kritisch ist – und Investitionen dorthin lenken, wo der Handlungsbedarf am größten ist.

Punktlandung im Nebel

Fri, 27 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

Im Risk-Register steht: Eintrittswahrscheinlichkeit 30%. Schadenshöhe 250.000 Euro. Zwei Nachkommastellen Genauigkeit, null Nachkommastellen Ehrlichkeit. Niemand fragt, wie sicher sich die schätzende Person bei diesen Zahlen ist.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar und priorisierbar machen.

⚠️ Warum funktioniert das nicht?

Ein einzelner Punktwert suggeriert eine Präzision, die nicht existiert. Wer “30%” sagt, meint vielleicht “irgendwo zwischen 10% und 50%”. Diesen Unterschied verschluckt die Zahl. Entscheidungstragende treffen auf dieser Basis Investitionsentscheidungen - ohne zu wissen, wie dünn das Eis ist.

Einmal bewertet, für immer gültig

Wed, 25 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

🎯 Was soll eigentlich erreicht werden?

Ein aktuelles Lagebild der Risikosituation.

⚠️ Warum funktioniert das nicht?

Ohne Daten keine Wahrscheinlichkeit

Fri, 20 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

“Wir können keine Wahrscheinlichkeiten angeben - uns fehlen die statistischen Daten.” Diesen Satz höre ich in fast jedem Risk-Assessment-Workshop. Die Folge: Risiken werden gar nicht bewertet oder mit bedeutungslosen Kategorien wie “mittel” versehen.

🎯 Was soll eigentlich erreicht werden?

Eine fundierte Einschätzung, wie plausibel der Eintritt eines Risikos ist.

⚠️ Warum funktioniert das nicht?

Wer auf objektive Statistiken wartet, wartet bei singulären Risiken für immer. Die nächste Ransomware-Attacke auf genau diese Organisation ist kein wiederholbares Zufallsexperiment. Objektive Häufigkeiten helfen hier nicht weiter. Also passiert nichts - oder jemand schätzt ohne Methode.

Babylonische Sprachverwirrung im Risikomanagement

Wed, 18 Feb 2026 07:35:00 +0100

🔍 Was beobachte ich?

Zehn Leute bewerten Risiken im Workshop. Drei meinen mit “Risiko” die Eintrittswahrscheinlichkeit, zwei den Schaden, der Rest irgendetwas dazwischen. Alle nicken. Niemand meint dasselbe.

🎯 Was soll eigentlich erreicht werden?

Eine gemeinsame Risikobewertung. Eine Sprache, vergleichbare Ergebnisse.

⚠️ Warum funktioniert das nicht?

ISO 31000 definiert Risiko als “Auswirkung von Unsicherheit auf Ziele”. NIST spricht von Threats und Vulnerabilities. FAIR zerlegt Risiko in Loss Event Frequency und Loss Magnitude. Alle bringen ihr Framework im Kopf mit. Niemand legt die Karten auf den Tisch. Das Ergebnis: Ein Risk-Register voller Bewertungen, die nicht vergleichbar sind.