Claude-Mythos war so eine Irritation. Findet eine seit 27 Jahren bestehende Schwachstelle in OpenBSD, eine 16 Jahre alte Schwachstelle in ffmpeg und mehrere im Linux-Kernel, die verkettet die komplette Server-Kontrolle ermöglicht hätten. Achja: Und es konnte den Exploit selbst auch mit dazu schreiben…

Irritation… Dann rationaler Verstand: Ja, KI ist gut in Mustern. Schwachstellen sind Muster im Code. Aber irgendeine Irritation blieb.

Dann ging am Montag in meinem Netzwerk ein Papier der #CSA viral (**https://labs.cloudsecurityalliance.org/mythos-ciso/**). Mythosready Schwachstellenmanagement… Aha… Ja, die Welt ist gefährlich. Aber etwas berührte mich: Es wurde an einem Wochenende geschrieben, 3 Hauptautoren, 16 Co-Autoren, aktuelle CISO von Google, vorherige Cyberdirektoren des weißen Hauses, der NSA, Bank of Amerika, weitere größere Firmen… und dann eine lange Liste von Reviewern, die am Wochenende offenbar nichts besseres zu tun hatten als pro bono dieses Papier zu schreiben. Und die Irritation in meinem System wuchs, so dass ich genauer hin schaute. Ich suchte nach Worten für meine ungenaue Ahnung.

Hier liegt eines der Probleme: Wir haben keine Worte, um zu erfassen, was systemisch gerade passiert. Wann ist jemals schon mal vorher so ein Papier von so vielen Menschen über das Wochenende geschrieben worden, wo die Meldung zum Tool erst wenige Tage vorher veröffentlicht wurde? Noch nie!

Klar, es gibt die typischen Doomer-Meldungen. Die klassischen “Auf einer Skala von 1 bis 10 ist das die 11”-Meldungen, aber ich merke, dass das nicht passt, zu wenig ist. Vielleicht möchte man sagen: Das ist die 12. Es passt wieder nicht.

In dem Papier benutzen die Autoren die Beschreibung von exponentiellen Entwicklungen. Zur Veröffentlichung von ChatGPT 2022 dauerte es im Schnitt 9 Monate von der Schwachstelle bis zum ausnutzbaren Exploit, 2024 sind es nur noch 56 Tage, 2025 dann 23 Tage – und 2026 schlägt die Exponentialkurve zu: Es sind nur noch 20 Stunden. Ein hegelscher Moment, in dem Quantität in Qualität umschlägt. Viele Institutionen sind nicht in der Lage, innerhalb von wenigen Stunden, ihre Systeme zu patchen und auf gleichzeitige Angriffe vorbereitet zu sein; noch weniger, dass diese Angriffe mehrfach pro Woche auftreten und das Team ausbrennen lassen, wenn es überhaupt ein operationelles Team gibt und nicht nur Sicherheit als Beratende Funktion gesehen wird.

An dieser Stelle hilft mir neben meiner Expertise in Cybersecurity und Business Continuity meine Coaching Ausbildung. Ja, der Coachee möchte sofort eine Lösung, ja die Fachabteilung möchte von mir den 10 Punkte Plan, kann man nicht schnell was tun, am besten sofort?

Und wenn Sie auch beim Lesen bis hier hin, diese Hektik spüren, dieses Ringen um die richtigen Worte: Kommen Sie in dieser Sprachlosigkeit voll an, schweigen wir. Als Coach kenne ich den Prozess und halte den Raum für diesen scharmer’schen U-Prozess. Wir hören mit dem hektischen Gerede von “noch ein Tool”, “hier noch eine Powerpoint”, “da noch ein Memo” (bei Scharmer “Downloading” genannt) und werden still und gehen ins “Seeing”:

• Unsere Prozesse sind zu langsam
• Es ist nicht die Frage, ob wir von solchen hoch-komplexen Angriffen getroffen werden; es ist nur die Frage, wann die anderen Modelle in die Nähe der Fähigkeit von Claude Mythos kommen und die Wellen losbrechen werden
• Unsere Krisenreaktionsprozesse sind nicht für dauerhafte, ständig neue Wellen geeignet.
• Gegen automatisierte, mehrstufige Angriffe in Maschinengeschwindigkeit, kann rein menschliche Geschwindigkeit nicht ankommen. Dies führt zu Erschöpfung und Burnout.

Vielleicht sehen wir aber auch unschönere Dinge:

• Wir geben schon seit Jahren zu wenig Geld für Sicherheit aus.
• Wir beteiligen Security nur soweit nötig, da sie im Geschäft “stört”
• Wir haben zwar schöne Excel-Tabellen und können Auditoren Sicherheit auf dem Papier nachweisen; wissen aber, dass sie nicht real vorhanden ist.
• Eigentlich weiß ich, dass Security ein C-Level-Thema ist, aber ich habe das immer delegiert und nur nach außen den schönen Schein bewahrt.

Aber auch: Was bleibt? → Basics wie Patchen, IAM, Segmentierung

Wenn Sie bis hier hin gefolgt sind: Was sehen Sie bei sich, wenn Sie sich erlauben, kurz still zu werden?

Gehen wir tiefer ins U. Nach der Kognition kommt das “Sensing”, also das Spüren. Was spüren Sie?

• Vielleicht Existenzangst, denn Security ist wirklich zur Sicherung da und nicht nur, um so zu tun.
• Vielleicht Scham, weil Sie die Einschläge nicht verhindern können und es niemanden gibt, dem sie die Verantwortung geben können (nicht zuletzt, weil Verantwortung schon immer undelegierbare Leitungsfunktion war).
• Vielleicht Trauer, da Sie spüren, dass hier etwas zu Ende geht. Die Art und Weise, wie Software gepatched wird, dass Sie das wichtigste selbst machten (und nicht nur einem Agenten bei der Ausführung zuschauten).
• Vielleicht Sinnlosigkeit, den nächsten Report zu schreiben, der wieder von der nächsten Hierarchieebene ignoriert wird.
• Auch auf das Team bezogen: Welchen Sinn hat die nächste Überstunde, die das Problem nicht löst, sondern das Team nur weiter unter Stress setzt?

Sie müssen es nicht teilen, aber gönnen Sie sich hier Ehrlichkeit: Was spüren Sie wirklich angesichts des ankommenden dauerhaften Sturms von hochgezüchteten, komplexen, mehrstufigen Angriffen, die nicht geordnet nacheinander passieren, sondern gleichzeitig, in Kaskaden?

Sehr gut, dann sind wir bereit für den Grund des U, Presensing. Wenn wir das alles sehen und das alles spüren und da voll und ganz ankommen… Dann (und erst dann) sind wir in der Lage nicht aus den vergangenen Mustern, sondern von der Zukunft her zu führen: Was ist wichtig? Es beginnt “Crystalizing”:

• Menschen werden nicht verheizt.
• Wahrheit vor Fassade.
• Schutz kritischer Systeme vor Perfektion in Randzonen.
• Geschwindigkeit dort, wo sie das Risiko real senkt.
• KI nicht als Spielzeug, sondern als Arbeits- und Schutzmodus

Und dabei helfen auch die Fragen aus dem Papier (S. 15). Was ist es bei Ihnen?

Und dann geht es ans Prototyping. Wie sehen an den kritischsten Bereichen Sicherheit in Maschinengeschwindigkeit aus? Wie geht Führung in dieser neuen Zeit? Wie sehe ich, ob meine Leute noch resilient sind? Wie erzeuge ich Antifragilität und gehe stärker aus dieser Phase hervor, als ich reingegangen bin? Was ist der nächste machbare Schritt? Wo sollte ich sofort aufhören, nur den Schein von Sicherheit zu erzeugen und echte Sicherheit in BANI Zeiten zu leben?

Danke, dass Sie bis hier hin gelesen haben!

Ich hoffe, ich konnte rüber bringen, dass wir hier vor einer Transformation in der Cybersecurity stehen. Automatisierte, kaskadierte Angriffe werden in den nächsten Monaten kommen. Sie werden alle großen und kleinen Security-Lebenslügen aufdecken und sie werden in einer Geschwindigkeit kommen, so dass wir keine Zeit mehr haben werden, um uns Ausreden einfallen zu lassen. Auch ohne geheimes Wissen kann man sicher sagen: Die bestehenden Prozesse sind nicht dafür ausgelegt, da sie es bisher nicht sein mussten. Wenn es noch einen Weckruf bedurfte, dann möge es dieser Beitrag sein. Wenn er überhört wird, dann wird es Schäden geben und sie können schnell so groß werden, dass es Ihr Unternehmen zerstört. Sie glauben mir nicht? Dann sprechen Sie mit Ihrem BCM-Beauftragten und hören ihm oder  ihr wirklich zu, wenn es um die Abhängigkeiten von verschiedenen Systemen und ihrer Vernetzung untereinander geht. Trauen Sie sich die Frage zu stellen:

Wenn Du Dich trauen würdest, mir angesichts des zukünftigen Sturmes ein ehrliches Update der BIA zu geben; was wären die drei wichtigsten Punkte?

Und ansonsten sind in dem Papier schon wichtige Sofortprogramme beschrieben. Sie wirken jedoch nur bei Verständnis der Transformation. Ob man das mit U-Prozess, lernender Organisation oder der integralen Theorie macht ist dabei fast schon eine Geschmacksfrage – es ist aber eine Transformation und nicht einfach ein Change. Das gilt auch für staatliche Prozesse – aber da möchte ich meinen Kolleginnen und Kollegen nicht vorgreifen.

Was denken Sie? Und: Was ist Ihr nächster konkrete Schritt?