Mein letzter Beitrag liegt einen Monat zurück. Die Resonanz war ungewöhnlich. Etwa zehnmal mehr Aufrufe als üblich, einige tiefe Diskussionen. Ich habe einen Nerv getroffen.
Und doch: Es ist still hier ungewöhnlich geblieben. In meiner Bubble habe ich in diesem Monat keinen CISO gesehen, der öffentlich gemacht hätte, dass und wie sich seine Organisation auf eine Mythos-Welle vorbereitet. Niemand hat mich dazu privat angesprochen. Ich habe auch keinen Berater gesehen, der ein „Mythos-Ready-Upgrade-Paket“ anpreist und das auf einer Plattform, auf der zu jedem deutlich kleineren Hype binnen Tagen ein Angebot steht.
Sicher, ich sehe nicht alles. Aber das, was sichtbar wird, lässt mich nicht in der Annahme, die Branche habe in diesem Monat eine Wendung vollzogen.
Meine erste Lesart war: Da reagiert kaum jemand. Inzwischen habe ich eine andere These. Vielleicht war diese Stille selbst schon Teil der Irritation, aus der heraus ein Wandel in Systemen entsteht – der Beginn des U-Prozess. Vielleicht haben viele gespürt, dass hier kein 5-Punkte-Plan zieht – sondern eine Transformation ansteht, kein einfacher Change. Und genauso wie ein Coach seinen Coachee nicht damit verändert, dass er ihm sagt „mach das so und so“, lässt sich diese Lage nicht mit einem griffigen Memo lösen. Innehalten ist daher gut; so beginnt der U-Prozess. Aber wenn er nicht geführt wird, verpufft der transformative Moment. Das wäre schade und – angesichts des Themas – gefährlich.
Die naheliegende Reaktion eines Beraters wäre jetzt: nachlegen, präzisieren, einen Schritt-für-Schritt-Plan anbieten. Beraten heißt, Bescheid zu wissen.
OK, soweit das übliche Spiel in der Beratung – hören wir auf zu spielen; es ist ernst.
So eine Irritation kann Starre auslösen; auch bei mir. Dann weiß ich, dass es Zeit ist, weich und geschmeidig zu werden: Zurück zu den Basics. In meinem Fach. Als BCM-Trainer und Berater mit dreizehn Jahren Erfahrung gebe ich regelmäßig Einführungskurse – nicht, weil ich nichts anderes anzubieten hätte, sondern weil ich gelernt habe, dass die Basics der Ort sind, an dem das Verstehen tiefer wird. Wer einmal denkt, er sei darüber hinaus, hat aufgehört, ein Lernender zu sein.
In Karate Kid gibt es diese Szene, in der Daniel nach Monaten des „wax on, wax off“ die Bewegung versteht – nicht weil sie neu war, sondern weil sie endlich in seinem Körper angekommen war. Das ist die Grundfigur von Meisterschaft. Ein Meister ist nicht jemand, der die Basics hinter sich gelassen hat. Ein Meister ist jemand, der zu ihnen zurückkehrt und sie immer weiter verfeinert und immer neue Aspekte erkennt.
Und so habe ich mich gefragt: Was sind die Basics meines Faches im Lichte von Claude-Mythos? Und was würde ich sehen, wenn ich mir erlaube, dort wirklich hinzuschauen, statt schnell zu reagieren?
Vor einigen Monaten habe ich in einem BCM-Praxisbuch, das ich mitherausgegeben habe, ein Kapitel mit dem Titel „Der menschliche Faktor in der BIA“ geschrieben (s. https://www.linkedin.com/pulse/neues-bcm-praxishandbuch-für-banken-erscheint-ende-märz-patrick-grete-511me/). Das erste Unterkapitel heißt: „Habe ich eine klare Absicht für Kontinuität oder ist sie nur meine Pflicht?“. Ich argumentiere dort gegen die reine Excel-Schlacht. Ich zitiere Simon Sineks „Start with why“. Ich schreibe den Satz: „Absicht vor Pflicht.“
Ich habe das Kapitel in den letzten Wochen wieder gelesen. Es stimmt – aber ich hatte es als didaktischen Move geschrieben, als Eingangstor zum eigentlichen Stoff. Es ist der Kern, von dem aus alles andere zu lesen ist. Die MTA-Bestimmung, die Ressourcen-Erhebung, die BIA-Tabelle, der Notfallplan – das alles sind Ausdrucksformen einer Absicht. Wenn die Absicht da ist, tragen die Werkzeuge. Wenn sie fehlt, werden die Werkzeuge zur Excel-Schlacht. Bei diesen Basics merkte ich, dass hier etwas für die Claude-Mythos-Irritation enthalten war und vertraute dem Prozess, in dem ich wieder weich werden konnte. Ich hatte meine Wax-on-wax-off-Übung auf der Übungsmatte gefunden und eine Antwort konnte sich bilden.
Was sehe ich dann von dieser Matte aus?
Zuerst: Die Zeit zwischen Schwachstelle und Exploit sinkt exponentiell. 2022 waren es neun Monate. 2024 noch 53 Tage. 2025 dann 21 Tage. 2026 1,6 Tage. In die Zukunft projiziert landet diese Kurve in 2027 bei Stunden oder Minuten. Die Zeroday-Clock (https://zerodayclock.com/) zeigt diese Kurve in aller Härte. Aber die eigentliche Frage ist nicht, wie schnell ein einzelner Exploit entsteht. Die eigentliche Frage ist: Was passiert, wenn viele gleichzeitig entstehen?
Unsere Strukturen sind nicht dafür gebaut. Schwachstellenmanagement und Incident Management sind in den meisten Institutionen implizit darauf ausgelegt, dass Dinge nacheinander passieren. Eine Schwachstelle wird gemeldet, bewertet, gepatcht. Ein Incident wird aufgenommen, bearbeitet und geschlossen. Zur Not wird im Schichtsystem gearbeitet und danach wieder in das normale System übergegangen.
Wenn jetzt eine Welle kommt – viele Schwachstellen, viele Exploits, viele Incidents, gleichzeitig – dann reicht das alles nicht mehr. Triage im Incident Management wird zur Regel statt zur Ausnahme. Dauerhaftes Schichtsystem wird nötig, aber für viele spezialisierte Funktionen gibt es nicht genug Personal, um das durchzuhalten. Die Menschen, die in diesen Strukturen arbeiten, gehen nicht in eine Überforderung, weil sie schwach wären – sie gehen hinein, weil die Strukturen das verlangen, wofür sie nicht gebaut sind.
Und dann stellt sich eine Frage, die sich so heute noch nicht stellt: Wie soll man eigentlich triagieren? Schwachstellenmanagement schaut auf IT-Ressourcen und CVSS-Werte. Das reicht, solange Dinge nacheinander kommen. In der Welle nicht mehr. Wenn fünf kritische Schwachstellen gleichzeitig in unterschiedlichen Systemen offen sind und nur zwei davon in den nächsten Stunden bearbeitet werden können – nach welchem Kriterium entscheidet man? Nach dem CVSS-Wert? Der sagt etwas über die technische Schwere, aber nichts darüber, was diese Schwachstelle für das Geschäft bedeutet. Nach Gefühl? Das ist keine Grundlage, die sich in einer Krise tragen lässt.
Hier kommt das Sinek’sche Warum als operative Notwendigkeit ins Spiel. BCM und BIA fangen nicht zufällig mit B wie Business an. Wenn klar ist, warum es diese Institution gibt – welche Leistung sie erbringt, für wen, mit welcher Zeitkritikalität – dann gibt es eine Orientierung für Triage. Keine Lösung ohne Schaden. Aber eine begründete Reihenfolge.
Die Arbeitsweisen, die wir heute haben, sind nicht aus Nachlässigkeit entstanden. Sie haben sich gebildet, weil sie lange Zeit getragen haben. Schwachstellenmanagement, das auf IT-Ressourcen und CVSS schaut, war angemessen, solange Schwachstellen nacheinander kamen. Incidentprozesse, die einzelne Vorfälle abarbeiten, waren angemessen, solange die Vorfälle vereinzelt blieben. Temporäre Schichtsysteme funktionierten, solange sich Last über die Zeit verteilen ließ. Das ist nicht falsch gewesen. Es ist nur jetzt am Ende seiner Tragfähigkeit angekommen.
Das ist etwas, das man erkennt, wenn man sich erlaubt, lange genug stehenzubleiben: Warum machen wir das so? Weil andere es so machen. Weil es so gewachsen ist. Weil wir bisher keinen Grund hatten, daran etwas zu ändern. Jetzt gibt es einen Grund.
Wenn man von hier aus schaut, treten Muster hervor, die vorher selbstverständlich wirkten.
Das erste Muster: Silos. In den mir bekannten Institutionen gibt es das Geschäft, die Security, die Compliance, die IT, die HR. Jeder Bereich hat seine Aufgaben, seine Sprache, seine Erfolgsmaßstäbe. Das ist nicht durchweg schlecht. Die „Lines of Defense“ sind eine kluge Konstruktion: Sie erlauben einen Blick von außerhalb der eigenen Line auf den jeweils anderen Bereich, sie verhindern, dass eine Stelle ihre eigene Arbeit kontrolliert. Aber Silos sind kein Selbstzweck. Sie dienen dem Geschäft, in dem sich das Warum der Institution spiegelt. Wenn sie sich verselbstständigen, kippen sie.
Konkret zeigt sich das im Verhältnis von Schwachstellen- und Incident Management. In den Standards steht nirgends, dass diese zwei Disziplinen voneinander getrennt operieren sollen und nicht miteinander reden sollen. Es ist nur so passiert. Aus funktionaler Trennung – sinnvoll, weil unterschiedliche Aufgaben unterschiedliche Spezialisierung verlangen – ist über die Jahre Identität geworden. Wir vom Schwachstellenmanagement, dort die anderen vom Incident Management. Eigene Tools, eigene Tickets, eigene Reports, eigene Sprache. Das war leistbar, solange der Weg von der Schwachstelle zum Incident lang war. In der Welle wird er kurz – und die gewachsene Identität wird zum Hindernis.
Das zweite Muster fällt auf, wenn man konkret hinhört, wie über die IT gesprochen wird. „Die IT“ wird als Unterstützungsbereich beschrieben, manchmal mit einem Unterton: die Nerds in den Hoodies, die das eigentliche Geschäft erst möglich machen, aber selbst nicht das Geschäft sind. Das hat noch nie wirklich gestimmt. In den letzten zehn Jahren ist es zunehmend absurd geworden. Inzwischen ist es gefährlich.
Ein Körper, in dem die Muskeln verächtlich auf andere Organe blicken, ist nicht gesund. Er ist krank, ohne es zu merken. Solange Bedrohungen vereinzelt kamen, konnte sich eine Institution diese Trennung leisten. In einer Welt, in der Angriffe bald innerhalb eines Tages oder weniger Stunden vom Schwachstellenfund zum funktionierenden Exploit kommen, bedroht eine solche Trennung die Mission, das Warum der jeweiligen Institution.
Das dritte Muster liegt in der Rolle von BCM selbst. BCM wird oft als Pflichtprogramm verstanden – als das, was man für die Aufsicht macht, für die Auditoren, für die Regulatorik. Im Grunde sind alle Managementsysteme dienend. Ohne Geschäft gibt es keine Sicherheit, die zu managen wäre, kein Risiko, das zu steuern wäre, keine Kontinuität, die zu sichern wäre. Aber bei BCM steckt diese Orientierung deutlicher drin: Am Anfang steht der Geschäftsprozess, und von dort werden die Ressourcen abgeleitet. Ein ISMS lässt sich auch mit Fokus auf IT-Komponenten betreiben, mit Prozessorientierung als Add-on oder als Weg zur leichteren Schutzbedarfsableitung. BCM lässt diesen Ausweg eigentlich nicht zu. Die BIA fragt zwingend: Welche Leistung darf wie lange nicht ausfallen, bevor die Mission der Institution untragbar beschädigt ist?
Diese Frage ist nicht naiv. Sie ist genau die Frage, die in einer Welle von parallelen Angriffen den Unterschied zwischen sinnvoller Triage und blindem Reagieren macht. Gut ausgeführt, liegt hier die Grundlage für eine Triage und die Basis für die erste Table-Top Übung einer solchen Welle.
Wir wollten ja aufhören zu spielen, daher hier die ganz ernste Frage: Leistet Ihre BIA das?
Und das ist dann der Punkt, an dem das Sehen und das Spüren zum Gesehenen und Gespürten werden. An dem es still ist und wo es den Mut braucht, die Stille auszuhalten. Wo die Frage klingen kann, nicht um irgendetwas zu erreichen, sondern um endlich voll und ganz hier anzukommen, im Nicht-Wissen.
Das ist kein Mangel. Das ist der Grund des U.
Wenn das jetzt zu viel wird, ist das in Ordnung. Wenn Sie bleiben wollen, lade ich Sie ein, vor dem Weiterlesen einen Moment innezuhalten. Nicht symbolisch. Wirklich.
Drei Punkte haben sich bei mir herauskristallisiert. Noch nicht als Plan. Eher als Punkte, die ich vorher gesehen hatte, ohne sie wirklich zu sehen.
1. Schwachstellenmanagement und Incident Management gehören enger zusammen, als wir es heute leben. Jede Schwachstelle ist ein potentieller Incident, und in der Welle wird der Weg von der einen zum anderen kurz. Was heute als getrennte Disziplinen mit getrennten Tools, getrennten Teams, getrennten Reports organisiert ist, braucht einen engeren Rückkanal. Besonders dann, wenn Triage zur Regel wird: Welche der gerade offenen Schwachstellen wird gerade ausgenutzt? Welche zwei der fünf kritischen Schwachstellen werden zuerst geschlossen, weil sie an Ressourcen hängen, deren Ausfall das Geschäft am schnellsten beschädigt? Diese Fragen lassen sich nicht im Schwachstellenmanagement allein beantworten und nicht im Incident Management allein. Sie brauchen den geteilten Blick, der getragen ist, vom gemeinsamen Warum.
2. Die BIA ist keine Pflichtübung am Anfang des BCM-Zyklus. Sie ist das eigentliche Werkzeug, mit dem eine Institution die Komplexität ihrer eigenen Abhängigkeiten in den Blick bekommt. Eine BIA, die wirklich gemacht ist – nicht als Excel-Schlacht, sondern als Gespräch über das Warum jedes Prozesses und seine Abhängigkeiten – ist die Grundlage, auf der Triage in einer Welle überhaupt sinnvoll möglich wird. Ohne sie bleibt nur Gefühl oder CVSS. Beides reicht nicht.
3. Die Verteidigung hat einen strategischen Vorteil, den sie gerade mehr nutzen sollte. Angreifer müssen die Architektur ihrer Ziele erraten. Wir kennen sie. Wir wissen, welche Prozesse zeitkritisch sind, welche Ressourcen sie tragen, wo die Abhängigkeiten verlaufen – jedenfalls dann, wenn unsere BIA das hergibt. Mit Threat Modeling und mit KI-Unterstützung können wir aus diesem Wissen heraus systematisch nach unseren eigenen Schwachstellen suchen, bevor andere es tun. Ja, das wird viele Findings bringen, ja viele davon werden False-Positives sein, ja das ist eine neue Arbeitsweise, die man lernen muss. Deshalb KI für die Verteidigung nicht zu nutzen, ist in dieser Lage keine Option – zumindest wenn man es mit dem eigenen Warum Ernst meint. KI ohne Strategie einzuführen, allerdings auch nicht. Es braucht beides: die immer neue Klarheit über das Warum, und die Geschwindigkeit der Werkzeuge, die dieses Warum schützen.
Die drei Punkte sind nicht vollständig, und sie sind nicht für jede Institution gleich. Sie sind das, was sich bei mir herauskristallisiert hat – der erste Schritt aus dem Grund des U. Ich fand es wert, sie mit Ihnen zu teilen.
Was ist der nächste Schritt? Hier wäre es ein Teilen, Liken und Kommentieren – das freut den Algorithmus. Viel wichtiger wäre es aber, was Sie danach in Ihrer Institution machen. Wie wäre es, das Thema mit jemandem bei Ihnen zu besprechen, mit dem Sie es bisher nicht besprochen haben? Vielleicht mit Ihrem BCM-Beauftragten. Vielleicht mit jemandem aus der IT. Vielleicht mit mehreren, die noch nie an einem Tisch saßen, die aber eigentlich alle zum Warum der eigenen Institution beitragen? Kurz: Mit der Frage nach einer Lösung, der Demut, es nicht zu wissen und dem Mut, dieses Nichtwissen auszuhalten. Könnte spannend werden und gut.
