Erledigt ist nicht dasselbe wie wirksam
Eine Richtlinie wurde verabschiedet, ein Werkzeug installiert und eine Schulung durchgeführt. Damit sind Aktivitäten abgeschlossen. Ob Risiken tatsächlich kleiner wurden, ist eine andere Frage. Informationssicherheit braucht deshalb Kriterien, an denen Wirkung erkennbar wird.
Diese Unterscheidung klingt selbstverständlich und geht im Alltag trotzdem leicht verloren. Projekte berichten über eingeführte Systeme, absolvierte Schulungen und geschlossene Maßnahmen. Das ist nachvollziehbar, denn Erledigungen lassen sich zählen. Wirkung ist anspruchsvoller. Sie zeigt sich oft erst im Betrieb, bei einer Störung oder in einem Test – also genau dann, wenn die Projektfolie bereits im Archiv liegt.
Mich interessiert deshalb nicht nur, ob etwas umgesetzt wurde, sondern warum es helfen soll und woran wir das erkennen. Diese Frage ist gelegentlich unbequem. Sie verhindert aber, dass Aktivität mit Sicherheit verwechselt wird. Ein sehr voller Maßnahmenplan kann schließlich auch nur bedeuten, dass wir hervorragend beschäftigt sind.
Von der Maßnahme zur erwarteten Wirkung
Für jede wichtige Maßnahme sollte klar sein, welches Risiko sie beeinflusst und woran das erkennbar ist. Mehrfaktor-Authentisierung soll Kontoübernahmen erschweren. Backups sollen eine Wiederherstellung ermöglichen. Schulungen sollen dazu führen, dass Auffälligkeiten früher erkannt und gemeldet werden. Diese Wirkung lässt sich prüfen.
Dabei muss die Prüfung zum Ziel passen. Ob eine Sicherung erfolgreich erstellt wurde, sagt noch nichts darüber aus, ob sich daraus ein vollständiger Betrieb wiederherstellen lässt. Ob Mitarbeitende an einer Schulung teilgenommen haben, sagt noch nicht, ob sie einen verdächtigen Vorgang erkennen und richtig melden. Der Nachweis sollte möglichst nah an der tatsächlichen Nutzung liegen.
- Wiederherstellungen unter realistischen Bedingungen testen.
- Berechtigungen und technische Kontrollen stichprobenartig prüfen.
- Meldewege mit Übungen und messbaren Reaktionszeiten erproben.
- Ausnahmen, Umgehungen und wiederkehrende Fehler auswerten.
- Ergebnisse für Führung verständlich mit Geschäftsrisiken verbinden.
Kennzahlen brauchen Bedeutung
Die Zahl blockierter Angriffe kann beeindruckend sein, erklärt aber nicht automatisch das verbleibende Risiko. Gute Kennzahlen unterstützen Entscheidungen: Welche kritische Leistung ist unzureichend geschützt? Welche Maßnahme funktioniert nicht? Wo wird ein Risiko bewusst akzeptiert? Eine grüne Ampel ohne erklärbaren Zusammenhang ist vor allem dekorativ.
Kennzahlen sollten außerdem Verhalten nicht in die falsche Richtung lenken. Wird nur die Zahl geschlossener Tickets bewertet, werden möglicherweise viele leichte Fälle bevorzugt. Wird die Zahl gemeldeter Vorfälle als negativ betrachtet, lernen Mitarbeitende schnell, weniger zu melden. Eine Kennzahl ist nicht neutral. Sie beeinflusst, worauf Menschen achten – manchmal mit erstaunlicher Kreativität.
Einzelne Maßnahmen wirken selten allein. Mehrfaktor-Authentisierung hilft wenig, wenn Wiederherstellungsverfahren den zweiten Faktor umgehen. Ein gutes Backup schützt nicht vor langen Ausfällen, wenn niemand die Reihenfolge des Wiederanlaufs kennt. Eine klare Richtlinie bleibt schwach, wenn Führungskräfte im Alltag das Gegenteil vorleben. Alles hängt mit allem zusammen; gerade deshalb muss die Wirkung im Prozess betrachtet werden.
Das bedeutet nicht, jedes System vollständig zu testen. Prüfungen sollten sich an Risiko und Kritikalität orientieren. Für eine zentrale Geschäftsleistung braucht es belastbare Übungen. Bei weniger wichtigen Bereichen können Stichproben genügen. Perfektion ist kein realistisches Ziel. Ungeprüfte Zuversicht allerdings auch nicht.
Aus Ergebnissen Entscheidungen machen
Eine Wirksamkeitsprüfung ist nur sinnvoll, wenn aus ihrem Ergebnis etwas folgt. Abweichungen brauchen Verantwortliche, Priorität und einen Termin. Manche Risiken werden bewusst akzeptiert, andere durch Übergangsmaßnahmen begrenzt. Wichtig ist, dass die Entscheidung sichtbar bleibt und später erneut betrachtet wird. Ein Risiko verschwindet nicht, weil das Protokoll geschlossen wurde.
Führung braucht dafür eine verständliche Darstellung. Technische Details sind wichtig, aber die Entscheidung entsteht aus der Verbindung zur Geschäftsleistung: Was kann passieren, wie wahrscheinlich ist es, welche Folgen wären tragbar und welche Alternative besteht? So wird Informationssicherheit steuerbar und nicht nur berichtsfähig.
Prüfen, ohne den Betrieb zu lähmen
Wirksamkeitsprüfung darf nicht zu einer zweiten Parallelorganisation werden. Sie sollte möglichst in vorhandene Abläufe integriert sein: Wiederherstellungstests im Betriebsrhythmus, Berechtigungsprüfungen bei Rollenwechseln, Lieferantenbewertungen bei Vertragsentscheidungen und Übungen im Krisenmanagement. So entstehen Nachweise dort, wo die Arbeit ohnehin stattfindet. Zusätzliche Dokumentation bleibt nötig, aber sie bekommt einen erkennbaren Zweck.
Der Umfang richtet sich nach dem Risiko. Eine zentrale Produktionssteuerung braucht andere Tests als ein internes Informationsangebot. Gleichbehandlung klingt gerecht, führt hier aber häufig zu unnötigem Aufwand an der falschen Stelle. Wer alles gleich intensiv prüft, hat entweder sehr viel Zeit oder noch keine Prioritäten gesetzt. Meistens trifft Letzteres zu.
Am Ende gehört auch die Prüfung selbst auf den Prüfstand. Liefert sie Erkenntnisse, werden Probleme früher sichtbar und Entscheidungen besser? Oder entstehen nur Berichte, die pünktlich abgelegt werden? Informationssicherheit ist kein Wettbewerb um die meisten Nachweise. Sie soll das Unternehmen auch dann handlungsfähig halten, wenn etwas nicht nach Plan verläuft.
Ein sinnvoller Prüfplan verbindet feste Termine mit konkreten Auslösern. Wesentliche Systemänderungen, neue Dienstleister, Vorfälle oder organisatorische Umbauten können eine erneute Bewertung notwendig machen. So bleibt die Prüfung nah an der Realität. Jährlich denselben Test unverändert zu wiederholen, erzeugt zwar eine schöne Zeitreihe. Ob sie noch die relevanten Risiken abbildet, ist damit leider nicht beantwortet.
Kurz gesagt
Wirksame Informationssicherheit verbindet Maßnahmen mit Risiken, prüft Ergebnisse praktisch und verbessert dort, wo Kontrollen nicht tragen. Entscheidend ist nicht, was beschlossen wurde, sondern was im Alltag funktioniert.
Quellen und weiterführende Informationen
Zuletzt fachlich geprüft: