Warum Informationssicherheit oft an zu viel Theorie scheitert

Die Richtlinie ist abgenickt, das Konzept liegt im Ordner, das Framework ist ausgewählt. Und trotzdem: Im Betrieb ändert sich wenig. Passwörter bleiben schwach, Zuständigkeiten unklar, und beim nächsten Vorfall weiß niemand, wer anruft.

Charlotte Quaß kennt dieses Bild. Sie hat BAUTZ gegründet, weil Informationssicherheit aus ihrer Sicht zu oft an zu viel Theorie scheitert. Sie arbeitet selbst als Informationssicherheitsbeauftragte und als IKT-Risikokontrollfunktion und kennt Regulatorik deshalb nicht aus Foliensätzen, sondern aus dem echten Betrieb.

Wo die Theorie-Falle zuschnappt

Informationssicherheit hat einen eingebauten Hang zur Perfektion. Standards wie ISO 27001 und regulatorische Vorgaben wie NIS2 oder DORA sind umfangreich, und es ist verlockend, sie erst einmal vollständig zu durchdringen, bevor man anfängt. Typische Folgen:

• Dokumente ohne Wirkung. Richtlinien, die niemand liest und die zur gelebten Praxis nicht passen.

• Alles gleichzeitig. Wer jede Anforderung gleich gewichtet, verliert die Übersicht und erledigt am Ende das Unwichtige zuerst.

• Fachsprache als Hürde. Wenn Geschäftsführung und IT unterschiedliche Sprachen sprechen, wird nichts entschieden oder alles verschoben.

• Unklare Verantwortung. Maßnahmen ohne Besitzer bleiben Absichtserklärungen.

Eine Maßnahme, die niemand umsetzen kann, schützt niemanden.

Was „Praxis“ konkret heißt

1. Mit dem Wichtigsten anfangen. Welche Systeme, Daten und Dienstleister sind wirklich kritisch? Daraus ergibt sich die Reihenfolge, nicht aus der Gliederung des Standards.

2. Einfach vor umfassend. Ein Notfallprozess, der auf einer Seite steht und bekannt ist, ist mehr wert als ein Konzept mit 80 Seiten, das keiner kennt.

3. Verantwortung benennen. Für jede Maßnahme gibt es eine Person, die zuständig ist, und einen Termin.

4. Regelmäßig prüfen statt einmal dokumentieren. Ob etwas funktioniert, zeigt sich erst, wenn man es ausprobiert. Zum Beispiel beim Wiederherstellen eines Backups oder beim Durchspielen einer Vorfallmeldung.

5. Ehrlich bleiben. „Das reicht schon“ ist erlaubt, wenn es stimmt. Ein ehrlicher Zwischenstand hilft mehr als ein geschönter Reifegrad.

Das ist keine Absage an Standards und Gesetze. Sie geben den Rahmen vor und sind wichtig. Aber ein Rahmen ist noch keine Umsetzung.

Regulatorik ist der Rahmen. Sicherheit entsteht erst, wenn jemand etwas tut.

Einfachheit als Haltung

Dass Charlotte Wert auf Einfachheit legt, zieht sich auch durchs Private. Ihre Leidenschaft ist das Reisen mit dem Camper: ankommen, aufbauen, entspannen. Wenige Handgriffe, klare Abläufe, und es funktioniert. Auf ihren Touren wie in ihren Projekten.