Die beste Policy nützt nichts, wenn sie im Ordner liegt

Sicherheit entscheidet sich nicht in dem Moment, in dem eine Regel geschrieben wird, sondern in dem Moment, in dem sie gebraucht wird. Jemand bekommt eine verdächtige Nachricht, erhält einen ungewöhnlichen Anruf oder weiß nicht, wem er einen Vorfall melden soll, und genau dann zeigt sich, ob die Regeln etwas taugen. Genau dann hat aber auch niemand Zeit, im Intranet nach der richtigen Richtlinie zu suchen.

Das ist der Grund, warum ein ISMS im Ordner in die Irre führt. Es beruhigt das Audit, weil alles geschrieben und abgelegt ist, doch es sagt nichts darüber, ob im Ernstfall jemand weiß, was zu tun ist. Der eigentliche Prüfstein einer Policy ist deshalb nicht, ob sie existiert, sondern ob ihr Wissen in der Situation erreichbar ist, in der es zählt.

Eine Geschichte aus dem echten Leben

Vor einiger Zeit erhielt ich eine SMS, angeblich von einer Bank, mit dem Hinweis auf ein Sicherheitsproblem und der Bitte, mein Photo-TAN-Verfahren zu überprüfen. Ich war weder Kunde dieser Bank, noch führte der Link auf eine ihrer Seiten. Aus einer sicheren Umgebung heraus habe ich mir die Seite angesehen, und sie war erschreckend gut gemacht, sodass viele Menschen darauf hereingefallen wären.

Also wollte ich es melden, und genau hier begann die Odyssee. Der Chat-Support der Bank wich aus und bat mich, nicht auf den Link zu klicken, obwohl ich nur die Absendernummer und die URL übergeben wollte, um ihre Kunden zu schützen. Die Bundesnetzagentur teilte mit, Phishing sei kein Rufnummernmissbrauch und liege damit nicht in ihrem Zuständigkeitsbereich. Eine Online-Strafanzeige war heikel, weil man bei einer unbegründeten Beschuldigung selbst haftet. Am schnellsten reagierte am Ende der Hosting-Anbieter, weil die Seite bei einem großen Public-Cloud-Anbieter lief und dessen Missbrauchs-Team solchen Meldungen zügig nachgeht.

Der Punkt dieser Geschichte ist nicht, dass Behörden versagen, sondern dass selbst jemand, der aktiv helfen will, ins Leere läuft, wenn es keine klaren Wege gibt. Und was nach außen gilt, gilt genauso nach innen, denn wenn eine Mitarbeiterin nicht weiß, wohin mit einem Verdacht, versandet der Hinweis auf demselben Weg.

Was ein Unternehmen daraus lernen sollte

Nach außen braucht es einen offensichtlichen Meldeweg, also ein Formular oder eine Kontaktadresse für verdächtige Aktivitäten mit zeitnaher Rückmeldung, damit ein Hinweis nicht an der ersten Hürde stirbt. Dazu gehört eine security.txt an der dafür vorgesehenen Stelle, damit Sicherheitsforscher ohne Umweg finden, an wen sie sich wenden. Wir halten dafür selbst eine Report-Abuse-Seite und eine solche Datei bereit, weil wir nicht empfehlen wollen, was wir nicht auch selbst tun.

Contact: https://on-promise.cloud/legal/report-abuse
Expires: 2027-08-27T00:00:00.000Z
Preferred-Languages: de, en
Canonical: https://on-promise.cloud/.well-known/security.txt

Nach innen braucht es mehr als einen jährlichen Schulungstermin. Der Kundensupport muss geschult sein, solche Meldungen von Kunden und Nicht-Kunden zu behandeln, und alle Beteiligten müssen wissen, wie sie einen Verdacht äußern, wen sie informieren und was danach passiert. Dieses Wissen muss im Moment der Situation verfügbar sein und nicht in einem Dokument liegen, das man einmal im Jahr durchklickt und danach wieder vergisst.

Wissen dorthin bringen, wo gearbeitet wird

Genau hier setzen wir mit unserem eigenen Werkzeug an, indem wir interne Policies und das ISMS über einen strukturierten KI-Stack, der per MCP an ein Sprachmodell angebunden ist, direkt im Arbeitsalltag verfügbar machen. Statt in einem Ordner zu liegen, sind die Regeln dann dort, wo die Fragen entstehen, nämlich in der Sprache, in der die Leute ohnehin arbeiten, und beantwortbar in dem Moment, in dem es zählt.

Damit wird aus Schulung kein Pflichttermin, sondern etwas Kontinuierliches, weil eine Policy, die man fragen kann, gelesen wird, während eine Policy, die man suchen muss, ignoriert wird. Genau darin liegt der Unterschied zwischen einem ISMS, das ein Audit besteht, und einem, das die Organisation tatsächlich robuster macht.

Die organisierte Gegenseite

Ein letzter Gedanke ordnet die Ernsthaftigkeit ein, denn Cyber Crime ist meist Teil organisierten Verbrechens. Die Täter verteilen ihre Aktivitäten bewusst über verschiedene Rechtszonen, Länder und Kontinente, weil Behörden lokal fokussiert und selten miteinander vernetzt sind, und genau daraus ziehen sie ihren Vorteil. Umso wichtiger ist, dass zumindest im eigenen Haus Wissen, Meldewege und Reaktion zusammenpassen, weil das der Teil ist, den man selbst in der Hand hat.

Was das für dich heißt

Eine Policy wird nicht dadurch wirksam, dass sie existiert, sondern dadurch, dass ihr Wissen im entscheidenden Moment erreichbar ist. Der erste Schritt ist deshalb kleiner, als er wirkt: einen klaren Meldeweg nach außen schaffen, den Support darauf vorbereiten und dafür sorgen, dass die internen Regeln dort auftauchen, wo tatsächlich gearbeitet wird, statt in einem Ordner zu verstauben. Ob es dabei um die ersten Meldewege geht oder darum, ein bestehendes ISMS endlich im Alltag ankommen zu lassen, wir ordnen das gerne gemeinsam mit dir ein.