Auf Steady anhören

(Vorgelesen von ElevenLabs, Stimme Felix Serenitas)

Mittwochnachmittag, sechzehn Uhr. Ein Konferenzraum im Obergeschoss. Managementbewertung. Der CISO hat gefühlt sieben Wochen vorbereitet. Neunzehn Folien, alle Pflicht-Inputs nach 9.3.2 abgedeckt, Ampeln sortiert, Trends visualisiert, Risikobeurteilung aktualisiert. Die oberste Leitung nimmt höflich Platz, schenkt sich Kaffee ein. Hört zu, anfangs. Nach zwanzig Minuten fragt die Geschäftsführerin, ob es noch etwas gebe, das eine Entscheidung erfordere. Pause. Der CISO blättert. Der IT-Leiter zuckt mit den Schultern. Der Termin endet pünktlich. Im Protokoll steht später: „Die oberste Leitung bestätigt die fortdauernde Eignung, Angemessenheit und Wirksamkeit des ISMS.“ Weil es sich so gehört.

Solche Szenen sind leider real. Sie sind nicht das Versagen einzelner Verantwortlicher. Sie sind kein Argument gegen die Norm. Die ISO ist im Abschnitt 9.3.2 der Harmonized Structure erstaunlich klar darin, welche Inhalte in einer Managementbewertung behandelt werden müssen. Sie erklärt leider nicht, wie diese Inhalte aufbereitet werden sollten, damit aus Pflichterfüllung Wirksamkeit wird. Genau dort entsteht die Lücke, in der so viele Bewertungen verpuffen.

Bevor wir uns einer möglichen Struktur nähern, eine ehrliche Einschränkung. Aufbereitung allein heilt nichts. Wenn die oberste Leitung das Thema Informationssicherheit grundsätzlich nicht ernst nimmt, hilft auch die eleganteste Inszenierung in der Managementbewertung nicht. Eine Baustelle dort ist ein Kulturproblem, kein Aufbereitungsproblem. Aufbereitung wirkt dort, wo Aufmerksamkeit prinzipiell da ist, aber an der Form scheitert. Das ist meiner Erfahrung nach eine häufige Konstellation.

Was die Norm nicht sagt

Die Norm listet auf, was behandelt werden muss. 9.3.2 a) bis g). Eine Pflichtliste, mehr nicht. Wer sie in genau dieser Reihenfolge abarbeitet, hat normkonform berichtet und gleichzeitig die Form gewählt, die am ehesten zur Erwartungshaltung in Audits passt. Listen tragen Information, aber sie tragen keine Spannung. Sie machen es leider häufig schwer, die wichtigen Fragen zu erkennen, auf die dringend Antworten gefunden werden müssen.

Menschen treffen Entscheidungen nicht aus Listen heraus, sondern auf Basis von Geschichten. Das ist keine Marketingaussage, sondern eine kommunikationspsychologische Banalität. Eine gut erzählte Geschichte schafft etwas, das ein gut formatierter Statusbericht nicht schafft. Sie liefert einen gemeinsamen mentalen Bezugsrahmen, in dem die nächste Entscheidung eine Rolle spielen kann.

Newsletter

Keine neuen Artikel in den Tiefen der Algorithmen verpassen? Newsletter bestellen und meine Gedanken ab und an direkt ins Postfach bekommen!

Newsletter abonnieren

Ein Drama in drei Akten

Die einfachste Erzählform, die wir kennen, ist die Drei-Akt-Struktur. Sie funktioniert in beinahe jedem Hollywood-Film oder Roman, die meisten guten Vorträge folgen ihr. Erster Akt, Ausgangslage und auslösendes Ereignis. Zweiter Akt, Prüfung und Wendepunkt, mit der Erkenntnis als Abschluss. Dritter Akt, Entscheidung und neue Normalität. Wer schon einmal versucht hat, einer befreundeten Person sein aktuelles Projekt zu erklären, hat sie unbewusst benutzt.

Für die Managementbewertung erweitern wir sie auf fünf Phasen, die sich sehr gut auf die Punkte in 9.3.2 abbilden lassen, ohne Pflichtpunkte zu verlieren.

Ich gehe hier nicht auf jede Phase einzeln ein. Konzentrieren wir uns auf die interessanten Stellen. Die, an denen typische Bewertungen scheitern und an denen das Raster eine wirksame Korrektur erlaubt.

Nehmen wir Phase 3, „Prüfungen und Wendepunkte“. Hier landen Audit-Findings, KPIs, Risikobehandlungen. Die übliche Falle ist der Kennzahlenfriedhof. Drei Folien Tortengrafiken, sechs Folien zusammenhanglose Auditfindings. Am Ende der obligatorische Überblick über die offenen Maßnahmen. Was meist fehlt, ist eine konkrete Aussage. Welcher dieser Datenpunkte war ein Wendepunkt? Was hat er offengelegt, das vorher nicht sichtbar war? Wenn die Antwort lautet „nichts“, ist auch das ein Befund, der eine Entscheidung tragen kann. Etwa die, die Schwellenwerte zu schärfen. Wenn die Antwort lautet „Ein unvorhergesehener Ausfall in einer Lieferkette hat unsere Annahmen zur Verfügbarkeit der Lohnbuchhaltung erschüttert“, liegt eine andere Entscheidung auf dem Tisch.

Vor Phase 5 sitzt Phase 4, „Erkenntnis“. Sie ist die einzige der fünf Phasen, die keinem Pflicht-Input in 9.3.2 entspricht. Die Norm verlangt, was behandelt werden muss, und sie beschreibt, was am Ende entschieden werden muss. Zwischen beidem klafft eine Lücke, die jede ernsthafte Bewertung selbst schließen muss. Was haben wir aus dem, was wir gerade gesehen haben, eigentlich verstanden?

In jeder gut erzählten Geschichte gibt es diesen Moment. Der Protagonist hört auf zu handeln, sieht zurück, und versteht. Es ist nicht der Höhepunkt, der ist schon vorbei. Auch nicht die Auflösung, die kommt noch. Es ist das Innehalten, in dem aus Erlebtem Bedeutung wird. Ohne diesen Moment bliebe der Schluss beliebig. Mit ihm bekommt Akt 3 seine Begründung.

In der Managementbewertung ist es der Moment, an dem aus Daten Verstehen wird. Welche Annahmen haben sich als falsch erwiesen? Wo zeigt sich Schwäche systematisch, nicht zufällig? Was hat sich (vielleicht überraschend) bewährt? Die ehrliche Erkenntnis zählt. Die häufigere Variante ist leider die Plattitüde. „Wir haben gelernt, dass Informationssicherheit ein kontinuierlicher Prozess ist.“ Das ist keine Erkenntnis, das ist eine Vermeidung. Wenn der betrachtete Zeitraum keine echte Erkenntnis hervorbringt, ist auch das eine Aussage. Sie verdient nur den Mut, sie auch so zu formulieren.

Dann sind wir bereit für Phase 5, „Neue Normalität und Entscheidung“. Hier laufen Verbesserungsvorschläge, Änderungsbedarf und die Outputs nach 9.3.3 zusammen. Die übliche Falle sind die Absichtserklärungen ohne konkrete Verantwortliche, Termine und Ressourcen. Wer mit dieser Phase ernst macht, geht nicht aus dem Raum, ohne dass diese drei Faktoren geklärt sind. Andernfalls ist die Managementbewertung mit dem Schließen der Tür auch schon wieder zu Ende.

Was diese Struktur nicht ist

Eine Erzählform ersetzt keine Zahlen, Daten und Fakten, sie ordnet sie. Sie ist kein Vehikel, um schlechte Performance zu verstecken oder Vorfälle schönzureden, die kein Happy End hatten. Wer mit Storytelling den letzten Vorfall in eine Lernreise umdeutet, an deren Ende die Organisation gestärkt hervorgeht, manipuliert. Nach einer ereignisarmen Phase ist eine nüchterne Statusbewertung ehrlicher als jede dramaturgische Verdichtung. Manchmal ist die einzige redliche Aussage, dass nichts Wesentliches passiert ist und auch nichts Wesentliches entschieden werden muss.

Die Aufbereitung selbst gehört nicht in die Agenda und nicht ins auditrelevante Protokoll. Sie ist Vorbereitungswerkzeug der Verantwortlichen, kein Sitzungsformat. Auf den Folien stehen weiterhin sachliche Überschriften als Marker zu den 9.3.2-Vorgaben. Ergänzend hilft eine Vollständigkeitsübersicht. Auditierbarkeit ist und bleibt wichtig.

Noch ein Punkt. Die Helden unserer Geschichten sind nicht die CISOs oder ISBs, die heroisch durch das Audit-Jahr geführt haben. Es ist nicht die Geschäftsführung, die nun die weltenrettende Entscheidung trifft. Es ist die Organisation als Ganzes, mit ihren Stärken, ihren Erfahrungen und ihren offenen Baustellen. Das löst ein Problem, an dem viele Storytelling-Versuche im Unternehmenskontext scheitern. Niemand muss sich auf eine Bühne stellen, die nicht für ihn gebaut ist.

Drei Fragen vor jeder Bewertung

Wer mit dem Raster arbeitet, braucht keine Theorie, sondern drei gute Vorbereitungsfragen.

1. Was ist die eine Erkenntnis, die die oberste Leitung aus dieser Managementbewertung mitnehmen soll, wenn sie bis morgen nur eine einzige behält?

2. Welche Entscheidung steht heute an, die ohne diese Sitzung nicht zustande käme?

3. Was ist die Spannung, die ich nicht glätten, sondern sichtbar machen will?

Die dritte Frage ist die schwierigste. Sie trennt die Pflichterfüllung von der Wirksamkeit. Eine Managementbewertung, in der jede Reibung weggebügelt ist, mag angenehmer sein. Sie ist genau die Bewertung, nach der höflich auseinandergegangen wird, ohne dass sich etwas verändert.

Ja, das ist eine Heldenreise

Wer sich schon einmal ansatzweise mit Storytelling beschäftigt hat, hat längst bemerkt, dass hier eine vereinfachte Form der klassischen Heldenreise beschrieben wird. Ich habe den Begriff bewusst zurückgehalten, weil er im Kontext von ISO-Normen und Informationssicherheit oft Türen schließt, bevor das Argument durch ist. Wer in einer Managementbewertung von "Heldenreise" spricht, hat meist verloren, bevor das erste Diagramm gezeigt ist.

Die Form selbst ist älter als jedes ISMS. Sie funktioniert aus denselben Gründen, aus denen Menschen sich seit Jahrtausenden Geschichten erzählen. Sie hilft, Komplexität so zu ordnen, dass Erkenntnis möglich wird und Entscheidung folgen kann. Mehr soll sie nicht leisten. Aber das kann sie leisten.

Welche Entscheidung hat in Deiner letzten Managementbewertung gefehlt?

Artikel von Carsten Feldhahn
Berater und Trainer für Informationssicherheit
Coach für Informationssicherheits-Profis

Meine Artikel entstehen auf Basis meiner Ideen, meiner Erfahrung und meiner fachlichen Einschätzung. Bei der Ausarbeitung und Formulierung der Texte unterstützt mich KI. Die inhaltliche Verantwortung liegt bei mir. Ich bevorzuge wissenschaftlich fundierte Quellen und menschliche Urheber und weise diese im Text aus.

Ich freue mich auf persönlichen Austausch via carsten@feldhahn.net und die Kontaktaufnahme auf LinkedIn.

Foto Theater (bearbeitet) von Liam McGarry via Unsplash.

Auf Steady anhören

(Vorgelesen von ElevenLabs, Stimme Felix Serenitas)

Du sitzt in einem Workshop mit der IT-Abteilung. Es geht um die Neuregelung privilegierter Zugriffsrechte, ein Thema, bei dem es seit Monaten nicht vorangeht. Der Abteilungsleiter argumentiert, dass seine Leute im Fehlerfall schnellen Zugriff benötigen, dass jede zusätzliche Hürde den Betrieb bremst. Du hörst zu, und noch während er spricht, formen sich die internen Bewertungen. Er versteht es nicht. Er blockiert. Er denkt nur an seine Abteilung.

Aber das ist nicht die ganze Wahrheit.

Was wäre, wenn Du für einen Moment die professionelle, nach Abweichungen suchende, Brille absetzt? Stattdessen bewusst hinschaust, was dieser Mensch gerade tut? Er setzt sich für sein Team ein. Er nimmt eine unbequeme Position ein, obwohl er weiß, dass er damit aneckt. Er bleibt sachlich, obwohl der Rahmen ihm signalisiert, dass Nachgeben einfacher wäre. Er gibt nicht auf.

Teamfähigkeit. Tapferkeit. Ehrlichkeit. Ausdauer. Vier Charakterstärken, die bei ihm gerade wirken. Nur eben nicht in die Richtung, die Dir gerade passt.

In den ersten Artikeln dieser Serie ging es um den Blick nach innen. Welche Stärken sind bei mir ausgeprägt? Wo wirken sie bereits in meiner Arbeit? Den Blick, den wir dort geschärft haben, richten wir jetzt nach außen.

Keinen neuen Artikel in den Tiefen von Algorithmen verpassen. Einfach Newsletter bestellen und meine Gedanken ab und an direkt ins Postfach bekommen!

Newsletter abonnieren

Strength Spotting

Strength Spotting bedeutet, eine konkrete Charakterstärke bei einem anderen Menschen in einer Situation bewusst zu erkennen. Alex Linley, der den Begriff wesentlich geprägt hat, beschreibt es als eine eigenständige Fähigkeit, die sich trainieren lässt. Wieder ein Muskel, der mit jeder bewussten Beobachtung kräftiger wird.

Ryan Niemiec ordnet Strength Spotting in ein mehrstufiges Modell ein, das er SEA nennt. Der erste Schritt ist dabei „Spot“, das Erkennen der Stärke. Darauf folgen „Explain“ und „Appreciate“, das Belegen mit konkreter Beobachtung und das Würdigen der Stärke gegenüber der Person. Wir bleiben in diesem Artikel beim ersten Schritt. Die beiden anderen verdienen einen eigenen Raum.

Es geht nicht um Persönlichkeitsbewertung, nicht darum, jemandem ein Etikett zu geben. „Der ist aber mutig“ ist eine Zuschreibung. Strength Spotting bleibt erst mal bei der Beobachtung. In dieser Situation, in diesem Moment wirkt gerade Tapferkeit. Konkret und ehrlich. Strength Spotting benennt die Qualität, die jemand in eine Handlung einbringt. Einfaches Lob bewertet Leistung. Strength Spotting sieht den Menschen.

Was Du sehen kannst, wenn Du hinschaust

Zurück zum Workshop mit der IT-Abteilung.

In der klassischen InfoSec-Perspektive ist der Abteilungsleiter, der sich gegen die Umsetzung einer wichtigen Maßnahme sträubt, ein Widerstand. Ein Risiko für den Zeitplan und im schlimmsten Fall für die zu schützenden Werte. Jemand, der die Dringlichkeit nicht begreift.

Aber wenn Du genauer hinschaust, tut er gerade etwas Bemerkenswertes. Er vertritt die Interessen seiner Leute, obwohl ihm bewusst ist, dass er damit nicht auf Zustimmung trifft. Er argumentiert sachlich, auch wenn sein Ton dabei vielleicht etwas schärfer wird als nötig. Er bleibt bei seinem Standpunkt, obwohl er merkt, dass er keinen unmittelbaren Beistand hat. Er hätte nicken und die Anforderung „mitnehmen“ können, um sie dann im Alltag stillschweigend zu ignorieren. Stattdessen legt er offen dar, wo das Problem liegt.

Teamfähigkeit und Tapferkeit. Ehrlichkeit und Ausdauer. Vier Stärken in einer einzigen Situation.

Keine dieser Beobachtungen bedeutet, dass Du in der Sache nachgeben musst. Die Umsetzung der Maßnahme bleibt notwendig. Aber Dein Bild vom Menschen gegenüber verändert sich. Wer Stärken sieht, reagiert anders auf Widerstand. Weniger Kampf, mehr Verständigung. Nicht weil Du weicher wirst, sondern weil Du mehr siehst.

Ein anderes Szenario. Du prüfst ein Backup-Konzept, das Lücken hat. Die Dokumentation ist unvollständig, die Wiederherstellungszeiten sind geschätzt und nicht getestet. Fachlich klar, das wird ein Finding.

Aber die Person, die Dir gegenübersitzt, reagiert anders als erwartet. Kein Erklären, kein Verteidigen, kein Verweis auf fehlende Ressourcen oder andere Prioritäten. Sie sagt: Ja, die Wiederherstellungszeiten sind nicht getestet. Wir wissen das. Und hier, bei der Dokumentation, fehlt uns noch ein Stück. Offen, sachlich, ohne den Versuch, das Bild zu beschönigen. Und dann fragt sie, wie andere Organisationen das lösen, was Du in vergleichbaren Audits gesehen hast, was in der Praxis für andere gut funktioniert.

Was Du dort siehst, wenn Du es sehen willst, ist Besonnenheit und Liebe zum Lernen. Besonnenheit, weil nicht reflexartig berichtet und beschönigt wird. Liebe zum Lernen, weil sie das Audit als Gelegenheit begreift statt als Bedrohung. Zwei Stärken, die in dieser Situation selten jemand bemerkt, weil der Fokus auf dem liegt, was fehlt, was abweicht. Das Finding bleibt. Aber die Art, wie Du es formulierst und besprichst, kann berücksichtigen, was diese Person gerade zeigt. Nicht als Bonus, nicht als mildernder Umstand. Einfach als Wahrnehmung.

Verschiedene Situationen, ein gemeinsames Muster. Die Stärken waren permanent da. Wir haben sie nur nicht bewusst wahrgenommen.

Der stille Effekt

Strength Spotting verändert nicht die andere Person. Es verändert Dich.

Maria Christina Meyers, Marianne van Woerkom und Robin Bauwens haben in einer Studie mit 136 Arbeitsteams untersucht, was passiert, wenn Menschen die Stärken ihrer Teammitglieder bewusst wahrnehmen. Sie nennen es Strengths Awareness, und es ist eine der Voraussetzungen für das, was sie als Collective Strengths Use beschreiben. Die Ergebnisse: Teams, in denen die Mitglieder die Stärken der anderen kennen, arbeiten besser zusammen und erzielen höhere Leistungen. Nicht weil sie freundlicher zueinander sind, sondern weil Vertrauen wächst und Aufgaben klüger verteilt werden.

Für Informationssicherheits-Profis, die häufig ohne Weisungsbefugnis auf die Zusammenarbeit mit Fachbereichen angewiesen sind, ist das kein abstraktes Forschungsergebnis. Der Abteilungsleiter, dem Du Tapferkeit und Teamwork zuschreibst statt Sturheit und Blockade, wird Dir morgen nicht anders begegnen, weil Du seine Stärken erkannt hast. Aber Du wirst ihm anders begegnen. Das verändert Gespräche.

Wer den Abteilungsleiter als Blockierer einordnet, bleibt am Ende frustriert zurück. Wer Tapferkeit erkennt, empfindet etwas anderes. Vielleicht Neugier, woher dieser Mensch die Energie nimmt, gegen alle anderen zu argumentieren. Vielleicht sogar Respekt. Das verändert noch immer nicht die Situation, aber die eigene emotionale Reaktion verschiebt sich. Und mit ihr die Art, wie man ins nächste Gespräch mit diesem Menschen geht.

Irgendwann stellt sich die Frage, ob man die beobachtete Stärke auch anspricht. Wie man dem Abteilungsleiter sagt, was man gesehen hat. Ob man der Person im Audit sagt, dass man ihre Besonnenheit schätzt. Niemiec beschreibt diese nächsten Schritte, wie oben bereits angemerkt, in seinem AEA-Modell als „Explain“ und „Appreciate“, also Erklären und Würdigen. In der deutschsprachigen Berufskultur ist das ziemlich ungewohntes Terrain, in dem schnell Unsicherheit aufkommt. Es verdient eigene Aufmerksamkeit. In einem eigenen Artikel.

Einladung: Eine Woche, ein anderer Blick

Nimm Dir für die kommende Woche vor, an jedem Tag bei einer Person in Deinem beruflichen Umfeld eine Charakterstärke bewusst wahrzunehmen. Keine Rückmeldung, kein Gespräch darüber. Nur Dein Blick.

Halte Deine Beobachtung fest. Ein Post-it, eine Notiz im Handy, was auch immer zu Deinem Alltag passt. Notiere, wer es war, was die Situation war, welche Stärke Du erkannt hast und was Dich darauf aufmerksam gemacht hat.

Am Freitag hast Du fünf kleine Notizen. Lies sie noch einmal und achte darauf, was sich verändert hat. Vielleicht fällt Dir auf, dass Du bei manchen Personen mühelos Stärken erkannt hast und bei anderen nicht. Vielleicht merkst Du, dass Dir bestimmte Stärken schneller aufgefallen sind als andere, weil sie Deinen eigenen Signaturstärken entsprechen oder näher kommen. Auch das ist eine Beobachtung, die sich lohnt.

Unser Beruf fordert und trainiert den Blick für Schwachstellen. Das ist eine wichtige Qualität. Aber wenn dieser Blick der einzige bleibt, verengt er sich immer weiter.

Strength Spotting ist eine Erweiterung unseres professionellen Blicks. Ein zweiter Blick, der den ersten nicht ersetzt. Und wie jede Fähigkeit beginnt er mit kleinen, leichten Übungen.

Wenn Du nach einer Woche etwas Überraschendes beobachtet hast, ob an anderen oder an Dir selbst, schreib mir. Nicht als Debatte, sondern als Austausch zwischen Menschen, die auch über andere nachdenken.

Literaturhinweise:

Linley, A. (2008). Average to A+: Realising Strengths in Yourself and Others, CAPP Press.

Niemiec, R. M. (2019). Charakterstärken - Trainings und Interventionen für die Praxis, Hogrefe Verlag.

Meyers, M. C., van Woerkom, M. & Bauwens, R. (2023). Stronger together: A multilevel study of collective strengths use and team performance, Journal of Business Research, 159.

Artikel von Carsten Feldhahn
Berater und Trainer für Informationssicherheit
Coach für Informationssicherheits-Profis

Meine Artikel entstehen auf Basis meiner Ideen, meiner Erfahrung und meiner fachlichen Einschätzung. Bei der Ausarbeitung und Formulierung der Texte unterstützt mich KI. Die inhaltliche Verantwortung liegt bei mir. Ich bevorzuge wissenschaftlich fundierte Quellen und menschliche Urheber und weise diese im Text aus.

Ich freue mich auf persönlichen Austausch via carsten@feldhahn.net und die Kontaktaufnahme auf LinkedIn.

Foto Orchester (bearbeitet) von Kazuo Ota via Unsplash.

Auf Steady anhören

(Vorgelesen von ElevenLabs, Stimme Felix Serenitas)

Jour fixe. Neun Personen, die übliche Agenda, der dritte Call am Tag. Irgendwann merkt man, dass man seit fünf Minuten auf den Bildschirm starrt, ohne ein Wort mitbekommen zu haben. Dann fällt der eigene Name, jemand stellt eine Frage. Man antwortet etwas, das plausibel klingt. Ob es das Richtige war, weiß man nicht.

Das ist kein Aussetzer. Das ist leider häufig der Normalzustand.

Unser Gehirn ist ein Effizienzwunder. Es filtert und bewertet, und das meiste davon passiert, ohne dass wir es bemerken. Aus gutem Grund: Wer jede Information gleich gewichten würde, käme zu nichts mehr. Selektive Aufmerksamkeit ist kein Bug, sondern ein überlebenswichtiges Feature. Das Gehirn arbeitet auf Autopilot, weil es Energie sparen muss.

In der Informationssicherheit verlassen wir uns täglich darauf, dass Menschen aufmerksam sind. Jemand soll die Unstimmigkeit in der E-Mail bemerken, bevor sie weitergeleitet wird. Im Meeting soll die unbequeme Frage gestellt werden, statt einfach nur nickend zuzustimmen. Bei einem Sicherheitsereignis soll jemand die Lage sortieren, bevor der Aktionismus einsetzt. Wir schulen Wissen. Regeln und Prozesse, Bedrohungsszenarien und Meldewege. Wir testen Wissen. Multiple-Choice und Phishing-Simulationen, Zertifikat an der Wand. Aber die Fähigkeit, im richtigen Moment tatsächlich aufmerksam zu sein, steht nicht im Trainingsplan. Sie wird stillschweigend vorausgesetzt. Wie Sauerstoff: selbstverständlich vorhanden, bis er fehlt.

Und hier kommt ein Wort ins Spiel, bei dem viele innerlich abschalten.

Achtsamkeit?

Ich höre den Einwand. Achtsamkeit. Ausgerechnet. Ein Wort, das in den vergangenen Jahren so inflationär gebraucht wurde, dass man es kaum noch wahrnehmen kann, ohne an Meditations-Apps, Führungskräfte-Seminare mit Klangschalen oder achtsames Morden zu denken. Der Reflex ist berechtigt. Wer in der Informationssicherheit arbeitet, hat gelernt, Buzzwords zu erkennen. „Achtsamkeit“ erfüllt alle Merkmale.

Nur hat der Begriff einen Kern, der älter und nüchterner ist als sein Marketing.

Achtsamkeit meint in der modernen Forschung etwas ganz Konkretes. Selbstgesteuerte Aufmerksamkeit, verbunden mit einer inneren Haltung von Neugier und Offenheit, von Akzeptanz gegenüber dem, was sich zeigt. Nicht Entspannung, nicht Wellness. Sondern die Fähigkeit, den Autopiloten zu bemerken, während er läuft. Nicht erst hinterher, wenn die E-Mail schon weitergeleitet ist oder die Antwort schon gegeben wurde. Sondern in dem Moment, in dem es noch einen Unterschied macht.

Jon Kabat-Zinn hat das in den 1970er Jahren aus der kontemplativen Tradition in die klinische Praxis gebracht. Seitdem hat die Forschung geliefert, und zwar nicht mit weichen Versprechen, sondern mit messbaren Effekten. Wer Achtsamkeit regelmäßig trainiert, hält die Aufmerksamkeit länger und richtet sie leichter neu aus. Stresserleben wird abgemildert, emotionale Klarheit nimmt zu. Das klingt nach „Soft Skills“. Es ist gelebte Neuroplastizität. Unser Gehirn passt sich an, wird leistungsfähiger.

Aber ist das nicht Awareness?

Unsere klassischen Awareness-Programme erklären, worauf man achten soll. Achtsamkeit trainiert etwas anderes: die Fähigkeit, überhaupt zu bemerken, dass es gerade etwas gibt, worauf man achten sollte. Der Unterschied ist wie der zwischen einer Checkliste und der Wahrnehmung, dass die Checkliste gerade nicht passt.

Wer die eigene Aufmerksamkeit steuern kann, nimmt mehr wahr. Draußen die Unstimmigkeit im Bericht, das leise Signal im Rauschen. Drinnen die eigene Anspannung, den Impuls zur vorschnellen Antwort. Wer nach innen taub ist, übersieht auch draußen mehr, als ihm lieb sein kann. Die achtsam erweiterte Wahrnehmung ermöglicht Selbstregulation. Die Fähigkeit, den Raum zwischen Reiz und Reaktion bewusst zu nutzen. Nicht um langsamer zu werden, sondern um angemessener zu handeln. Achtsamkeit öffnet ein Fenster der Möglichkeiten, wo der Autopilot stur geradeaus gefahren wäre.

Ryan M. Niemiec bringt das auf eine einfache Formel: Den eigenen Autopiloten so schnell wie möglich ertappen.
Catch AP-ASAP („Catch your autopilot mind, as soon as possible“). Nicht um ihn abzuschalten, sondern um wieder ganz bei der Sache zu sein.

Das lässt sich nicht per E-Learning vermitteln. Es ist eine Haltung, die man üben muss. Wie einen Muskel, nicht wie eine Formel.

Was das mit mir gemacht hat

Ich erinnere mich an ein Beratungsgespräch vor einigen Jahren. Ein IT-Leiter erklärte mir zum dritten Mal, warum eine bestimmte Maßnahme „in der Praxis so nicht umsetzbar“ sei. Beim ersten Mal hatte ich ungläubig zugehört. Beim zweiten Mal hatte ich Gegenargumente formuliert. Beim dritten Mal merkte ich, wie sich mein Kiefer anspannte und meine sehr bestimmte Erwiderung schon fertig war, bevor er seinen Satz beendet hatte. Normalerweise hätte ich ihm das Wort abgeschnitten. An dem Tag habe ich stattdessen eine Sekunde gewartet. Nicht weil ich geduldiger geworden bin, sondern weil ich die Anspannung in mir bemerkt habe, bevor sie das Gespräch übernahm. Ich sagte einfach nichts. Der IT-Leiter hat dann selbst weitergesprochen, und was er als Nächstes sagte, war der eigentliche Grund für seinen Widerstand. Den hätte ich wahrscheinlich nie erfahren, wenn ich einfach nur reagiert hätte.

Kein großer Moment. Keine Erleuchtung. Aber ein Beispiel dafür, was sich verändert, wenn man anfängt, den Autopiloten zu jagen und zu fangen. Gelingt mir natürlich nicht immer. Aber ich arbeite daran.

Wie es weitergeht

Wer auch meine Artikel zum Thema Charakterstärken gelesen hat, darf sich auf eine Verbindung freuen. Ryan M. Niemiec hat mit der Mindfulness-Based Strengths Practice, kurz MBSP, einen Ansatz entwickelt, der Achtsamkeit und Charakterstärken zusammenbringt. Achtsamkeit schärft den Blick für die eigenen Stärken, das bewusste Arbeiten mit den eigenen Stärken wird so selbst zu einer Form achtsamer Praxis. Dazu wird es hier noch mehr zu lesen geben, genau wie zu kleinen Übungen für die eigene Achtsamkeitspraxis. Wer vorher schon mehr erfahren möchte, spricht mich an.

Für heute reicht ein Gedanke: Vielleicht ist Achtsamkeit keine Ergänzung zur Informationssicherheit. Vielleicht ist sie eine Voraussetzung, die wir nur nie als solche benannt haben.

Sind meine Themen interessant für Dich? Meine Gedanken direkt ins Postfach, ohne Algorithmus dazwischen gibt es per Newsletter hier von Steady.

Newsletter abonnieren

Artikel von Carsten Feldhahn Berater und Trainer für Informationssicherheit
Coach für Informationssicherheits-Profis

Ich freue mich auf persönlichen Austausch via carsten@feldhahn.net und die Kontaktaufnahme auf LinkedIn.

Meine Artikel entstehen auf Basis meiner Ideen, meiner Erfahrung und meiner fachlichen Einschätzung. Bei der Ausarbeitung und Formulierung der Texte unterstützt mich KI. Die inhaltliche Verantwortung liegt bei mir. Ich bevorzuge wissenschaftlich fundierte Quellen und menschliche Urheber und weise diese im Text aus.

Foto von Ryan Schram via Unsplash

von Carsten Feldhahn

Du hast die Glücksforscher-Tests gemacht. Wenn nicht, lies gerne den ersten Artikel „Dein ISMS kennt eure Schwächen. Kennst Du Deine Stärken?“ zu diesem Thema und mache die Tests.

Auf Steady anhören

(Vorgelesen von ElevenLabs, Stimme Felix Serenitas)

Vor Dir liegt jetzt eine Rangliste mit 24 Charakterstärken, Deine ganz persönliche Stärkenanalyse. Oben stehen fünf, sechs, sieben Stärken, die sich bestimmt vertraut anfühlen. Weiter unten solche, bei denen Du denkst: Ja, schon, aber das bin ich eher weniger. Oder seltener.

Was jetzt?

Die Liste allein verändert nichts. Wie jede Gap-Analyse, wie jedes Audit entfaltet sie ihren Wert erst durch das, was danach passiert. Wer nach einem internen Audit den Bericht abheftet und weitermacht wie bisher, hat Zeit verschwendet. Mit dem Stärken-Profil ist es genauso.

Was Du schon tust, ohne es zu merken

Der erste Schritt ist kein neuer Skill, keine Methode. Er ist simpler und gleichzeitig schwieriger. Bemerken und wahrnehmen, was bereits da ist.

Unsere Stärken wirken ständig. Sie bestimmen unbewusst, wie wir an Aufgaben herangehen, wie wir kommunizieren, wie wir Entscheidungen treffen. Weil sie sich so natürlich anfühlen, werden sie unsichtbar. Sie fallen uns nicht als etwas Besonderes auf, weil sie für uns normal sind.

Ein Beispiel. Eine ISB bereitet eine Anforderung an die IT-Abteilung vor. Es geht um die Härtung eines Systems, fachlich klar, gut begründet. Aber statt die Anforderung einfach formal weiterzuleiten, überlegt sie, wie der IT-Leiter gerade aufgestellt ist. Sie weiß, dass er intern unter Druck steht, dass sein Team an der Kapazitätsgrenze arbeitet. Also formuliert sie die Anforderung so, dass er sie gegenüber seiner eigenen Führungskraft leichter vertreten kann, liefert die passenden Argumente gleich mit, rahmt das Ganze als gemeinsames Anliegen statt als einseitige Forderung. Nicht weil es gefordert ist, sondern weil ihr Blick automatisch über die eigene Perspektive hinausgeht.

Ihre Stärke? Weitsicht. Sie zeigt sich nicht in großen strategischen Würfen, sondern in dieser alltäglichen Gewohnheit, die Wirkung des eigenen Handelns auf andere mitzudenken, bevor es zu spät ist. Die ISB würde das vermutlich nicht als persönliche Stärke beschreiben. Sie würde sagen: Das gehört halt dazu, das macht man so. Was sich wie Selbstverständlichkeit anfühlt, ist oft eine Signaturstärke bei der Arbeit.

Der erste Schritt besteht darin, diesen Automatismus zu bemerken. Nicht zu verändern, nicht zu bewerten. Nur wahrzunehmen: Ah, das bin ich. Das ist meine Art, diese Aufgabe anzugehen. Und die unterscheidet sich von der Art, wie andere es tun würden.

Wer seine Stärken im Alltag erkennt, gewinnt etwas, das in der Informationssicherheit selten thematisiert wird, nämlich Zugang zu den eigenen Ressourcen. Nicht als abstraktes Konzept, sondern als konkretes Erleben. Ich weiß, was mich wirksam macht, und ich kann es benennen.

Das Unerwartete wagen

Manche Charakterstärken scheinen wie gemacht für die Informationssicherheit. Urteilsvermögen und Besonnenheit, das leuchtet sofort ein. Aber was ist mit Humor? Mit Dankbarkeit oder Ausdauer?

Gerade die Stärken, die auf den ersten Blick nicht zum Berufsfeld passen, können einen großen Unterschied machen.

Humor in einer Awareness-Schulung zum Beispiel. Die meisten Pflichtschulungen zur Informationssicherheit folgen einem bewährten Muster. Die Teilnehmenden nicken, unterschreiben, vergessen. Wer Humor als Signaturstärke mitbringt, kann dieses Muster durchbrechen. Eine gut platzierte Anekdote über den eigenen dümmsten Passwort-Fehler, eine absurde Phishing-Mail, die tatsächlich funktioniert hat, ein Moment, in dem das Publikum lacht und gleichzeitig erkennt: Oh, das könnte mir auch passieren. Humor dämpft die innere Abwehr. Er öffnet einen Raum, in dem Menschen bereit sind zuzuhören, statt nur abzusitzen.

Dankbarkeit wirkt an Stellen, an denen man sie am wenigsten erwartet. Mitten in einem Sicherheitsvorfall etwa, wenn das Team seit Stunden unter Druck arbeitet, die Telefone nicht stillstehen und die nächste Eskalationsstufe droht. Ein CISO, der in diesem Moment kurz innehält und sagt: „Ich sehe, was ihr hier gerade leistet, danke.“, tut etwas, das in keinem Playbook steht. Kein Motivationsspruch, keine Durchhalteparole, sondern ehrliche Wahrnehmung. Das gibt Energie, wenn sie am meisten gebraucht wird, und verändert die Dynamik im Raum. Und wenn der Vorfall abgeschlossen ist und die Lessons Learned geschrieben sind, bleibt diese Anerkennung im Team als Erfahrung: Hier wird gesehen, was wir leisten. Teams, die das erleben, erholen sich schneller und sind beim nächsten Mal belastbarer.

Ausdauer wiederum ist offensichtlich. Unser Thema ist nun mal ein Langstreckenlauf. Aber es gibt einen Unterschied zwischen passivem Durchhalten und bewusstem Dranbleiben. Ein CISO, der eine Maßnahme zum vierten Mal auf die Agenda setzt, obwohl sie dreimal abgelehnt wurde, handelt nicht aus Sturheit, sondern aus einer Stärke heraus, die ihm sagt: Die Sache ist es wert. Wer das an sich erkennt, kann auch unterscheiden, wann Beharrlichkeit geboten ist und wann ein anderer Weg klüger wäre.

Stärken, die wachsen wollen

Im VIA-Modell gibt es keine Schwächen. Es gibt Stärken, die weiter oben stehen, und solche, die weiter unten stehen. Das ist mehr als eine freundliche Umetikettierung. Es ist eine Einladung.

Ryan Niemiec hat in seiner Forschung zu Charakterstärken-Interventionen gezeigt, dass der bewusste Gebrauch von Stärken im Alltag messbare Auswirkungen hat, auf Wohlbefinden, Engagement, berufliche Leistung und Sinnerleben. Das gilt für Top-Stärken, die bereits stark ausgeprägt sind. Es gilt aber auch für die weiter unten im Ranking. Stärken sind keine fixen Größen. Sie reagieren auf Übung wie ein Muskel auf Training.

Für uns steckt darin eine praktische Erkenntnis. Wer etwa Führungsvermögen im unteren Drittel seiner VIA-Ergebnisse findet, sich aber gerade in der Situation befindet, ein Team aufzubauen, hat zwei Möglichkeiten. Die erste: sich als „kein Führungstyp“ definieren und hoffen, dass es irgendwie klappt. Die zweite: kleine, konkrete Schritte machen. Eine klare Erwartung formulieren, wo man sonst vage geblieben wäre. Eine Mentorin oder einen Mentor suchen. In einer Besprechung die sorgfältig durchdachte und formulierte Richtung vorgeben, statt auf Konsens zu warten. Das eigene Handeln in diesem Aspekt häufiger reflektieren und bewusster planen.

Keine dieser Handlungen erfordert eine Persönlichkeitsveränderung. Jede einzelne ist ein Moment, in dem eine weniger ausgeprägte Stärke Gelegenheit bekommt, sich zu zeigen. Und jedes Mal, wenn das gelingt, wird es beim nächsten Mal ein Stück leichter.

Das heißt nicht, dass jede Stärke gleich leicht zu entwickeln ist, und es heißt auch nicht, dass alle auf dem gleichen Niveau landen werden oder müssen. Die Signaturstärken werden immer die sein, die am natürlichsten fließen. Aber die Vorstellung, dass der Rest unveränderlich festgeschrieben ist, stimmt nicht. Stärken, die heute leise sind, können lauter werden. Wenn wir ihnen Raum geben.

Eine Woche, eine Stärke

Theorie ist geduldig. Was zählt, ist die Praxis. Deshalb hier eine Einladung für die kommende Woche.

Wähle eine Deiner Stärken aus. Nur eine. Bring sie an jedem Arbeitstag der nächsten Woche einmal bewusst zur Geltung. Nicht zusätzlich zu Deiner Arbeit, sondern in Deiner Arbeit. In einer Besprechung, in einer E-Mail, in einem Gespräch, in einer Entscheidung.

Notiere zum Feierabend in einem Satz, was Du wahrgenommen hast. Kein Tagebuch, kein Journal, nur ein Satz. „Im Audit habe ich mir bewusst Zeit genommen, die Perspektive der Fachabteilung wirklich zu verstehen, bevor ich mein Urteil formuliert habe.“ Oder: „Ich habe meine eigene Einschätzung im Meeting zurückgehalten und den anderen Raum gegeben, ihre Sicht zu schildern.“

Nach einer Woche hast Du fünf Sätze. Und vermutlich eine Ahnung davon, was passiert, wenn eine Stärke nicht nur vorhanden ist, sondern wirkt.

Vielleicht merkst Du dabei auch, dass bestimmte Situationen emotional mehr fordern, als Du erwartet hast. Dass eine Stärke sich in einer bestimmten Situation blockiert anfühlt. Dass innere Widerstände auftauchen, die sich mit guter Absicht allein nicht auflösen lassen. Das ist kein Scheitern. Es ist ein Signal, dass die Arbeit an den eigenen Stärken manchmal tiefer geht, als eine Reflexionsübung reicht. Emotionale Muster, die sich über Jahre eingeschliffen haben, lassen sich erkennen und gezielt bearbeiten. Dafür gibt es Wege, die über Selbstreflexion hinausgehen.

Wer darüber sprechen und daran arbeiten möchte, meldet sich gerne bei mir. Keine Verpflichtungen, kein vorgefertigtes Programm. Ein erster Austausch zu Möglichkeiten.

Newsletter abonnieren

Literaturhinweis: Niemiec, R. M. (2019). Charakterstärken - Trainings und Interventionen für die Praxis, Hogrefe Verlag. Niemiec beschreibt darin praxisnah, wie Charakterstärken im Berufsalltag bewusst zur Wirkung gebracht und entwickelt werden können.

Artikel von Carsten Feldhahn
Berater und Trainer für Informationssicherheit
Coach für Informationssicherheits-Profis

Ich freue mich auf persönlichen Austausch via carsten@feldhahn.net und die Kontaktaufnahme auf LinkedIn.

Meine Artikel entstehen auf Basis meiner Ideen, meiner Erfahrung und meiner fachlichen Einschätzung. Bei der Ausarbeitung und Formulierung der Texte unterstützt mich KI. Die inhaltliche Verantwortung liegt bei mir. Ich bevorzuge wissenschaftlich fundierte Quellen und menschliche Urheber und weise diese im Text aus.

Foto Notenblatt von Andy Song via Unsplash
Foto Gitarre von Fellipe Ditadi via Unsplash

Auf Steady anhören

(Vorgelesen von ElevenLabs, Stimme Felix Serenitas)

Das Gespräch steht seit drei Wochen auf der Agenda. Nicht als Termin, sondern als Gedanke, der morgens beim ersten Kaffee auftaucht und abends immer noch da ist. Ein ISB, nennen wir ihn Tobias, weiß, dass er mit dem IT-Leiter über die stockende Bearbeitung des letzten Penetrationstests sprechen muss. Die Fakten sind dokumentiert, die Handlungsempfehlung steht. Tobias hat das alles ordentlich aufbereitet. Und trotzdem findet das Gespräch nicht statt.

Es fehlt nicht an Argumenten. Es fehlt nicht an Zeit. Etwas anderes bremst.

Was hier eigentlich passiert

Tobias würde das vermutlich nicht so beschreiben. Er würde sagen, der Zeitpunkt sei gerade ungünstig. Der IT-Leiter habe ohnehin viel um die Ohren, es wäre taktisch klüger, noch zu warten. Gute Gründe, die bei genauem Hinsehen keine Gründe sind, sondern Erklärungen, die ein Gefühl verpacken.

Das Muster ist bekannt. Der Kopf hat die Analyse abgeschlossen. Die Lage ist bewertet, die Maßnahme identifiziert. Aber zwischen der Erkenntnis und dem Handeln liegt etwas, das sich nicht wegargumentieren lässt. Eine diffuse Anspannung, ein Zögern, das keinen Namen hat. Kein bewusster Entschluss, das Gespräch zu vermeiden, eher ein automatisches Ausweichen, das erst im Rückblick sichtbar wird.

Vielleicht erkennst Du Dich darin in einer anderen Form wieder. Die Präsentation vor dem Management, bei der Du fachlich alles im Griff hast, aber trotzdem unter Deinen Möglichkeiten bleibst. Die Eskalation, die längst fällig wäre, aber immer wieder verschoben wird, obwohl Du die Konsequenzen des Wartens genau kennst. Verschiedene Situationen, gleiche Muster: klare Sicht, gefühlte Barriere.

Warum der Vorsatz allein nichts ändert

Der naheliegende Ratschlag lautet: einfach machen. Termin setzen, Gespräch führen, Thema abhaken. Und ja, manchmal reicht das. Manchmal überwindet man sich, und hinterher fragt man sich, warum man so lange gezögert hat.

Aber wenn das regelmäßig nicht funktioniert, wenn derselbe Typ Situation immer wieder dasselbe Zögern auslöst, dann geht es nicht um Disziplin. Dann hat sich ein emotionales Muster eingeschliffen, das älter ist als die aktuelle Situation. Irgendwann hat eine Erfahrung eine Spur hinterlassen. Vielleicht ein Gespräch, das schlecht gelaufen ist. Ein Moment, in dem Offenheit bestraft wurde. Eine Konstellation, die dem heutigen Gegenüber ähnelt, ohne dass es einem bewusst ist.

Solche Spuren sind keine Denkfehler. Sie reagieren nicht auf bessere Argumente und nicht auf den festen Vorsatz, es beim nächsten Mal anders zu machen. Der Vorsatz ist aufrichtig. Die Analyse stimmt. Nur das Nervensystem hat eine andere Rechnung aufgemacht, eine, die auf einer älteren Datenbasis arbeitet und der aktuellen Bewertung nicht traut.

Das zu wissen, verändert noch nichts an der Situation. Aber es verändert den Blick darauf. Hier liegt kein Charakterdefizit vor. Es ist ein emotionaler Mechanismus, der sich beschreiben und bearbeiten lässt. Wer das versteht, hört auf, sich den Vorwurf zu machen, einfach nicht mutig genug zu sein. Das allein ist schon eine Entlastung.

Was passiert, wenn die Bremse sich löst

Im Artikel „Kein Annex für Emotionen“ habe ich beschrieben, was Emotionscoaching von anderen Ansätzen unterscheidet und wie das Prinzip „Spot and Release“ funktioniert. Wer das noch nicht gelesen hat, findet dort den Einstieg. Hier geht es um die Frage, was sich verändert, wenn man an der emotionalen Spur arbeitet statt am Symptom.

Zurück zu Tobias. Nehmen wir an, er hätte im Coaching die Situation durchgearbeitet. Nicht das Gespräch vorbereitet, nicht seine Argumentation geschärft, das konnte er vorher schon. Sondern die emotionale Reaktion adressiert, die zwischen ihm und dem Gespräch stand. Die diffuse Anspannung, die sich bei dem Gedanken an den IT-Leiter einstellt. Das Engegefühl, das sich zwischen Brust und Hals bemerkbar macht, sobald er sich die Gesprächssituation vorstellt.

Was sich danach ändert, ist oft überraschend unspektakulär. Tobias führt das Gespräch. Nicht weil er sich zusammenreißt, nicht weil er eine Technik anwendet, sondern weil der innere Widerstand fehlt. Das Gespräch wird zu dem, was es von Anfang an hätte sein können: eine fachliche Klärung unter Fachleuten. Ohne das emotionale Rauschen im Hintergrund.

Das klingt simpel. Für jemanden, der jahrelang an dieser Stelle gekämpft hat, ist es alles andere als das.

Wo erkennst Du Dich?

In der Informationssicherheit wird professionelles Handeln oft gleichgesetzt mit Kontrolle. Kontrolle über Risiken, über Prozesse und die eigene Wirkung nach außen. Die Vorstellung, dass etwas Unkontrollierbares im eigenen Inneren das Handeln beeinflusst, passt schlecht in dieses Selbstbild. Vielleicht ist das der Grund, warum solche Muster selten thematisiert werden. Nicht weil sie selten sind, sondern weil sie nicht ins Narrativ passen.

Dabei lohnt sich die Frage: Gibt es eine Situation in Deinem beruflichen Alltag, in der Du weißt, was richtig wäre, und es trotzdem regelmäßig nicht tust? Kein Zeitproblem, kein Ressourcenproblem, kein Wissensproblem? Wenn ja, hast Du gerade kein Disziplinproblem identifiziert. Du hast eine emotionale Spur gefunden.

Wer daran arbeiten möchte, meldet sich gerne bei mir. Keine Verpflichtungen. Ein Gespräch unter Kollegen.

Artikel von Carsten Feldhahn, Berater und Trainer für Informationssicherheit, Coach für Informationssicherheits-Profis

Ich freue mich auf persönlichen Austausch via carsten@feldhahn.net und die Kontaktaufnahme auf LinkedIn.

Newsletter abonnieren

Meine Artikel entstehen auf Basis meiner Ideen, meiner Erfahrung und meiner fachlichen Einschätzung. Bei der Ausarbeitung und Formulierung der Texte unterstützt mich KI. Die inhaltliche Verantwortung liegt bei mir. Ich bevorzuge wissenschaftlich fundierte Quellen und menschliche Urheber und weise diese im Text aus.

Foto von Declan Sun via Unsplash

Auf Steady anhören

(Vorgelesen von ElevenLabs, Stimme Felix Serenitas)

Welche Wörter verwenden wir als Informationssicherheits-Profis im Arbeitsalltag am häufigsten?

Risiko. Schwachstelle. Bedrohung. Maßnahme, aber meist als Reaktion auf die anderen. Unser Beruf bringt ein Vokabular mit sich, das fast ausschließlich um Defizite kreist. Wir suchen, was fehlt, was brechen kann, was angreifbar ist. Das ist sinnvoll, denn davon lebt gute Sicherheitsarbeit. Aber es hat einen Nebeneffekt.

Wer jahrelang trainiert, Schwachstellen zu finden, gewöhnt sich an diese Perspektive. Sie beginnt zu wandern, vom System auf die Organisation, von der Organisation auf die Menschen und irgendwann auf sich selbst. Was kann ich nicht? Wo reiche ich nicht aus? Was hätte ich besser machen müssen? Diese Fragen sind nicht falsch. Aber es gibt bessere, wenn wir uns entwickeln wollen.

Die andere Seite

In der ebenfalls meist defizitorientierten Psychologie hat sich in den vergangenen zwei Jahrzehnten eine Strömung etabliert, die den Blick bewusst umdreht, die Positive Psychologie. Dabei geht es nicht um positives Denken oder den Zwang, alles rosig zu sehen. Die Positive Psychologie fragt schlicht: Was funktioniert bei Menschen, die gut zurechtkommen? Was macht jemanden widerstandsfähig, wirksam und zufrieden in dem, was er oder sie tut?

Christopher Peterson und Martin Seligman stellten Anfang der 2000er Jahre dazu eine provokante Frage: Ist es möglich, dass Menschen sich nicht über ihre Schwächen, sondern über ihre Stärken definieren können? Die beiden haben über Jahre hinweg untersucht, welche positiven Eigenschaften kulturübergreifend als wertvoll gelten. Nicht Skills, nicht Kompetenzen im engeren Sinne, sondern etwas Grundlegenderes. Charakterstärken.

24 Stärken, sechs Tugenden

Das Ergebnis ihrer Forschung ist die VIA-Klassifikation der Charakterstärken, ein Rahmenwerk mit 24 Stärken, geordnet in sechs übergeordnete Tugendkategorien: Weisheit, Mut, Menschlichkeit, Gerechtigkeit, Mäßigung und Transzendenz.

Weisheit umfasst Stärken wie Neugier, Kreativität, Urteilsvermögen, die Liebe zum Lernen und Weitsicht. Zur Mut gehören nicht nur Tapferkeit, sondern auch Ausdauer, Ehrlichkeit und der Antrieb, Dinge trotz Widerständen durchzuziehen. Unter Menschlichkeit fallen Freundlichkeit, die Fähigkeit zu lieben und soziale Intelligenz. Gerechtigkeit beschreibt Teamwork, Fairness und Führungsvermögen. Mäßigung beinhaltet Vergebung, Bescheidenheit, Besonnenheit und Selbstregulation. Transzendenz schließlich umfasst den Sinn für das Schöne, Dankbarkeit, Zuversicht, Humor und Spiritualität.

Jeder Mensch trägt alle 24 Stärken in sich, in unterschiedlicher Ausprägung. Die oberen fünf bis sieben werden als Top-Stärken bezeichnet, diese Stärken sind besonders ausgeprägt. Andere erkennen sie bei uns, oft bevor wir sie selbst benennen können. Signaturstärken sind jene Stärken, die sich am natürlichsten anfühlen, die Energie geben statt sie zu kosten. Sie sind das, was uns als Menschen ausmacht und sind in manchen Fällen auch nicht aktiv realisiert . Es gibt keine Schwächen in diesem Modell, nur weniger ausgeprägte Stärken. Und an denen kann man arbeiten.

Warum das für Informationssicherheits-Profis relevant ist

Auf den ersten Blick wirkt ein psychologisches Stärkenmodell weit entfernt von unserem Alltag, von ISMS-Audits, Risikobewertungen und Incident Response. Auf den zweiten Blick weniger.

Informationssicherheit ist zu einem beträchtlichen Teil Kommunikationsarbeit. ISBs müssen Vorstände überzeugen, Fachbereiche abholen, Awareness-Programme gestalten und in Krisensituationen klar kommunizieren. Wie jemand das tut, hängt nicht nur vom Wissen ab, sondern auch vom Charakter. Und Charakter ist kein vages Etwas. Er lässt sich beschreiben, reflektieren, bewusst in die Arbeit einbringen.

ISBs, deren Signaturstärke Besonnenheit ist, werden im Sicherheitsvorfall anders agieren als solche, die Tapferkeit als Stärke mitbringen. Beide werden wirksam sein. Aber auf unterschiedliche Weise. Wer seine Stärken kennt, kann bewusst entscheiden, wann sie helfen und wann eine Situation vielleicht eine andere Qualität erfordert. Das ist kein Zeichen von Schwäche, sondern von Reife.

Forschung zeigt zudem, dass Menschen, die ihre Signaturstärken im Beruf regelmäßig zum Ausdruck bringen, weniger Burnout erleben, engagierter sind und mehr Sinn in ihrer Arbeit sehen. Für einen Beruf, der emotional oft unterschätzt wird, in dem Stress und Frustration über mangelnde Unterstützung keine Seltenheit sind, ist das mehr als eine hoffnungsvolle Erkenntnis.

Selbstreflexion als professionelle Kompetenz

Seine Stärken zu kennen heißt nicht, Schwächen zu ignorieren. Es heißt, einen vollständigeren Blick auf sich selbst zu haben. Wer nur darauf fokussiert ist, was er nicht kann, führt zwar Buch über jeden Fehler, aber übersieht leicht das, was gelingt.

Im Beratungsalltag begegne ich häufig Informationssicherheits-Profis, die fachlich exzellent sind und gleichzeitig erstaunlich wenig über ihre eigenen Ressourcen wissen. Sie kennen jede Anforderung der ISO 27001, haben aber nicht im Blick, was sie selbst mitbringen. Sie formulieren Maßnahmen zur Risikobehandlung für technische Systeme, haben aber kein Konzept dafür, was sie persönlich wirksam und widerstandsfähig macht.

Charakterstärken bieten hier einen konkreten Ansatzpunkt. Nicht als Persönlichkeitstest, der ein Etikett vergibt, sondern als Reflexionswerkzeug. Was sind meine Signaturstärken? In welchen beruflichen Situationen setze ich sie bereits ein, vielleicht ohne es bewusst zu bemerken? Wo könnte ich sie gezielter zur Geltung bringen? Wo lohnt es sich, gezielt andere Stärken zu entwickeln und mehr zu üben? Und wo übertreibe ich eine Stärke vielleicht, sodass sie zur Stolperfalle wird? Denn auch das gehört dazu. Besonnenheit kann zu Entscheidungslähmung werden, Tapferkeit zu Rücksichtslosigkeit, Neugier zu Zerstreuung, Ausdauer zu Sturheit.

Den eigenen Stärken auf die Spur kommen

Die Deutsche Gesellschaft für Positive Psychologie bietet unter gluecksforscher.de kostenfreie deutschsprachige Tests zur Ermittlung der eignen Charakterstärken und Signaturstärken.

Das VIA Institute on Character bietet den wissenschaftlich fundierten Test ebenfalls, kostenlos und in vielen Sprachen. Er liefert die individuelle Rangfolge aller 24 Charakterstärken.

Die Ergebnisse sind kein Urteil, kein fixes Label. Sie sind ein Ausgangspunkt für eine Auseinandersetzung, die in unserer Branche erstaunlich selten stattfindet.

Meine Empfehlung: Mach die Tests. Nicht als Unterhaltung für zwischendurch, sondern mit der Bereitschaft, die Ergebnisse ernst zu nehmen. Schau Dir Deine oberen fünf bis sieben Stärken Charakterstärken und deine Signaturstärken an und frage Dich: Erkenne ich mich wieder? Wann habe ich diese Stärken zuletzt bewusst eingesetzt? In welchen Situationen meiner täglichen Arbeit helfen sie mir, ohne dass ich es bemerke?

Dann wird es interessant. Denn der eigentliche Wert liegt nicht im Testergebnis, sondern in dem, was danach passiert. Im bewussten Umgang mit dem, was ohnehin da ist. In der Entscheidung, die eigene Art zu arbeiten nicht als Zufall zu betrachten, sondern als Ressource.

Informationssicherheit lebt vom genauen Hinsehen. Vom Prüfen, Bewerten, Einordnen. Es wäre seltsam, wenn wir diese Fähigkeit auf alles anwenden außer auf uns selbst.

Wir haben genug Frameworks für Risiken, für Kontrollen, für Compliance-Nachweise. Was fehlt, ist ein systematischer Blick auf das, was Fachleute als Menschen mitbringen. Nicht als Schwachstelle, nicht als Risikofaktor, sondern als das, was sie wirksam macht.

Wenn Du den Test gemacht hast und magst, schreib mir, was Dich überrascht hat. Nicht als Debatte, sondern als Austausch zwischen Menschen, die auch über sich selbst nachdenken.

---

Den kostenlosen VIA-Charakterstärken-Test findest Du (nach einer kurzen Registrierung) hier:

Und direkt beim VIA Institute (in vielen verschiedenen Sprachen verfügbar):

Artikel von Carsten Feldhahn

Berater und Trainer für Informationssicherheit
Coach für Informationssicherheits-Profis

Ich freue mich auf persönlichen Austausch via carsten@feldhahn.net
und die Kontaktaufnahme auf LinkedIn.

Newsletter abonnieren

Meine Artikel entstehen auf Basis meiner Ideen, meiner Erfahrung und meiner fachlichen Einschätzung. Bei der Ausarbeitung und Formulierung der Texte unterstützt mich KI. Die inhaltliche Verantwortung liegt bei mir. Ich bevorzuge wissenschaftlich fundierte Quellen und menschliche Urheber und weise diese im Text aus.

Foto Orchester (bearbeitet) von Kazuo Ota via Unsplash.

Fotos Orchestersaal (auch Teaser, bearbeitet) von Arthur Tseng via Unsplash.

von Carsten Feldhahn

Wie viele Schulungsthemen verträgt ein Mensch an einem Vormittag?

Die Frage klingt banal. Aber sie wird erstaunlich selten gestellt. Was stattdessen passiert: Ein Standard fordert Sensibilisierung. Also wird geschult. Ein Audit bemängelt Lücken. Also wird mehr geschult. NIS2 macht Leitungsorgane persönlich haftend, wenn Schulungen nicht nachweisbar stattfinden. Es wird noch mehr geschult. In dem günstigen Online-Learning-Paket stecken noch 20 andere Schulungen drin? Machen wir gleich mit! Der Reflex ist immer derselbe. Mehr Themen, mehr Folien, mehr Pflichttermine.

Nur fragt meist niemand, ob das funktioniert.

Zu viel Stoff, zu wenig Zeit

Wer in der Informationssicherheit Schulungen konzipiert, kennt das Gefühl. Die Themenliste wächst, aber die verfügbare Zeit bleibt gleich. Die ISO/IEC 27001 fordert Awareness implizit praktisch für jede Maßnahme, die menschliches Verhalten betrifft. NIS2 verschärft den Druck, indem Schulungspflichten auf Geschäftsleitungsebene verankert werden. Branchenstandards wie TISAX bringen eigene Anforderungen mit. Und wer den BSI IT-Grundschutz anwendet, findet im neuen Grundschutz++ die SENS-Praktik zum Thema Sensibilisierung, mit 85 Anforderungssätzen in zwölf Themenbereichen.

85 Anforderungssätze.

Das ist beeindruckend gründlich. Und gleichzeitig ein Problem. Denn kein Schulungsprogramm der Welt kann 85 Themen wirksam behandeln. Nicht in einem halben Tag, nicht in zwei Tagen, nicht einmal über ein ganzes Jahr verteilt, wenn jedes Thema die gleiche Aufmerksamkeit bekommen soll. Und die Fachbereiche fordern kurze Schulungen, damit die Menschen produktiv sein können.

Die SENS-Praktik ist dabei nur besonders sichtbar, weil sie die Themen einzeln auflistet. Andere Standards verstecken die Masse geschickter. Die ISO 27001 sagt nicht „schulen Sie 85 Themen“, sondern fordert, dass Beschäftigte die Informationssicherheitspolitik kennen, ihren Beitrag zur Wirksamkeit des ISMS verstehen und die Folgen von Nichtkonformität begreifen. Klingt nach drei Punkten. In der Praxis entfaltet sich daraus eine ähnlich lange Liste, nur ohne Nummerierung.

Es ist ein Problem der Informationssicherheit insgesamt. Wir haben zu viel Stoff für zu wenig Zeit.

Die Kunst des Weglassens

Ein Ansatz zur Lösung ist didaktische Reduktion. Gemeint ist die bewusste Entscheidung, Lernstoff zu verknappen. Nicht aus Faulheit, sondern aus Respekt vor der begrenzten Aufnahmekapazität der Lernenden. Wer alles gleichwertig behandelt, behandelt nichts wirksam. Das Gehirn priorisiert ohnehin, ob wir das steuern oder nicht. Die Frage ist nur, ob wir die Priorisierung den Lernenden überlassen oder ob wir sie als Lehrende übernehmen.

In der Informationssicherheit fällt das besonders schwer. Jede Maßnahme hat ein Angriffsszenario, das sie rechtfertigt. Nahezu jedes Thema lässt sich mit einem Risiko begründen. Wer entscheidet, dass die Fälschbarkeit biometrischer Merkmale weniger Schulungszeit verdient als der Umgang mit Passwörtern? Und wer übernimmt die Verantwortung, wenn genau dort dann etwas passiert?

Die Angst vor dieser Verantwortung ist der Grund, warum viele Schulungen so aussehen, wie sie aussehen: von allem ein wenig, nichts richtig. Dutzende Folien, zu viel Text, am Ende kann niemand mehr sagen, worum es eigentlich ging.

Die Schere ansetzen

Anna Mayr (ehemals Langheiter), Trainingsdesignerin aus Wien, hat ein Werkzeug populär gemacht, das bei dieser Entscheidung hilft. Der Ursprung liegt bei Chuck Hodell, der in seinem Standardwerk „ISD From the Ground Up“ den „Criticality Approach to Content Selection“ beschrieb. Anna hat den Ansatz vereinfacht und unter dem Namen „Criticality Matrix“ in die deutschsprachige Trainingswelt gebracht.

Die Grundidee ist entwaffnend einfach. Alle potenziellen Schulungsinhalte werden auf Post-its geschrieben und in eine Matrix einsortiert. Auf der Y-Achse steht die Häufigkeit. Wie oft werden die Lernenden dieses Wissen oder Verhalten im Arbeitsalltag benötigen? Täglich, jede Woche, einmal im Monat, quartalsweise, jährlich, nie? Auf der X-Achse steht die Wichtigkeit, abgestuft in vier Kategorien. Für die Informationssicherheit lässt sich die Wichtigkeit gut an die aktuellen Risikobewertungen und Maßnahmen zur Risikobehandlung koppeln: Welches Risiko adressiert die Maßnahme oder das Verhalten, das geschult werden soll? Je bedeutender die Maßnahme, desto weiter links in der Matrix.

„Kritisch“ sind Inhalte, die zwingend erforderlich sind, damit das Lernziel erreicht werden kann. In der Informationssicherheit sind das Themen, die hohe oder sehr hohe Risiken behandeln, bei denen Fehlverhalten unmittelbar zu einem Sicherheitsvorfall führen kann. Hier müssen auch Pflichten behandelt werden, die gesetzlich oder regulatorisch unverhandelbar sind.

„Wesentlich“ sind Inhalte, die nicht unmittelbar kritisch, aber wichtig genug sind, um die Grundlage einer gründlichen Schulung zu bilden. Maßnahmen, die mittlere Risiken adressieren, Grundkenntnisse als Basis für das Verständnis, wichtige Prozessschritte.

„Optional“ sind Inhalte, die nicht für die sofortige, häufige Anwendung gedacht sind. Hintergrundinformationen, Vertiefungen für Interessierte oder Maßnahmen, die niedrige oder akzeptierte Restrisiken betreffen.

„Unbedeutend“ sind Inhalte, die nichts zum Lernziel beitragen. Oft sind sie aus Gewohnheit in der Schulung, weil sie immer schon dabei waren oder weil jemand in der Organisation sie für unverzichtbar hält. Anna merkt an, dass diese Kategorie naturgemäß besonders umstritten ist.

Wenn alle Post-its in der Matrix hängen, wird eine diagonale Linie gezogen. Links oben, wo sich Häufigkeit und Wichtigkeit treffen, liegen die Inhalte, die ins Training gehören. Je weiter rechts unten ein Thema landet, desto eher kann es als Merkblatt, Intranet-Artikel oder gar nicht behandelt werden. Je weniger Zeit zur Verfügung steht, desto steiler fällt die Linie aus, desto weniger bleibt übrig.

Das klingt radikal. Aber die Alternative ist schlimmer: Schulungen, in denen alles vorkommt und nichts wirkt.

Die Anforderungen in die Realität übertragen

Wie das in der Praxis aussehen kann, lässt sich gut am Thema Authentisierung darstellen. Nehmen wir als Beispiel die SENS-Praktik im Grundschutz++. Sie enthält dazu neun Anforderungen, von personengebundenen Authentisierungsmitteln über Passwortkomplexität und Passwortmanager hin zu biometrischer Fälschbarkeit und Abmelden nach Nutzung. Ein überschaubares Themenfeld, aber mit genug Spreizung, um die Matrix darauf anzuwenden.

Passwort-Recycling vermeiden, also die Wiederverwendung identischer Passwörter auf verschiedenen Systemen: Häufigkeit im Alltag? Hoch, bei jedem neuen Konto, bei jedem Passwortwechsel. Aber wie wichtig ist das Thema wirklich? Das hängt davon ab, wie weit die Organisation mit ergänzenden Maßnahmen ist. Wo Passwortmanager ausgerollt sind, MFA flächendeckend greift oder Passkeys den klassischen Login ablösen, sinkt die Wichtigkeit deutlich. In einer Organisation ohne diese Maßnahmen bleibt das Thema wesentlich bis kritisch. Der interessante Nebeneffekt: Passwort-Recycling betrifft auch das Privatleben der Beschäftigten. Wer hier gut schult, schafft Relevanz über den Arbeitsplatz hinaus, und das erhöht die Aufmerksamkeit.

Abmelden nach Nutzung, also auch das Sperren des Bildschirms bei Abwesenheit: Häufigkeit? Sehr hoch, mehrmals täglich. Aber auch hier lohnt ein zweiter Blick. Wenn die automatische Bildschirmsperre per Gruppenrichtlinie nach wenigen Minuten greift, ist das Thema organisatorisch weitgehend entschärft. Die Schulung kann sich dann auf den Hinweis beschränken, dass die Sperre existiert und warum man sich nicht darauf verlassen sollte, wenn man den Arbeitsplatz verlässt. Wirklich kritisch wird es dort, wo diese automatisierten Kontrollen fehlen. Also unterwegs im Café, im Zug, am Flughafen. Dort reichen zwei unbeobachtete Minuten, um auf ein offenes System zuzugreifen. Für Organisationen mit viel mobilem Arbeiten verschiebt sich das Thema in der Matrix also deutlich nach links oben.

Am anderen Ende des Spektrums steht die Fälschbarkeit biometrischer Authentifizierung. Ja, man kann Fingerabdrücke von glatten Oberflächen abnehmen und damit Geräte entsperren. Im Labor funktioniert das zuverlässig. Im Arbeitsalltag der meisten Beschäftigten ist dieses Szenario so wahrscheinlich wie ein Meteoriteneinschlag im Serverraum. Häufigkeit? Nahe null. Wichtigkeit für die durchschnittliche Nutzerin? Optional bis unbedeutend, weil biometrische Authentifizierung fast immer als zweiter Faktor neben einem Passwort oder einer PIN steht. Dazu kommt eine implizierte Machtlosigkeit bei den Nutzenden. Wie kann man sich dagegen schützen? Ergebnis: erst einmal rechts unten. Ein Satz in einem Merkblatt reicht. Schulungszeit dafür zu verwenden, wäre in den meisten Fällen verschwendet.

Zwischen diesen Polen wird es interessant. Verdeckte Eingabe von Zugangsdaten, also Schutz vor Shoulder Surfing: Häufig? Ja, Zugangsdaten werden täglich eingegeben. Aber wie wichtig ist das Thema? Das hängt vom Kontext ab. In einem Einzelbüro mit geschlossener Tür ist das Risiko überschaubar. In einem Coworking-Space, in der Bahn, während einer Videokonferenz sieht das ganz anders aus. Ein Unternehmen mit viel mobilem Arbeiten wird dieses Thema als wesentlich oder sogar kritisch einstufen. Eines mit festen Arbeitsplätzen hinter verschlossenen Türen eher als optional.

Es hängt also immer davon ab. Dieselbe Anforderung kann in zwei Organisationen in vollkommen unterschiedlichen Feldern landen. Die Matrix erzwingt eine bewusste, kontextbezogene Entscheidung statt einer unbewussten Pauschalisierung.

Vom Werkzeug zur Wirkung

Unser Beispiel war mit den neun Anforderungen noch überschaubar. Die Wucht entfaltet sich, wenn man alle 85 Anforderungssätze der SENS-Praktik betrachtet. Oder wenn man die impliziten Schulungsanforderungen der ISO 27001 aufdröselt. Wenn dann noch NIS2-Anforderungen hinzukommen, die auch die Leitungsebene einschließen. Faxleitungen verschlüsseln? Wasserschutzmittel verwenden? Geolokation deaktivieren? Mobiltelefone in Sicherheitsbereichen? All das steht mehr oder weniger explizit in den Standards, alles hat seine Berechtigung, irgendwo. Aber nicht überall und nicht in jeder Schulung.

Die Criticality Matrix hilft, die Themen zu strukturieren. Wenn die Geolokation von Mobilgeräten für eine bestimmte Organisation tatsächlich relevant ist, weil Außendienstmitarbeitende in sensiblen Regionen unterwegs sind, landet das Thema in der Matrix dort, wo es hingehört, bei „wesentlich“ oder „kritisch“. Für eine Organisation ohne diesen Kontext fällt es dagegen bei „optional“ oder „jährlich“ raus. Das ist kein Argument gegen das Thema, sondern gegen seinen Platz in der Schulung. Ein Merkblatt, ein FAQ-Eintrag oder ein kurzer Intranet-Artikel sind hier vielleicht passender und zielgerichteter, ohne die knappe Schulungszeit zu beanspruchen.

Die Methode wirkt damit in zwei Richtungen. Nach innen gibt sie den Schulungsverantwortlichen ein Werkzeug, die eigene Priorisierung zu überprüfen. Ist das, was wir schulen, wirklich das Wichtigste? Oder schulen wir das, was wir schon immer geschult haben? Nach außen bietet sie eine nachvollziehbare Begründung gegenüber dem Management und im Rahmen von Audits. Nicht „Wir haben das weggelassen, weil die Zeit nicht gereicht hat“, sondern „Wir haben bewusst priorisiert, nach Häufigkeit und Wichtigkeit, und können für jedes Thema erklären, warum es dort steht, wo es steht“.

Am Ende geht es um eine Haltung. Standards liefern Themenlisten. Manche explizit wie die SENS-Praktik, manche implizit wie die ISO 27001. Regulierungen wie NIS2 erhöhen den Druck. Aber eine Themenliste ist kein Schulungsprogramm, so wenig wie ein Rezeptbuch ein Abendessen ist.

Die Übersetzungsarbeit, vom Standard zur wirksamen Schulung, bleibt bei den Menschen, die Sensibilisierung gestalten dürfen. Und der erste Schritt dieser Übersetzung ist paradoxerweise ein Schritt des Weglassens. Zu entscheiden, was nicht in die Schulung gehört, erfordert mehr Fachkenntnis als alles hineinzupacken. Es erfordert den Mut, Nein zu sagen, zu Themen, die theoretisch relevant sind, aber praktisch keinen Platz verdienen.

Genau an dieser Stelle arbeite ich mit meinen Kunden. Aus meiner Erfahrung als Trainer weiß ich, was in Schulungsräumen funktioniert und was nicht. Als Berater kenne ich die Anforderungen der Standards und die Erwartungen der Auditor:innen. Die Criticality Matrix ist dabei ein Werkzeug, das ich gerne einsetze, weil es die Diskussion versachlicht und Entscheidungen nachvollziehbar macht. Aber das Werkzeug allein reicht nicht. Es braucht jemanden, der die Inhalte fachlich bewerten kann, der weiß, welche Risiken in einer konkreten Organisation wirklich relevant sind, und der den Mut hat, Themen von der Liste zu streichen.

Weniger ist mehr, wenn das Wenige richtig ausgewählt und gut vermittelt wird.

Wenn du ähnliche oder ganz andere Erfahrungen mit der Priorisierung von Schulungsinhalten machst, schreib mir. Nicht als Debatte, sondern als Austausch. Wir lernen alle noch.

Wer den ersten Teil der Serie zur Sensibilisierung im Grundschutz++ noch nicht gelesen hat, findet ihn hier: Wenn Maschinen lesen sollen, was Menschen verstehen müssen. Er beschreibt, was sich mit dem Grundschutz++ im Bereich Sensibilisierung ändert und warum die menschliche Dimension dabei nicht verloren gehen darf.

Klare Empfehlung für das Buch von Anna:
Anna Langheiter - Trainingsdesign
ISBN 978-3-95891-043-0
managerSeminare Verlags GmbH

Artikel von Carsten Feldhahn
Berater und Trainer für Informationssicherheit
Coach für Informationssicherheit-Profis

Newsletter abonnieren

Ich freue mich auf persönlichen Austausch via carsten@feldhahn.net
und die Kontaktaufnahme auf LinkedIn.

Meine Artikel entstehen auf Basis meiner Ideen, meiner Erfahrung und meiner fachlichen Einschätzung. Bei der Ausarbeitung und Formulierung der Texte unterstützt mich KI. Die inhaltliche Verantwortung liegt bei mir. Ich bevorzuge wissenschaftlich fundierte Quellen und menschliche Urheber und weise diese im Text aus.

Foto leeres Regal (nachbearbeitet) von Alexey Demidov.
Foto Pflanze im Glas (nachbearbeitet) von Sarah Dorweiler.
Alle Fotos via Unsplash.

Auf Steady anhören

(Vorgelesen von ElevenLabs, Stimme Felix Serenitas)

Was passiert eigentlich nach dem internen Audit? Nach dem Meeting, in dem ein ISB zum dritten Mal erklärt hat, warum die Maßnahme nicht optional ist, und trotzdem nur müdes Achselzucken erntet? Die Argumente waren stichhaltig, die Norm und die eigenen Richtlinien eindeutig. Trotzdem sitzt da abends jemand mit einem Gefühl im Magen, das kein Risikomanagement der Welt adressiert.

Informationssicherheit ist ein Beruf, der emotional unterschätzt wird. Wir reden viel über Frameworks, über Reifegrade, über technische Maßnahmen und Kontrollmechanismen. Wir reden selten darüber, was es mit Menschen macht, wenn sie täglich Risiken bewerten, die andere nicht sehen wollen. Wenn Szenarien vorgedacht werden, die hoffentlich nie eintreten, und gleichzeitig erklärt werden muss, warum das Budget dafür trotzdem nötig ist.

Zwischen Eskalation und Erschöpfung

Ein CISO, der im Sicherheitsvorfall vor dem Vorstand steht, benötigt mehr als ein gutes Incident-Response-Playbook. Die Anspannung, die Erwartung schneller Antworten, stellvertretend für ein gesamtes Team Rechenschaft abzulegen, das alles ist emotional. Und wirkt nach. In der Art, wie Entscheidungen danach getroffen werden. Vorsichtiger vielleicht. Oder impulsiver. Beides sind keine guten Ratgeber.

SOC-Fachleute kennen eine andere Spielart. Das permanente Scannen nach Anomalien, unterbrochen von plötzlichen Eskalationen. Chronischer Stress, der sich nicht in einem Jahresgespräch auflöst. ISKs, die zum wiederholten Mal erleben, dass ihre Sensibilisierungsmaßnahmen an der Gleichgültigkeit der Organisation abprallen, entwickeln irgendwann eine leise Frustration, die sich immer schwerer beiseiteschieben lässt.

All das sind keine Zeichen von Schwäche. Es sind normale Reaktionen auf die außergewöhnlichen Anforderungen, die die Thematik mit sich bringt. Die Frage ist, wie wir damit umgehen.

Systemisches Coaching und seine Grenzen

Systemisches Coaching hat sich in vielen Organisationen bewährt. Es hilft, Rollen zu klären, Perspektiven zu wechseln, Dynamiken in Teams sichtbar zu machen. Für strukturelle Fragen ist es ein wertvolles Werkzeug. Wer als ISB verstehen will, warum die Zusammenarbeit mit der IT-Leitung stockt, findet im systemischen Ansatz gute Impulse.

Aber manchmal liegt das Problem tiefer. Manchmal hat sich ein emotionales Muster eingeschliffen, das auf der Ebene von Rollen und Strukturen nicht greifbar wird. Die diffuse Anspannung vor jeder Managementbewertung. Die Gereiztheit, die nach einem bestimmten Typ von Besprechung zuverlässig auftaucht. Das Vermeidungsverhalten bei Konflikten, obwohl der Kopf genau weiß, dass Klarheit jetzt das Richtige wäre. Solche Muster haben emotionale Wurzeln, und dort setzt systemisches Coaching oft nicht an.

Was Emotionscoaching anders macht

emTrace® ist ein integrativer Emotionscoaching-Ansatz, entwickelt von Dirk W. Eilert. Das Grundprinzip heißt „Spot and Release": Emotionale Stressspuren werden zunächst identifiziert und dann gezielt gelöst, auf Basis aktueller neurowissenschaftlicher Erkenntnisse. Anders als Methoden, die auf eine einzige Interventionstechnik setzen, führt emTrace® verschiedene Ansätze zusammen und orientiert sich an den übergeordneten Wirkfaktoren, die in der Forschung für emotionale Veränderungsprozesse identifiziert wurden.

Für InfoSec-Fachleute bedeutet das konkret: Ein Coaching muss nicht monatelang dauern, um wirksam zu sein. Wenn ein CISO vor jedem Board-Meeting das gleiche Engegefühl spürt, lässt sich diese emotionale Spur oft in wenigen Sitzungen auflösen. Nicht durch Analyse der Vorstandsdynamik, nicht durch bessere Präsentationstechnik, sondern durch Arbeit an der emotionalen Reaktion selbst.

Systemisches Coaching und Emotionscoaching schließen sich dabei nicht aus. Im Gegenteil: Sie ergänzen sich. Wo der systemische Blick Klarheit über Strukturen schafft, räumt emTrace die emotionalen Hindernisse aus dem Weg, die verhindern, dass neue Erkenntnisse auch gefühlt ankommen.

Fachberatung plus Coaching

Ich arbeite seit Jahren als Berater und Trainer für Informationssicherheit. Davor war ich in verantwortlichen Positionen als ISB, auch im internationalen Umfeld. ISO/IEC 27001, BSI IT-Grundschutz, TISAX und branchenspezifische Anforderungen, das ist mein Tagesgeschäft. Gleichzeitig bin ich zertifizierter emTrace®-Coach. Beide Welten zu kennen, hat einen praktischen Vorteil: Ich muss mir nicht erklären lassen, warum ein Audit-Finding Emotionen auslösen kann und worin gängige Widersprüche und Konflikte bestehen. Ich verstehe den Kontext, in dem die Belastung entsteht, fachlich wie menschlich.

Menschen in der Informationssicherheit sind es gewohnt, Lösungen für andere zu finden. Für sich selbst Unterstützung anzunehmen, fällt vielen schwerer. Vielleicht ist das ein guter Moment, um darüber nachzudenken, ob das so bleiben muss.

Wer das Gespräch sucht, kontaktiert mich gerne direkt per Mail oder über LinkedIn. Kein Verkaufsgespräch, keine Verpflichtung. Einfach ein erster Austausch.

Artikel von Carsten Feldhahn
Berater und Trainer für Informationssicherheit
Coach für Informationssicherheits-Profis

Ich freue mich auf persönlichen Austausch via carsten@feldhahn.net
und die Kontaktaufnahme auf LinkedIn.

Meine Artikel entstehen auf Basis meiner Ideen, meiner Erfahrung und meiner fachlichen Einschätzung. Bei der Ausarbeitung und Formulierung der Texte unterstützt mich KI. Die inhaltliche Verantwortung liegt bei mir. Ich bevorzuge wissenschaftlich fundierte Quellen und menschliche Urheber und weise diese im Text aus.

Foto von Craig Lovelidge via Unsplash.

Newsletter abonnieren

von Carsten Feldhahn

Für wen schreiben wir eigentlich unsere Sicherheitsrichtlinien?

Vor einigen Wochen erzählte mir ein Kunde von seinem neuesten Projekt. Die internen Sicherheitsrichtlinien werden umgeschrieben. Nicht etwa, um sie verständlicher zu machen. Nicht, um sie an neue Bedrohungen anzupassen. Sie werden umformuliert, damit die hauseigene KI sie besser auswerten kann um die (in den meisten Fällen mit KI generierten) Fragebögen von Kunden automatisiert zu beantworten.

Ich brauchte einen Moment. Jahrelang haben wir darum gerungen, dass Richtlinien nicht nur existieren, sondern auch gelesen, verstanden und, man wagt es kaum zu hoffen, befolgt werden. Wir haben an Formulierungen gefeilt, Fachsprache reduziert, Beispiele eingefügt. Jetzt optimieren wir für Algorithmen?

Das Beispiel steht nicht allein. Es ist ein Symptom. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit dem Grundschutz++ eine grundlegende Modernisierung eingeleitet. Anforderungen werden künftig maschinenlesbar im OSCAL-Format bereitgestellt. Das ermöglicht automatisierte Compliance-Prüfungen, Tool-Integration, effizientere Audits. Alles sinnvolle Ziele.

Aber ich höre schon die Fragen in künftigen Projektmeetings: "Kann die KI das prüfen?" statt "Verstehen die Beschäftigten das?". Ausgerechnet dort, wo der Mensch im Mittelpunkt stehen sollte, bei Sensibilisierung und Schulung, könnte diese Verschiebung besonders bitter werden.

Dieser Artikel ist der Auftakt einer kleinen Serie. Ich möchte ausloten, wie wir die Chancen des neuen Grundschutzes nutzen können, ohne dabei den Menschen zu verlieren. Wie aus abstrakten, maschinenlesbaren Anforderungen Sensibilisierung entstehen kann, die diesen Namen verdient.

Wer in den letzten Monaten nicht aktiv die Entwicklungen beim BSI verfolgt hat, dem sei ein kurzer Überblick gegönnt.

Der IT-Grundschutz existiert seit den 1990er Jahren und hat sich seitdem mehrfach gehäutet. Die letzte große Modernisierung kam 2017 mit dem IT-Grundschutz-Kompendium, das aktuell über 100 Bausteine mit mehr als 8.000 einzelnen Anforderungssätzen enthält. Beeindruckend in der Breite. Beeindruckend schwerfällig in der Anwendung.

Der Grundschutz++ ist der nächste Evolutionsschritt. In der aktuellen Fassung, seit September 2025 auf GitHub verfügbar, zeigen sich fundamentale Änderungen.

Das bisherige Kompendium war nach Zielobjekten strukturiert. Bausteine für Server, Clients, Netzkomponenten, organisatorische Bereiche. Die neue Struktur arbeitet mit "Praktiken", also prozessorientierten Themenbereichen. Eine Praktik wie "Sensibilisierung" kann auf verschiedene Zielobjekte angewendet werden. Das reduziert Redundanzen erheblich, denn bisher wiederholten sich ähnliche Awareness-Anforderungen in dutzenden Bausteinen wie ein Echo, das niemand mehr hören wollte.

Die Anforderungen werden im OSCAL-Format veröffentlicht, einem vom NIST entwickelten Standard für maschinenlesbare Sicherheitsanforderungen. JSON- und XML-Dateien statt Word-Dokumente. Statt jährlicher Editionen sollen Updates kontinuierlich erfolgen. Die Anzahl der Anforderungssätze soll von über 8.000 auf unter 2.000 sinken. Das klingt nach weniger Arbeit. Die Anforderungen werden aber abstrakter, lösungsneutral formuliert. Die konkrete Umsetzung liegt stärker bei den Anwendenden.

Das BSI reagiert auf berechtigte Kritik. Der Grundschutz war zu dokumentationslastig, zu unflexibel, zu langsam. Die Automatisierungsversprechen sind real. Aber Automatisierung ist ein Werkzeug, keine Strategie. Ein maschinenlesbares Format macht eine Anforderung nicht automatisch sinnvoll oder wirksam. Der Unterschied ist wie der zwischen einer Wanderkarte und dem Gelände, das sie abbildet. Die Karte hilft bei der Orientierung. Laufen müssen wir selbst, und dabei werden wir nass, wenn es regnet.

Hinweis

Warum der Grundschutz auch dich etwas angeht

Natürlich muss nicht jede Organisation den IT-Grundschutz anwenden. Für Bundesbehörden ist er verbindlich, für KRITIS-Betreiber oft der naheliegende Weg zum Nachweis angemessener Sicherheit. Alle anderen haben die Wahl.

Trotzdem lohnt sich die Beschäftigung mit dem Grundschutz, auch wenn du nie eine Zertifizierung anstrebst. Das BSI stellt mit dem Kompendium einen prall gefüllten Werkzeugkasten bereit: kostenlos, auf Deutsch, (bald wieder) regelmäßig aktualisiert. Die Anforderungen müssen für die eigenen Bedürfnisse angepasst werden, niemand sollte sie unreflektiert übernehmen. Aber sie bilden häufig den Stand der Technik ab und bieten eine solide Orientierung, auch wenn man am Ende einen anderen Weg geht.

Hinzu kommt: Das BSI prägt mit dem Grundschutz viele andere Standards und die Toollandschaft im deutschsprachigen Raum. Wer Informationssicherheit in Deutschland macht, begegnet früher oder später Konzepten, Begriffen und Denkweisen, die hier ihren Ursprung haben. Den Grundschutz zu kennen hilft, diese Zusammenhänge einzuordnen, selbst wenn die eigene Organisation nach ISO 27001, TISAX oder einem branchenspezifischen Standard arbeitet.

Der Grundschutz ist kein exklusiver Club. Er ist eine öffentliche Ressource für alle, die sich ernsthaft mit Informationssicherheit beschäftigen.

Wenn wir über Sensibilisierung sprechen, sprechen wir über Menschen. Genauer gesagt über zwei Gruppen, die in der Compliance-Diskussion oft untergehen wie Nebenfiguren in einem Roman, der eigentlich von ihnen handeln sollte.

Die erste Gruppe sind die Teilnehmenden, die Beschäftigten, die geschult werden sollen.

"Der Mensch ist das schwächste Glied in der Sicherheitskette." Dieser Satz hält sich leider sehr hartnäckig. Er ist nicht nur demotivierend, er ist schlicht falsch. Menschen sind keine Schwachstelle. Sie sind der Grund, warum wir Informationssicherheit überhaupt betreiben. Wir schützen Informationen, weil sie für Menschen relevant sind, weil Menschen mit ihnen arbeiten, weil Menschen Schaden nehmen, wenn sie kompromittiert werden.

Ein Sensibilisierungsprogramm, das Menschen als Risikofaktor behandelt, produziert Pflichtveranstaltungen. Beschäftigte klicken sich durch E-Learnings, bestätigen per Checkbox, dass sie die Richtlinie gelesen haben. Alle wissen, dass das Theater ist. Aber der Auditor ist zufrieden, und nächstes Jahr spielen wir dasselbe Stück noch einmal.

Sicherheitsbewusstsein entsteht nicht durch Belehrung, sondern durch Verstehen. Erwachsene bringen Erfahrungen mit. Sie wollen den Sinn begreifen. Sie wollen selbst denken. Ein gutes Programm respektiert das. Es behandelt Menschen als kompetent, als fähig, Risiken einzuschätzen und kluge Entscheidungen zu treffen, wenn man ihnen die nötigen Informationen und Kompetenzen gibt.

Die zweite Gruppe sind die Umsetzenden. ISBs, CISOs, Awareness-Verantwortliche. Sie stehen zwischen zwei Fronten. Oben der Druck, Compliance nachzuweisen. Unten die Realität, dass Pflichtschulungen niemanden begeistern.

Abstrakte Anforderungen wie "Sensibilisierung MUSS die Verfahren und Regelungen dokumentieren." helfen wenig. Sie erzeugen Dokumentationspflichten, aber keine Orientierung. Welche Verfahren sind angemessen und wirksam? Welche Regelungen unterstützen die Informationssicherheit wirklich?

Die Folge ist oft stiller Pragmatismus. Ein Standard-E-Learning eingekauft, einmal jährlich verpflichtend, Teilnahme dokumentiert. Nicht weil die Verantwortlichen es nicht besser wüssten, sondern weil ihnen Ressourcen und konkrete Handlungsanleitungen fehlen.

Beide Gruppen verdienen Respekt. Die, die lernen sollen. Die, die das Lernen ermöglichen sollen.

Zwischen einer Anforderung wie "Sensibilisierung für Nutzende SOLLTE zu den Schutzzielen Verfügbarkeit, Vertraulichkeit und Integrität sensibilisieren." und einem funktionierenden Schulungsprogramm liegt ein Ozean.

Ein ISB in einem mittelständischen Unternehmen liest diese Anforderungen. Was weiß er danach? Er weiß, dass er etwas tun soll. Er weiß nicht, welche der vielen Themen wichtig sind. Er weiß nicht, wie oft geschult werden sollte, in welchem Format, wie er verschiedene Zielgruppen erreicht, wie er sicherstellt, dass das Gelernte im Alltag ankommt.

Die abstrakte Anforderung definiert das Was, aber nicht das Wie. Das Rahmenwerk soll Spielraum lassen, jede Organisation muss ihren eigenen Weg finden. Das stimmt. Aber die meisten Organisationen haben weder die Expertise noch die Ressourcen, um von Grund auf ein didaktisch fundiertes Sensibilisierungskonzept zu entwickeln. Sie brauchen Orientierung, nicht nur Freiheit.

Aus fast zwei Jahrzehnten Erfahrung mit Awareness-Programmen habe ich ein paar Dinge gelernt, die ich für ziemlich haltbar halte.

PowerPoint-Vorträge funktionieren selten. Die Behaltensquote nach Frontalpräsentationen ist erschreckend niedrig. Menschen erinnern sich an das, was sie selbst erarbeitet haben. Das Gehirn ist kein USB-Stick, auf den man Wissen kopieren kann. Es ist eher ein Garten, in dem Erkenntnis wachsen muss, mit Geduld, mit Pflege, manchmal mit Umwegen.

Angst funktioniert nicht nachhaltig. Nach einem Vortrag über spektakuläre Hackerangriffe sind die Leute kurz aufgeschreckt. Zwei Wochen später ist alles vergessen. Oder der Glaubenssatz "da sind wir sowieso machtlos“ hat sich verfestigt. Angst und Resignation sind schlechte Gärtner.

Einmalige Schulungen funktionieren nicht. Sicherheitsbewusstsein ist kein Zustand, den man einmal erreicht und dann behält wie einen Führerschein. Es ist eine Kompetenz, die kontinuierlich gepflegt werden muss. Wie Fitness. Niemand erwartet, nach einem Besuch im Fitnessstudio dauerhaft trainiert zu sein.

Was funktioniert: Relevanz und Interaktion. Wiederholung in kleinen Dosen. Menschen müssen verstehen, warum etwas für sie persönlich wichtig ist. Sie müssen aktiv eingebunden werden. Sie brauchen regelmäßige Berührungspunkte mit dem Thema, nicht den jährlichen Pflichtkurs, der im Kalender steht wie ein unangenehmer Zahnarzttermin.

Trotz meiner kritischen Anmerkungen hat der Grundschutz++ im Bereich Sensibilisierung einiges richtig gemacht.

Die Bündelung in einer eigenen Praktik ist ein Fortschritt. Im bisherigen Kompendium waren Sensibilisierungsanforderungen über viele Bausteine verstreut wie Puzzleteile in verschiedenen Schachteln. Jetzt gibt es einen Ort, an dem das Thema systematisch behandelt wird. Die Praktik adressiert verschiedene Zielgruppen und Kontexte, denn Entwickler:innen brauchen anderes Sicherheitswissen als Sachbearbeitende in der Buchhaltung. Die Verknüpfung mit anderen Praktiken ist angelegt. Sensibilisierung steht in Beziehung zu Konfiguration, Betrieb, Incident Management.

Eine Lücke bleibt zwischen dem, was der Grundschutz++ liefert, und dem, was Umsetzende brauchen. Diese Lücke ist systemimmanent. Ein Standard kann nicht alles vorschreiben.

Die Lücke wird gefüllt, ob wir es steuern oder nicht. Im schlechtesten Fall mit E-Learning-Modulen von der Stange und Dokumentation, die beweist, dass etwas aufgeschireben wurde, nicht dass etwas gewirkt hat. Im besseren Fall mit durchdachten Konzepten, die abstrakte Anforderungen in wirksame Maßnahmen übersetzen.

Der Grundschutz++ soll es leichter machen, Aktivitäten nachzuweisen. Schulung durchgeführt? Haken. Teilnahme dokumentiert? Haken. Aber hat jemand etwas gelernt? Hat sich Verhalten geändert? Diese Fragen kann das Framework nicht für uns beantworten. Es kann uns aber daran erinnern, dass wir sie stellen sollten.

Der Grundschutz++ ist ein Werkzeug. Aber ein Werkzeug löst keine Probleme, es ermöglicht Lösungen. Die Arbeit bleibt bei uns.

Die SENS-Praktik gibt uns eine Struktur, an der wir uns orientieren können. Sie skizziert, welche Themen relevant sind, welche Zielgruppen adressiert werden sollten, wie Sensibilisierung in den Gesamtkontext eingebettet sein sollte. Das hat Wert. Aber sie nimmt uns nicht die Aufgabe ab, aus dieser Struktur ein lebendiges Programm zu entwickeln.

Die Automatisierungsversprechen des neuen Formats sind real und sinnvoll für Compliance-Prüfungen, für Tool-Integration, für Dokumentation. Aber Awareness lässt sich nicht automatisieren. Menschen lassen sich nicht programmieren. Wenn wir anfangen, unsere Sicherheitsrichtlinien für KI-Auswertbarkeit zu optimieren statt für menschliches Verstehen, haben wir etwas Wesentliches aus den Augen verloren.

In den nächsten Artikeln dieser Serie werde ich konkreter. Ich werde mir einzelne Anforderungen der SENS-Praktik vornehmen und zeigen, was da steht, was das praktisch bedeutet, und wie daraus Maßnahmen entstehen können, die tatsächlich wirken.

Vielleicht ist das der eigentliche Übersetzungsjob, der vor uns liegt. Nicht von Deutsch nach JSON. Sondern von Anforderung nach Wirksamkeit. Von der Maschine zurück zum Menschen.

Wenn du ähnliche Erfahrungen machst oder ganz andere, schreib mir. Nicht um zu debattieren, wer recht hat, sondern weil wir alle immer weiter lernen müssen, wie das geht: Sicherheit mit Menschen, nicht gegen sie.

Artikel von Carsten Feldhahn
Berater und Trainer für Informationssicherheit
Coach für Informationssicherheits-Profis

Ich freue mich auf persönlichen Austausch via carsten@feldhahn.net
und die Kontaktaufnahme auf LinkedIn.

Meine Artikel entstehen auf Basis meiner Ideen, meiner Erfahrung und meiner fachlichen Einschätzung. Bei der Ausarbeitung und Formulierung der Texte unterstützt mich KI. Die inhaltliche Verantwortung liegt bei mir. Ich bevorzuge wissenschaftlich fundierte Quellen und menschliche Urheber und weise diese im Text aus.

Alle Fotos (bearbeitet) von Brett Jordan via Unsplash.

Abonniere jetzt