Der Test ist simpel. Können Sie einem neuen Mitarbeiter in dreißig Minuten erklären wie Ihr Sicherheitssystem funktioniert?

Es gibt eine Form von Sicherheit die sich wie Sicherheit anfühlt und keine ist.

Viele Schichten. Viele Prozesse. Viele Verantwortliche. Das klingt nach Gründlichkeit. Nach einem System das nichts dem Zufall überlässt. Nach einem Unternehmen das seine Hausaufgaben gemacht hat.

Ich nenne das Sicherheit durch Komplexität. Und sie ist gefährlicher als das was sie vorzutäuschen versucht.

Der Mechanismus entsteht meistens durch Addition. Eine neue regulatorische Anforderung kommt. Eine neue Schicht wird hinzugefügt. Eine neue Zuständigkeit wird definiert. Ein neuer Prozess wird dokumentiert. Das passiert Jahr für Jahr. Jede Entscheidung war für sich betrachtet vernünftig. Das Ergebnis nach fünf Jahren ist ein System das niemand mehr vollständig überblickt.

Die Verantwortlichen kennen ihre eigene Schicht. Das Zusammenspiel kennt niemand. Und genau dort entstehen die Lücken.

Wer ein System angreifen will sucht nicht die Schichten die gut geschützt sind. Er sucht die Übergänge zwischen ihnen. Die Schnittstellen die niemand genau zugeordnet hat. Die Zuständigkeiten die im Graubereich zwischen zwei Abteilungen liegen. Die Prozesse die dokumentiert aber nie getestet wurden. Komplexität erzeugt diese Lücken zuverlässig – weil kein Mensch ein System schützen kann das er nicht versteht.

Das ist keine Kritik an denen die das System gebaut haben. Es ist eine strukturelle Konsequenz von Wachstum ohne Vereinfachung.

Echte Sicherheit entsteht durch Klarheit. Wer ist für welches System verantwortlich – konkret und namentlich. Wer hat Zugang zu welchen Daten – und warum. Wer merkt wenn etwas nicht stimmt – und über welchen Weg wird es gemeldet. Diese Fragen haben in einem komplexen System meistens keine klare Antwort. In einem einfachen schon.

Der Test ist simpel. Können Sie einem neuen Mitarbeiter in dreißig Minuten erklären wie Ihr Sicherheitssystem funktioniert – wer was schützt wer was darf und wer was merkt wenn etwas schiefgeht?

Wenn nicht ist das System vielleicht komplex. Aber es ist nicht sicher.

Wenn Sie mehr zum Thema Unternehmer-Resilienz wissen möchten – kurze DM genügt.