Warum belastbare Sicherheitsentscheidungen eine wissenschaftliche Basis brauchen — und was hier kommen wird

Der Satz, der mich nicht mehr losgelassen hat

Es gibt einen Satz, den man in fast jeder Sicherheitsorganisation hört, meist in ruhigem, selbstsicherem Ton: „Das haben wir immer so gemacht, und es ist nie etwas passiert.“

Er klingt nach Erfahrung. Nach Bodenhaftung. Nach gesundem Menschenverstand.

Er ist eine Stichprobe der Größe eins, hochgerechnet auf die Ewigkeit.

Dass in der Vergangenheit nichts passiert ist, kann bedeuten, dass die Kontrolle wirkt. Es kann aber genauso bedeuten, dass man Glück hatte, dass der Angreifer nicht genau hinsah, oder dass der Schaden noch nicht sichtbar geworden ist. Aus „bisher gutgegangen“ folgt nicht „wird gutgehen“. Jedenfalls nicht ohne ein Argument, das über die bloße Beobachtung oder Behauptung hinausgeht.

Ich sage das nicht von ungefähr. Ich habe jahrelang Risikobewertungen abgegeben, die genau auf diesem Fundament gestanden sind.

Ein Geständnis

Meine Bewertungen sahen gut aus – alle. Sie waren vollständig, sauber strukturiert, jede Domäne wurde bedient. Ein Dokument, das man mit gutem Gewissen vorlegen konnte, ohne rot zu werden.

Hätte damals allerdings jemand nachgebohrt: „Woher wissen Sie das eigentlich?“, ich hätte „Erfahrung“ gesagt und gehofft, dass er es dabei belässt.

Erfahrung ist ein guter Startpunkt. In einem Bayes’schen Sinn ist sie sogar unverzichtbar: Sie ist der beste Startpunkt, den wir haben, bevor wir konkrete Daten sehen. Aber ein Prior ist kein Beleg. Er ist eine Vermutung mit ihrer Vorgeschichte. Und eine Sicherheitsentscheidung, die nie  mit etwas Prüfbarem konfrontiert werden kann, ist dann nur eine Vermutung im Sonntagsanzug.

Diese Erkenntnis war unbequem. Aber sie war auch der Anfang von etwas Großartigem. Denn die Frage „woher wissen wir das?“ ist nicht nur rein rhetorisch sondern sie ist korrekt und eindeutig beantwortbar. Für erstaunlich viele Sicherheitsfragen gibt es nämlich eine belastbare und herleitbare Antwort. Man muss sie nur suchen, statt sie nur zu fühlen.

Die Verwechslung, die in Allem steckt

Bevor ich zu den Antworten komme, lohnt sich der genaue Blick auf das Problem. Denn es ist kein Einzelfall, kein Versehen. Es ist strukturell.

Unser Fach verwechselt systematisch Vollständigkeit mit Tiefe.

Wir haben Frameworks, die alles abdecken. Kontrollkataloge, die keine Lücken lassen. Reifegradmodelle mit sauber ausdifferenzierten Achsen. Auditberichte, in denen jede Domäne bedient wird. Die Oberfläche ist also lückenlos und darunter? Hier stehen dann die Entscheidungen erschreckend oft auf dem absoluten Nichts.

Ein Risiko wird „hoch“ genannt, weil es sich für uns hoch anfühlt. Ein Budget wird genau so verteilt, weil es im Vorjahr auch genauso verteilt wurde. Eine Ampel steht auf Grün, weil jemand ein Häkchen gesetzt hat. Nicht, weil jemand etwas gemessen hätte, oder ob die Kontrolle unter Last nachweißlich Stand gehalten hat.

Das ist keine Schlamperei. Es ist ein struktureller Grund: Vollständigkeit lässt sich prüfen, Tiefe nicht. Ein Auditor kann abhaken, ob eine Domäne adressiert ist. Er kann aber schwer prüfen, ob die Zahlen dahinter etwas bedeuten oder nicht. Also optimieren wir alle, ganz rational, auf das, was geprüft wird. So bleibt aber die Tiefe reines Privatvergnügen.

Doch Breite ohne Tiefe ist eine leere Hülle. Sie sieht aus wie eine solide Kugel und ist dennoch ist sie nur eine Hülle aus Papier.

Vier Blicke in den Maschinenraum

Am besten zeige ich, was ich damit meine, an ein paar konkreten Fragen, die bewusst aus verschiedenen Ecken der Sicherheit herkommen. Damit soll klar werden, dass es sich nicht um ein Nischenthema handelt, sondern um ein grundlegendes Prinzip. Keine dieser Antworten wird hier eine Formel brauchen. Aber jede einzelne ersetzt ein Bauchgefühl durch etwas, das einer Nachfrage belastbare Argumenten entgegenhält.

Erstens: Welches System trägt den ganzen Schaden?

Die intuitive Antwort lautet: das teuerste. Der teure Server, die kritische Datenbank, das System mit dem größten Wert.

Die richtige Antwort ist oft eine andere. Ein Netz, als Graph betrachtet, macht sie deutlich sichtbar. Denn Schaden breitet sich nicht nach Wert aus, sondern nach Erreichbarkeit. Manchmal ist der wichtigste Punkt im Netz ein unscheinbarer Zwischenknoten, durch den fast alle Wege führen. Fällt dieser, dann zerfällt das ganze Netz in isolierte Inseln. Oder aus der Sicht des Angreifers: Nun ist von ihm aus alles erreichbar.

Diese Engstelle lässt sich nicht erfühlen. Aber sie lässt sich berechnen. Der Begriff, der den kleinste Schnitt definiert, der ein Netzwerk zerlegt, ist über hundert Jahre alt und stammt aus der Graphentheorie. Er sagt dir präzise, welcher einzelne Knoten den ganzen Informationsfluss trägt. Wer seine Verteidigung genau an dieser Engstelle konzentriert, statt sie über alle möglichen Systeme gleichmäßig zu verteilen, bekommt für dasselbe Geld ein Vielfaches an Wirkung heraus. Nicht, weil es sich gut anfühlt sondern weil die Struktur des Netzes es uns so diktiert hat.

Zweitens: Wo stellt man den Köder auf?

Deception: das gezielte Auslegen von Ködern, von Honeypots. Das ist eine alte und bewährte Idee. Die naheliegende Frage lautet dann: Wie viele brauche ich, und wo platziere ich sie?

Der erste Reflex sagt: Stell den Köder dorthin, wo die meisten Angriffe vorbeikommen. Auf den zentralen Knoten, durch den die meisten Wege führen. Das klingt erstmal optimal.

Es ist aber die schlechteste Wahl, die man treffen kann.

Denn anders als eine Naturgewalt denkt ein rationaler Angreifer mit. Weiß er, oder vermutet er nur, dass ausgerechnet dieser prominente Knoten dein Köder für ihn ist, dann nimmt er einen anderen Weg, den, der daran vorbeiführt. Deine Erkennungswahrscheinlichkeit fällt damit auf null. Der deterministisch beste Platz ist gegen einen mitdenkenden Gegner allerdings der schlechteste.

Hier hilft uns kein Bauchgefühl mehr, sondern eine Theorie, die genau für solche Situationen gebaut wurde: die Spieltheorie. Sie behandelt die optimale Platzierung als das, was sie tatsächlich ist: Ein Spiel zwischen zwei rationale Parteien, die beide in Strategien vorausdenken. Und ihre Antwort ist unbequem und elegant zugleich: Platziere den einen Köder nicht fest, sondern unvorhersagbar. Dann gibt es keinen sicheren Weg mehr, auch nicht den, den der Angreifer zum Ausweichen wählen könnte. Man braucht nicht viele Köder. Man braucht wenige an den richtigen Stellen und nach den richtigen Wahrscheinlichkeiten platziert. Welche Wahrscheinlichkeiten das sind, sagt einem nicht das Gefühl sondern das sagt einem eine Berechnung.

Zwei völlig verschiedene Zugänge: Der Graph für die Struktur, das Spiel für den Angreifer. Und beide führen weg von der Idee: „das setzen wir mal hierhin“ zu der Strategie einer begründbaren Position.

Drittens: Ab welchem Euro wird Schutz zu Verschwendung?

Jeder, der ein Sicherheitsbudget verantwortet, kennt es: Man könnte immer noch mehr tun. Noch ein Tool, noch eine Kontrolle, noch eine Schicht. Wo höre ich auf?

Auch das ist keine Gefühlsfrage. Sicherheit hat einen abnehmenden Grenznutzen. Der erste Euro in eine Verteidigung wirkt sehr stark; der zehnte schon weniger; der hundertste kaum noch. Die Kurve flacht immer mehr ab und irgendwann kostet zusätzlicher Schutz mehr, als er an Schaden verhindern kann.

Der bemerkenswerte Teil dabei ist: Dieser Punkt lässt sich konkret bestimmen. Es gibt dazu ein ökonomisches Modell. Es trägt die Namen zweier Forscher, die es bereits vor über zwanzig Jahren aufgestellt haben. Es zeigt: Es lohnt sich in aller Regel nicht, mehr als etwa ein Drittel des erwarteten Schadens in dessen Vermeidung zu investieren. Genauer gesagt: in etwa 37 Prozent, ein Wert, der sich aus der Mathematik des Modells ergibt und nicht aus einer Faustregel stammt.

Man muss dieses Modell nicht für bare Münze nehmen, denn jedes Modell hat seine Annahmen, und diese haben wiederum ihre. Aber es verschiebt das Gespräch von „mehr ist besser“, hin zu, „ab hier verbrennen wir nur mehr Geld“. Und es gibt einem ein Argument in die Hand, das über „mein Gefühl sagt mir, jetzt ist es genug“ hinausgeht. Das gilt auch für beide Richtungen: Es rechtfertigt Ausgaben ebenso, wie es sie schlussendlich begrenzt.

Viertens: Was heißt eigentlich „hohes Risiko“?

Das ist die Königsfrage, und sie steckt in fast jeder Sicherheitsdiskussion.

Wir sagen „hohes Risiko“, „mittleres Risiko“, malen uns Ampeln, befüllen Heatmaps. Aber „hoch“ ist kein Maß. Es ist ein Etikett, und zwei Menschen meinen damit selten dasselbe.

Ein Risiko ist in Wahrheit keine Farbe und keine Zahl. Es ist eine Verteilung. Sie ist ein ganzes Spektrum von möglichen Verlusten, jeder mit seiner eigenen Wahrscheinlichkeit. Sobald man es aber so betrachtet, passieren unbequeme Dinge mit unserer Intuition.

Zum Beispiel dieses: Der Durchschnittsschaden ist bei vielen realen Risiken ein Wert, der praktisch nie eintritt. Er liegt in der Lücke zwischen „meistens passiert wenig“ und „selten passiert eine Katastrophe“. Und damit genau dort, wo die Realität nur sehr selten landet. Wer mit dem Durchschnitt plant, plant für einen Fall, den es so fast nicht gibt. Und bei manchen Risiken, den wirklich gefährlichen, mit schweren Auswirkungen, ist der Durchschnitt sogar total bedeutungslos, weil ein einziges dieser extremen Ereignisse jede Mittelung dominieren wird.

Die Disziplin, die daraus eine belastbare Entscheidung macht, heißt: Risikoquantifizierung. Sie ersetzt die Ampel nicht durch eine noch präzisere Ampel, sondern durch etwas grundlegend anderes: durch eine Aussage der Form „mit welcher Wahrscheinlichkeit übersteigt unser Verlust welche Summe?“. Das ist eine Frage, über die man streiten kann, die man prüfen kann, die man gegen die Realität halten kann. Mit „Rot“ kann man das alles nicht. Sie wird immer eine Farbe einer Behauptung sein.

Der rote Faden

Vier Fragen, vier Ecken der Sicherheit: Struktur, Gegner, Ökonomie, Unsicherheit. Und jedes Mal derselbe Übergang: von einem Gefühl, das sich nicht verteidigen lässt, zu einer Herleitung, die man argumentieren kann und die auch angreifbar ist.

Das ist der ganz einfache Gedanke hinter 4π-secure. Der Name bedeutet den vollen Raumwinkel im Blick zu haben und das von allen Seiten. Aber eine vollkommen Rundumsicht allein ist nur eine Oberfläche. Erst die Tiefe, der Radius, macht daraus ein vollkommenes Volumen und lässt somit eine stabile Kugel entstehen. Dieser Radius hat einen eindeutigen Namen: Es ist die wissenschaftliche Methode, die dahintersteht. Man leitet etwas logisch deduktiv her. Man misst es. Man sagt auch dazu, wie sicher man sich dabei ist.

In meiner Arbeit ist Mathematik deshalb kein Selbstzweck und kein Aushängeschild. Sie ist für mich eine Hilfswissenschaft, ein Werkzeug, das im Maschinenraum für mich arbeitet. Du musst keine Formeln lesen, um eine gute Entscheidung treffen zu können. Die Rechnung bleibt unter Deck. Was oben ankommt, ist nur ihre Wirkung: dass die Aussage trägt, wenn jemand an ihr rüttelt.

Maschinenraum ist nicht Black Box

Hier liegt allerdings eine Falle, und sie ist mir wichtig genug, sie beim Namen zu nennen. Maschinenraum darf keine Black Box sein.

Wer die Rechnung wegsperrt und dann nur das Ergebnis verkündet, macht sich unentbehrlich und dafür den anderen abhängig. Das ist die klassische Beraterökonomie. Ein hervorragendes Geschäftsmodell aber ein miserables Handwerk.

Bei mir liegt der Unterschied darin, was ich im Maschinenraum lasse. Ich verstecke die Formel nicht und auch nicht die Herleitung. Du musst die Rechnung nicht selbst durchführen können. Aber, du wirst in die Lage versetzt sie nachzuvollziehen, zu verstehen worauf sie beruht, und wie du sie angreifen kannst. Ein Ergebnis, das man nicht hinterfragen kann, ist wertlos, egal wie richtig es auch ist.

Deshalb steht unter der Hauptlinie eine zweite: Coach. Mentor. Enabler. Das ist kein Beiwerk, sondern die Konsequenz aus allem Vorherigen. Tiefe hat nur dann einen echten Sinn, wenn sie weitergegeben wird. Wenn am Ende des Tages dein Team besser entscheidet und nicht, weil ich es besser erklärt habe. Für mich ist Erfolg nicht, unentbehrlich zu sein. Für mich ist Erfolg, tatsächlich überflüssig zu werden.

Warum das eine Einladung ist und kein Vortrag

Jetzt kommt der Teil, der mir am meisten am Herzen liegt.

Nichts von dem, was ich hier vertrete, ist über jeden Zweifel erhaben. Das ist kein Eingeständnis, das ich widerwillig mache sondern es trifft den Kern der Sache.

Man muss zwei Arten von Wissen(schafft) unterscheiden. Das eine ist empirisch: Aussagen über die Welt, gestützt auf Daten und Beobachtung. Dieses Wissen ist immer vorläufig. Es kann durch bessere Daten stets widerlegt werden. Das ist keine Schwäche, sondern das ist der Motor des ganzen Unterfangens. Eine empirische Aussage, die sich unter keinen Umständen revidieren ließe, wäre kein Wissen, sondern ein Dogma. Wissenschaft irrt sich und korrigiert sich. Genau darin liegt ihre große Stärke.

Das andere ist deduktiv: Was aus klaren Annahmen korrekt hergeleitet wurde, bleibt hergeleitet und gilt in dieser Form auch noch in tausend Jahren. Der Satz von Pythagoras ist nur ein Beispiel dafür. Aber diese Sicherheit ist bedingt. Die Herleitung garantiert die Schlussfolgerung, aber sie garantiert nie die Korrektheit der Annahmen. Und in den Annahmen stecken in der Sicherheit fast immer die wirklich interessanten Fragen.

Beides zusammen führt mich zu Haltung: Widerspruch ist willkommen. Das ist keine Höflichkeitsfloskel. Der Wert einer sauber gemachten Aussage ist nicht, dass niemand sie angreifen kann sondern, dass jeder sie an einer präzisen Stelle ganz exakt angreifen kann. Aus der Behauptung „ich sehe das anders“ wird „ich bestreite diese konkrete Annahme“. Die Diskussion bekommt eine konkrete Adresse, und wird damit produktiv und nicht destruktiv.

Ich werde mich sicherlich immer wieder einmal irren. Irgendwo in dem, was hier kommen wird, steckt eine Herleitung, die so nicht hält, eine Annahme, die zu grob getroffen wurde, eine Analogie, die hinkt. Wenn du sie findest: Bitte sag es. Die Dialektik ist der einzige Mechanismus, den wir alle haben, um wirklich besser zu werden.

Was hier kommen wird

Dieser Ort ist der Versuch, all das öffentlich zu tun.

Ich werde hier Themen aufmachen, die ich schon angerissen habe und viele weitere mehr. Graphen, die zeigen, wo ein Netz wirklich verwundbar ist. Spiele, in denen der klügere Zug nicht der offensichtlichere ist. Verteilungen, die erklären, warum unsere Intuition bei seltenen, schweren Ereignissen so zuverlässig versagt. Quantifizierung, die aus „hoch/mittel/niedrig“ eine Aussage macht, mit der man arbeiten kann. Ich werde meine eigenen Frameworks, in Scheiben zerlegt präsentieren und nicht als Offenbarung darstellen. Denn ein Framework, das man in einem einzigen Beitrag versteht, ist keines. Und Klartext sprechen dort, wo ich es für nötig halte: über Compliance, die zum Theater wird, über Reifegrade, die Reife nur simulieren.

Gelegentlich wird auch eine Brücke zum Sport dabei sein. Ich bin Freizeit-Duathlet, und die Parallelen drängen sich mir auf: Der Wechsel vom Rad zum Laufen ist eine Engstelle wie jede andere auch. Ein Leistungstest, den man nicht beschummeln kann, ist dasselbe wie eine Cyber-Übung, die man nicht beschummeln kann. Dieselbe Methodik in einem anderen Gewand.

Das alles wird nicht ohne Formeln auskommen und manschal sehr in die Tiefe gehen. Mit Bildern und Gleichungen sollen die Herleitungen nachvollziehbar werden, ohne sie selbst vollständig durchrechnen zu müssen.

Denn am Ende geht es um eine einzige Frage. Sie ist die unbequemste und die fruchtbarste zugleich:

Woher wissen wir das eigentlich?