Sicherheit – ein Megatrend

Objektiv betrachtet, nähern wir uns der Vision einer Super-Safe-Society an: Was die Fakten anbelangt, leben wir in der sichersten aller Zeiten. Safety beschreibt die Sicherheit von Betriebssystemen, dazu zählt zum Beispiel, dass Produkte oder Abläufe in Fabriken sicher sind und regelmäßig kontrolliert werden. Diese „Sicherheit von innen heraus“ hat sich längst zum Standard entwickelt. Security dagegen beschreibt den aktiv erzeugten Schutz vor äußeren Einflüssen, etwa Ausweiskontrollen an Flughäfen oder Wachdienste für Gebäude: Wenn erzeugte Sicherheit sichtbar ist, kann das auch für ein erhöhtes Gefühl von Gefahr sorgen. 

Hier zeigen sich die zwei Seiten von Sicherheit: Auf der einen Seite steht das Verständnis des Geschütztseins nach rechtlicher Definition, zum Beispiel das Recht auf den Schutz der Privatsphäre. Auf der anderen Seite steht Sicherheit als menschliches Grundbedürfnis – geborgen sein und frei von Ängsten. Sicherheit ist also Wunsch nach Kontrolle und nach Freiheit zugleich und erzeugt damit Spannung zwischen zwei gegensätzlichen Polen. Von der absoluten Sicherheit, die berechenbar ist, müssen wir uns in einer komplexen und vernetzten Welt verabschieden. Der Handlungsbedarf wird künftig nicht geringer, er verändert sich – zum Teil gewaltig.

Von der Risikogesellschaft zu einer neuen Sicherheitskultur

Zur grundsätzlichen Spannung zwischen Kontrollwunsch und Freiheitsanspruch kommt das Management weiterer Gegensatzpaare: Stabilität und Agilität sowie Sicherheit und Risiko bilden eine gemeinsame Herausforderung – eine Ambivalenz, der sich Unternehmen und Organisationen stellen müssen. Um diese anpassungsfähige und störungsaffine Sicherheit zu erzeugen, benötigen wir in Zukunft neue Standards und Managementsysteme, aber auch eine neue Risikokompetenz und Sicherheitskultur. Sicherheit wird künftig immer weniger Aufgabe des Staates sein, der traditionellerweise Schutz für seine Bürger gewährleistet, sondern liegt in der Hand von Unternehmen und jedem einzelnen Menschen. Diese Verschiebung der Verantwortung erfordert neue Kompetenzen. Aber es sind auch mehr Instanzen vorhanden, die für mehr und neue Formen von Sicherheit sorgen. Die Welt wird dadurch an Sicherheit gewinnen.

Flexicurity: Sicherheit trifft auf Flexibilität

Der Trend, dass Flexibilität und Sicherheit künftig keine Gegensätze mehr sind, sondern Hand in Hand gehen, lässt sich mit einem Wort beschreiben: Flexicurity. Sicherheit wird vorausgesetzt, entwickelt sich zum Standard – doch gleichzeitig darf sie nicht als störend und starr empfunden werden. Als Individuen wollen wir nicht in unserer Freiheit eingeschränkt werden. Sicherheit muss deshalb flexibel, “seamless” und unsichtbar gestaltet sein.

Eine wichtige Rolle spielt Flexicurity in der Arbeitswelt: Mitarbeiter wollen flexibel arbeiten, eine Überall-Erreichbarkeit wird auch von vielen Unternehmen vorausgesetzt. Die Folge: Geschäftliche E-Mails werden auf privaten Devices abgerufen, Telefonate von privaten Handys geführt, Arbeits-Laptops in den Urlaub mitgenommen. Laut einer Umfrage des deutschen IT- und Telekom-Branchenverbands Bitkom sind knapp die Hälfte der Berufstätigen in Deutschland auch im Urlaub per E-Mail für ihren Arbeitgeber erreichbar. Dies sind die Auswirkungen einer immer weiter voranschreitenden Verschmelzung von Arbeit und Freizeit – mit sicherheitstechnisch gravierenden Folgen. Ein bekanntes Beispiel ist der „Spähangriff auf das Kanzleramt“: Eine Kanzleramtsmitarbeiterin hatte einen privaten USB-Stick verwendet, um eine Datei abzuspeichern. Als sie den USB-Stick an ihren Dienstcomputer anschließen wollte, schlug das Antivirenprogramm Alarm. Die Entdeckung: ein aufwendig programmierter Trojaner.

Eine wichtige Rolle für die Unternehmenssicherheit spielt der Risikofaktor Mensch. „Oftmals sind eigene oder ehemalige Mitarbeiter das Einfallstor”, sagt Marc Bachmann, Bereichsleiter Öffentliche Sicherheit und Verteidigung Bitkom. “Dies kann aus Unvorsichtigkeit, aber auch aus Mutwilligkeit passieren.” Auch die Bitkom-Studie „Spionage, Sabotage und Datendiebstahl – Wirtschaftsschutz im digitalen Zeitalter” belegt: Mehr als die Hälfte der von Cyberkriminalität betroffenen Unternehmen gibt diesen Personenkreis als Täter an.

Antifragilität – Sicherheitsfaktor für Unternehmen

Mit Risiken und Fehlentscheidungen zu leben und aus ihnen zu lernen, gilt heute als großes Credo, das alle Lebensbereiche betrifft. Mit dem Schlagwort Resilienz wird die Widerstandsfähigkeit gegen Rückschläge beschrieben. Diese Widerstandsfähigkeit entsteht aus Flexibilität und Adaptivität. Ein resilientes System kann mit unterschiedlichen Formen von Handlungsherausforderungen umgehen und ist zu variabler Neuorganisation fähig. Es kann in akuten Krisen schnell reagieren – Task-Forces ausbilden, Entscheidungen treffen, Kommandoposten besetzen.

Unternehmen in Deutschland verfügen zwar über einen guten technischen Basisschutz vor Cyberangriffen, etwa Passwortschutz auf allen Geräten, Firewalls und Virenscanner. Speziellere Sicherheitsmaßnahmen kommen dagegen nur bei einer Minderheit zum Einsatz – etwa ein verschlüsselter E-Mail-Verkehr (40 Prozent) oder erweiterte Verfahren zur Benutzeridentifikation wie die Zwei-Faktor-Authentifizierung (25 Prozent). Deshalb stellt die Bitkom Unternehmen in Deutschland in Sachen Resilienz kein gutes Zeugnis aus. Hinzu kommt: Weniger als der Hälfte der Unternehmen verfügt über ein Notfallmanagement, um schnell auf Schäden zu reagieren, die durch Wirtschaftsspionage, Sabotage oder Datendiebstahl entstanden sind.

Allerdings sind Notfallpläne auch nur ein Versuch, Risiken zu berechnen und vorherzusagen – und genau dies macht eine Organisation fragil. Durch Kontrolle und Planung Sicherheit herstellen zu wollen, folgt einem absoluten, starren Sicherheitsverständnis. Wir brauchen aber zunehmend flexiblere, adaptivere Kompetenzen, um mit Fehlern, Störungen, Angriffen oder Ausfällen konstruktiv umgehen zu können. Eine solche “Störungsfreundlichkeit” kann sogar zu mehr Belastbarkeit und Stabilität führen – ein Phänomen, das der Statistik- und Zufallsforscher Nassim Nicholas Taleb als Antifragilität bezeichnet. Störungsaffine Systeme begrüßen Kritik und Unsicherheit. Sie sind zukunftssicher – gerade weil sie im mechanischen Sinne nicht „sicher“ sind.

Um eine umfangreiche Sicherheitskultur zu etablieren, müssen Mitarbeiter proaktiv einbezogen werden. In antifragilen Organisationen wird aus dem Risikofaktor Mensch der Sicherheitsfaktor Mensch. Umgesetzt werden kann eine solche Kultur nicht nur durch regelmäßige Schulungen. Entscheidend ist vor allem ein verantwortungsbewusster Umgang mit Zugangs- und externen Daten– sowohl im Unternehmen selbst als auch im öffentlichen Raum, etwa beim Telefonieren oder beim Schreiben von E-Mails auf Geschäftsreisen.

Sicherheit als Prozess

Sicherheit wandelt sich in der Netzgesellschaft von einer politischen zu einer unternehmerischen und individuellen Aufgabe. Sie wird zu einem Prozess, der permanent aktiv erzeugt werden muss. Das bedeutet künftig auch, Disruptionen als Chancen zu begreifen. Flexicurity beschreibt diese Verknüpfung von Flexibilität und Sicherheit. Nur antifragile Systeme, die aus Risiken und Fehlern lernen können und aus Krisen gestärkt hervorgehen, sind zukunftssicher.