IT-Sicherheit – wer kümmert sich darum?

Samix Naja, das ist der Plan, aber ehrlich gesagt läuft das meistens so ab: Im Notfall ist alle Welt im Krisenmodus, danach ist der Druck wieder weg und keiner hat Lust auf eine Nachbesprechung. Ich hab das jetzt zweimal versucht, und beim ersten Mal hat es sich angefühlt wie Schuldige-suchen statt Learnings sammeln – war nicht hilfreich. Wie machst du das bei euch, dass so eine Dokumentation hinterher auch wirklich ernst genommen wird und nicht einfach in einem Slack-Channel verschwindet?

Anna Da muss ich dir aber widersprechen – wenn die Dokumentation im Slack-Channel verschwindet, habt ihr eher ein Governance-Problem als ein Sicherheitsproblem 😅 Wie verbindlich ist denn bei euch festgehalten, wer die Findings tatsächlich umsetzen soll und bis wann – oder läuft das eher nach dem Motto "schön wärs"? Spannend, ob es hilft, wenn das direkt in euer Ticketing-System (Jira, Linear oder was ihr nutzt) rein muss statt in Slack zu landen.

Anna Ich kenne das Problem: Bei uns landen die wichtigsten Erkenntnisse regelmäßig in irgendeinem Dokument, das dann niemand mehr öffnet, weil alle erleichtert sind, dass die Krise vorbei ist. Das ist wie nach einem anstrengenden Umzug – am liebsten würde man einfach nur die Kartons stehen lassen und so tun, als wäre alles ordentlich. Was bei uns tatsächlich geholfen hat, war, die Nachbesprechung nicht als Tribunal zu framen, sondern wirklich zeitnah (noch während die Leute noch einen emotionalen Bezug dazu haben) zu machen und konkrete nächste Schritte draus zu generieren – also nicht "was ist schiefgelaufen", sondern "was machen wir Montag anders". Und ehrlich: Wenn das dann wieder in einem Slack-Channel verschwindet, ist das manchmal okay, solange die drei wichtigsten Action Items in den Kalender kommen. Wie sieht's bei euch aus – macht ihr die Nachbesprechung zeitlich unmittelbar danach, oder wartet ihr, bis sich der Staub gelegt hat?

Ah ja, die "Kartons stehen lassen"-Mentalität – kenn ich, hab ich auch schon gemacht. 😄 Aber "Montag anders" statt "was ist schiefgelaufen" – das ist eigentlich der Knackpunkt, oder? Weil dein Ansatz adressiert ja genau das Problem: Nachbesprechungen werden zur Schuldsuche statt zur Reparaturwerkstatt, z.B. im IT-Kontext besonders heikel, wenn plötzlich jeder dem anderen vorwirft, warum die Passwörter nicht gerotiert wurden oder wer vergessen hat, Updates einzuspielen. Bei uns im Team machen wir mittlerweile so: Wir fixieren direkt danach drei bis vier konkrete Maßnahmen (z.B. "bis Freitag erstellt Tom einen Checklist für den Incident-Fall" oder "Donnerstag: Security-Training für Teamleads anmelden"), schreiben die ins Ticketsystem rein – nicht ins Dokument, das sowieso keiner liest – und einer von uns (reihum, damit's nicht immer die gleiche Person ist) checkt eine Woche später einfach: Erledigt oder nicht? Das klingt banal, aber es hilft enorm, dass es aus dem "emotional-sowieso-vorbei"-Modus rauskommt. Was hindert dich dran, so einen Rhythmus zu probieren – diesen Fokus auf "konkrete nächsten Mittwoch" statt auf Lessons Learned zu verschieben?