"Eintrittswahrscheinlichkeit mal Auswirkung"

Anni Brandt: Willkommen zurück bei Security Dialogues. Ich bin Anni, das ist Folge zwei. Letztes Mal wollte Mira Schwachstellen danach sortieren, wo der Angreifer steht, und Jonas hat ihr das ziemlich gründlich zerlegt. Heute verteidigt sie etwas viel Beliebteres — und viel Schwereres zu verteidigen. Die Risikomatrix. Fünf mal fünf, Eintrittswahrscheinlichkeit mal Auswirkung, farbcodiert, auf jeder zweiten Folie dieser Branche. Diese Woche gab es ein wichtiges Kunden-Meeting, und Mira hat den Kunden direkt zur Entscheidung geführt, sofort zu patchen — auf Basis einer einzigen Zahl neben einem Finding. Keine weitere Diskussion. Nur die Zahl.

— I. Was die Matrix ersetzt hat —

Jonas Weber: Und du, Mira, hast ihnen die Zahl gegeben und zugesehen, wie sie danach entschieden haben. Du warst in dem Meeting. Also bevor du die Matrix im Abstrakten verteidigst — verteidige das.

Mira Novak: Gern. Aber ich will mit dem anfangen, was sie ersetzt hat, weil sich daran keiner mehr erinnert.

Jonas Weber: Los.

Mira Novak: Vor der Matrix hatten wir vier Gruppen mit vier privaten Meinungen darüber, was gefährlich ist, und keine Möglichkeit, diese Meinungen nebeneinanderzulegen. Engineering dachte, die Krypto sei das Problem. Die Juristen dachten, die Aufbewahrungsfrist der Daten sei das Problem. Vertrieb dachte, das Audit-Finding sei das Problem, weil es einen Deal blockiert hat. Der IT-Betrieb dachte, die Downtime durchs Notfall-Patchen sei das Problem. Jeder hatte teilweise recht, und keiner war mit den anderen vergleichbar — also hat am Ende entschieden, wer zuletzt und am lautesten geschrien hat.

Jonas Weber: Und jetzt entscheidet eine Zahl.

Mira Novak: Jetzt entscheidet eine Zahl, auf die sich alle vier einigen mussten. Das ist nicht nichts. Das ist, ehrlich gesagt, das meiste, was ich habe.

— II. Was ist eine Drei? —

Jonas Weber: Dann frag ich mal nach der Zahl. Was ist eine Drei?

Mira Novak: Bei der Eintrittswahrscheinlichkeit: mittel. Möglich, aber nicht zu erwarten.

Jonas Weber: Also ein Wort. Es ist das dritte Wort in einer Liste von fünf Wörtern. Du hast eine Ziffer danebengeschrieben, und die Ziffer hat keine Einheit, keinen Nullpunkt und keinen definierten Abstand zum Wort darüber.

Mira Novak: Sie hat eine Reihenfolge. Drei ist mehr als zwei.

Jonas Weber: Mehr um wie viel?

Mira Novak: Mehr.

Jonas Weber: Dann kannst du damit sortieren. Multiplizieren kannst du damit nicht. Multiplikation setzt voraus, dass der Schritt von zwei auf drei genauso groß ist wie der Schritt von vier auf fünf. Bei dir ist das nicht so, und du kannst mir nicht mal sagen, ob es so ist, weil nie definiert wurde, was die Schritte überhaupt messen. Was du hast, ist ein Ranking, und du rechnest mit einem Ranking, und die Rechnung erzeugt eine Zahl, die aussieht, als wäre sie berechnet worden.

Mira Novak: Sie sortiert konsistent.

Jonas Weber: Sie sortiert reproduzierbar. Ein kaputtes Messgerät ist auch reproduzierbar. Das ist die uninteressanteste Eigenschaft, die eine Messung haben kann.

— III. Wo die Sortierung schiefgeht —

Mira Novak: Gib mir den Schaden. Konkret. Wo genau geht die Sortierung schief?

Jonas Weber: Nimm zwei Zeilen aus deiner eigenen Ausgabe, die beide auf zwölf landen. Die eine ist eine Vier bei der Eintrittswahrscheinlichkeit und eine Drei bei der Auswirkung — passiert die meisten Quartale, kostet ein paar Tage, alle sind genervt. Die andere ist eine Drei und eine Vier — passiert fast nie, und wenn doch, erklärst du es einem Regulator. Deine Matrix packt beide in dieselbe Zelle und sagt dem Business, sie verdienen dieselbe Behandlung.

Mira Novak: Sie verdienen dieselbe Aufmerksamkeit.

Jonas Weber: Sie verdienen gar nichts dergleichen. Das eine ist eine Betriebskosten-Position. Budgetiert sie, und hört auf, sie in diesem Raum zu besprechen. Das andere ist die Frage, ob ihr ein schlechtes Jahr überlebt, und die gehört in ein völlig anderes Gespräch mit völlig anderen Leuten. Und es wird schlimmer, sobald zwei Bereiche mitreden. Eine Schwachstelle in der Zahlungsabwicklung und ein Wasserschaden im Serverraum können beide als Zwölf rauskommen, geschätzt von zwei Leuten mit zwei völlig verschiedenen Vorstellungen davon, was "hoch" überhaupt bedeutet. Deine Matrix behauptet dann, die beiden seien vergleichbar, nur weil dieselbe Zahl draufsteht. Das ist keine gemeinsame Sprache. Das ist eine gemeinsame Illusion.

Mira Novak: …Das gebe ich dir. Nicht die Schlussfolgerung — die Rechnung. Du hast in beidem recht, und das weiß ich seit Jahren.

Jonas Weber: Warum steht sie dann noch auf deinen Folien?

— IV. Die Sitzung muss trotzdem stattfinden —

Mira Novak: Weil mir nie etwas in die Hand gegeben wurde, das die andere Sache leistet, die die Matrix leistet. Die Matrix ist keine Berechnung, Jonas. Sie ist ein Tisch, an den sich Leute setzen müssen. Die Zahl ist die Ausrede für das Meeting. Nimm die Zahl weg, und das Meeting findet nicht statt, und dann sind wir wieder bei: wer am lautesten schreit. Und es gibt noch einen zweiten Grund, der mit dem ersten nichts zu tun hat. Wenn der Prüfer kommt — Audit, ISO 27001, demnächst der Cyber Resilience Act — will er sehen, dass wir überhaupt eine dokumentierte, nachvollziehbare Methodik hatten. Nicht die beste. Eine, die man im Nachhinein prüfen kann. Ohne Zahl und ohne Matrix gibt es nichts, worauf ich zeigen kann, wenn mich jemand fragt, warum wir vor sechs Monaten so entschieden haben.

Jonas Weber: Dann dokumentier die Begründung. Nicht die Zahl.

Mira Novak: Die Begründung ohne Zahl ist ein Fließtext, den keiner vergleichbar macht und den in drei Jahren keiner mehr liest. Die Zahl ist hässlich, aber sie ist durchsuchbar.

Jonas Weber: Also stopp, die Zahl zu melden, und behalt das Meeting.

Mira Novak: Und sag was, am Ende davon?

Jonas Weber: Sag, was du gerade zu mir gesagt hast. Zwei Sätze. Es gibt ein Ding, das die meisten Quartale passiert und uns Tage kostet, und es gibt ein Ding, das fast nie passiert und die Produktlinie beendet. Das trug mehr Information als die Zwölf.

Mira Novak: Stimmt. Es hat auch viermal so lange gedauert, und es standen elf andere Punkte auf der Agenda, und die Person, der ich das erzählt habe, hatte vierzig Minuten für das gesamte Risikoportfolio. Du musstest noch nie eins vorstellen.

Jonas Weber: Nein.

Mira Novak: Gut. Jetzt ich. Woher kommen die Eingabewerte?

Jonas Weber: Schätzungen.

Mira Novak: Von wem?

Jonas Weber: Von uns. Von dir.

Mira Novak: Du hast also zwanzig Minuten lang Präzision bei der Rechnung verlangt und dabei eine Vermutung als Eingabewert akzeptiert. Du hast nicht den schwachen Teil der Matrix angegriffen. Du hast den einen Teil angegriffen, der ehrlich damit war, ungefähr zu sein.

Jonas Weber: Die Multiplikation ist das, was aus der Vermutung etwas macht, das nicht mehr wie eine aussieht.

Mira Novak: Das ist jetzt ein echter Einwand, und er ist ein anderer als der, mit dem du angefangen hast. Erzähl weiter.

Jonas Weber: Wenn du zwei Zahlen multiplizierst, erbt das Produkt die Eigenschaften von beiden. Ist der eine Faktor gemessen und der andere geraten, sieht das Produkt so sicher aus wie die Messung und ist so genau wie die Vermutung. Niemand kann flussabwärts noch sagen, welche Hälfte welche war. Wenn es bei deinem Vorstand ankommt, ist es eine Zwölf, und eine Zwölf erinnert sich nicht mehr, woher sie kam.

Mira Novak: Zustimmung. Vollständig. Jetzt stelle ich dir die Frage, auf die ich das ganze Gespräch über gewartet habe.

Jonas Weber: Frag sie.

— V. Das Kreuzverhör —

Mira Novak: Das Kubernetes-Engagement. Das, bei dem du dich von einem kompromittierten Pod bis zum Cluster-Admin hochgearbeitet hast, über ein zu breit angelegtes Service Account. Als das auf meinem Tisch landete — welche Eintrittswahrscheinlichkeit hätte ich danebenschreiben sollen?

Jonas Weber: Hoch.

Mira Novak: Warum?

Jonas Weber: Weil ich es gemacht habe. Das ist nicht theoretisch. Ich hab die Aufzeichnung.

Mira Novak: Wie lange hast du gebraucht?

Jonas Weber: Neun Tage.

Mira Novak: Womit?

Jonas Weber: Mit dem Scope-Dokument, den Architekturdiagrammen, einem Kontakt, der meine Fragen beantwortet hat, und einer schriftlichen Zusage, dass mich niemand anzeigt.

Mira Novak: Und wie viele Versuche, bis es geklappt hat?

Jonas Weber: …Vier. Drei Sackgassen.

Mira Novak: Und wenn es gar nicht geklappt hätte — hättest du gemeldet, der Cluster sei sicher?

Jonas Weber: Nein. Ich hätte gemeldet, dass ich in der Zeit, die wir hatten, keinen Weg gefunden habe.

Mira Novak: Deine Methode kann also einen Beweis liefern, dass etwas möglich ist, aber keinen Beweis, dass etwas unwahrscheinlich ist. Sie ist von Natur aus asymmetrisch. Das heißt: Wenn du mir "hoch" gibst, sagst du mir nicht, wie oft das in der Welt passiert. Du sagst mir, dass ein gut ausgestatteter, autorisierter, motivierter Profi mit neun Tagen und vier Versuchen einmal durchgekommen ist.

Jonas Weber: Das ist mehr als nichts.

Mira Novak: Das ist weit mehr als nichts. Es ist die beste Evidenz, die ich das ganze Jahr bekomme. Aber sie betrifft eine Achse, und du gibst sie mir, als würde sie beide betreffen.

Jonas Weber: …Sag den Rest. Das hast du dir offensichtlich zurechtgelegt.

Mira Novak: Jeder Fund, den du produzierst, entsteht unter Bedingungen, die dem Best Case des Angreifers ziemlich nahekommen. Du wählst das Ziel, du wählst, wann du aufhörst, und dein Erfolgskriterium ist deins. Genau das macht deine Arbeit wertvoll — du zeigst mir die Obergrenze. Aber eine Obergrenze ist keine Häufigkeit. Ich kann aus deinem Bericht nicht ablesen, ob dieser Weg zweimal im Jahrzehnt begangen wird oder zweimal die Woche, und du auch nicht, weil du nie in der Position warst, zu beobachten, wie oft es überhaupt jemand versucht.

Jonas Weber: Nein. Ich sehe, wer erfolgreich war — und nur, wenn mich jemand dafür bezahlt hat, diese Person zu sein.

Mira Novak: Also bleibt die Eintrittswahrscheinlichkeits-Spalte eine Schätzung. Nicht, weil wir faul sind. Weil keiner von uns beiden instrumentiert ist, es zu wissen.

— VI. Was Jonas nicht aufgibt —

Jonas Weber: Dann hier gebe ich nicht nach.

Mira Novak: Bitte.

Jonas Weber: Die Auswirkungs-Spalte ist keine Schätzung. Nicht für die Findings, die ich dir bringe. Wenn ich einen Pfad gehe, weiß ich genau, was er erreicht, weil ich selbst am anderen Ende gestanden habe. Ich weiß, welche Daten lesbar waren, welche Keys in diesem Namespace lagen, welche Service Accounts wo gemountet waren. Das ist keine Schätzung. Das ist eine Tatsache, und es ist die einzige wirklich bekannte Größe in deiner ganzen Matrix.

Mira Novak: Ist sie.

Jonas Weber: Und du nimmst sie, und du komprimierst sie auf eine einzige Ziffer von eins bis fünf, gewählt von einem Gremium, das den Pfad nie gegangen ist — und dann multiplizierst du meine Tatsache mit deiner Schätzung und meldest das Produkt als eine Zahl. Du hast die Schätzung nicht nur reingewaschen, Mira. Du hast das Einzige zerstört, was da drin irgendjemand tatsächlich wusste.

Mira Novak: …Ja. Das ist die bessere Version deines Einwands, und sie ist schlimmer für mich als die mit der Ordinalskala.

Jonas Weber: Es ist derselbe Einwand. Ich hab nur das richtige Ende davon gefunden.

— VII. Mira bringt es in Ordnung —

Mira Novak: Lass mich es einordnen, weil ich glaube, wir sind woanders gelandet, als wir beide gestartet sind. Die Rechnung ist nicht zu verteidigen, und ich werde sie nicht noch mal verteidigen. Zwei Rankings multipliziert ergeben eine Zahl ohne Einheit, und identische Produkte können Situationen beschreiben, die völlig unterschiedliche Reaktionen von völlig unterschiedlichen Leuten brauchen. Das ist geklärt. Aber der Einwand, von dem ich dachte, dass Jonas ihn macht — dass die Matrix ungenau sei — war der schwache, weil wir beide dabei waren, sie durch etwas zu ersetzen, das aus denselben Schätzungen gebaut ist. Der eigentliche Einwand betrifft das, was die Multiplikation mit den Eingaben macht. Ein Faktor ist bekannt. Der andere nicht. Multiplizierst du sie, sieht das Produkt so sicher aus wie die bekannte Hälfte und ist so genau wie die geschätzte — und wenn es bei denen ankommt, die das Geld verteilen, kann niemand mehr sagen, welche Hälfte welche war. Nennen wir es geliehene Gewissheit. Die Schätzung leiht sich das Vertrauen der Messung, und die Messung wird bei diesem Tausch zerstört. Das sagt uns, was wir anders machen müssen, und es ist keine bessere Formel. Es ist, die beiden nicht mehr zu kombinieren. Meldet, was bekannt ist, als bekannt: dieser Pfad wurde gegangen, das hat er erreicht, das bestätigt diese Person. Meldet die Häufigkeit getrennt, als Annahme, in Worten, mit einem Namen daran — weil jemand diese Zahl gewählt hat, und diese Person sollte in sechs Monaten noch auffindbar sein. Zwei Zeilen statt einer. Und was ich aufgeben muss, ist die sortierte Liste, die der einzige Grund war, warum ich die Zahl je wollte. Jonas, sie gehört dir. Du warst heute Abend zuerst falsch.

— VIII. Jonas schließt —

Jonas Weber: War ich, und ich will genau sagen, wie, weil das nicht der Teil ist, der offensichtlich sein wird. Ich bin mit der Mathematik reingegangen, und die Mathematik war richtig. Das hat es bequem gemacht. Was ich mir nicht angeschaut habe, war mein eigener Beitrag zu der Sache, die ich angegriffen habe. In jedem Bericht, den ich je geschrieben habe, steht irgendwo "hoch", und ich hatte nie die Grundlage, das zu sagen. Ich weiß nicht, wie oft irgendetwas passiert. Ich habe nie ein System beobachtet, für dessen Aufbrechen mich niemand bezahlt hat. Ich sehe die Versuche, die geklappt haben, ausgeführt vom bestausgestatteten Angreifer, den diese Organisation je erleben wird — das war ich —, und der vier Versuche haben durfte. Das ist ein Beweis für möglich. Ich habe es die ganze Zeit als wahrscheinlich etikettiert weitergegeben und mich dann beschwert, was flussabwärts damit gemacht wurde. Also nehme ich die Korrektur, und ich nehme die Anweisung, die dazugehört. Die Eintrittswahrscheinlichkeits-Spalte gehört nicht mir, und ich sollte aufhören, sie auszufüllen. Die Auswirkungs-Spalte gehört mir, vollständig, und ich habe zugelassen, dass sie auf eine Ziffer komprimiert wird, ohne zu widersprechen — das war der schwerere der beiden Fehler. Und Mira — du solltest aufhören, das Produkt zu melden. Nicht, weil ich das Argument mit der Ordinalskala gewonnen habe. Weil in der Zahl, die du meldest, meine einzige Tatsache steckt, und die sieht da drin keiner mehr.

— Outro —

Anni Brandt: Geliehene Gewissheit. Die nehme ich mit — eine Schätzung und eine Messung gehen in die Multiplikation, und raus kommt etwas mit der Sicherheit der einen und der Genauigkeit der anderen. Ich werde in der nächsten Planungsrunde, in die man mich lässt, ziemlich unausstehlich damit sein. Mira, Jonas — danke euch. Das ist jetzt zum zweiten Mal, dass die Person, die richtig reinkam, mit Hausaufgaben rausgegangen ist. Wenn ihr irgendwo eine Risikomatrix auf einer Folie habt und sie jetzt anders anschaut — schreibt uns. Wir lesen alles. Abonniert, wo immer ihr das hier hört, und lasst uns eine Bewertung da, wenn sich das Argument für euren Arbeitsweg gelohnt hat. Nächstes Mal bringen wir jemand Neues mit, weil das Thema ohne sie nicht funktioniert. Nora leitet eine Produktlinie, die Hardware mit Software drinnen ist, und sie erklärt den beiden hier, warum einen Fix ausliefern und einen Fix installiert haben zwei völlig verschiedene Ereignisse sind — und warum bei dem einen manchmal ein Lieferwagen involviert ist. Bis dahin.