Struktureller Inzest als Sicherheitsrisiko im Unternehmen

Die aktuelle Ausgabe der Wirtschaftswoche bringt auf Seite 86 einen Artikel über Karrierechancen in der Krise. Die Kurzzusammenfassung davon: Nein-Sager, Kritiker und „Problem-Mitarbeiter“ werden zügig abgebaut, der leistungswillige, unkritische, das Denken dem Mittelmanagement überlassende Funktionierer hat immer noch beste Chancen im Unternehmen weiterzukommen.

Wäre ich Mitglied einer russischen Hacker-Gang, Kinderporno-Dealer, Wirtschaftsspion oder sonst wie kriminell, würde ich auf diesen Artikel erst mal eine Flasche vom Besten köpfen, was mein Weinkeller hergibt. Krise ist doch toll! Die Geschäftschancen werden von Tag zu Tag besser!

Warum?

Die meisten Unternehmen sind hierarchisch aufgebaut. Sie funktionieren wie Saurier – Masse und Oberfläche von LKW-Format bei Hirnen von Golfballgröße. Schon in guten Zeiten neigen Unternehmen als soziotechnische Systeme zur Fehleranfälligkeit, weil zu wenige Menschen für zu viele andere zu viel zu entscheiden haben. Da aber schon biologisch bedingt kaum ein Mensch auch nur doppelt so intelligent, ausdauernd oder leistungsfähig sein kann als ein anderer, führt das zu „Flaschenhalsproblemen“ bei der Entscheidungsfindung im Unternehmen durch systemische Überlastung der wenigen kompetenten und handlungsbefugten Führungskräfte.

So protzen Manager oft mit hohen Arbeitszeiten, was sich bei genauerem Hinsehen aber als infantile Dummheit erweist. Der Harvard Business Manager berichtete bereits in seiner Dezemberausgabe 2006 über das Phänomen, dass überlange arbeitende Führungskräfte letztlich nicht mehr leisten als Betrunkene, die stark alkoholisiert durch die Vorstandsetagen torkeln. Weil ihnen über längere Zeit aufgebaute Schlafdefizite buchstäblich den Verstand reduzieren. Der Hintergrund so manch desaströser Management-Entscheidung der letzten Jahre wird so erklärbar.

Hinzu kommt aber ein weiteres Problem, dass derzeit durch die Finanzkrise verschärft wird. Firmen neigen dazu Menschen einzustellen, die charakterlich in die Firmenkultur (bzw. das was die Entscheider dafür halten) des einstellenden Unternehmens hineinpassen. Diese Praxis führt mit der Zeit dazu, dass sich immer mehr Menschen mit ähnlichem Stärken-Schwächen-Profil in den entscheidenden Positionen der Firma ansammeln. Eine Art strukturell bedingter Inzest breitet sich im Unternehmen aus und zehrt es durch die Ausdünnung der Vielfalt an Eigenschaften, Biografien und Qualifikationshintergründen langsam aus. Das konnte ich selbst in der tätigen Praxis häufig erleben.

Während daher der Sex mit den eigenen Verwandten in fast allen Kulturen mit Tabus und Verboten belegt ist, um die damit einhergehenden negativen Folgen für das Erbgut der so gezeugten Kinder zu vermeiden, ist personalpolitische Blutschande dagegen gängige Praxis. Und völlig legal.

Wenn jedoch in Krisenzeiten die ohnehin oftmals bereits geschädigte ideelle Vielfalt im Unternehmen mutwillig weiter reduziert wird, bahnen sich zahlreiche zusätzliche Probleme an. Insbesondere in den Bereichen der IT-Sicherheit, des Umgangs mit Risiken und der Compliance. Denn gerade der sorgfältige Umgang mit diesen Themen erfordert ein Mindestmaß an Fachlichkeit und kritischen Denkvermögens, das die oben beschriebenen Funktionierer nicht (mehr) aufweisen, weil es personalpolitisch „herausgemendelt“ wurde. In Unternehmen mit zahlreichen Funktionierern im Mittelmanagement, sind Probleme im Risikomanagement, bei Compliance-Anforderungen oder im Sicherheitsbereich nur eine Zeitfrage. Schon allein weil diese Themen nicht „sexy“ sind. D.h. man kann mit ihnen keine Mehrumsätze und Gewinnsteigerungen erzielen sondern zunächst erzeugt man damit nur Kosten, oft ohne konkret messbaren kurzfristigen Nutzen.

Nicht umsonst hat der Gesetzgeber gerade Datenschutzbeauftragten und Betriebsräten einen besonderen rechtlichen Status verliehen, da absehbar ist, dass sie bei sorgfältiger Erfüllung ihrer Pflichten öfter mal „gegen den Strich bürsten“ müssen.

Gerade Cyber-Kriminelle wissen aus Erfahrung sehr genau, wo die Schwachstellen in den Unternehmen sind. Social Engineering, d.h. die Ausnutzung von persönlichen Schwachstellen durch zwischenmenschliche Beeinflussungen zur unberechtigten Erlangung firmeninterner Informationen, funktioniert am besten in Unternehmen, deren Beschäftigte im Großen und Ganzen ähnlich ticken. Und die grundsätzlich etwas unkritisch, ja-sagend, hierarchiegläubig und denkfaul sind.

Psychologie ist daher für Hacker ebenso wichtig wie tiefgehende Kenntnisse in Betriebsystemen oder Programmiersprachen. Das Gleiche gilt auch für den IT-Sicherheitsbeauftragten, dem „Gegner“ der Eindringlinge und Datendiebe.

Und kluge Personalpolitik kann daher für eine Firma sicherheitstechnisch viel wirkungsvoller sein als eine neue Firewall oder ein besserer Virenscanner.

Für Cyber-Kriminelle ist daher das strukturell inzestuöse Unternehmen ein großer Selbstbedienungsladen. Für sie sind aktuell beste Zeiten, zumal sich illegal erlangte Informationen in Krisenzeiten noch besser und teurer an den Wettbewerb verkaufen lassen, als in konjunkturellen Boomphasen.