Vertrauen ist gut…

Wer zu einer politischen Wahl geht, hat immer zwei Möglichkeiten: Entweder das Kreuz erhält die Partei, der ich vertraue oder die im Vergleich das kleinere Übel darstellt. Langes Grübeln hilft letztendlich auch denen nichts, die als überzeugte Demokraten jede Möglichkeit der Abstimmung mitnehmen: An der Wahlurne ersetzt das kleinere Übel im Notfall das Vertrauen.

Wie halten wir es in der IT? Die Bedrohung ist allgegenwärtig und man versucht alles abzusichern und zu kontrollieren, um eine vertrauenswürdige, eigene Umgebung zu schaffen. Doch viele Attacken, die die Infrastrukturen erschüttern kommen von innen. Nichtsdestotrotz wird der Schutz gegenüber der Außenwelt gerne in den Vordergrund gestellt.

Werfen wir einen Blick auf diverse Zertifikate. Sie werden von Trust-Centern ausgestellt und haben sich zur Aufgabe gemacht, die Kommunikation abzusichern. Haben Sie diese jedoch schon einmal besucht oder kennen Sie eine einzige vertrauenswürdige Person die dort arbeitet?

Gleiches gilt für die alte Wikipedia-Diskussion: Woher will man wissen, ob die Beiträge „echt oder Ente“ sind? Die Diskussion ist nie zu Ende geführt worden und dennoch ist sicherlich nicht nur für mich Wikipedia das wichtigste Nachschlagewerk. Und so geht die Suche weiter durch Zeitungen, wo die Wahrheit auch nicht zwangsläufig gesichert ist – letztendlich wählen wir immer nur das kleinere Übel.

Ich wurde neulich gefragt, ob ich mir vorstellen könne, dass Benutzer einer Kommunikation mehr vertrauen würden, wenn sie aus einer besonderen Top-Level-Domain komme. Das war für mich eine Frage, die mich noch lange beschäftigt hat: Ist eine Verbindung mit .sec oder .trust qualitativ sicherer als mit .de? Wer will das kontrollieren? Sicherlich kann man in einer solchen Top-Level-Domain viele Sicherheitsfunktionen gigantischen Ausmaßes einbauen, aber letztendlich kann keiner die innere Sicherheit überprüfen. Es bleibt bei Selbstverpflichtungen. Vertrauen ist gut, Kontrolle unmöglich.

So verhält es sich auch mit den Public-Cloud-Betreibern: Ob SaaS oder IaaS – es gibt Versprechen, die auf Selbstverpflichtungen beruhen. Wer will sie kontrollieren?

Der pfiffige Einkäufer auf Kundenseite wird jetzt einwerfen: Das lässt sich alles vertraglich regeln, damit gibt es keine Probleme. Dabei ist ein Vertrag doch nur eine gegenseitige Willenserklärung, auch eine Art Selbstverpflichtung. Aber ein Vertrag ist das kleinere Übel gegenüber einer „Leistungsnichterbringung“.

Wer sich in die Datenanalyse begibt, hofft auch, dass alle Daten richtig sind, dass alle Verknüpfungen passen und Formeln stimmen. Letztendlich bleibt hier auch nur das Vertrauen in die Richtigkeit. Es ist wie der alte Spaß: Gehen Sie einmal in die Excel-Tabelle ihres besten Controllers und verändern sie eine Formel. Dann warten sie, wie lange er oder sie braucht, um den „Fehler“ zu bemerken…. Auch das Vertrauen in Excel-Formeln ist nur das kleinere Übel als die Kontrolle.

Die Grenzen des Machbaren und der Vertrauenswürdigkeit sind da, aber das ist noch lange kein Grund, den Kopf in den Sand zu stecken. Die Grenzen verschieben sich und es geht Stück für Stück weiter und mit jedem Schritt etwas sicherer. Bis dahin bleibt uns nur das Vertrauen auf die eigenen Geschäftspartner. Früher wurde das per Handschlag besiegelt auch eine Art von Verbindlichkeit!