Das Phänomen ist paradox: Sicherheitsprofis, die beim Umgang mit technischen Daten höchste Standards anlegen, lassen diese Standards fallen, sobald es um menschliche Faktoren geht. Die Gründe sind vielfältig, wurzeln aber oft in grundlegenden zwischenmenschlichen Verhaltensmustern.
Goldfarb, der langjährige Erfahrung in Security Operations und als Chief of Analysis für das US-CERT sammelte, identifiziert zwei zentrale Hürden: Menschen wollen anderen nicht missfallen und vermeiden Konflikte, auch wenn diese notwendig und für das Gemeinwohl förderlich wären. Das Ergebnis ist eine Schieflage im Vetting-Prozess. Negative Informationen über Personen oder Organisationen werden schnell akzeptiert und internalisiert – ohne die einfachen Fragen zu stellen, die Wahrheit von Fiktion trennen könnten.
Die Konsequenzen dieser mangelhaften “sozialen Vetting” sind nicht zu unterschätzen. Ein Sicherheitsteam könnte versehentlich auf wertvolle Expertise verzichten, weil jemand Opfer von Gerüchten wurde. Umgekehrt könnten problematische Personen oder Sicherheitsanbieter in Schlüsselpositionen landen, weil kritische Stimmen nicht gehört oder überprüft wurden. Besonders kritisch wird es bei der Auswahl von Sicherheitslieferanten oder der Einstellung von Sicherheitsexperten – Entscheidungen, die auf unvalidierter Information basieren, können die gesamte Sicherheitsposition eines Unternehmens schwächen.
Goldfarb plädiert dafür, die gleiche Rigorosität, die bei IOC-Vetting selbstverständlich ist, auch auf soziale und organisatorische Bewertungen anzuwenden. Das bedeutet: Quellen überprüfen, mehrere Perspektiven einholen, direkt nachfragen und Widersprüche dokumentieren. Es erfordert Unbehagen und den Mut zum konstruktiven Konflikt – aber genau das macht Sicherheitsarbeit aus.
Für deutsche Unternehmen und Behörden ist diese Lektion besonders relevant. In Zeiten gestiegener Sicherheitsanforderungen und komplexer Supply-Chain-Abhängigkeiten sind fundierte Entscheidungen über Sicherheitspartner und interne Personalien nicht optional. Sie sind existenziell. Wer hier auf Basis von Gerüchten entscheidet, sabotiert seine eigene Sicherheitsarchitektur.