Fall Guy statt Security

Fall Guy statt Security (englisch für "Sündenbock statt Sicherheit") ist ein Prinzip, bei dem versucht wird, dem Kunden ein Sicherheitsgefühl zu geben, ohne wirkliche Sicherheit zu bieten. Allenfalls könnte man das auch Sicherheitsesoterik nennen.

Im Falle eines Sichterheitsproblems, welches bis in die Wahrnehmung des Kunden vordringt, wird der entsprechende Mitarbeiter (Fall Guy) des Informatik Dienstleisters vor dem Kunden als Verantwortlicher hingestellt, um so dem Kunden erstens Genugtuung zu verschaffen und zweitens das nun beschädigte Sicherheitsgefühl beim Kunden zu reparieren, um ihn weiterhin als Kunden halten zu können.

1 Hintergrund

Um das Jahr 2000 sind sehr viele Informatikdienstleister in der Grösse von KMU's entstanden, welche sich das Wissen bezüglich dem Betrieb autodidaktisch erworben haben, nicht aber entsprechendes Grundlagenwissen bezüglich Betriebssystemdesign, Netzwerksicherheit etc.

Dennoch ist das Kriterium Sicherheit natürlich ein Thema, welches bei kleinen Informatik Dienstleister im Normalfall auf den Hersteller des Firewalls und/oder des Virenscanners abgewälzt wird. Jedoch sind 11 von 18 Angriffen unbekannte Zero-Day Attacken gemäss einer Studie im Auftrag von Symantec^[1] womit die Chance für einen KMU ohne Spezialisierung auf das Aufspüren und Reverse Engineering von Malware drastisch sinkt.

Und insbesondere die Verkaufs- und Marketingabteilungen der Kommerzielle Softwarehersteller legen zum Teil mehr wert auf den Ruf des Unternehmens als um entsprechend sichere Produkte, was es für Mitarbeiter welche über solches stolpern oft nicht einfacher macht, oder sogar selber zur Zielscheibe werden.^[2] Ausserdem entsprechenden Support zu erhalten vom jeweiligen Software Hersteller ist oft schwierig und mit viel Aufwand verbunden, der sich für ein KMU wirtschaftlich nicht lohnt.

Somit gibt es KMU's, in denen die langjährigen Mitarbeiter jüngere Mitarbeiter anstellen, die dann für solches den Kopf hinhalten müssen, um den eigenen Ruf, die eigene Reputation zu schützen, um sich nicht selber die Finger verbrennen zu müssen, was für die Betroffenen psychisch oft sehr belastend sein kann.

Dieses Phänomen kann man aber auch anderswo sehen: Betrachtet man ein Problem aus systemtheoretischer Sicht, ist es meist schwer, ein Problem auf ein einzelnes Element des Systems zu reduzieren. Es ist aber für viele Menschen oft einfacher, wenn man einen eindeutigen Sündenbock für ein Problem hat, um ein Problem "ad acta" legen zu können.