Ganz oder garnicht

In der IT gibt es Themen, über die man nicht spricht. Nicht, weil sie tabu wären — sondern weil sie unbequem sind. Weil sie ein Privileg berühren, das vielen Geschäftsführern heilig ist: die Annahme, dass IT sowieso läuft. Dass man nicht hinschauen muss, solange nichts brennt. Dass Sicherheit, Qualität und Sauberkeit nette Ideen seien, die sich amortisieren, wenn überhaupt, dann erst in einem Quartal, das nicht ihres ist.

Dieser Text handelt von dem, was dabei verloren geht.

Die zwei Sätze

Zwei Sätze habe ich in fünfundzwanzig Jahren Beruf häufiger gehört, als mir lieb ist. Der erste: »Sicherheit kostet nur Geld, läuft doch auch so.« Der zweite folgt meistens ein paar Sätze später: »Wir hatten doch noch nie ein Problem.«

Beide Sätze klingen pragmatisch. Beide sind es nicht. Beide sind Rationalisierungen einer Haltung, die eigentlich besagt: Ich will nicht hinschauen, und ich suche mir eine Formulierung, die das verantwortbar klingen lässt.

Diese Haltung war in den Nullerjahren fahrlässig. Heute ist sie grob fahrlässig. Der Unterschied ist nicht rhetorisch — er ist die Differenz zwischen einem System, das gelegentlich versagt, und einem System, das systematisch versagt, sobald jemand es ernsthaft prüft.

IT-Sicherheit: der Sparpfennig vor dem geistigen Auge

Da ist eine Attitüde, die ich nie verstanden habe. Sie gehört zu einer bestimmten Sorte sogenannter Geschäftsleute, für die jeder Cent, der nicht unmittelbar Umsatz bringt, ein verlorener Cent ist. Sicherheit erscheint ihnen als Kostenpunkt ohne Gegenwert — eine Versicherung, die nie eintritt, ein Feuerlöscher, der nie gebraucht wird. Also kürzt man sie. Jahrelang. Bis irgendwann etwas brennt.

Damals, in den Nullerjahren, konnte man das noch fahrlässig nennen. Beknackt sogar. Die Welt war überschaubarer, die Angriffsfläche kleiner, die Angreifer seltener. Wer nichts tat, hatte oft Glück. Das Glück hielt, weil kaum jemand aktiv suchte.

Heute ist die Lage eine andere. Die Bedrohung hat sich nicht linear entwickelt, sondern exponentiell. Was früher ein einzelner Angreifer mit viel Zeit war, ist heute ein automatisierter Scanner, der nachts zehntausende Netze durchmustert. Was früher eine handgetippte Exploit-Chain war, ist heute ein KI-gestützter Proof-of-Concept, der binnen Stunden nach Veröffentlichung einer Schwachstelle vorliegt. Wer in dieser Lage Sicherheit kürzt, handelt nicht mehr fahrlässig. Er handelt grob fahrlässig. Juristisch ist das ein anderer Begriff. Moralisch ist es derselbe.

Die neue Bedrohungslage

Drei Entwicklungen haben die Lage in den letzten Jahren verschärft.

Erstens: Künstliche Intelligenz entdeckt Sicherheitsprobleme, die früher unentdeckt blieben. Was ein menschlicher Auditor in Wochen fand, findet ein KI-gestützter Scanner in Stunden. Das gilt für die Verteidiger — und erst recht für die Angreifer. Lücken, die früher im Halbdunkel ruhten, werden jetzt hell beleuchtet. Wer sie nicht schließt, muss damit rechnen, dass jemand anderes sie öffnet.

Zweitens: Patching wird aufwändiger. Abhängigkeiten verzahnen sich tiefer, Lieferketten werden länger, ein Update zieht das nächste nach sich. Wer patcht, muss testen. Wer nicht patcht, riskiert, dass eine veröffentlichte Lücke binnen Tagen ausgenutzt wird. Das Fenster schließt sich. Kurzfristiges Reagieren wird zur Normalität, nicht zur Ausnahme.

Drittens: Exploits bedeuten heute Dramen. Nicht mehr bloß einen defekten Server, sondern kompromittierte Kundendaten, erpresste Krankenhäuser, stillgelegte Industrieanlagen, offengelegte Postfächer. Die Schäden sind nicht mehr abstrakt — sie sind messbar, sie sind juristisch greifbar, sie sind reputationsfähig fatal.

Wer in dieser Lage den Sparpfennig vor Augen behält, hat die Rechnung nicht verstanden. Die Frage ist nicht, ob Sicherheit Geld kostet. Die Frage ist, ob der Schaden, der ohne sie eintritt, tragbar ist. Und die Antwort lautet, in den meisten Fällen: nein.

Software als Ehrensache

Es ist aber nicht nur die Sicherheit. Es ist auch die Bereitschaft, Software gut zu bauen.

»Gut« ist ein Wort, das in dieser Branche inflationär gebraucht wird. Lass mich es präzisieren. Gut bedeutet: Sie bricht nicht einfach unerklärt in einer Exception zusammen. Sie ist auf Sonderfälle eingestellt, nicht nur auf den Happy Path. Sie verhält sich definiert, auch wenn die Eingaben undefiniert sind. Sie erzeugt keine Lücken, die sich ausnutzen lassen. Sie tut, was sie verspricht — und sie tut es auch dann noch, wenn die Umstände nicht ideal sind.

Darüber hinaus bedeutet gut: Sie ist gepflegt. Sie ist dokumentiert. Sie ist verständlich. Wer sie später liest, versteht, was sie tut und warum. Wer sie ändert, kann sie ändern, ohne drei andere Stellen kaputtzumachen.

Das ist keine Selbstverständlichkeit. Es ist eine Entscheidung. Eine Entscheidung, die jeden Tag neu getroffen wird, in jeder Zeile, in jedem Commit. Und es ist, das sage ich bewusst, eine Frage der Ehre.

Ist man ein Softwareunternehmen und ignoriert die selbstverständlichen Pflichten, weil der Spardruck permanent ist, dann ignoriert man nicht nur Pflichten. Man ignoriert das eigene Ehrgefühl. Man entschuldigt das Mittelmäßige mit dem Ökonomischen. Und irgendwann ist das Mittelmäßige nicht mehr die Ausnahme, sondern das Programm.

Ehrensache ist, Software zu machen. Wenn sie scheiße funktioniert, ist sie scheiße. Wenn sie geil ist, ist sie geil. Das ist keine naive Aussage. Es ist die schärfste Bewertung, die es gibt, weil sie nicht verhandelbar ist.

Visionen von Müllbergen

Man kann das naiv nennen, das mit der Ehre. Ich will aber aus eigener Wahl heraus am liebsten mit jenen Menschen zusammenarbeiten, die eine Vision von einem Produkt haben. Die etwas bauen wollen, das funktioniert. Das hält. Das den Nutzer respektiert, statt ihn auszunutzen.

Manche Menschen haben allerdings Visionen von Müllbergen. Sie hübschen sie auf, etikettieren sie bunt, stellen sie prominent in der Werbung dar, garnieren sie mit Buzzwords, die niemand versteht, und kassieren in Wahrheit einfach nur Geld ab. Am besten, ohne etwas dafür tun zu müssen. Am besten ohne Support, ohne Wartung, ohne Garantie. Am besten monatlich, automatisch verlängert, unkündbar.

Das ist eine Haltung, die mir fremd ist. Ich möchte etwas produzieren. Wenn meine Dienstleistung, die ich nun seit über zwanzig Jahren anbiete, scheiße wäre, würde ich sofort aufhören. Nicht aus moralischem Zwang — aus Ehrgefühl. Wer etwas Schlechtes liefert und es weiß, lügt sich selbst an. Wer etwas Schlechtes liefert und es nicht weiß, sollte es wissen.

Geld verdienen ist völlig legitim. Wer leistet, darf verlangen. Was heute jedoch manche Unternehmen von einem abknöpfen und dabei eine beschissene Dienstleistung anbieten — das ist einfach nur frech. Es ist die Behauptung, Leistung zu erbringen, während man nur abrechnet. Es ist der Anspruch auf Honorar ohne die Pflicht, die das Honorar rechtfertigt.

Eine andere Biographie

An dieser Stelle wird es persönlich, und das darf diesmal sein.

Rechnet man die Ausbildungszeit hinzu, war letztes Jahr, 2025, mein fünfundzwanzigjähriges Berufsjubiläum. Fünfundzwanzig Jahre, in denen ich nicht nur beruflich mit Computern gearbeitet habe, sondern in denen mein Leben sich um sie gedreht hat. Schon seit Mitte der Neunziger.

Das ist eine Biographie, die anders verläuft als die vieler anderer Menschen. In deren Freizeit beträgt der Anteil beruflicher Themen asymptotisch null. Feierabend heißt Feierabend. Manchmal gibt es schimpfende Geschichten, erzählt am Tresen, abgelegt im Ordner »Arbeit, die nervt«. Aber dann ist Schluss.

Bei mir ist das anders. Seit Mitte der Neunziger hat sich alles um den Computer gedreht, und das hat sich kontinuierlich verstärkt. Auf einem Niveau, das eine normale Ehefrau wohl nicht ewig erdulden wollen würde. Ich sage das ohne Stolz und ohne Klage. Es ist eine Feststellung. Wer diesen Beruf ernst nimmt, hört nicht auf, wenn der Bildschirm dunkel wird. Er hört nie auf.

Das ist kein Opfer. Es ist eine Präferenz. Wer so lebt, hat eine Beziehung zu seinem Fach, die über die Dienstpflicht hinausgeht. Er baut nicht nur, weil bezahlt wird. Er baut, weil es ihn interessiert, ob es gut gebaut ist. Weil er es merkt, wenn es nicht gut gebaut ist. Weil das Mittelmäßige ihn stört, auch wenn es funktioniert.

Genau diese Präferenz ist die Grundlage für das, was ich beruflich anbiete. Nicht fünfundzwanzig Jahre Berufserfahrung als Papier — fünfundzwanzig Jahre Haltung.

Was libcom.de bedeutet

libcom.de ist kein Unternehmen, das IT-Sicherheit als Produkt verkauft. libcom.de ist ein Mensch, der seit einem Vierteljahrhundert IT so betreibt, dass sie hält. Sicherheit ist kein Add-on, das man dazukauft. Sie ist eine Eigenschaft, die entsteht, wenn man Infrastruktur mit Verstand plant, konsequent pflegt und ehrlich betreibt.

Wer zu mir kommt, bekommt keine Patentlösung. Er bekommt eine Bestandsaufnahme: Was läuft, was schützt es, was nicht, wohin soll es sich entwickeln? Dann bekommt er einen Plan, der zu seiner Realität passt — seinem Budget, seiner Risikobereitschaft, seinen Pflichten. Und er bekommt jemanden, der nicht aufhört, wenn das Projekt abgenommen ist. Der dranbleibt, solange es nötig ist.

Das ist keine Dienstleistung, die man auf einer Preisseite auflistet. Es ist eine Haltung. Und ich glaube, dass genau diese Haltung in einem Markt fehlt, in dem Sicherheit oft als Cost-Center betrachtet wird, Software als schnell vergängliche Ware und Dienstleistung als Rechtfertigung für ein Abo.

Wenn Sie sich fragen, ob Ihre IT noch zeitgemäß geschützt ist, ob Ihre Software gut gebaut ist, oder ob Sie jemanden suchen, der es ehrlich meint: Schreiben Sie an contact@libcom.de. Wir machen eine ehrliche Bestandsaufnahme. Ohne Verkaufsdruck. Mit dem Blick auf das, was langfristig Bestand hat.

Lasst uns aufhören, scheiße zu sein. Lasst uns gemeinsam an etwas arbeiten, das hält — und uns allen damit einen Dienst erweisen.