Eine Anweisung ist noch keine Kontrolle"

Beim Datenleck der amerikanischen Auskunftei Equifax wurden 2017 die persönlichen Daten von rund 147 Millionen Menschen offengelegt, darunter Sozialversicherungsnummern, Geburtsdaten und Adressen. Die Angreifer nutzten eine bekannte Sicherheitslücke in einer verbreiteten Softwarekomponente, für die bereits Monate zuvor ein Update bereitstand.

Die amerikanische Verbraucherschutzbehörde FTC hob in ihrer Untersuchung einen Punkt hervor, der den Fall für die Governance besonders lehrreich macht. Equifax hatte intern angewiesen, die Lücke innerhalb von 48 Stunden zu schließen. Niemand prüfte anschließend, ob die Zuständigen diese Anweisung umgesetzt hatten. Das Update wurde über Monate nicht eingespielt, bis Angreifer die Lücke ausnutzten.

Damit unterscheidet sich dieser Fall von den meisten anderen. Es gab eine klare Regel, eine benannte Zuständigkeit und sogar eine konkrete Frist. Die Aufgabe blieb trotzdem unerledigt, weil zwischen Anweisung und Umsetzung keine Instanz existierte, die den Vollzug überprüfte.

Diese Lücke zwischen Anordnung und Umsetzung wird in vielen Organisationen unterschätzt, weil sie sich der formalen Betrachtung entzieht. Auf dem Papier wirkt ein Prozess vollständig, sobald eine Regel dokumentiert, eine Zuständigkeit benannt und eine Frist gesetzt ist. Ob diese drei Elemente in der Praxis zu einem Ergebnis führen, ist damit noch nicht gesagt. Die Prüfung des Vollzugs trennt eine funktionierende Governance von einer bloß dokumentierten.

Viele Organisationen erlassen inzwischen Richtlinien zum Umgang mit KI, etwa zur Kennzeichnung KI-generierter Inhalte, zur menschlichen Überprüfung automatisierter Entscheidungen oder zu Grenzen des zulässigen Einsatzes. Eine solche Richtlinie wirkt erst, sobald jemand nachprüft, ob sie im Arbeitsalltag befolgt wird. Fehlt diese Nachprüfung, gleicht sie dem Sicherheitsupdate bei Equifax. Sie existiert und bleibt wirkungslos, bis ein Vorfall die Lücke zwischen Anspruch und Wirklichkeit schmerzhaft offenlegt.

Governance heißt in diesem Sinne, als Organisation feststellen zu können, ob eine verteilte Aufgabe erledigt wurde, und zwar bevor ein äußerer Anlass diese Feststellung erzwingt.

Eine Regel, eine Zuständigkeit und eine Frist ergeben noch keine funktionierende Governance. Wirksam wird sie erst durch jemanden, der prüft, ob eine Anweisung umgesetzt wurde, bevor ein Vorfall es zeigt.

Mehr solcher Fälle gibt es hier!