„Das Kommunikationsparadoxon – Warum immer dieselbe Person alles regelt (und was das mit Informationssicherheit, Managementsystemen und Nachhaltigkeit zu tun hat)“
„Kannst du mal kurz drüberschauen?“
„Ich weiß, du bist nicht zuständig, aber du kennst dich doch aus…“
Kaum ein Satz beschreibt den Büroalltag besser.
Und kaum ein Satz zeigt so deutlich, wie fragil viele Organisationsstrukturen wirklich sind.
Denn dort, wo alle immer zu derselben Person gehen, zeigt sich kein Kommunikationsproblem, sondern ein systemisches Organisationsrisiko.
Warum das so gefährlich ist:
Solche Strukturen entstehen oft schleichend, aus Pragmatismus, Gewohnheit oder mangelnder Rollenkommunikation.
Doch in der Informationssicherheit, wo Entscheidungen dokumentiert, nachvollziehbar und überprüfbar sein müssen, verwandelt sich diese Unsichtbarkeit in ein Audit-Risiko.
Was intern als „flexibel“ gilt, wirkt im Audit wie fehlende Governance.
Das Ergebnis: Prozesse, die auf dem Papier existieren, aber operativ nicht gelebt werden, ein klarer Verstoß gegen die Wirksamkeitsanforderungen der ISO 27001 (Abschnitt 9.1 und 5.3).
Das unsichtbare Muster
In fast jedem Unternehmen gibt es sie:
die Person, die alles weiß, die alle mögen, die verlässlich ist, die „kurz mal hilft“, obwohl sie gar nicht zuständig ist. Sie kennt Prozesse, Menschen, Zusammenhänge und wird dadurch zum inoffiziellen Knotenpunkt der Organisation.
Aber: Je mehr an dieser einen Person hängt, desto weniger trägt das System.
Was als Hilfsbereitschaft beginnt, endet oft in struktureller Abhängigkeit und im Ernstfall in Chaos, Überlastung und Stillstand.
Diese Überlastung trifft fast immer dieselben Personen: hohe intrinsische Motivation, tiefer Systemeinblick, starke Kommunikationsfähigkeit.
Im Managementsystem-Kontext nennt man das eine „personalisierte Prozesssteuerung“, sie funktioniert nur so lange, wie die Person verfügbar ist. Sobald sie ausfällt, steht der Prozess.
BCM und ISMS adressieren genau dieses Szenario: Sie fordern dokumentierte Vertretungen, Wissenssicherung und ein definiertes Eskalationsmodell. In der Praxis fehlen jedoch oft Rollenlandkarten oder Prozessverantwortungsmatrizen (RACI), die klar zeigen, wer im Ernstfall entscheidet.
Das strukturelle Risiko hinter der Fassade
Wenn ein Unternehmen nur funktioniert, solange bestimmte Personen verfügbar sind, dann fehlt nicht Kompetenz, dann fehlt Struktur, Governance und Prozessklarheit.
Die Folge:
Entscheidungen werden verzögert oder doppelt getroffen.Verantwortung verschwimmt zwischen Rollen.Wissen liegt in Köpfen, nicht in Systemen.Und im Notfall? Keine Vertretung, keine Resilienz.
Fehlende Vertretung ist kein Randthema, sie ist ein Kontinuitätsbruch.
Ein Audit prüft nicht nur, ob ein Prozess dokumentiert ist, sondern ob er unter realen Bedingungen funktioniert. Wer hier scheitert, verliert nicht nur Punkte im Audit, sondern Vertrauen in der Organisation.
Denn Resilienz beginnt, bevor der Notfall eintritt, sie ist das Resultat gelebter Delegation.
Genau hier setzt das Business Continuity Management (BCM) an:
Es schützt nicht nur vor IT-Ausfällen oder Katastrophen, sondern vor dem gefährlichsten Risiko überhaupt, der menschlichen Engstelle.
Die Rolle von Managementsystemen (ISMS, QMS, EnMS, UMS, …)
Viele Unternehmen führen einzelne Systeme ein:
Qualitätsmanagement (ISO 9001),Energie (ISO 50001),Umwelt (ISO 14001),Informationssicherheit (ISO 27001).
Doch sie bauen nebeneinander, nicht miteinander.
Jeder Bereich arbeitet nach eigenem Muster, jeder Beauftragte kämpft um Sichtbarkeit und am Ende bleibt die Integration auf der Strecke.
Das Ergebnis:
Ein Flickenteppich aus Richtlinien, Audits, Checklisten, aber keine gemeinsame Steuerung.
Dabei liefern alle modernen ISO-Normen längst die gleiche Basis: die High-Level-Structure (HLS). Sie ist wie das Fundament eines Gebäudes, auf dem verschiedene Stockwerke (ISMS, QMS, EnMS, BCM usw.) gemeinsam stehen können.
Nur auf dieser Grundlage entsteht ein Integriertes Managementsystem (IMS), das Informationssicherheit, Qualität, Nachhaltigkeit und Kontinuität nicht als getrennte Säulen, sondern als gemeinsame Steuerungsarchitektur versteht.
Ein IMS ist kein neues System, sondern ein verbindendes Dach:
gemeinsame Audits, abgestimmte Risikoanalysen, einheitliche Managementbewertungen und besonders wichtig, ein zentrales Dokumentenlenkungssystem, das Mehrfachpflege vermeidet.
So entsteht echte Wirksamkeit: Weniger Redundanz, mehr Konsistenz, klare Governance.
Nachhaltigkeit als verbindendes Prinzip
Nachhaltigkeit ist kein grünes Etikett.
Sie ist das Prinzip, auf dem langfristig funktionierende Organisationen aufbauen.
Ein nachhaltiges Unternehmen ist nicht nur ressourcenschonend, sondern wissensstabil, strukturiert und vertretungsfähig.
Es kann Mitarbeiterwechsel, Krankheit, Krisen oder Marktveränderungen ohne Kontrollverlust überstehen.
Oder anders gesagt:
Nachhaltigkeit beginnt nicht im CSR-Bericht, sie beginnt in der Art, wie Wissen, Verantwortung und Sicherheit organisiert sind.
Die Verbindung von Informationssicherheit (ISMS), Nachhaltigkeit (z. B. ISO 14001 oder DNK) und Business Continuity (ISO 22301), ist daher keine Bürokratie, sondern die Architektur des Überlebens. Die Zukunft liegt in integrierter Nachhaltigkeit, nicht nur ökologische, sondern organisationale Nachhaltigkeit.
Das bedeutet, dass Managementsysteme nicht isoliert optimiert werden, sondern gemeinsam ein stabiles „Unternehmens-Betriebssystem“ bilden.
Diese Synergie ist der Schlüssel, um Anforderungen aus ESG-Reporting, NIS2, Lieferkettengesetz und ISO-Normen parallel zu erfüllen, ohne bürokratische Mehrfachstrukturen.
Das Schiff ohne Kompass
Viele Unternehmen ähneln einem Schiff ohne klaren Kurs. Der Wind (Marktdruck, Kunden, Projekte) bestimmt die Richtung.
Die Mannschaft improvisiert, der Kapitän vertraut auf Erfahrung. Solange das Wetter ruhig ist, funktioniert das.
Aber wehe, der Sturm kommt, oder der erfahrene Steuermann fällt aus.
Ein gutes Managementsystem ist wie ein kompassgestütztes Navigationssystem:
Es macht das Schiff unabhängig vom Wetter und vom Einzelnen, der den Kurs kennt.
In der Informationssicherheit zeigt sich dieses Bild besonders deutlich:
Solange der „Steuermann“ alle Risiken, Maßnahmen und Freigaben kennt, funktioniert das System, aber niemand sonst kann den Kurs nachvollziehen.
Ein auditfähiges ISMS verlangt deshalb nicht, dass eine Person alles weiß, sondern dass jede Entscheidung rückverfolgbar ist.
Transparenz ersetzt Abhängigkeit.
Die Organisation als Pflanze
Ein Unternehmen ist wie eine Pflanze. Sie wächst, ob geplant oder nicht.
Aber wer sie einfach wuchern lässt, bekommt Chaos, keine Struktur.
Führung heißt: gießen, beschneiden, pflegen. Prozesse definieren, Verantwortung klären, Systeme verbinden.
Nur so entsteht ein stabiles, gesundes Wachstum und kein zufälliges Überleben. Genau das ist der Unterschied zwischen gewachsener und geführter Organisation.
Ein gewachsener Rasen sieht vielleicht grün aus, aber darunter wuchert Wildwuchs. Geführte Strukturen dagegen lassen Luft, Raum und Richtung. So entsteht ein System, das auch nach Jahren noch steuerbar bleibt und nicht vom Zufall abhängt, wer heute gießt.
Informationssicherheit als Rückgrat
Informationssicherheit ist nicht nur ein technisches Thema. Sie ist das Rückgrat dieser gesamten Struktur. Denn Information ist der gemeinsame Nenner aller Systeme, egal ob Qualität, Energie, Umwelt oder Nachhaltigkeit.
Wenn Informationen geschützt, korrekt verarbeitet und verfügbar sind, funktioniert das Unternehmen, in Ruhe wie in Krise.
Genau das fordert ISO 27001:
Verfügbarkeit, Vertraulichkeit, Integrität, nicht nur von Daten, sondern von Strukturen.
Diese Verbindung ist der Punkt, an dem Informationssicherheit und Unternehmensführung zusammenlaufen. Ein ISMS ist im Kern kein IT-System, es ist ein Führungs- und Steuerungsinstrument.
Wer Informationssicherheit als Compliance-Projekt betrachtet, übersieht ihren Wert:
Sie schafft die Transparenz, die Führung überhaupt erst ermöglicht.
So wird aus Dokumentation: Wirksamkeit.
Integriert man das ISMS in ein IMS, entsteht ein geschlossener Regelkreis:
Führung – Verantwortung – Sicherheit – Nachhaltigkeit.
Wie Organisationen das Paradoxon lösen können:
Managementsysteme integrieren:
Aufbau eines IMS nach High-Level-Structure (HLS), eine gemeinsame Prozess- und Rollenarchitektur für ISMS, QMS, BCM, EnMS etc.
Verantwortung klar definieren:
Zuständigkeiten müssen eindeutig dokumentiert und regelmäßig überprüft werden, auch für Vertretungen.
Informationsflüsse strukturieren:
Jeder Mitarbeitende muss wissen, wer worüber entscheidet, damit Anfragen automatisch an die richtige Stelle gehen.
Nachhaltigkeit ernst nehmen:
Unternehmensführung bedeutet, Systeme zu pflegen, nicht nur kurzfristige Effizienz zu verfolgen.
Kulturwandel fördern:
Von Einzelhelden zu Systemintelligenz. Führung muss Rahmen schaffen, nicht Feuerwehr spielen.
Das Fazit:
Das Problem ist nie die Person, die alles weiß und alles regelt.
Das Problem ist das System, das sie dazu macht.
Ein integriertes, nachhaltiges Managementsystem sorgt dafür, dass Wissen, Verantwortung und Sicherheit nicht zufällig verteilt sind, sondern planbar, überprüfbar und resilient.
Es ist der Gegenentwurf zur gelebten Improvisation, die viele Organisationen bis heute prägt.
Ein IMS ersetzt nicht die Menschen, es entlastet sie, indem es Verantwortung institutionalisiert.
So entsteht Stabilität, die nicht von Verfügbarkeit abhängt, sondern von Struktur und Kultur getragen wird. Nur so bleibt ein Unternehmen stabil, wenn Menschen ausfallen, Krisen eintreten oder Märkte sich ändern.
Denn Informationssicherheit, Nachhaltigkeit und Führung sind drei Seiten derselben Medaille: Langfristige Unternehmensstabilität.
← Alle Beiträge