Entwickelt sich leider in die falsche Richtung und bleibt weit unter seinem Potential
Gut am Arbeitgeber finde ich
Es gibt einen Haufen nette Leute, fachlich und netzpolitisch teilweise wirklich interessante Themen, und ich habe einen extrem guten Referatsleiter!
Immerhin die grundlegende Idee bzgl. Automatisierbarkeit der Umsetzung und Überprüfung von IT-Sicherheits-Metriken gehen in eine richtige Richtung.
Schlecht am Arbeitgeber finde ich
In meinen Augen das mit Abstand schwerwiegendste Problem ist der Umgang mit dem Personal.
Das BSI ist keine (reine) Verwaltungsbehörde. Einige der Aufgaben lassen sich nur mit wirklichen Fachkenntnissen seriös erledigen, und die Qualitäts-Bandbreite in der IT ist dank Automatisierung und ähnlichem nun einmal so groß wie sonst nirgendwo.
Das BSI ist dabei in der glücklichen Lage, dass jeder ausgebildete oder studierte Informatiker mindestens einmal von dem Laden gehört haben sollte.
Das Potential ist also groß, immer wieder fachliche Talente mit großer innerer Motivation anlocken zu können.
Entsprechend sollte es oberste Priorität sein, alles Erdenkliche zu tun, um solche Leute zu identifizieren, anzuwerben, gut einzuarbeiten, glücklich zu machen, und zu halten.
Eigentlich eine Binse, findet diese Erkenntnis im BSI zur Zeit eher weniger statt. Jedenfalls nicht bei vielen der Führungskräfte, und ganz sicher nicht im Rahmen der Führungskräfteauswahl.
Dieses Versagen in Personalfragen macht sich dann auch ganz konkret beim Output bemerkbar, den das BSI liefert.
Um nur ein jetzt ohnehin öffentliches Beispiel zu geben:
Das Portal zur Meldung von Schwachstellen an das BSI seitens Organisationen die unter NIS-II fallen wurde bei Verfügbarkeit mehrerer niedrigschwelliger
Alternativen und ohne irgendeine technische Notwendigkeit sowie entgegen jedem gegenteiligen Ergebnis, das eine ehrliche Kosten-Nutzen-Analyse
oder Sicherheitsabwägung aufgezeigt hätte, in die AWS-Cloud gepackt.
Niemand checkt warum, aber Public Cloud ist anscheinend das Ziel und die Vorgabe der Präsidentin, die dasselbe bereits in vorherigen Jobs gemacht hat.
Das wird in alle Richtungen gepusht und dabei ist man sich nicht zu schade, selbst offensichtliche Fake News zu verbreiten.
Beispielweise wird im BSI-Magazin nebst unseriösen Ankündigungen bzgl. VS-fähigen Public Clouds behauptet, 100% der Unternehmen wären in der Cloud. Lesen die Autoren ihr eigenes Geschreibsel und glauben sie das? Hat irgendjemand, der für das Portal verantwortlich war, das entsprechende Grundschutz-Kapitel vorher auch nur gelesen? Oder irgendein anderes?
Um es nochmal deutlich zu sagen: Diese Cloudgeschichten sind ein schlimmes Beispiel, aber eines von sehr vielen und symptomatisch dafür wie solche Dinge jetzt grundsätzlich laufen.
Ich könnte noch ganz andere und absurdere Dinge erzählen. Tu ich aber nicht, weil ich, liebe Leitung, und trotz des gegenteiligen Vorwurfs an Bewertungen wie diese, sehr wohl bewusst und zurückhaltend abwäge, was an die Öffentlichkeit gehört.
Mühsam sachlich erarbeiteter Kritik von Leuten, denen IT-Sicherheit und allgemein ernsthaftes Arbeiten noch irgendwie am Herzen liegen und die sich noch nicht für einen Jobwechsel oder den resigniert bequemlichen Weg "Dienst nach Vorschrift" entschieden haben, wird mit einer wirklich beschämenden Ignoranz begegnet.
In größeren Runden werden u.a. Nebelkerzen rhetorisch ganz groß gezündet, überspezifische Dementi abgeliefert oder vage gesagt, man schaue sich etwas zukünftig ganz genau an, während abseits davon Ton und Stil regelmäßig sehr hierarchiebetont und extrem unfreundlich werden.
Früher war ich in Academia unterwegs und hatte Gelegenheit, teilweise mit den innerhalb eines fachlichen Bereichs renommiertesten und kompetentesten Personen des Planeten zu tun zu haben. Dabei habe ich meist eine große Präzision und vor allem immer hunderprozentige Konstruktivität, Sachlichkeit und langfristiges Denken erleben dürfen.
Für Ignoranz, bei diesen Personen angebrachter als bei sonst irgendjemandem, war da oft wenig Platz.
Der hier erlebte Führungsstil hält deutlich andere Prinzipien hoch.
Ein BSI das Windows und AWS hochhält, Services von irgendwelchen Datenkraken im Internet für die alltägliche Arbeit nutzt, IT-Sicherheit im eigenen Laden und auch außerhalb aktiv schleift, seriöses Arbeiten abstraft, und bei der
Besetzung von Führungskräften offensichtlich immer weniger Wert auf fachliche Kompetenz legt, so ein BSI wäre schon in guten Zeiten überflüssig. Aber in Zeiten, in denen IT-Sicherheit und -Souveränität immer wichtiger werden, und in denen eigentlich auch die Letzte verstanden haben müsste, wohin sich die Welt entwickelt, ist das einfach bodenlos.
Jeder Mitarbeiter sollte sich fragen, ob wir als Laden es wirklich besser wissen als die gesamte netzpolitisch tätige Zivilgesellschaft, oder ob wir nicht immer mehr die weitere überflüssige Standardbehörde für Premium-Hartzer sind, für die uns manche schon immer halten.
Verbesserungsvorschläge
Die Präsidentin und diverse andere Führungskräfte stellen sich gern sehr intensiv als Macher dar.
Ich persönlich bin der Meinung, dass gute Arbeit auch und eigentlich vor allem von Führungskräften, sich nicht am (potentiell überhöhten) Selbstwertgefühl einer Person misst, und auch nicht, inwiefern sie dieses möglichst überzeugend nach außen projizieren kann.
Mein Vorschlag: Weniger Blender und Schwätzer und mehr wirkliche IT-Kompetenz, die Grundlagen von Netzwerktechnik, Verschlüsselung und Zugriffskontrolle und allgemein des
wissenschaftlichen Arbeitens sowie Unix-Philosophie und andere Best Practices in Administration und Softwareentwicklung inhaliert hat und nicht im Wochentakt Datensouveränität zu
Gunsten von vermeintlichen Digitalisierungsfortschritten (lies: möglichst ungehinderte Nutzung von Pay-with-your-money-and-data-Modellen) schleift.
Image
Es gab Zeiten, da wurde das BSI (trotz Geschichten wie Beihilfe beim Staatstrojaner) in der IT-Sicherheit als einigermaßen seriöse Institution
wahrgenommen. Das sinkt gerade rapide, leider zurecht.