Ein kleines getäfeltes Büro in einem alten Haus, hinter dem Tisch eine Wand aus blau-weißen Kacheln, rechts eine geschlossene Holztür mit Messinggriff. Die Geschäftsführerin sitzt an einem polierten Tisch, eine Hand vor dem Mund, und sieht auf einen Laptop. Der Berater des Käufers beugt sich neben ihr vor und zeigt auf den Bildschirm. Zwischen ihnen liegen eine geschlossene Ledermappe, ein Zimmerschlüssel an einem schweren Messinganhänger und zwei Tassen Kaffee, die niemand trinkt.

Die Karte zeigt den Moment, in dem eine Eigentümerin entdeckt, was ihr Betrieb aufbewahrt hat. Der Bildschirm ist den beiden zugewandt und uns abgewandt, und so ist es richtig: Was darauf steht, wissen nur die Menschen im Raum, und es hat die Frage eines Fremden gebraucht, damit sie hinsehen. In Wiesbaden waren es Meldescheine und Kopien von Ausweisen, eine alte Auswertung auf einem vergessenen Server und Notizen über Gäste, gesammelt über Jahre, ohne dass jemand entschieden hätte, sie zu behalten. Der Schlüssel auf dem Tisch ist die andere Hälfte der Information eines Hotels: der Teil, auf den das Haus stolz ist, der Empfang, die Geschichte, der Gast, der wiederkommt.

Die Täfelchen stellen die zwei Werte der Information gegeneinander. Wert für das Haus, und Last der Gefährdung: Dieselben Unterlagen sind beides, und eine Eigentümerin muss beides kennen. Das untere Paar nennt, wie die Last entstand. Aus Gewohnheit behalten; niemand hat es entschieden. Nichts auf diesem Bildschirm ist durch eine Entscheidung dorthin gekommen, und nichts wird ihn verlassen, bevor jemand eine trifft.

Die Karte sagt nicht, dass die Geschäftsführerin nachlässig war. Sie führte ein gepflegtes Haus seit elf Jahren und beantwortete jede Frage des Käufers, bis zu der nach den personenbezogenen Daten. Sie sagt, dass Information, die ohne Entscheidung gehalten wird, als Gefährdung getragen wird, ob jemand davon weiß oder nicht, und dass die erste Handlung der Eigentümerschaft darin besteht herauszufinden, was das Haus hält, bevor ein anderer danach fragt.

Der Empfang eines Hotels in einem alten Backsteinbau, nur von zwei Batterielaternen und grauem Tageslicht erhellt. Eine Frau aus der Leitung des Hauses hält ein Telefon, das nichts tut, eine Hand auf einem weißen Karton, der noch in Klarsichtfolie eingeschweißt ist. Neben ihr schreibt eine junge Rezeptionistin in ein großes gebundenes Buch. Über den Tresen wartet ein müder Gast in Regenjacke mit seinem Koffer. Hinter dem Empfang hängen die Schlüssel mit ihren Messinganhängern in den Fächern, wie seit hundert Jahren.

Die Karte zeigt den Unterschied zwischen dem Ort, an dem ein System läuft, und dem Ort, von dem aus ein Hotel es erreicht. Das Verwaltungssystem des Passauer Hauses lief bei einem Anbieter weit weg und fiel keine Minute aus. Ausgefallen war, was im Keller stand: der Raum mit der Technik, über die das Haus sein System erreichte, und die Leitung ins Gebäude, als das Wasser kam. Der Hochwasserplan des Hauses war gut, und er kannte den Serverraum nicht. Der Karton unter ihrer Hand ist die Ersatzverbindung, gekauft für genau diese Nacht und nie ausgepackt; das gebundene Buch ist der wirkliche Notfallplan, improvisiert von den Menschen, die sich erinnerten, wie es ging.

Die Täfelchen folgen der Kette der Abhängigkeiten vom fernen Ende zum nahen. Die Cloud fiel nie aus; die Leitung ins Haus schon. Der Ersatz noch im Karton ist die Schlussfolgerung, die niemand aufgeschrieben hatte, und das letzte Täfelchen nennt die Lehre in drei Wörtern. Kontext ist ein Ort: der Raum, in dem die Technik steht, die Straße davor, die Höhe des Wassers und jede Verbindung zwischen dem Haus und den Systemen, die es für fern hält.

Die Karte sagt nicht, dass das Hochwasser unvorhersehbar war. In Passau ist es das am besten vorhergesehene Ereignis der Stadt. Sie sagt, dass zwei gute Pläne nebeneinander bestanden, einer für das Wasser und einer für die Information, und dass niemand das Gespräch geführt hatte, das sie verbunden hätte: in welchem Stockwerk die Technik steht, von der das Haus abhängt.

Ein Verkaufsbüro in einem modernen Stadthotel, rechts eine Glaswand zu einem teppichbelegten Zimmerflur. Die Verkaufsdirektorin sitzt an ihrem Schreibtisch, den Stift in der Hand, und lächelt mit der Zufriedenheit einer erledigten Aufgabe. Vor ihr liegt ein hoher Stapel Blätter, auf jedem dasselbe Kästchen angekreuzt. Der Systemkoordinator steht neben dem Tisch, ein Blatt aus dem Stapel in der Hand, und sieht sie mit stiller Beunruhigung an.

Die Karte zeigt, wie ein Hotel erfährt, wer seine interessierten Parteien wirklich sind. Nicht die in einem Register, sondern der Firmenkunde aus der Fahrzeugentwicklung, der mit der Verlängerung des größten Vertrags des Hauses einen Fragebogen mit hundertvierzig Fragen schickte, weil in der Tiefgarage des Hotels zweimal im Jahr Fahrzeuge vor ihrer Markteinführung stehen. Die Verkaufsdirektorin beantwortete ihn, wie solche Formulare meistens beantwortet werden: schnell, freundlich und mit Ja.

Die Täfelchen gehen von der Handlung zur Folge. Alles mit Ja beantwortet; Anforderungen kommen per Vertrag. Niemand fragte das System, und darum beschreiben die Antworten das Hotel, an das die Direktorin glaubte, und nicht das, das es gibt. Ein schriftliches Versprechen ist das letzte Täfelchen, und es ist das, worauf es ankommt, denn ein unterschriebener Fragebogen wird Teil dessen, worauf sich der Kunde verlassen darf.

Die Karte sagt nicht, dass die Verkaufsdirektorin gelogen hat. Sie antwortete nach bestem Wissen, ein Dienstleister beschrieb, was seine Systeme konnten, und ein Zertifikat ließ den Rest sicher aussehen. Sie sagt, dass die Anforderungen einer interessierten Partei ein Haus meist nicht über die Normabteilung erreichen, sondern über den Verkauf, und dass ein System, das diesen Weg nicht kennt, Versprechen unterschreibt, die es nie geprüft hat.

Im Vordergrund ein Empfangstresen aus Marmor, dahinter ein Büro mit Glaswand. Am Tresen arbeiten drei Rezeptionistinnen an einem einzigen Rechner: Eine tippt, eine zweite greift über sie hinweg zur selben Tastatur, die dritte wartet mit einer Karte in der Hand. Es gibt einen Bildschirm und eine Tastatur für alle drei. Hinter dem Glas schütteln der Eigentümer und seine Finanzleiterin einander über einem geschlossenen Budgetordner die Hand, zufrieden mit der Sitzung.

Die Karte zeigt zwei Räume, die durch eine Glaswand getrennt sind und durch eine Entscheidung verbunden. Im Büro wurde bei den Lizenzen gespart, sorgfältig, wie der Eigentümer bei jeder Kostenzeile spart. Am Tresen bedeutete das eine gemeinsame Anmeldung für den ganzen Empfang, und damit war jede Handlung anonym: Einundsiebzig Rückerstattungen auf fremde Karten in acht Monaten, zusammen gut achtunddreißigtausend Franken, trugen denselben Namen, und der Name gehörte niemandem.

Die Täfelchen lesen sich wie ein Satz quer durch das Bild. In der Budgetsitzung gespart; jede Handlung anonym. Kosten, die eine Entscheidung waren, ist der Angelpunkt des Abschnitts, und das letzte Täfelchen zieht den Schluss, der ihm seinen Titel gibt. Sicherheit wird oben entschieden, im Raum mit dem Ordner, lange bevor sich am Tresen jemand anmeldet.

Die Karte sagt nicht, dass die Rezeptionistinnen etwas falsch gemacht haben, und auch nicht der IT-Dienstleister, der ein solides System baute. Sie sagt, dass ein System nur schützen kann, was die Leitung ihm zu schützen erlaubt, und dass die Leitung hier, ohne es zu sehen, genau die eine Einrichtung erlaubt hatte, die am Empfang niemanden mehr kenntlich machte.

Eine weite Resorthalle aus Marmor mit hohen Säulen. In einer Ecke steht ein kleines Glasbüro mit Schreibtisch und Rechner, und um dieses Büro, und nur um dieses, eine Reihe von Messingpfosten mit rotem Samtseil. Innerhalb des Seils hält die Kommunikationsleiterin ein gerahmtes Zertifikat an die Brust und ein Telefon ans Ohr, mit vorsichtigem Gesicht. Außerhalb, am langen Empfang, checkt eine Rezeptionistin ein Paar mit Gepäck ein; dahinter zeigen gefaltete Handtücher den Eingang zum Spa.

Die Karte zeigt eine Grenze, die ehrlich gezogen und bequem gewählt ist. Der Anwendungsbereich des Zertifikats umfasste die IT und ihre Systeme, weil die IT bereit war und ein Berater geraten hatte, dort zu beginnen. Die Information, um derentwillen Gäste dieses Haus wählen, lag überall sonst: im Spa, im Bereich für medizinische Anwendungen, in dem eine Ärztin aus Chur Sprechstunde hält, am Empfang. Eine Journalistin fand die Beschreibung in vier Minuten im öffentlichen Verzeichnis und las sie der Kommunikationsleiterin am Telefon vor.

Die Täfelchen sagen es in der Reihenfolge, in der ein Gast es entdecken würde. Wahr und irreführend; um den einfachen Teil gezogen. Der Gast steht draußen steht zufällig genau über dem Paar am Tresen. Ein Anwendungsbereich ist ein Versprechen ist das letzte Wort: Was immer das Haus über sein Zertifikat sagt, der Gast nimmt an, dass das Versprechen ihn einschließt.

Die Karte sagt nicht, dass jemand gelogen hat. Der Satz auf der Website war wahr, das Zertifikat gültig, das System innerhalb seiner Grenze solide. Sie sagt, dass ein Anwendungsbereich nie erweitert wird, wenn niemand, der ihn erweitern könnte, weiß, was er sagt, und dass die erste Person außerhalb des Hauses, die ihn liest, selten eine Auditorin ist.

Ein Büro im Obergeschoss eines alten Kaufmannshauses, dunkle Balken, durch die offene Tür eine steile Holztreppe. An den beiden Enden eines langen Tisches schreibt ein Jurist in einen weinroten Ordner, und die Betriebsdirektorin tippt neben einem grünen. Sie sehen einander nicht an. In der Mitte des Tisches, von beiden gleich weit entfernt, liegt ein einzelner ungeöffneter Umschlag, und davor steht ein leerer Stuhl.

Die Karte zeigt zwei sorgfältige Menschen, die dasselbe Hotel in zwei Büchern führen. Der Datenschutzbeauftragte führte das Verzeichnis der Verarbeitungstätigkeiten, die Betriebsdirektorin das Inventar der Informationen für das Sicherheitssystem, und keines der beiden kannte das andere. Dann kam per Einschreiben das Auskunftsverlangen eines ehemaligen Gastes, das alles verlangte, mit einer Frist von einem Monat, und zeigte, was in keinem der beiden Bücher stand: die Aufnahmen eines Rekorders, den ein Errichter so eingestellt hatte, wie Rekorder meistens eingestellt werden.

Die Täfelchen legen das Argument des Abschnitts aus. Dieselben Gäste, zwei Bücher. Das Recht fragt warum: auf welcher Grundlage jede Information gehalten wird, wie lange, mit welchen Rechten. Die Norm fragt wie: mit welchem Schutz, gegen welche Risiken, in wessen Verantwortung. Ein Inventar, zwei Lesarten ist die Antwort, und es ist das einzige der vier Täfelchen, das etwas beschreibt, was es in diesem Raum noch nicht gibt.

Die Karte sagt nicht, dass Datenschutz und Informationssicherheit dieselbe Aufgabe sind oder dass einer der beiden überflüssig wäre. Sie sagt, dass ein Haus sein Wissen darüber, was es hält, nur einmal braucht, und dass der leere Stuhl in der Mitte des Tisches der Platz ist, an dem dieses eine Inventar entstehen müsste.

Der Empfang eines stillen Hauses: helles Holz, Laternen aus Papier, im Durchgang dahinter ein schlichter Vorhang. Eine Rezeptionistin in dunkler Uniform hält den Hörer ans Ohr und sieht zur Seite, unsicher, was sie sagen soll. Vor ihr auf dem Tresen liegt ein schön gebundenes blaues Heft mit Goldschnitt, geschlossen. Daneben ist das Reservierungsbuch aufgeschlagen, und eine kleine Messingglocke wartet auf den nächsten Gast.

Die Karte zeigt eine Politik, die an der Wand hängt, und eine Entscheidung, die am Telefon fällt. Am Hallstätter See wohnen Gäste, die überall wohnen könnten und hierher kommen, weil man sie in Ruhe lässt. In jenem Frühjahr rief eine höfliche Anruferin an, die sagte, sie komme von der Agentur, die die Buchung einer bekannten Schauspielerin vorgenommen habe, und eine begabte Rezeptionistin versuchte, den Service zu geben, den die Gäste des Hauses nach allem, was man ihr gesagt hatte, erwarteten. Die Politik, von einem Berater vollständig geschrieben und von der Direktorin unterschrieben, hatte ihr für diesen Moment nichts zu sagen.

Die Täfelchen gehen vom Dokument zum Tresen. Schön und nicht überprüfbar; am Telefon entschieden. Das untere Paar nennt, was geholfen hätte: Regeln, die das Personal prüfen kann, so genau, dass sie sich mitten in einem Gespräch anwenden lassen. Diskretion braucht Sätze ist das letzte Täfelchen, und es gehört gerade diesem Haus, dessen ganzer Ruf auf Menschen ruht, die nichts sagen.

Die Karte sagt nicht, dass die Rezeptionistin einen Fehler gemacht hat, den eine bessere Schulung verhindert hätte. Sie sagt, dass die Politik, die sie hatte durchsetzen sehen, ihr sagte, sie solle helfen, und dass eine Politik, die schützen soll, aus Sätzen bestehen muss, die ein Mensch am Tresen an sich selbst prüfen kann: Wir bestätigen niemandem, ob ein Gast bei uns wohnt.

Ein Empfang aus dunklem Holz mit Messinglampen. Ein besorgter Gast zeigt der Rezeptionistin den Bildschirm seines Telefons: eine schlichte blaue Seite mit einer einzigen leeren Schaltfläche, die Zahlungsaufforderung, die er nicht erwartet hatte. Er beugt sich vor, beunruhigt. In der Tür hinter dem Empfang geht der IT-Leiter mit einem Laptop unter dem Arm davon. Rechts auf einem hohen Regal, außer Reichweite, liegt ein dicker grauer Band unter einer Staubschicht.

Die Karte zeigt die Lücke zwischen einem Register und einem Risiko. In Füssen kam fast die Hälfte der Buchungen über zwei große Plattformen, zu einem großen Teil von Gästen aus Übersee, und eine Mitarbeiterin der Reservierung hatte geöffnet, was wie die Beschwerde eines Gastes aussah. Danach verschickte jemand über das Extranet der Plattform Zahlungslinks im Namen des Hotels. Das Risiko stand im Register des IT-Leiters. Es gehörte niemandem, der über den Vertrieb bestimmen konnte, und der zweite Faktor, den die Plattform anbot, war nie eingeschaltet worden.

Die Täfelchen zeichnen die Lücke nach. Aufgelistet, nicht beurteilt; niemandem gehörend. Der Empfang sah es zuerst, und das ist in einem Hotel fast immer so. Das letzte Täfelchen nennt die Regel, auf der der Abschnitt gebaut ist: Wem es gehört, der kann es ändern. Ein Risiko ist erst dann gesteuert, wenn es den Menschen erreicht, der über die Tätigkeit bestimmt, aus der es entsteht.

Die Karte sagt nicht, dass der IT-Leiter sein Register schlecht geführt hat. Es war ordentlich, und der Workshop, aus dem es stammte, gründlich. Sie sagt, dass eine Revenue-Managerin, die fast die Hälfte des Umsatzes über ein Portal steuert, die Eigentümerin dieses Risikos war, ohne es zu wissen, und dass der dicke Band auf dem Regal niemanden schützt, der ihn nicht erreicht.

Ein getäfelter Besprechungsraum in einem sanierten Hotelbau, hinten eine geschlossene Tür. Die Auditorin der Zertifizierungsstelle liest eine lange ausgedruckte Tabelle, die Spitze ihres Stifts auf einer Zeile in der Mitte der Seite. Ihr gegenüber sieht der Systemkoordinator ihr zu, die Hände gefaltet, unruhig. Zwischen ihnen stehen ein Wasserkrug und zwei Gläser, neben ihr liegt ein kleiner Stapel leerer Schlüsselkarten. An der Decke, in der Mitte des Raums, blickt eine weiße Kuppelkamera auf beide herab.

Die Karte zeigt eine Auditorin, die tut, was Auditorinnen tun und Eigentümer selten: die Erklärung zur Anwendbarkeit von der ersten Zeile bis zur letzten lesen. In Kassel erklärte die Erklärung, von einem Berater geliefert und drei Jahre gewissenhaft gehalten, die Maßnahme zur Überwachung der physischen Sicherheit für nicht anwendbar, weil der Zutritt zum Lager auf berechtigtes Logistikpersonal beschränkt sei. Das Haus hatte kein Lager und Kameras an der Decke. Der Berater hatte die Erklärung aus der eines Logistikunternehmens gebaut und das Lager nicht herausgenommen, und niemand, der das Haus kannte, hatte sie je gelesen.

Die Täfelchen beschreiben, was schiefging und was verlangt ist. Aus einer Vorlage übernommen; Zeile für Zeile gelesen, wie Auditorinnen lesen. Eine Begründung für jede Zeile ist die Disziplin, die die Norm verlangt: Jede Referenzmaßnahme wird aus einem genannten Grund aufgenommen oder ausgeschlossen. Die Kamera hing da ist das Täfelchen, an das sich der Leser erinnern wird, denn die ganze Feststellung ist mit einem Blick an die Decke zu sehen.

Die Karte sagt nicht, dass Vorlagen verboten sind oder dass der Berater schlecht gearbeitet hat. Sie sagt, dass eine Erklärung zur Anwendbarkeit das eine Dokument ist, in dem ein Haus sagt, warum es tut, was es tut, und dass eine Geschäftsführerin, die sie als technischen Anhang unterschreibt, das Einzige unterschrieben hat, was sie selbst hätte prüfen können.

Ein Besprechungsraum im obersten Stock eines Stadthotels, dunkle Holzvertäfelung, ein Kaffeeservice auf dem Tisch. Die Direktorin beugt sich über einen aufgeschlagenen Bericht und zeigt auf eine Seite mit einem ordentlichen Raster aus lauter grünen Feldern. Der Portfoliomanager der Eigentümerin sitzt neben ihr, eine Hand am Kinn, und betrachtet die Seite. Auf der Gegenseite und auf dem Tisch liegen Balkendiagramme ohne Beschriftung.

Die Karte zeigt eine Seite, die drei Jahre lang grün war. Vier Zahlen im Quartalsbericht an die Anlagestiftung, jede richtig erhoben und ehrlich vorgelegt: Vorfälle, Schulungsquote, Verfügbarkeit, abgeschlossene Maßnahmen. Keine davon hätte zeigen können, dass einundvierzig Konten von Menschen, die nicht mehr im Haus arbeiteten, noch offen waren, und dass sich einer von ihnen tatsächlich anmeldete.

Die Täfelchen stellen das Zählen gegen das Vorhersagen. Drei Jahre grün; gezählt, was gut ging. Kennzahlen, die vorhersagen, sind die Alternative, die der Abschnitt vorschlägt: Maße für die Zustände, die einen Vorfall wahrscheinlicher machen, damit das Haus handeln kann, bevor er geschieht. Schlechte Nachrichten kommen spät ist, was sonst geschieht, von einem Kunden, einem Gast oder einer Journalistin.

Die Karte sagt nicht, dass die Direktorin geschönt hat oder der Dienstleister nachlässig gezählt. Jede Zahl auf der grünen Seite stimmte. Sie sagt, dass eine Kennzahl, die nur zählt, was geschehen ist, einem Eigentümer nichts über das sagt, was kommt, und dass die Zahl der Konten ohne lebenden Besitzer diesem Eigentümer drei Jahre früher etwas gesagt hätte.

Das Büro der Direktion in einem Hotel am Wasser. Der Eigentümer, in Hemdsärmeln, steht und hält eine glänzende dunkelblaue Mappe mit rundem Goldsiegel, die er über den Schreibtisch reicht. Die Direktorin sitzt, eine Hand am Kinn, und sieht nicht auf die Mappe, sondern auf die kleine versiegelte Schachtel auf dem Tisch zwischen ihnen, ihre Folie unversehrt. Ein Telefon und ein Notizblock vervollständigen den Schreibtisch.

Die Karte zeigt eine Budgetsitzung von zwanzig Minuten und ihre Folge. Der IT-Dienstleister hatte einen zweiten Faktor, einen Überwachungsdienst und eine vom Netz getrennte Sicherung vorgeschlagen. Der Eigentümer verglich zwei Vorschläge sorgfältig, kaufte eine Versicherung gegen Cyberrisiken und verschob, nach Betrag, das eine Element, das den Angriff später verhindert hätte. Im Antrag des Versicherers stand die Frage nach dem zweiten Faktor, und die Direktorin beantwortete sie so gut sie konnte.

Die Täfelchen folgen der Entscheidung bis zu ihrem Ende. Das Versprechen gekauft; erklärt, nicht eingebaut. Übertragen ist nicht verringern ist das Prinzip: Eine Versicherung bezahlt einen Teil der Folgen eines Risikos und macht es um nichts unwahrscheinlicher. Wahrheit im Antrag ist das letzte Täfelchen, und es hat den Fall entschieden, denn der Versicherer trat vom Vertrag zurück und lehnte den größten Teil des Anspruchs ab, weil der unrichtig angegebene Umstand den Schaden verursacht hatte.

Die Karte sagt nicht, dass Versicherungen gegen Cyberrisiken nutzlos sind. Sie sagt, dass die Entscheidung, auf die es ankam, nicht die zwischen Versicherung und Maßnahme war, sondern die, welches Element verschoben wurde, und dass sie in einer Sitzung fiel, in der niemand das Element, das den Angriff verhindert hätte, von denen getrennt hatte, die es nicht getan hätten.

Ein Zimmerflur in einem restaurierten Palasthotel, geschnitzte Türen, gemusterte Fliesen, warme Lampen. Im Vordergrund hält eine Frau aus der Leitung des Hauses einen schweren Eisenring mit alten Messingschlüsseln hoch, jeder mit einem leeren cremefarbenen Anhänger, und betrachtet sie, als zähle sie sie zum ersten Mal. Hinter ihr kniet ein Techniker der Schlossfirma am elektronischen Schloss einer Zimmertür, sein Laptop offen neben ihm auf dem Boden.

Die Karte zeigt die Schlüssel, die ein Haus nicht in der Hand hält. Der Präsident der Stiftung hatte bei der Renovierung ein hervorragendes Schlosssystem gewählt, bis zu den Türbeschlägen aus Messing, und die Haustechnik hielt den Wartungsvertrag zwölf Jahre lang. Der Lieferant betreute mehrere Häuser an der Riviera mit einer einzigen Anmeldung für alle. Als jemand diese Anmeldung nahm, erfuhr der Direktor davon bei einem Abendessen, von einem Mitbewerber, halb als Klatsch.

Die Täfelchen machen den Ring ausdrücklich. Jeder Lieferant hält einen Schlüssel; eine Anmeldung für alle Kunden. Niemand hat die Schlüssel gezählt, und darum kam die Nachricht über einen Tisch in einem Restaurant und nicht über einen Vertrag. Bei der Unterschrift gewählt ist das letzte Täfelchen, denn der Moment, in dem ein Haus den meisten Einfluss auf die Sicherheit eines Lieferanten hat, ist der, in dem es ihn wählt und unterschreibt.

Die Karte sagt nicht, dass das Haus den falschen Lieferanten gewählt hat. Die Wahl war sorgfältig, und der Lieferant diente seinen Kunden treu. Sie sagt, dass ein Vertrag, der zwölf Jahre gilt, zwölf Jahre lang festlegt, was das Haus über seine Schlüssel erfährt, und dass eine Zeile im Register der Schlüssel das Abendessen überflüssig gemacht hätte.

Der Personaleingang eines Ferienhotels in der Woche vor der Eröffnung: ein Versorgungsflur, Wäschewagen, Stangen mit gebügelten Uniformen. An einem Tisch reicht eine Frau aus der Personalabteilung einer neuen Mitarbeiterin eine Zugangskarte an einem Band. Auf dem Tablett vor ihr liegen viele weitere, alle gleich. Zwei andere Saisonkräfte warten daneben, gut gelaunt, eine klemmt ihre Karte schon an. Hinter dem Tisch steht der Sohn des Eigentümers mit verschränkten Armen und lächelt über die Effizienz des Ganzen.

Die Karte zeigt eine Saison von innen. In Sölden sind im Februar rund sechzig Prozent der Beschäftigten für die Saison eingestellt, einige über eine Personalleasingfirma, viele in der Woche vor der Eröffnung, und die Verträge beginnen so nah am ersten Gast wie möglich, weil jede Woche Lohn davor Kosten ohne Umsatz ist. Das Modell war zehn Jahre lang verfeinert worden. Eine überlassene Rezeptionistin fotografierte in zwei Monaten Nachtdienst die Scans von Ausweisen auf dem Bildschirm, die das Modell ihr zu sehen erlaubte, und ein Polizist aus einem anderen Land rief an, weil mit den Daten Kredite aufgenommen worden waren.

Die Täfelchen beschreiben die Saison. In der Woche davor eingestellt; von einer Vorlage kopiert. Zugriffe nach Lohnliste ist der Kern: Welche Rechte eine Saisonkraft erhält, legt fest, wie und wann das Haus einstellt, nicht eine Entscheidung über Information. Eine Sicherheitsentscheidung ist das letzte Täfelchen, und es nennt, was das Modell immer war, ohne so zu heißen.

Die Karte sagt nicht, dass Saisonkräfte ein Risiko sind. Hunderte von ihnen bedienten jeden Winter die Gäste gut. Sie sagt, dass ein Personalmodell festlegt, wer was sehen kann, bevor irgendjemand über Information nachdenkt, und dass das, was fotografiert wurde, die Scans der Ausweise, im Haus gar nicht hätte sein müssen.

Ein Besprechungsraum in einem sanierten Bau, Ledersessel, Wände aus Stein. Vier Menschen sitzen um den Tisch und beugen sich über einen Ordner, den der Vertreter des IT-Dienstleisters aufgeschlagen hält: der Vorsitzende der Eigentümerin, die Direktorin, ein jüngerer Kollege, der mitschreibt. Im Vordergrund, auf einem kleinen Tisch neben der halb offenen Tür, liegt ein großes Übergabebuch aufgeschlagen, die Seite voller Handschrift, ein Füllhalter quer darüber. Niemand am Tisch sieht hinüber.

Die Karte zeigt die Managementbewertung und das, was sie nicht erreichte. Um Viertel nach drei an einem Dienstagmorgen im Februar hatte der Nachtportier in seiner ordentlichen Handschrift festgehalten, dass ein Anrufer, der sich als Hotline des IT-Dienstleisters ausgab, den Night Auditor gebeten hatte, ein kleines Programm zu installieren, dass der Night Auditor abgelehnt und er selbst beim echten Dienstleister nachgefragt hatte. Die Empfangsleiterin las das Buch auf Gästebeschwerden und Reparaturwünsche hin. Die Bewertung im Herbst hörte den Bericht des Dienstleisters über seine Werkzeuge, und er war in jedem Wort richtig. Fünf Monate nach der Nacht erreichte ein Anrufer mit derselben Geschichte an einem vollen Nachmittag die Buchhaltung.

Die Täfelchen stellen den Tisch gegen die Tür. Am Tisch alles grün; die Warnung stand im Buch. Gebaut, um schlechte Nachrichten zu hören, ist, was die Bewertung hätte sein sollen: eine Tagesordnung, die im Voraus nennt, wo in einem Hotel schlechte Nachrichten aufgeschrieben werden und wer sie mitbringt. Die Nacht sah es zuerst ist das letzte Täfelchen, und in einem Hotel stimmt es fast immer.

Die Karte sagt nicht, dass etwas verborgen wurde. Jeder im Raum sagte die Wahrheit, und der Eigentümer unterschrieb ein Protokoll, das in jedem Wort stimmte. Sie sagt, dass zwischen der Warnung und der Bewertung drei Stockwerke und fünf Monate lagen und dass es niemandes Aufgabe war, das eine zum anderen zu tragen.

Das Office eines großen Hotels: Stahlregale, silberne Cloches, Stapel von Tellern. Ein junger Kellner in weißer Jacke hebt sein Telefon, um ein Blatt zu fotografieren, das am Regal klebt, den Tischplan eines privaten Abendessens, als Oval mit leeren Plätzen gezeichnet. In der Tür hinter ihm hat der Chefconcierge eben gesehen, was er tut, und bleibt stehen, mit ernstem Gesicht.

Die Karte zeigt die älteste Disziplin des Berufs und den Moment, in dem sie fehlt. Das Haus auf der Anhöhe über Gstaad hatte seine Gäste seit Jahrzehnten mit einer Kunst geschützt, die andere Häuser studierten. Zwischen Weihnachten und Neujahr hing der Tischplan für ein privates Abendessen in einem der Salons auf einem Regal im Office, und ein Aushilfskellner, der seit vier Tagen im Haus war, fotografierte ihn. Die Regeln, die das verhindert hätten, kannte nur der Chefconcierge, und sie standen nirgends.

Die Täfelchen beschreiben die älteste Disziplin des Hauses. Die älteste Maßnahme im Haus; Papier, nicht Systeme. Vier Tage im Haus ist die Einzelheit, die den Fall entschied: Diskretion wird gelernt, und niemand hatte sie den Neuesten beigebracht. Diskretion lässt sich lehren ist das letzte Täfelchen und das Argument des Abschnitts: Die Regeln des Chefconcierge sind keine Folklore, sondern eine Maßnahme, die sich aufschreiben, schulen und prüfen lässt.

Die Karte sagt nicht, dass der Kellner böswillig war oder das Bankett schlecht geführt. Sie sagt, dass das System des Hauses seine Datenbanken gut schützte und sein Chefconcierge seine Gäste vortrefflich, und dass die Regel, die den Tischplan vom Regal ferngehalten hätte, nur in einem Kopf existierte.

Ein Backoffice in einem Stadthotel: Postfächer, eine Tafel mit dem Dienstplan, ein Wagen mit Akten. Eine Führungskraft in Hemdsärmeln sitzt mit einem gelben Leuchtstift am Schreibtisch und markiert Zeile um Zeile auf einer langen ausgedruckten Liste, die über die Tischkante bis auf den Boden hängt. Daneben liegt eine zweite Liste, viel kürzer. Jemand aus der IT beugt sich mit einem Laptop über die Schulter, eine Hand vor dem Mund.

Die Karte zeigt die Arbeit, die die neue Direktorin seit ihrem Antritt vorgehabt und nie geschafft hatte, und die sie an dem Samstag tat, an dem achtunddreißig Reservierungen in der Nacht storniert worden waren. Die Stornierungen kamen über eine Internetverbindung außerhalb des Hauses, mit dem Konto eines Nachtauditors, der elf Wochen zuvor gegangen war. Die lange Liste ist die der Konten im Verwaltungssystem, hundertachtundsechzig; die kurze ist die Lohnliste, hundertzehn Beschäftigte. Neunundzwanzig Konten gehörten Menschen, die gegangen waren, sieben Menschen teilten sich eines, und ein gutes Dutzend hielt noch jedes Recht, das man ihnen je gegeben hatte.

Die Täfelchen folgen einem Konto durch sein Leben. Beim Eintritt vergeben; beim Austritt vergessen. Mehr Konten als Menschen ist, was der Schreibtisch zeigt, und das letzte Täfelchen nennt die Regel, die beide Listen gleich lang gehalten hätte: Der Zugriff folgt dem Menschen, durch Eintritt, Wechsel und Austritt, mit einem benannten Menschen, der bei jedem Schritt entscheidet.

Die Karte sagt nicht, dass die Personalabteilung nachlässig war. Ihr Austrittsablauf war sorgfältig, und er endete an der Tür des Gebäudes. Sie sagt, dass ein System, das aus jedem Browser erreichbar ist, nicht an der Tür endet, und dass die meisten Konten, die niemandem mehr gehören, nicht beim Austritt entstehen, sondern beim Wechsel im Haus.

Der Empfang eines alten Hauses zur vollsten Stunde: steinerne Bögen, ein langer Marmortresen, Gepäck und ein Messingwagen. Zwei Rezeptionistinnen arbeiten schnell. Drei Gäste stehen am Tresen, müde, Taschen in der Hand; einer reicht ein Dokument hinüber, während eine Rezeptionistin danach greift. Auf dem Tresen zwischen ihnen liegen zwei gleiche dunkelrote Pässe, nebeneinander.

Die Karte zeigt den Tresen an einem Sommernachmittag, an dem zwei Reisebusgruppen und die Gäste des letzten Schiffes zugleich ankommen und das Haus in zwei Stunden sechzig oder siebzig Menschen eincheckt. An solchen Nachmittagen sammelte der Empfang die Pässe auf einem Tablett, um schneller zu sein. Zwei davon waren im selben Land ausgestellt, für zwei Frauen, deren Namen sich um einen Buchstaben unterschieden, und die eine nahm den Pass der anderen mit nach Hause.

Die Täfelchen beschreiben den Tresen zu dieser Stunde. Die vollste Stunde; zwei gleiche Umschläge. Ansehen, erfassen, zurückgeben ist die Regel in drei Schritten, die der Abschnitt vorschlägt: Das Dokument wird angesehen, so erfasst, wie das Recht es verlangt, und sofort zurückgegeben, ohne die Hand des Gastes lange zu verlassen. Wo ein Gast zu Daten wird ist das letzte Täfelchen, und es nennt den Tresen als das, was er in einem System der Informationssicherheit ist.

Die Karte sagt nicht, dass der Empfang schlecht arbeitete. Er war einer der besten am Bodensee, und jede seiner Gewohnheiten ergab an dem Tag Sinn, an dem sie begann. Sie sagt, dass das Tablett mit den Pässen der schnellste Weg war, Gäste auf ihre Zimmer zu bringen, und an einem Nachmittag der Weg, auf dem eine Frau die Identität einer anderen bekam.

Ein Reservierungsbüro in einem Hotel an der Küste. Die Finanzleiterin, mit Brille, blättert durch einen dicken Ordner mit handschriftlichen Blättern. Der forensische Ermittler neben ihr zeigt auf eine Zeile. Im Vordergrund steht, sauber und unberührt, ein modernes Kartenterminal mit leerem Bildschirm neben einem Telefon.

Die Karte zeigt, wo die Kartennummern eines Hauses wirklich liegen. Der Brief der Acquiring-Bank sprach von einem gemeinsamen Kaufort: Mehrere hundert missbrauchte Karten aus mehreren Ländern waren alle zuvor im Hotel hinter der Düne benutzt worden. Die Finanzleiterin hatte die Terminals sorgfältig gesichert, und sie waren in Ordnung. Die Nummern lagen auf den Wegen, die niemand gezeichnet hatte: in E-Mails, in Notizfeldern der Reservierung, auf Formularen, mit denen Unternehmen die Zimmer ihrer Führungskräfte bezahlten, samt Prüfnummer.

Die Täfelchen stellen beides gegeneinander. Die Terminals waren in Ordnung; das Papier nicht. Besser gar nicht haben ist das Prinzip des Abschnitts: Der billigste und wirksamste Schutz einer Kartennummer besteht darin, sie nie zu halten. Weniger Wege hinein ist die Praxis, die daraus folgt: Kartendaten auf so wenigen Wegen wie möglich annehmen und sie überall, wo das Haus es kann, durch ein Token ersetzen.

Die Karte sagt nicht, dass die Finanzleiterin etwas übersehen hat, das sie hätte kennen müssen. Sie füllte einen ehrlichen Fragebogen über die Wege aus, die sie kannte. Sie sagt, dass die Reservierung Garantien so annahm, wie Reservierungen es immer getan haben, und der Verkauf das Formular benutzte, das jedes Hotel benutzt, und dass die Prüfnummern von einem Haus aufbewahrt wurden, das sie nie gebraucht hatte.

Ein modernes Hotelzimmer, die Vorhänge geschlossen. Über das ganze Bett verteilt liegen in Reihen die vernetzten Geräte, die aus diesem einen Zimmer entfernt wurden: ein Tablet vom Nachttisch, ein Lautsprecher, ein Router, eine kleine Kamera, ein Thermostat, Sensoren, Verteiler, eine Fernbedienung, selbst der Griff des elektronischen Schlosses, jedes mit einem leeren weißen Anhänger. Der Leiter der Technik, im Overall, zeigt dem Direktor ein Tablet; der Direktor sieht auf das Bett, eine Hand vor dem Mund.

Die Karte zeigt, was ein Zimmer enthält, wenn man es zählt. Das Haus in der früheren Zeche war eines der ersten im Ruhrgebiet, das mit seiner Technik warb: Tablet, Fernseher zum Streamen, vernetztes Thermostat, Minibar mit Sensoren. Das Verzeichnis, das der neue IT-Dienstleister erhielt, nannte zweiundsechzig Geräte. Sein erster Scan fand dreihunderteinundvierzig, und viele davon hingen im selben Netz wie die Verwaltung, mit den Passwörtern, mit denen sie ausgeliefert worden waren.

Die Täfelchen lesen sich wie das Ergebnis des Scans. Wenige gezählt; viel mehr gefunden. Jedes Gerät ist ein Rechner ist das Prinzip, und Trennen und unterstützen ist, was daraus folgt: jedes Gerät mit einer Netzadresse zählen, die Geräte nach Vertrauen trennen und sie unterstützt halten oder ersetzen.

Die Karte sagt nicht, dass die Technik des Hauses schlecht gewählt war. Der Entwickler wählte ausgezeichnete Geräte, der Integrator baute sie gut ein, und die Gäste liebten sie. Sie sagt, dass das Verzeichnis zweiundsechzig Geräte zählte, weil es von Menschen aufgestellt worden war, die wussten, wie ein Rechner aussieht, und dass ein Thermostat nicht so aussieht.

Ein Etagenoffice mit Regalen voll gefalteter Wäsche. Fünf Mitarbeitende in Uniform stehen beim Schichtwechsel eng zusammen, jeder mit dem eigenen Telefon voller Nachrichtenblasen. In der Mitte hält jemand vom Empfang sein Telefon einem Kollegen hin: Auf dem Bildschirm ist das Foto eines Ausweises zu sehen. In der Tür beobachtet der Direktor sie alle, eine Hand am Kinn.

Die Karte zeigt, wie ein Hotel wirklich geführt wird. Es gab eine Gruppe für den Empfang, eine für die Etage, eine für die Technik, eine für jedes Restaurant und eine große mit etwa hundertsechzig Mitgliedern. Die Assistentin eines Gastes schickte aus dem Zug das Foto seines Personalausweises an die Concierge, die es an die Empfangsgruppe weiterleitete, damit der Spätdienst ihn anmelden konnte, obwohl deutsche Gäste seit 2025 keinen Meldeschein mehr ausfüllen. Jemand leitete es an einen früheren Kollegen weiter, der noch Mitglied war, und binnen eines Tages stand es im Internet.

Die Täfelchen sind das Argument des Abschnitts in vier Schritten. Die Gruppe führt das Haus; das schnellste Werkzeug gewinnt. Ein Verbot wirkt nicht, weil Menschen, die nicht am Schreibtisch arbeiten, immer das Werkzeug benutzen werden, das ihre Kollegen am schnellsten erreicht. Etwas Besseres anbieten ist die Antwort: ein Werkzeug, das das Haus steuert, so schnell wie das, das es ersetzt, mit Regeln dafür, was darüber gehen darf.

Die Karte sagt nicht, dass jemand in böser Absicht gehandelt hat. Die Concierge nahm ein Dokument so entgegen, wie Gäste es wünschten, das Team benutzte die Gruppe, die seine Arbeit möglich machte, und der Direktor hatte zwei Jahre zuvor eine vernünftige Anweisung verschickt, die nach einem Monat vergessen war. Sie sagt, dass eine Anweisung gegen das schnellste Werkzeug im Haus nicht gewinnt und ein besseres Werkzeug schon.

Der Tisch des Nachtaudits um drei Uhr morgens, die Halle dahinter im Halbdunkel. Der Nachtportier sitzt mit beiden Händen von der Tastatur erhoben und hält sein eigenes Telefon, um den Bildschirm zu fotografieren. Auf dem Bildschirm ist ein schlichtes graues Fenster geöffnet, und ein Mauszeiger ruht in seiner Mitte und bewegt sich von selbst. Eine Tasse Tee und ein Stapel Rechnungen warten auf dem Tisch.

Die Karte zeigt sieben nach drei an einem Mittwochmorgen an der Traun. Der Zeiger verließ den Bericht, den der Nachtportier las, öffnete ein Fenster und begann, Befehle zu schreiben. Er nahm die Hände von der Tastatur, fotografierte den Bildschirm und rief den Bereitschaftsdienst an. Es war eine Wartung des Anbieters, von einer Außenstelle in Südostasien, wo es Vormittag war, und niemand hatte es dem Haus gesagt. Die Frage des nächsten Morgens fand sechs Fernwartungsprogramme in drei Häusern, vier davon jederzeit offen, und in einem Protokoll eine Sitzung, die nicht dem Anbieter gehörte.

Die Täfelchen gehen vom Ereignis zur Regel. Der Zeiger bewegte sich von selbst; immer verbunden. Eine Tür, ein Pförtner ist die Maßnahme, die der Abschnitt vorschlägt: Jeder Dienstleister erreicht das Haus über einen einzigen Weg, den das Haus steuert, geöffnet, wenn das Haus zustimmt, für benannte Menschen, und aufgezeichnet. Er tat genau das Richtige ist das letzte Täfelchen, und es gehört ihm.

Die Karte sagt nicht, dass Fernwartung ein Übel ist oder die Dienstleister leichtfertig arbeiteten. Jeder installierte das Programm, das er für alle seine Kunden benutzte, und ein Techniker am anderen Ende der Welt legte eine Wartung in eine ruhige Stunde. Sie sagt, dass das Haus sechs Türen hatte und keinen Pförtner, und dass der einzige Mensch, der in dieser Nacht richtig handelte, es tat, ohne dass ihm das Haus je gesagt hatte, wie.

Eine große Hotelhalle um zwei Uhr morgens, voller Hochzeitsgäste in Abendkleidung. Am Empfang zeigt die Nachtmanagerin in eine Richtung und gibt Anweisungen, ruhig und entschlossen; zwei Kollegen neben ihr schreiben von Hand auf Papierformulare. Die Bildschirme entlang des Tresens sind dunkel. Rechts, am Ende des Tresens, steht der Drucker, sein Fach leer. Drei Gäste am Tresen warten, geduldig und besorgt.

Die Karte zeigt einen Samstag mit drei Hochzeiten, zweihundertachtzig Ankünften und einem vollen Haus. Um neun nach zwei wurde der erste Bildschirm schwarz, um zwanzig nach zeigte jeder Bildschirm im Haus dieselbe Nachricht in roten Buchstaben. Das Verwaltungssystem in der Cloud lief weiter, aber kein Rechner im Gebäude konnte es erreichen. Die Liste, die der Nachtmanagerin gesagt hätte, wer in welchem Zimmer war, war abgeschafft worden, um Papier zu sparen, und die Sicherung, die das Haus in Stunden wiederhergestellt hätte, lag im selben Netz wie der Angriff.

Die Täfelchen beschreiben die Nacht und ihre Lehre. Jeder Bildschirm schwarz; die Liste abgeschafft. Vor dem Angriff entschieden ist das Prinzip: Wie ein Haus nach einem Angriff weiterarbeitet, legt fest, was es vorher bereithält. Bereit, nicht in Gebrauch ist das letzte Täfelchen und das praktischste, denn die Rückfallebenen sollen vorbereitet und geprobt sein, nicht jeden Tag neben den Systemen laufen.

Die Karte sagt nicht, dass der Direktor falsch gespart hat oder der Dienstleister die Sicherungen schlecht führte. Beide taten ihre Arbeit zuverlässig, und ein Plan war geschrieben und freigegeben. Sie sagt, dass eine Nachtmanagerin alles tat, was sie mit dem tun konnte, was sie hatte, und dass das Haus über das, was sie hatte, Monate vorher entschieden hatte.

Ein Besprechungsraum mit Backsteinwänden. Ein großes Bewertungsraster bedeckt die Wand, Reihe um Reihe von Kästchen, alle angekreuzt. Ganz unten verläuft eine Reihe leerer Kästchen. Eine Abteilungsleitung steht mit einem Stift am Raster und kreuzt noch oben an; zwei Kollegen studieren es. Im Vordergrund liest die Betriebsleiterin eine E-Mail auf einem Laptop, eine Hand vor dem Mund; auf dem Bildschirm ist nur ein heller, fröhlicher Banner.

Die Karte zeigt eine gründliche Auswahl und ihre Folge. Ein Ausschuss der Abteilungsleitungen hatte hundertsechsundachtzig Anforderungen aufgestellt und vier Anbieter drei Monate lang daran gemessen, und das Haus wählte das beste System für seine Arbeit. Zwei Jahre später kündigte eine fröhliche E-Mail an, dass der Anbieter übernommen worden sei und das System in zwölf Monaten eingestellt werde. Die Fragen zum Ausstieg, zu den Daten, zu ihrem Ort und zu ihrer Löschung standen nicht auf der Liste.

Die Täfelchen folgen der Auswahl bis zu ihrer Folge. Nach Funktionen bewertet; niemand fragte nach dem Ausstieg. Vor der Unterschrift umsonst ist der Moment, in dem ein Anbieter den Vertrag will und jede vernünftige Frage beantwortet. Danach teuer ist, was dieselben Antworten kosten, sobald das Haus von dem System abhängt.

Die Karte sagt nicht, dass der Ausschuss schlecht gewählt hat. Sie sagt, dass die Fragen zur Information des Hauses nicht auf der Liste standen, weil niemand im Ausschuss für sie zuständig war, und dass das Haus die Antworten aus einer fröhlichen E-Mail erfuhr, zu einem Zeitpunkt, an dem es keine Wahl mehr hatte.

Der Spindgang einer Hoteltherme am frühen Morgen, geschlossen und leer: steinerne Bögen, warme Lampen, Reihen hölzerner Spinde, gefaltete Handtücher. Ein Techniker auf einer Trittleiter schraubt eine kleine Kuppelkamera hoch an der Wand über den Spinden ab. Unter ihm hält die Spa-Leiterin die Leiter fest und sieht hinauf, erleichtert und entschlossen.

Die Karte zeigt das Ende einer Kamera, die für einen guten Zweck aufgehängt wurde. Nach sechs Diebstählen aus den Spinden bat die Spa-Leiterin um Hilfe, und binnen einer Woche hing die Kamera, auf die Spinde gerichtet. Die Diebstähle hörten auf. Der Installateur hatte sie so ausgerichtet, dass sie jeden Spind erfasste, und damit auch die Bänke davor, auf denen sich die Gäste umzogen. Nachts war die Monitorwand von Wachleuten eines Sicherheitsdienstes besetzt, und einer von ihnen filmte über Monate Ausschnitte mit seinem eigenen Telefon ab.

Die Täfelchen stellen die zwei Seiten des Tausches nebeneinander. Die Diebstähle hörten auf; alle wurden aufgenommen. Entscheiden, was sie nie zeigen darf ist das Prinzip, und es kommt vor jeder Entscheidung darüber, wo eine Kamera hängen soll. Die Würde geht vor ist das letzte Täfelchen, zufällig neben der Tür zu den Umkleiden.

Die Karte sagt nicht, dass Kameras in einer Therme nie richtig sein können. Sie sagt, dass niemand entschieden hatte, dass die Kamera die Bänke erfasste: Die Spa-Leiterin bat um Schutz der Spinde, der Sicherheitsverantwortliche bat den Installateur, sie abzudecken, und der Installateur tat genau das. Keine Entscheidung war darüber getroffen worden, was sie nicht zeigen durfte und wer zusehen durfte.

Das Büro der Veranstaltungsdirektorin in einem großen Hotel, früh am Morgen. Sie steht am Schreibtisch, den Hörer am Ohr, hält eine leere gepolsterte Laptophülle offen und sieht erschrocken hinein. Auf dem Tisch liegen ein Band mit einem leeren Teilnehmerausweis, ein Stapel Mappen und ihre Autoschlüssel. Regale mit Veranstaltungsakten füllen die Wand hinter ihr.

Die Karte zeigt den Morgen vor den ersten Ankünften einer dreitägigen Konferenz einer internationalen Organisation, mit zweihundertzwanzig Delegierten, einige davon Ministerinnen und hohe Beamte. Die Veranstaltungsdirektorin hatte monatelang daran gearbeitet, das Team der Organisatorin zum Essen ausgeführt, noch eine späte Besprechung gehabt und war mit dem Taxi nach Hause gefahren. Um neun Uhr bemerkte sie, dass die Tasche fehlte. Auf dem Laptop lag eine Tabelle aus dem Veranstaltungssystem, und der Laptop war nicht verschlüsselt.

Die Täfelchen sagen es so schlicht wie der Abschnitt. Im Taxi liegen gelassen. Verschlüsselt ist er verloren; unverschlüsselt ist er ein Vorfall. Sofort melden ist das letzte Täfelchen und das Einzige, was ihr an diesem Morgen noch in der Hand liegt: Je früher der Verlust gemeldet ist, desto früher lässt sich das Gerät löschen und die Frage beantworten, was jetzt wem geschuldet wird.

Die Karte sagt nicht, dass die Veranstaltungsdirektorin weniger sorgfältig war als andere. Der Empfangsleiter, der in derselben Woche sein Telefon verlor, war es auch nicht. Sie sagt, dass sein Gerät als Grundeinstellung verschlüsselt war und ihres nicht, weil niemand darum gebeten hatte, und dass dieser eine Unterschied darüber entschied, ob der Morgen eine Kleinigkeit oder eine Meldung war.

Ein Büro der Leitung an einem Montagmorgen. Sechs Menschen drängen sich um einen Schreibtisch, jeder mit einem Telefon oder einer Kopie derselben ausgedruckten Seite. Einer reicht ein Blatt an den nächsten weiter, eine telefoniert, eine breitet die Hände aus, selbst der Küchenchef in weißer Jacke ist hineingezogen worden. Am Kopfende des Tisches ist der Stuhl der Direktorin leer, ihre Jacke hängt über der Lehne.

Die Karte zeigt, was geschieht, wenn eine Warnung ein Haus erreicht, das nicht weiß, wer entscheidet. Die E-Mail eines Informatikstudenten, der sich als Sicherheitsforscher vorstellte, kam an einem Freitag um zehn nach fünf an die allgemeine Adresse: Über den Bestätigungslink der Website ließ sich die Buchung eines anderen Gastes sehen. Sie wurde am Montag um zwanzig nach neun gelesen. Die Direktorin war auf Urlaub. Eine Reservierungsmitarbeiterin erkannte den Namen eines Stammgastes und schlug Alarm, und ein stellvertretender Direktor leitete die Nachricht an alle weiter, die es wissen mussten.

Die Täfelchen beschreiben den Raum und was ihm fehlte. Am Montag gelesen; an alle weitergeleitet. Wer entscheidet? ist die Frage, die die ganze Szene stellt, und der leere Stuhl ist die einzige Antwort in ihr. Vorher vorbereitet ist das letzte Täfelchen und das Argument des Abschnitts: Wer zu jeder Stunde entscheidet, mit Stellvertretung, eine kurze Reihe von Fragen für die erste Stunde und eine Art, Beweise zu sichern, lassen sich im Voraus schreiben, und nichts davon kostet etwas.

Die Karte sagt nicht, dass jemand in diesem Raum falsch gehandelt hat. Ob die Meldung fristgerecht war, bleibt eine Frage des Einzelfalls, und die Karte entscheidet sie nicht. Sie sagt, dass die Uhr der zweiundsiebzig Stunden mit der Kenntnis läuft und nicht mit dem Montag, dass die Warnung an einer Adresse ankam, die niemand am Wochenende las, und dass der Student, der das Haus höflich gewarnt hatte, drei Tage auf eine Antwort wartete.

Das Ende eines Konferenzsaals in einem alten Haus, weiße Wände, dunkle Balken, Laternen; eine Sitzung läuft, Reihen von Teilnehmenden blicken zu einem Redner am Pult. Im Vordergrund zeigt ein Teilnehmer mit Namensband und einem Laptop unter dem Arm in einen offenen Netzwerkschrank an der Wand. Der IT-Leiter des Hauses sieht hin, eine Hand am Kinn. Im Schrank laufen Bündel blauer und Bündel gelber Kabel in dieselben Geräte.

Die Karte zeigt eine Tagung über Betrug im Zahlungsverkehr, dreihundert Teilnehmende, viele davon beruflich mit Informationssicherheit befasst. Einer, vom Vortrag gelangweilt, verband sich mit dem Gäste-WLAN und sah nach, was sonst noch im Netz war: die Drucker im Backoffice, einen Dateiserver mit einem Ordner namens Comptabilité, den Rechner der Medientechnik und die Laptops anderer Teilnehmender. Um Viertel nach zehn veröffentlichte er ein Bildschirmfoto. Das Netz war richtig entworfen worden. Achtzehn Monate zuvor hatte ein Techniker für eine Veranstaltung zwei seiner Teile verbunden, und die Verbindung überlebte die Veranstaltung.

Die Täfelchen beschreiben das Netz, wie es ist und wie es sein sollte. Fremde im Netz, jede Nacht und an jedem Tag jeder Veranstaltung; ein flaches Netz dahinter. Die Trennung geht leicht verloren, denn jede Veranstaltung, jeder Lieferant und jede Bequemlichkeit drängt dazu, Dinge zu verbinden. Jemand muss es verantworten ist das letzte Täfelchen, und es ist die einzige Maßnahme, die die Trennung über die nächste Änderung hinaus am Leben hält.

Die Karte sagt nicht, dass der Techniker einen Fehler gemacht hat. Die Veranstaltung brauchte die Verbindung, und eine Medientechnikfirma bediente einen anspruchsvollen Kongress gut. Sie sagt, dass eine vorübergehende Verbindung einen Eintrag mit Enddatum und einen Menschen braucht, der ihn schließt, und dass das Haus beides nicht hatte, bis ein Gast es öffentlich machte.

Der Empfang eines Hauses mit Steinwänden, ein geschnitzter Tresen, gewebte Kissen. Die Rezeptionistin hält den Hörer des Haustelefons ans Ohr und liest von ihrem eigenen Mobiltelefon ab, auf dem eine Reihe leerer Kästchen einen Code zeigt. Sie ist hilfsbereit und ahnungslos. An der Wand hinter ihr hängt, gerahmt und mit Stolz aufgehängt, das Zertifikat der Sicherheitsschulung des Hauses.

Die Karte zeigt einen Samstagabend im Dezember, acht Tage nachdem das ganze Haus seine jährliche Schulung abgeschlossen hatte, mit einem Abschluss von hundert Prozent. Ein Anrufer in fließendem Deutsch sagte, er sei vom Support der Buchungsmaschine der Website und müsse das Administratorkonto des Hauses zurücksetzen; die Rezeptionistin werde gleich einen Code bekommen. Sie zögerte und las ihn vor. Mit dem Code änderte der Anrufer das Bankkonto, auf das die Vorauszahlungen der Gäste flossen, und zwischen Weihnachten und Neujahr gingen rund hundertvierzigtausend Euro ins Ausland.

Die Täfelchen stellen den Kurs gegen den Tresen. Alle haben ihn abgeschlossen; nichts hat sich verändert. Eine kurze Liste des Niemals ist die Alternative: eine Handvoll Dinge, die das Haus nie tut, wer auch immer fragt, genau für jede Rolle. Geübt, bis es sitzt ist das letzte Täfelchen, und es nennt das einzige Maß des Bewusstseins, auf das es ankommt: das Verhalten im Moment des Drucks.

Die Karte sagt nicht, dass die Rezeptionistin unaufmerksam war oder die Direktorin die Schulung nicht ernst nahm. Sie kaufte einen angesehenen Kurs, und die Rezeptionistin bestand das Quiz mit voller Punktzahl. Sie sagt, dass der Kurs über Banken und starke Passwörter belehrte und kein Wort über Anrufe und Codes enthielt, und dass niemand ihr gesagt hatte, dass kein echter Lieferant sie je nach einem Code fragen würde.

Ein kleiner IT-Raum in einem Tagungshotel. Ein großer Monitor füllt die linke Seite des Bildes, bedeckt mit einem Raster rot und gelb leuchtender Felder, dringend und unbeantwortet. Der Stuhl davor ist leer, zurückgeschoben. Daneben steht ein Gestell mit Geräten und kleinen grünen Lichtern. In der Tür rechts, die auf einen Versorgungsflur mit einem Wäschewagen führt, sind die Auditorin der Zertifizierungsstelle und die Systemkoordinatorin eben stehen geblieben, als sie den Bildschirm sahen.

Die Karte zeigt eine Routinefrage beim Überwachungsaudit und die Stunde danach. Das Haus hatte einen Überwachungsdienst gekauft, der lernte, Gewöhnliches von Verdächtigem zu unterscheiden. Nach einem Streit mit dem Betriebsrat einigte man sich mündlich, dass die Warnungen nur an den IT-Leiter gehen sollten, damit keine Führungskraft das Verhalten der Beschäftigten einsehen könne. Der IT-Leiter ging, sein Postfach wurde geschlossen, wie es sein sollte, und die Weiterleitung blieb. Unter den Warnungen der folgenden Monate war eine erfolgreiche Anmeldung an der Buchhaltung aus einem Land, in dem das Haus niemanden beschäftigte.

Die Täfelchen folgen der Warnung vom Werkzeug zum Menschen. Es sah alles; niemand hörte zu. Warnungen gehen an eine Rolle ist die erste Regel des Abschnitts: eine Stelle, die vertraglich beobachtet wird, und ein benannter Empfänger im Haus, nie das Postfach eines einzelnen Menschen. Den Weg prüfen ist die zweite, und sie kostet ein paar Minuten im Monat: eine Testwarnung schicken und bestätigen, dass jemand sie erhalten hat.

Die Karte sagt nicht, dass der Betriebsrat im Weg stand. Er schützte die Beschäftigten, wie es seine Aufgabe ist, und seine Frage, wer die Daten zu sehen bekommt, war die richtige. Sie sagt, dass der Kompromiss mündlich blieb und an einem Menschen hing statt an einer Rolle, und dass eine Betriebsvereinbarung, die die Rolle genannt hätte, die Beschäftigten und das Haus zugleich geschützt hätte.

Ein kleines Büro hinter der Rezeption eines Hauses am Inn, zwei Uhr morgens. Links steht ein alter beiger Rechner mit dunklem Bildschirm, daneben der hohe graue Schrank der Telefonanlage mit seinen leeren Steckplätzen, und eine Schreibtischlampe gibt das einzige warme Licht. Auf der Theke liegen nebeneinander drei gleiche weiße Blätter. Die Nachtportierin drückt mit einer Hand den Einschaltknopf des Rechners und zeigt mit der anderen auf den Schrank; neben ihr steht der Direktor mit verschränkten Armen und hört zu. Durch die offene Tür dahinter sieht man das Foyer mit dem Schlüsselbrett und einem Gepäckwagen.

Die Karte zeigt die Nacht, in der der Direktor die Rechner mit eigenen Augen sah. Dreimal war die Feststellung zu den vier Rechnern ohne Unterstützung geschlossen worden, jedes Mal mit einem Rundschreiben, und beim Rezertifizierungsaudit im September 2026 kam sie ein viertes Mal, mit dem Brief der Acquiring-Bank. Florian Egger blieb eine Nacht im Haus, und die Nachtportierin Theresia Mair erklärte ihm um zwei Uhr morgens, während sie einen der Rechner neu startete, woran jeder der vier hing: an einer sechzehn Jahre alten Telefonanlage, einem Spa-Programm, einer Kassenlizenz und einem Rechnungsprogramm. Die drei weißen Blätter auf der Theke sind die drei Rundschreiben, und der Rechner daneben muss immer noch jede Nacht neu gestartet werden.

Die Täfelchen zählen und fragen. Dreimal geschlossen und Dreimal zurückgekommen stehen oben nebeneinander, weil die erste Tabelle des Abschnitts das ganze Kapitel in vier Zeilen ist: Dreimal wurde etwas geschlossen, und in der Spalte daneben steht zweimal «nichts» und einmal eine Maßnahme, die niemand geprüft hatte. Ein Rundschreiben ändert das Papier ist die Probe des Abschnitts: zu fragen, was die Maßnahme ändert, das die letzte nicht geändert hat. Die Ursache saß im Investitionsplan ist das Argument. Der Ersatz der Telefonanlage stand seit vier Jahren darin und wurde jedes Jahr verschoben, und niemand hatte der Eigentümerfamilie gesagt, dass diese Verschiebung der Grund einer Feststellung der Informationssicherheit war.

Die Karte sagt nicht, dass der Direktor oder der IT-Dienstleister versagt hätte. Das Rundschreiben war vernünftig, und der Dienstleister war um etwas gebeten worden, das nur ein Kauf leisten konnte. Sie sagt, dass die Ursache bei denen lag, die das Budget halten, und dass keine Korrekturmaßnahme sie erreichen konnte, solange sie bei dem blieb, der die Feststellung erhalten hatte.