“The transfer of allegiance from paradigm to paradigm is a conversion experience that cannot be forced.” — Thomas S. Kuhn, The Structure of Scientific Revolutions (1962)
Die Frage, die niemand stellt
In der Welt der Cybersicherheit herrscht ein seltsames Paradoxon: Wir haben mehr Tools, mehr Experten und mehr Budgets als je zuvor – und dennoch verlieren wir an Boden. Die übliche Antwort lautet: Die Angreifer werden besser. Doch was, wenn das Problem tiefer liegt? Was, wenn wir gar nicht wissen, worüber wir eigentlich sprechen?
Der Wissenschaftsphilosoph Thomas Kuhn hat in seinem Hauptwerk Die Struktur wissenschaftlicher Revolutionen einen Zustand beschrieben, der unsere Situation präzise erfasst: die vor-paradigmatische Phase. Es ist der Zustand einer Disziplin, bevor sie zur Wissenschaft wird.
Was bedeutet „vor-paradigmatisch“?
Kuhn beobachtete, dass junge Wissenschaften eine charakteristische Entwicklung durchlaufen. Vor der Etablierung eines ersten gemeinsamen Paradigmas existieren konkurrierende Schulen nebeneinander. Jede entwickelt eigene Begriffe, eigene Methoden, eigene Erklärungsmodelle. Sie beobachten dieselbe Realität – aber sie können ihre Beobachtungen nicht vergleichen, nicht kombinieren, nicht aufeinander aufbauen.
Der Durchbruch kommt nicht durch bessere Instrumente oder mehr Daten. Er kommt durch eine gemeinsame Grundlage: Axiome, Definitionen, eine Sprache, die alle teilen.
Klicken zum Umschalten
Die Physik vor Newton. Die Chemie vor Lavoisier. Die Medizin vor der Keimtheorie. In jeder dieser Disziplinen gab es brillante Praktiker, nützliche Techniken, partielles Wissen. Was fehlte, war das Fundament, das aus Handwerk Wissenschaft macht.
Die Symptome in der Cybersecurity
Betrachten wir die aktuelle Landschaft durch diese Linse:
- Fragmentierte Terminologie CrowdStrike spricht von „eCrime“ und „targeted intrusion“. Mandiant kategorisiert nach Akteursgruppen. ENISA verwendet wieder andere Taxonomien. Verizon strukturiert seinen DBIR nach Patterns. Sie alle beobachten dieselben Angriffe auf dieselbe digitale Infrastruktur – doch ihre Berichte lassen sich nicht vergleichen, nicht zusammenführen, nicht in konsistente Schutzmassnahmen übersetzen.
- Semantische Diffusion Was bedeutet „Bedrohung“? Was ist ein „Risiko“? Was genau ist der „Schutzbedarf“? Fragen Sie zehn Experten, und Sie erhalten zwölf Antworten. Nicht weil die Experten inkompetent wären – sondern weil es keine gemeinsamen Definitionen gibt, auf die sie sich beziehen könnten.
- Control-first statt Cause-first Regulierungen und Standards schreiben Kontrollen vor, ohne die Bedrohungen zu benennen, gegen die diese Kontrollen schützen sollen. Das ist, als würde ein Arzt Medikamente verschreiben, ohne je eine Diagnose zu stellen. Es funktioniert manchmal – aber es ist keine Medizin. Es ist Hoffnung.
Das Messproblem hinter dem Sprachproblem: Wir können nicht messen, was wir nicht benennen können. Wir können nicht vergleichen, was unterschiedlich definiert ist. Jede Organisation kämpft für sich, weil wir keine gemeinsame Basis haben, um Erfahrungen zu teilen.
Warum technische Bedrohungen wissenschaftlichen Prinzipien folgen
Manche mögen einwenden: Cybersecurity sei keine „echte“ Wissenschaft, keine Naturwissenschaft. Doch dieser Einwand übersieht etwas Wesentliches.
Cyber-Bedrohungen sind kausal und reproduzierbar. Ein Buffer Overflow folgt denselben Prinzipien in Berlin wie in Bangalore. SQL Injection funktioniert nach identischen Mechanismen, unabhängig davon, wer sie ausführt. Social Engineering nutzt universelle kognitive Muster aus, die in der menschlichen Psychologie verankert sind.
Das sind keine zufälligen Ereignisse. Es sind systematische Ausnutzungen von Gesetzmässigkeiten. Wo Kausalität herrscht, wo Reproduzierbarkeit möglich ist, wo Vorhersagen getroffen werden können – dort gelten die Regeln wissenschaftlicher Erkenntnis.
Die Frage ist nicht, ob Cybersecurity wissenschaftlichen Prinzipien folgt. Die Frage ist, warum wir noch keine gemeinsame wissenschaftliche Grundlage etabliert haben.
TLCTC: Das fehlende Fundament
Das Top Level Cyber Threat Clusters Framework ist der Versuch, diese Grundlage zu schaffen. Nicht als Ersatz für bestehende Frameworks – NIST CSF, ISO 27001, MITRE ATT&CK leisten wertvolle Arbeit. Aber sie alle setzen etwas voraus, das nie explizit definiert wurde: eine konsistente Taxonomie der Ursachen.
TLCTC ordnet Bedrohungen nach der generischen Schwachstelle, die sie ausnutzen – nicht nach Outcomes wie „Ransomware“ oder „Datenleck“. Zehn Cluster. Zehn fundamentale Angriffsvektoren. Eine Struktur, die sich auf jede Umgebung anwenden lässt.
Was das ermöglicht
Die Einladung
Ein Paradigma etabliert sich nicht durch Dekret. Es etabliert sich, indem es Probleme löst, die vorher unlösbar schienen. Indem es Kommunikation ermöglicht, die vorher unmöglich war. Indem es Praktikern Werkzeuge gibt, die tatsächlich funktionieren.
TLCTC ist ein Vorschlag. Eine Hypothese. Ein Fundament, das getestet werden will. Die Anomalien des aktuellen Zustands sind offensichtlich: Berichte, die sich nicht vergleichen lassen. Standards, die Kontrollen vorschreiben, ohne Bedrohungen zu benennen. Experten, die aneinander vorbeireden, weil sie keine gemeinsame Sprache haben.
Die Frage ist nicht, ob wir ein gemeinsames Paradigma brauchen. Die Frage ist, ob wir bereit sind, eines zu bauen. TLCTC ist unter CC BY 4.0 lizenziert. Nutzen Sie es, testen Sie es, brechen Sie es – und teilen Sie mit, was fehlt.
Addendum: Ein kurzer Spaziergang durch die Wissenschaftstheorie
Wer sich mit Kuhn beschäftigt, begegnet unweigerlich drei weiteren Namen, die das Nachdenken über wissenschaftliche Erkenntnis geprägt haben. Ihre Perspektiven werfen zusätzliches Licht auf das, was TLCTC zu leisten versucht.
Karl Popper — Widerlegung
Die Einladung zur Widerlegung: Popper stellte ein radikales Kriterium auf: Eine Theorie ist nur dann wissenschaftlich, wenn sie falsifizierbar ist. Nicht die Bestätigung zählt, sondern die Möglichkeit der Widerlegung. Eine Aussage, die mit allem vereinbar ist, sagt nichts aus.
Für TLCTC bedeutet das: Das Framework stellt eine überprüfbare Behauptung auf. Wenn sich zeigt, dass die zehn Cluster wesentliche Bedrohungsklassen nicht erfassen – wenn Anomalien auftauchen, die sich nicht einordnen lassen – dann muss das Framework angepasst oder verworfen werden. Das ist kein Makel, sondern Qualitätsmerkmal. „Nutzen Sie es, brechen Sie es“ ist im Grunde Poppers Imperativ in anderer Sprache.
Rudolf Carnap — Präzision
Die Sehnsucht nach präziser Sprache: Carnap, einer der Köpfe des Wiener Kreises, widmete sein Leben der Frage: Wie bauen wir eine Sprache, in der Missverständnisse strukturell unmöglich werden? Seine Antwort waren formale Systeme – syntaktisch exakt, semantisch eindeutig.
Die „semantische Diffusion“ der Cybersecurity hätte Carnap als Symptom einer unzureichend formalisierten Sprache diagnostiziert. Wenn „Bedrohung“ in zehn Kontexten zehn Bedeutungen hat, dann fehlt nicht Expertise – es fehlt eine gemeinsame Grammatik. TLCTC ist in gewisser Weise ein carnapianisches Projekt: der Versuch, die Grundbegriffe so zu definieren, dass sie über Kontexte hinweg stabil bleiben. Nicht aus Pedanterie, sondern weil präzise Kommunikation die Voraussetzung für kollektives Handeln ist.
W. V. O. Quine — Holismus
Keine Aussage steht allein: Quine widersprach der Idee, dass einzelne Aussagen isoliert überprüft werden können. In seinen „Two Dogmas of Empiricism“ argumentierte er: Unsere Überzeugungen bilden ein Netz. Wenn ein Experiment scheitert, können wir verschiedene Knoten im Netz anpassen – nicht nur die offensichtlichste Hypothese.
Für die Cybersecurity ist das eine unbequeme Wahrheit. Wenn ein Angriff erfolgreich ist, liegt es dann an der Firewall? Am Prozess? Am Menschen? An der Architektur? Die Antwort ist fast immer: an mehreren Stellen gleichzeitig, in Wechselwirkung. TLCTC versucht nicht, diese Komplexität zu leugnen. Aber es bietet eine Struktur, um die Knoten im Netz zu benennen. Erst wenn wir wissen, welche Faktoren interagieren, können wir sinnvoll über ihre Wechselwirkungen sprechen.
Warum diese Namen?
Nicht, um akademische Autorität zu borgen. Sondern weil diese Denker Probleme bearbeitet haben, die uns in der Cybersecurity täglich begegnen – auch wenn wir sie selten so benennen:
Die Cybersecurity hat diese Fragen lange ignoriert. Vielleicht ist es Zeit, sie zu stellen.
Referenzen
- Kuhn, T. S. (1962). The Structure of Scientific Revolutions. University of Chicago Press.
- Popper, K. (1934). Logik der Forschung.
- Carnap, R. (1934). Logische Syntax der Sprache.
- Quine, W. V. O. (1951). Two Dogmas of Empiricism. The Philosophical Review, 60(1).
- Kreinz, B. TLCTC — Top Level Cyber Threat Clusters. CC BY 4.0.