Lektionen in Sicherheit ohne Sicherheit: Wie zwei Damen aus der Welt der Online-Notizblöcke und Werbebroschüren ein weltweites Theater der „Sicherheit“ errichtet haben

Sie scrollen die Website von TradingView ganz nach unten, und direkt unter der Zeile „© 2026 TradingView, Inc.“ springen Ihnen zwei riesige Buttons in strengen Rahmen ins Auge: SOC 2 Compliant mit rundem Siegel und GDPR Compliant, umringt von den EU-Sternchen. Das wirkt monumental — sofort empfinden Sie Respekt vor den knallharten Sicherheitsleuten der Plattform. Aus reiner Neugier klicken Sie auf diese Plaketten, um zu sehen, wie genau diese uneinnehmbare Rüstung geschmiedet wurde, und landen auf der Seite trust.tradingview.com.

Und genau hier, sobald man anfängt nachzubohren, tut sich ein Absurdistan auf, bei dem man nicht weiß, ob man lachen oder weinen soll.

Im Schaufenster prangen die Siegel von SOC 2, PCI DSS 4.0.1, GDPR und DORA, daneben tickt munter eine grüne Anzeige: „Updated 4 minutes ago“ — soll heißen: Vor vier Minuten haben wir alle Schlösser geprüft, die Grenze ist dicht. Darunter reihen sich zwanzig gewichtige Punkte zum Schutz der Infrastruktur: Serverzugriff streng über kryptografische Schlüssel, getrennte Netze, Verschlüsselung läuft, das Angriffserkennungssystem schläft nie.

Sie schauen genauer hin — und die Spalte mit den tatsächlichen Prüfstatus ist schlicht leer. Die Berichte selbst stecken hinter dem Button „Zugang anfordern“, und da lässt niemand einen x-Beliebigen von der Straße rein. Aber das Komischste ist nicht einmal das: Keiner der zwanzig furchteinflößenden Punkte auf der Seite stammt von Ingenieuren von TradingView. Die ganze „Festung“ wurde komplett nach einer fertigen Vorlage von einer amerikanischen Drittfirma namens Vanta generiert.

Um zu beweisen, dass keine Einbrecher im Haus sind, lassen Sie Fremde in jedes Schlafzimmer

Wie funktioniert dieses Geschäft? In der Konzernwelt verlangt man von Diensten einen Wisch vom Prüfer — eben jenes SOC-2-Zertifikat. Früher hieß das, monatelang leibhaftige Prüfer im Büro zu ertragen, die sich zäh durch die Servereinstellungen wühlten. Dann kam Vanta und bot der Branche einen genialen Cheatcode an: „Sie müssen nichts von Hand sammeln. Schließen Sie unsere Software an Ihr Unternehmen an, wir setzen im Hintergrund die Häkchen für den Prüfer und malen Ihnen nebenbei noch ein hübsches Schaufenster mit Badges auf die Website.“

Und jetzt passen Sie genau auf. Um im Footer der Website einen stolzen Button „Wir lassen niemanden an Ihre Daten“ aufzuhängen, lässt ein Unternehmen freiwillig eine fremde Firma unter die eigene Motorhaube. Es gewährt den Servern von Vanta Zugriff auf seine Cloud-Infrastruktur (AWS, Google Cloud), auf den Quellcode bei GitHub, auf die Firmen-E-Mails und auf die Personaldatenbank mit den Listen sämtlicher Mitarbeiter. Damit nicht genug: Auf den Arbeitslaptop jedes Programmierers und Admins wird zwangsweise ein Spionageprogramm von Vanta installiert, das rund um die Uhr prüft, ob am Rechner ein Passwort aktiviert ist, ob der Virenschutz läuft und ob das Update heruntergeladen wurde.

Formal gilt der Zugriff „nur lesend“ — ein fremdes Skript löscht Ihre Datenbank nicht von selbst. Dafür wird auf den Servern der Drittfirma liebevoll eine vollständige Röntgenkarte des Unternehmens zusammengetragen: Baupläne des gesamten Netzes, Namen und E-Mail-Adressen aller Ingenieure, ihre Laptopmodelle und eine laufend aktuelle Liste aller offenen Schwachstellen.

Formularschubser am Steuer der weltweiten Sicherheit

Wer, sollte man meinen, sind die knallharten Kryptografie-Genies und Veteranen der Cybertruppen, denen Tausende Unternehmen weltweit die Schlüssel zu ihrem Maschinenraum anvertrauen?

Wir öffnen die Lebensläufe der Vanta-Führung und holen das Popcorn.

Gründerin und ewige Chefin des Unternehmens ist Christina Cacioppo. Wo hat sie ihre legendäre Erfahrung in Informationssicherheit geschmiedet? In geheimen Laboren des Pentagons? Bei der Absicherung von Bankkernsystemen? Nein. Die junge Frau lernte programmieren, bastelte ein paar Jahre an kleinen Projekten, die nie abhoben, und heuerte dann als Produktmanagerin bei Dropbox an. Und dort war sie nicht einmal für Dateispeicherung oder Festplattenverschlüsselung zuständig. Der Höhepunkt ihrer Karriere war Dropbox Paper — ein nebensächliches Online-Notizblöckchen zum gemeinsamen Schreiben von Notizen innerhalb eines Filehosters, von dessen Existenz neun von zehn Dropbox-Nutzern nicht einmal etwas ahnten. Während sie dieses Blöckchen zusammenschusterte, musste sie langweilige Tabellen für Prüfer ausfüllen — und beschloss, dass es viel lukrativer sei, anderen Firmen Webformulare zu verkaufen, die genau solche Tabellen automatisch einsammeln.

Schauen wir weiter: Wer ist die zweite Hauptdarstellerin auf diesem Schiff? Marketingchefin Sarah Scharf. Diese Dame kam von Google, wo sie sieben Jahre lang „Produktmarketing für Datenschutz, Sicherheit und Android“ betrieb. Führen Sie sich die Position selbst vor Augen: Dieser Mensch hat keinen Code geschrieben und keine Hacker gejagt, sondern sieben Jahre lang Werbemärchen darüber verfasst, wie sehr sich der Google-Konzern um Ihre Privatsphäre sorgt, während er über jeden Erdbewohner ein Dossier anlegte.

Der Rest des Teams passt ins Bild: Der Produkt- und Technikchef verwaltete früher nebensächliche Zusatzmodule und Schaufenster bei GitHub, und der Finanzchef kam von Calendly — einer Website, die Formulare zum Buchen von Calls im Kalender baut.

Genau dieses Dreamteam — die Schöpferin eines Cloud-Notizblöckchens, eine Google-PR-Frau für „Privatsphäre“ und ein Erbsenzähler aus einem Online-Kalender — verteilt heute Sicherheitsstandards an die weltweite Fintech-Branche.

Ein Wachmann in Pantoffeln und das Paradox der Büro-Verkäufer

Die eigentliche Komödie beginnt aber, wenn man sich ansieht, wie es im Maschinenraum der „Prüfer“ selbst zugeht. Das Unternehmen, das Abbilder der Schwachstellen Tausender fremder Firmen bei sich hortet, arbeitet offiziell im Modus „remote-first“. Schon im Frühjahr 2022 schrieben sie freudig auf ihrer Website: „Wir arbeiten erfolgreich von überall aus.“

Wenn Sie jetzt gerade ihre Stellenbörse aufrufen, sind von 83 Positionen 52 reines Homeoffice in den USA, Kanada, Großbritannien und Irland. Und vom Sofa aus arbeiten dort keineswegs Icon-Designer:

• Sr. Manager, Security Operations (Remote). Diese Person richtet die eigene Abwehr von Vanta ein und leitet die Aufarbeitung von Hackerangriffen. In der Stellenanzeige verspricht man ihr fürsorglich „einen Zuschuss für den Heimarbeitsplatz, das Internet zu Hause und das Handy“. Der Chef der Cyberabwehr steuert die Verteidigung über den heimischen Router, auf Kosten des Hauses.
• Ingenieur für die Regierungs-Cloud GovCloud (Remote, mit Bereitschaftsdienst bei Störungen). Die einzige Sicherheitsanforderung für die Arbeit mit dem öffentlichen Sektor: sich „physisch vom Gebiet der USA aus“ einzuloggen. Aus welchem Diner am Highway oder welcher Mietwohnung genau — das interessiert niemanden.
• Senior Engineer, Enterprise Resilience und Senior Security Engineer (Remote). Die Leute, die für die Überlebensfähigkeit der Produktion zuständig sind und im Anzeigentext schwören, „vertrauenswürdige Hüter sensibler Daten“ zu sein, sitzen ebenfalls zu Hause.
• Staff Engineer, Program Structure & Trust (Remote). Und diese Position merken Sie sich bitte gesondert: Dieser Remote-Spezialist ist dafür verantwortlich, dass die geheimen Daten verschiedener Kunden nicht durcheinandergeraten.

Wissen Sie, worin hier der eigentliche Irrsinn liegt? Gewöhnliche Vertriebsmanager in London und Dublin müssen auf Anweisung der Vanta-Chefs drei Tage pro Woche ins Büro. Leute also, die bloß Kunden anrufen und Präsentationen zeigen, müssen unter Aufsicht im Bürokomplex sitzen. Die Ingenieure dagegen, bei denen die Schlüssel zur Produktion und die Infrastrukturkarten Tausender Firmen liegen, hocken in Pantoffeln in ihren heimischen Küchen, umgeben von Verwandten, Nachbarn, Kurieren und Klempnern. Und das in Zeiten, in denen US-amerikanische IT-Firmen gefälschte Remote-Mitarbeiter gleich dutzendweise auffliegen lassen — wenn das Videointerview ein eingeschleuster Schauspieler absolviert und der Arbeitslaptop per Post direkt in eine Farm nordkoreanischer Hacker wandert.

Vier Tage mit offenem Hosenstall

Wohin Sicherheit von Notizblock-Schöpferinnen und Remote-Leuten im Heim-WLAN führt, musste man nicht lange rätseln.

Erinnern Sie sich an die Stelle des Remote-Ingenieurs, der aufpassen soll, dass die Datenbanken verschiedener Firmen nicht durcheinandergeraten? Im Mai 2025 spielten die Formularschubser von Vanta ein verpfuschtes Update aus, und die geheimen Daten der einen Kunden landeten schlicht in den Kundenkonten der anderen (Incident-Bericht INC-868).

Die Geheimnisse Hunderter Unternehmen purzelten einfach auf fremde Bildschirme. An Außenstehende flossen Listen fremder Mitarbeiter, ihre Positionen und — das Sahnehäubchen — die Einstellungen ihrer Zwei-Faktor-Authentifizierung (MFA). Also ein fertiger Spickzettel für einen Einbruch: wer welchen Job macht und bei wem der Kontoschutz nicht eingeschaltet ist.

Das ganze Ausmaß dieser Clownsnummer offenbaren aber zwei Details:

1. Das Loch stand vier Tage lang offen. Das gepriesene automatische Monitoring von Vanta, das alle vier Minuten grüne Häkchen auf die Websites der Kunden malt, übersah vier Tage lang direkt vor der eigenen Nase, dass es fremde Datenbanken an zufällige Nachbarn verteilte. Der Fehler fiel erst auf, als einer der verdutzten Kunden in seinem eigenen Konto den Maschinenraum eines anderen sah und an den Support schrieb.
2. Chuzpe wie aus dem Lehrbuch. Als die Blamage ans Licht kam, veröffentlichten die Marketingleute von Vanta einen Bericht und erklärten mit treuherzigem Augenaufschlag, das Abfließen der Daten Hunderter Firmen in fremde Hände sei ein Vorfall, der „nichts mit Sicherheit zu tun“ habe (non-security related). Na und, dann sind eben ein paar Datenbanken vertauscht — Hauptsache, die Häkchen in den Berichten sind grün!

Ein Schild aus Papier

Das ist also der ganze Wert der furchteinflößenden Buttons SOC 2 Compliant und GDPR Compliant im Footer einer Website.

Ein normaler Mensch sieht diese Siegel und glaubt, sein Dienst sei geschützt wie der Atomkoffer. In Wirklichkeit schlagen die Unternehmen für einen bürokratischen Wisch selbst ein Loch in ihre eigene Mauer, kippen den kompletten Bauplan ihrer Abwehr in einen gemeinsamen Trog für ehemalige Notiz- und Werbemanagerinnen und setzen zur Bewachung dieses Trogs Leute am heimischen Router ein, deren Software nicht einmal bemerkt, dass sie vier Tage am Stück fremde Geheimnisse nach links und rechts verteilt.

Die Lektion „Sicherheit ohne Sicherheit“ ist bestens gelernt: Das Badge auf der Website glänzt, und was hinter der Tür ist — das sollte besser niemand wissen.

Statt eines Epilogs: Wer ein „Remote-Sicherheitsingenieur“ im echten Leben ist

Wenn Konzerne in ihren Präsentationen den Begriff Remote Security Engineer an die Wand werfen, sieht der Kunde einen konzentrierten Profi in einem sonnendurchfluteten Büro vor sich, der über eine abgesicherte Satellitenverbindung fremde Geheimnisse bewacht.

In Wirklichkeit ist ein Remote-Mitarbeiter eine Blackbox, deren Inhalt der Arbeitgeber überhaupt nicht kontrolliert. Firmen haben keine Ahnung, was auf der anderen Seite der Webcam passiert, sobald der fünfzehnminütige Morgencall vorbei ist. Und dort spielt sich das echte Leben in seiner ganzen Pracht ab.

1. Benebelte Psyche, SSRI und Pilz-Microdosing Im Büro sehen Sie einen Menschen wenigstens leibhaftig: ob ihm die Hände zittern, ob sein Blick klar ist, ob er sich diese Woche gewaschen hat und ob er mit den Wänden redet. Im Homeoffice schrumpft der gesamte Kontakt mit einem Menschen, der Root-Zugänge zu den Servern Tausender Firmen in Händen hält, auf ein Kästchen in Zoom mit verschwommenem Hintergrund.

Fünfzehn Minuten am Tag quält sich dieser Typ beim Stand-up ein Pflichtlächeln ab und meldet zackig: „Keine Blocker, schiebe das Update in die Produktion.“ Danach schaltet er die Kamera aus — und niemand in der Zentrale hat eine Ahnung, in welchem Zustand er ist. Vielleicht hängt er seit drei Monaten an Pferdedosen schwerer Antidepressiva (SSRI), die sein Gefahrenbewusstsein komplett verkümmern ließen, und ihm ist völlig egal, welche Datenbanken er gerade wohin abfließen lässt. Vielleicht hat er sich, ganz nach Silicon-Valley-Mode, morgens eine Mikrodosis Psilocybin-Pilze eingeworfen oder hängt an Adderall, gemischt mit Ketamintherapie, um die Depression nach der Scheidung zu stemmen. Für die Firma ist er ein grünes Pünktchen in Slack. Tatsächlich sitzt am Steuerpult eines Atomreaktors ein Mensch in tiefer kognitiver Unschärfe.

2. Überfall im Café und das aufgeklappte MacBook Amerikanische Tech-Hubs wie San Francisco, Seattle oder Austin sind längst zu Kriminalitäts-Freizeitparks geworden. In San Francisco gibt es sogar ein ganzes Straßengewerbe — laptop snatching: Räuber stürmen in angesagte Cafés, reißen IT-Leuten aufgeklappte, entsperrte MacBooks mit bereits aufgebauten VPN-Sitzungen und offenen Terminals direkt aus den Händen und tragen sie zum Auto, das vor der Tür wartet.

Oder noch einfacher: Abends nach der Arbeit geht dieser „Hüter sensibler Daten“ mit Diensthandy und Laptop im Rucksack auf einen Burrito raus. Ein paar Blocks von zu Hause entfernt kommen zwei Jungs mit Pistole auf ihn zu, ziehen ihm eins über den Schädel und erklären ihm anschaulich, dass er jetzt sofort nicht nur die ganze Technik herausrückt, sondern auch den Finger auf Touch ID legt und die PIN diktiert. Vor einem Rohr in einer dunklen Gasse haben noch keine Cloud-Firewall und keine SOC-2-Compliant-Plakette je jemanden gerettet.

3. Ehefrauen, Liebhaber und Zugänge, direkt vom Kopfkissen geklaut Selbst wenn der Ingenieur das Haus gar nicht verlässt, ist seine Wohnung ein Taubenschlag. Hinter seinem Rücken laufen Ehefrauen, Ex- und aktuelle Freundinnen, Mitbewohner aus der WG, Reinigungskräfte, Kuriere und Gäste der Freitagspartys herum.

In den USA ist das keine Theorie mehr, sondern Gerichtsakten. 2024 ließ die Börsenaufsicht SEC ein herrliches Familienmodell auffliegen: Der Ehemann einer im Homeoffice arbeitenden Angestellten des Ölriesen BP lief einfach durchs Haus und teilte auf Reisen das Hotelzimmer mit ihr, während sie von zu Hause aus an vertraulichen Fusionsdeals arbeitete. Er belauschte ihre Telefonate, warf einen Blick auf den offenen Bildschirm ihres Arbeitslaptops, wenn sie in die Küche ging, kaufte Aktien der richtigen Kette und strich mit Insiderwissen fast zwei Millionen Dollar ein.

Und jetzt stellen Sie sich ein bodenständigeres Szenario vor: ein Remote-Sicherheitsmann mitten in einer schmutzigen Scheidung oder im Streit mit der besseren Hälfte. Die gekränkte Ehefrau oder der geschäftstüchtige Mitbewohner wartet einfach, bis der „Wächter der Infrastruktur“ unter die Dusche geht oder einschläft, fotografiert mit dem Handy den offenen Bildschirm mit Zugangsschlüsseln, Tokens und Slack-Chats — oder steckt schlicht einen USB-Stick in den Laptop des Hausherrn, dessen Passwort man ihm längst über die Schulter abgeschaut hat.

4. Müdigkeit um drei Uhr nachts Und schließlich der Klassiker, über den in den letzten Jahren Giganten von Uber bis zum Authentifizierungsdienst Okta gestolpert sind. Wenn Angreifer das gestohlene Passwort eines Remote-Mitarbeiters kaufen, müssen sie nur noch die Zwei-Faktor-Authentifizierung (MFA) umgehen. Was tun sie? Sie warten, bis der Remote-Mitarbeiter zu Hause ins Bett geht, und bombardieren um drei Uhr nachts sein Handy mit Dutzenden Push-Benachrichtigungen: „Anmeldung bestätigen“. Gleich danach schreiben sie ihm im privaten Messenger im Namen des „Firmen-Supports“: Das sei bloß ein Systemfehler, er solle auf „Bestätigen“ tippen, damit das Geklingel aufhört. Und der verschlafene Mensch in Unterhose lässt, nur damit das Handy endlich die Klappe hält und ihn schlafen lässt, die Hacker mit dem eigenen Finger ins Allerheiligste.

Aus genau diesem menschlichen Chaos — Pillen, Familiendramen, Straßenkriminalität und nächtlicher Trägheit — besteht in Wahrheit das Fundament, auf dem die gesamte moderne Branche des „Cloud-Vertrauens“ ruht. Und wenn Sie das nächste Mal unten auf einer schicken Finanz-Website die strengen Siegel SOC 2 Compliant und GDPR Compliant sehen, denken Sie einfach daran, dass irgendwo jenseits des Ozeans gerade jetzt ein müder Mensch auf Antidepressiva vom offenen Laptop aufgestanden ist, um sich einen Kaffee einzuschenken, während seine Freundin nachdenklich auf seinem Monitor durch Listen fremder Server scrollt.