Conditional Access im Kopf

Wie innere Regelwerke unsere Wahrnehmung beeinflussen

„Kannst du mich bitte kurz anrufen?“

Eigentlich enthält dieser Satz nur wenige Informationen. Jemand möchte telefonieren. Mehr wissen wir zunächst nicht. Trotzdem reichen diese sechs Wörter manchmal aus, um innerhalb weniger Sekunden eine ganze Geschichte in unserem Kopf entstehen zu lassen. Vielleicht denken wir sofort: „Mist, was ist passiert?“ Wir vermuten ein Problem, erwarten eine unangenehme Diskussion oder fragen uns, was wir falsch gemacht haben könnten. Genauso gut können wir die Nachricht völlig gelassen lesen und davon ausgehen, dass sich eine Kleinigkeit am Telefon einfach schneller klären lässt als per E-Mail.

Die Nachricht selbst bleibt dabei unverändert. Es sind dieselben Wörter, derselbe Absender und dieselbe Aufforderung. Verändert hat sich nur das, was wir aus ihr machen. Denn wir verarbeiten nicht nur die Information, die unmittelbar vor uns liegt. Gleichzeitig greifen wir auf Erfahrungen, Erinnerungen, Erwartungen und Annahmen zurück. Häufig geschieht das so schnell, dass wir unsere Interpretation gar nicht mehr als solche erkennen.

Wenn man beruflich viel mit Microsoft 365, Entra ID und IT-Sicherheit zu tun hat, drängt sich eine etwas ungewöhnliche Analogie auf: Wir haben so etwas wie Conditional Access im Kopf.

Natürlich besitzt unser Gehirn keine Conditional-Access-Engine. Es gibt weder Named Locations noch Benutzergruppen noch Grant Controls, und unsere Gedanken lassen sich glücklicherweise auch nicht mit PowerShell auslesen. Als Denkmodell finde ich Conditional Access trotzdem erstaunlich passend. Denn auch dort entscheidet kein einzelnes Signal darüber, was anschließend geschieht. Erst durch Bedingungen und Kontext entsteht eine Entscheidung.

Wir sehen nicht nur, wir interpretieren

Zwei Menschen können dieselbe Situation erleben und dennoch etwas völlig Unterschiedliches wahrnehmen. Kehren wir noch einmal zur Aufforderung zurück, kurz anzurufen. Vielleicht hat eine Person in den vergangenen Monaten mehrfach erlebt, dass solche Nachrichten nur dann kamen, wenn irgendwo etwas schiefgelaufen war. Die Formulierung wird für sie schnell zum Warnsignal. Eine andere Person arbeitet regelmäßig eng mit dem Absender zusammen und weiß, dass dieser lieber fünf Minuten telefoniert als zehn E-Mails zu schreiben. Für sie stellt dieselbe Nachricht keinerlei Bedrohung dar. Eine dritte Person hatte gerade einen Konflikt mit dem Absender und liest deshalb möglicherweise etwas zwischen den Zeilen, das dort gar nicht steht.

Der eigentliche Input ist bei allen drei Personen identisch. Die daraus resultierende Bedeutung ist es nicht. Zwischen Wahrnehmung und Interpretation ist etwas passiert.

Vereinfacht lässt sich dieser Prozess als Abfolge von Signal, Kontext, Bewertung und Interpretation beschreiben. Für Menschen, die sich regelmäßig mit Conditional Access beschäftigen, klingt das vertraut.

Auch unsere Wahrnehmung beginnt mit Signalen. Wir hören einen Satz, lesen eine Nachricht oder sehen einen Gesichtsausdruck. Jemand antwortet ungewöhnlich kurz auf eine E-Mail. Eine Person meldet sich seit mehreren Tagen nicht. Im Meeting fällt ein bestimmter Begriff. Jemand schlägt eine technische Lösung vor, mit der wir in der Vergangenheit schlechte Erfahrungen gemacht haben.

Die eigentliche Information ist dabei nur der Ausgangspunkt. Fast augenblicklich versehen wir sie mit Kontext. Wer hat das gesagt? Was ist vorher passiert? Welche Erfahrungen habe ich mit dieser Person oder Situation gemacht? Was erwarte ich? Was halte ich für wahrscheinlich? Und manchmal auch: Was befürchte ich?

Auf diese Weise entsteht aus einem Signal eine Bedeutung. Dieser Mechanismus ist zunächst weder schlecht noch irrational. Im Gegenteil: Ohne unsere Fähigkeit, Erfahrungen zu nutzen, Muster zu erkennen und daraus Erwartungen abzuleiten, wären selbst einfache Alltagssituationen erstaunlich anstrengend. Wir können schließlich nicht jeden Menschen, jedes Gespräch und jede Entscheidung so behandeln, als begegneten wir ihnen zum ersten Mal.

Unsere mentalen Policies

Erfahrung reduziert Komplexität. Wenn wir ähnliche Situationen mehrfach erlebt haben, beginnen wir, Muster zu erkennen. Aus diesen Mustern entwickeln sich Erwartungen und irgendwann vielleicht Regeln: Wenn X geschieht, bedeutet das wahrscheinlich Y.

Man könnte sagen, dass wir im Laufe unseres Lebens ein umfangreiches Set mentaler Policies aufbauen. Viele davon sind ausgesprochen sinnvoll. Wenn ein technisches System unmittelbar nach einer Änderung nicht mehr funktioniert, liegt es nahe, zunächst die Änderung zu untersuchen. Wenn ein bestimmtes Vorgehen mehrfach gescheitert ist, gibt es gute Gründe, beim nächsten Versuch skeptisch zu sein. Und wenn jemand wiederholt auf eine bestimmte Weise reagiert hat, wäre es merkwürdig, diese Erfahrung bei der nächsten Begegnung vollständig auszublenden.

Erfahrung ist wertvoll. Sie ermöglicht schnelle Entscheidungen und verhindert, dass wir denselben Fehler immer wieder machen müssen.

Problematisch wird es erst, wenn wir vergessen, dass unsere daraus abgeleiteten Regeln auf Erfahrungen und Annahmen beruhen. Dann verändert sich die Sprache in unserem Kopf. Aus „Aufgrund meiner bisherigen Erfahrungen glaube ich, dass das vermutlich nicht funktionieren wird“ wird irgendwann schlicht „Das funktioniert nicht“.

Der Unterschied zwischen beiden Aussagen scheint zunächst gering, ist aber entscheidend. Im ersten Satz besteht die Möglichkeit, dass sich die Situation verändert hat oder dass meine Einschätzung falsch sein könnte. Im zweiten Satz ist diese Möglichkeit verschwunden. Aus einer Interpretation ist eine vermeintliche Tatsache geworden.

Die Policy ist unsichtbar geworden.

Mentale Legacy Policies

In über viele Jahre betriebenen IT-Umgebungen begegnen wir immer wieder Konfigurationen, deren Ursprung sich kaum noch nachvollziehen lässt. Irgendwann gab es vermutlich einen guten Grund für sie. Vielleicht gab es eine Anwendung, die eine Ausnahme erforderte. Vielleicht gab es ein bestimmtes Sicherheitsproblem, eine technische Einschränkung oder eine längst abgelöste Anforderung. Das ursprüngliche Problem ist verschwunden, die Konfiguration existiert aber weiterhin.

Warum?

Weil es schon immer so war. Und weil niemand derjenige sein möchte, der die vermeintlich wichtige alte Regel entfernt und anschließend herausfindet, warum sie vor vielen Jahren eingerichtet wurde.

Bei unseren Überzeugungen geschieht Ähnliches. Vielleicht haben wir irgendwann gelernt, dass etwas bei unseren Kunden nicht funktioniert. Vielleicht glauben wir, bestimmte Aufgaben besser selbst erledigen zu müssen, weil es sonst ohnehin schiefgeht. Vielleicht haben wir uns darauf geeinigt, dass bestimmte Menschen, Technologien oder Vorgehensweisen grundsätzlich problematisch sind.

Für einige dieser Einschätzungen gab es möglicherweise sehr gute Gründe. Jedoch haben Erfahrungen kein eingebautes Ablaufdatum.

Die Welt verändert sich. Menschen verändern sich. Unternehmen und Technologien verändern sich. Und auch wir selbst sind irgendwann nicht mehr dieselben Menschen, die eine bestimmte Erfahrung gemacht und daraus eine Regel abgeleitet haben. Die Policy bleibt bestehen, solange wir keinen Anlass sehen, sie zu überprüfen.

Manche unserer hartnäckigsten Überzeugungen sind vielleicht nichts anderes als Legacy Policies, deren ursprünglichen Business Case wir längst vergessen haben.

Das macht diese Überzeugungen nicht automatisch falsch. Eine alte Regel kann weiterhin sinnvoll sein. Ihr Alter ist kein Argument gegen sie. Es ist aber ein guter Grund, gelegentlich zu prüfen, ob die Voraussetzungen, unter denen sie entstanden ist, überhaupt noch bestehen.

Wenn die Ausnahmen immer mehr werden

Besonders interessant wird es, wenn neue Erfahrungen nicht mehr zur bestehenden Policy passen. In einer technischen Umgebung könnten wir die Regel überprüfen und gegebenenfalls ändern. Menschen sind manchmal kreativer: Wir bauen Ausnahmen ein.

Wir behaupten beispielsweise weiterhin, dass ein bestimmtes Vorgehen grundsätzlich nicht funktioniert, obwohl wir inzwischen mehrere Situationen kennen, in denen es sehr wohl funktioniert hat. Diese Fälle erklären wir dann als Besonderheiten. Wir halten eine Gruppe von Menschen weiterhin für schwierig, machen aber großzügige Ausnahmen für alle Personen aus dieser Gruppe, mit denen wir tatsächlich gut auskommen.

Jede einzelne Ausnahme kann plausibel sein. Irgendwann lohnt sich dennoch die Frage, wie viele Ausnahmen eine Regel verträgt, bevor nicht mehr die Ausnahme, sondern die Regel selbst überprüft werden muss.

Auch das kennen wir aus gewachsenen IT-Umgebungen. Wenn ein Regelwerk irgendwann hauptsächlich darin besteht, festzulegen, für wen die eigentliche Regel nicht gilt, ist die nächste Ausnahme vielleicht nicht mehr die richtige Lösung. Möglicherweise liegt das Problem in der zugrunde liegenden Policy.

Denn Ausnahmen haben eine verführerische Eigenschaft: Sie erlauben es uns, neue Erfahrungen zu akzeptieren, ohne eine alte Überzeugung verändern zu müssen.

Report-only für den Kopf

An diesem Punkt gefällt mir die Conditional-Access-Analogie besonders gut. Eine neue oder geänderte Richtlinie muss nicht zwangsläufig sofort durchgesetzt werden. Man kann zunächst beobachten, welche Auswirkungen sie hätte.

Was wäre, wenn wir das gelegentlich auch mit unseren eigenen Gedanken tun könnten?

Statt sofort zu sagen: „Das ist eine schlechte Idee“, könnten wir zunächst genauer hinschauen und feststellen: „Mein erster Gedanke ist gerade, dass das eine schlechte Idee ist.“

Das klingt nach einer beinahe belanglosen sprachlichen Veränderung. Zwischen beiden Aussagen liegt jedoch ein wichtiger Unterschied. Die erste Aussage soll angeblich die Idee beschreiben. Die zweite beschreibt meine Reaktion auf die Idee. Plötzlich sind Bewertung und Gegenstand nicht mehr zwangsläufig identisch.

Ich muss meinen ersten Gedanken deshalb weder unterdrücken noch bekämpfen. Schließlich kann er vollkommen richtig sein. Erfahrung und Intuition verlieren ihren Wert nicht, nur weil ich sie beobachte. Ich muss den Gedanken aber nicht sofort durchsetzen.

Vielleicht brauchen wir manchmal einen Report-only-Modus für den Kopf.

Die eigene Policy hat angeschlagen. Das ist zunächst eine interessante Information. Nun frage ich mich, warum sie angeschlagen hat. Welches Signal hat meine Reaktion ausgelöst? Welche Erfahrung verbinde ich damit? Gehört diese Erfahrung tatsächlich zu der Situation, die ich gerade bewerte? Oder wende ich eine alte Regel auf einen neuen Kontext an?

Dieser kurze Abstand verändert unsere Meinung noch nicht zwangsläufig. Er gibt uns aber die Gelegenheit herauszufinden, woher sie eigentlich kommt. Und manchmal reicht schon diese Erkenntnis aus, um eine scheinbar eindeutige Situation differenzierter zu betrachten.

Eine gedankliche What-if-Analyse

Von dort ist es nicht weit zu einem weiteren vertrauten Gedankenmodell: der What-if-Analyse. Statt eine bestehende Einschätzung sofort zu verwerfen, können wir gedanklich eine einzelne Bedingung ändern und beobachten, was dann mit unserer Bewertung geschieht.

Nehmen wir den Gedanken: „Dieser Vorschlag ist unrealistisch.“ Wie würden wir denselben Vorschlag beurteilen, wenn er von einer Person käme, deren fachliche Meinung wir besonders schätzen? Welche Argumente würden wir entdecken, wenn es unsere eigene Idee wäre? Und welche Informationen müssten wir erhalten, damit wir bereit wären, unsere derzeitige Einschätzung zu ändern?

Gerade die letzte Frage ist aufschlussreich. Wenn die ehrliche Antwort lautet, dass es überhaupt keine Information gibt, die unsere Einschätzung verändern könnte, sollten wir zumindest darüber nachdenken, ob wir noch eine Situation beurteilen oder bereits eine bestehende Überzeugung verteidigen.

Eine What-if-Betrachtung verlangt nicht, anschließend automatisch das Gegenteil zu glauben. Das würde lediglich bedeuten, eine alte Policy durch eine neue zu ersetzen. Ihr Zweck besteht vielmehr darin, die eigenen Bedingungen sichtbar zu machen. Welche Annahme führt dazu, dass ich die vorliegenden Signale genauso und nicht anders interpretiere? Und würde ich unter leicht veränderten Bedingungen zum selben Ergebnis kommen?

Dabei geht es nicht um künstliche Neutralität. Vollständig unvoreingenommen zu sein, können wir vermutlich nicht sein. Es geht um etwas Realistischeres. Es geht darum, die eigene Voreingenommenheit zumindest dort zu erkennen, wo sie unsere Bewertung besonders stark beeinflusst.

Nicht jede Policy muss gelöscht werden

Die Analogie hat natürlich Grenzen. Es wäre weder möglich noch sinnvoll, alle mentalen Regeln abschaffen zu wollen. So wie eine IT-Umgebung nicht dadurch sicherer oder besser wird, dass sämtliche Policies gelöscht werden, wird unsere Wahrnehmung nicht objektiver, indem wir versuchen, alle Erfahrungen, Erwartungen und Intuitionen auszublenden.

Wir brauchen diese Filter. Unsere Erfahrungen helfen uns, Entscheidungen zu treffen, Gefahren einzuschätzen und in komplexen Situationen handlungsfähig zu bleiben. Sie ermöglichen uns, gute Entscheidungen zu wiederholen und bekannte Fehler nicht endlos neu zu entdecken.

Die entscheidende Frage lautet deshalb nicht: Wie werde ich meine Filter los?

Interessanter ist eine andere Frage: Weiß ich noch, dass ich welche habe?

Ein Filter, dessen Existenz mir bewusst ist, lässt sich hinterfragen. Eine Interpretation, die ich als solche erkenne, kann ich mit neuen Informationen abgleichen. Schwieriger wird es dort, wo Erfahrung, Annahme und Wirklichkeit vollkommen miteinander verschmolzen sind.

Dann sehen wir nicht mehr durch einen Filter. Dann glauben wir, es gäbe keinen.

Zeit für einen Policy Review

In technischen Umgebungen überprüfen wir Regelwerke regelmäßig. Wir fragen uns, ob eine Richtlinie noch notwendig ist, ob ihre ursprünglichen Voraussetzungen weiterhin bestehen oder ob inzwischen so viele Ausnahmen hinzugekommen sind, dass die Regel ihren Zweck kaum noch erfüllt. Vor allem können wir uns eine Frage stellen, die bei gewachsenen Konfigurationen besonders hilfreich ist: Würden wir diese Policy heute noch einmal genauso erstellen?

Vielleicht ist das auch für unsere persönlichen Überzeugungen keine schlechte Frage.

Würde ich diese Einschätzung heute noch einmal genauso entwickeln, wenn ich sie nicht bereits hätte? Welche Dinge halte ich für selbstverständlich, obwohl ich ihren Ursprung kaum noch benennen kann? Welche Menschen habe ich innerlich längst kategorisiert? Bei welchen Themen kenne ich meine Antwort schon, bevor ich die Frage vollständig gehört habe? Und welche meiner Vorstellungen stammen aus Erfahrungen mit einer Welt, die vielleicht gar nicht mehr existiert?

Das bedeutet nicht, der eigenen Erfahrung grundsätzlich zu misstrauen. Es bedeutet, ihr nicht blind zu vertrauen. Erfahrung ist wertvoll, gerade weil sie uns ermöglicht, aus der Vergangenheit zu lernen. Sie wird jedoch problematisch, wenn sie verhindert, dass wir Unterschiede zwischen Vergangenheit und Gegenwart überhaupt noch wahrnehmen.

Ein Policy Review verlangt daher nicht, alles infrage zu stellen. Es reicht, gelegentlich jene Überzeugungen zu betrachten, die besonders zuverlässig und schnell zu einem Urteil führen. Denn gerade die Regeln, über die wir nicht mehr nachdenken, prägen möglicherweise am stärksten, was wir wahrnehmen und übersehen.

Conditional Access im Kopf

Conditional Access ist nicht dazu gedacht, einfach möglichst viel zu blockieren. Die interessantere Idee dahinter ist, Signale und Bedingungen zu bewerten und auf dieser Grundlage eine angemessene Entscheidung zu treffen.

Vielleicht passt die Analogie deshalb so gut zu unserer Wahrnehmung. Auch unsere mentalen Filter sind keine Gegner, die wir überwinden müssen. Sie sind das Ergebnis dessen, was wir erlebt, gelernt und irgendwann als richtig oder nützlich erkannt haben.

Doch die Welt, für die wir manche dieser Regeln geschrieben haben, ist möglicherweise nicht mehr dieselbe. Andere Menschen verändern sich. Situationen verändern sich. Technologien verändern sich. Wir selbst verändern uns ebenfalls. Es wäre merkwürdig, wenn ausgerechnet unsere inneren Regelwerke davon vollkommen unberührt blieben.

Wir müssen deshalb nicht versuchen, ohne mentale Policies durchs Leben zu gehen. Vielleicht reicht es, sie gelegentlich sichtbar zu machen. Den ersten Gedanken ernst zu nehmen, ohne ihn sofort zur Wahrheit zu erklären. Eine besonders hartnäckige Überzeugung probeweise auf Report-only setzen. Bei einer scheinbar eindeutigen Bewertung einmal „What If?“ fragen. Und bei einer sehr alten Regel nachzusehen, ob wir eigentlich noch wissen, warum wir sie irgendwann angelegt haben.

Denn manchmal liegt es tatsächlich am Signal. Manchmal an der anderen Person. Manchmal an der Situation.

Und manchmal ist es einfach eine Policy, die schon seit Langem niemand mehr überprüft hat.

---

Editiert mit der freundlichen Unterstützung von Grammarly.