COBIT 2019 hat die Governance-Welt geordnet wie kaum ein anderes Rahmenwerk: modular, prinzipienorientiert, mit klarem Blick auf Unternehmensziele und mit einem Werkzeugkasten, der vom Vorstandsbeschluss bis zum operativen Ticket durchdekliniert ist. Doch der eigentliche Test beginnt nicht im Handbuch, sondern im Alltag. Erst dort zeigt sich, ob ein Framework bewegt, was es verspricht: Entscheidungen besser machen, Risiken beherrschbar halten, Innovation ermöglichen – und all das so, dass man es später belegen kann. Der Praxistest der letzten Jahre liefert eine klare Erkenntnis: 2019 war ein Startsignal, kein Endpunkt. Wer heute auf COBIT setzt, nutzt es nicht als Checkliste, sondern als Betriebssystem für Steuerung – ein Kompass, der Organisationen befähigt, in Bewegung zu bleiben, ohne die Richtung zu verlieren.

Vom Kapitel zur Kette: Was COBIT 2019 wirklich verändert

Der größte Fortschritt von COBIT 2019 liegt nicht in einem neuen Prozessnamen, sondern in der Kohärenz. Governance wird als System verstanden, in dem Ziele, Entscheidungen, Maßnahmen, Metriken und Nachweise eine Kette bilden. Diese Kette ist keine Theorie: Sie beginnt bei der Goals Cascade (Unternehmensziele → I&T-bezogene Ziele → Governance- und Management-Objectives) und führt über Governance-Komponenten (Prozesse, Organisationsstrukturen, Prinzipien/Policies/Prozeduren, Informationen, Kultur/Ethik/Verhalten, Services/Applikationen/Infrastruktur, Menschen/Kompetenzen) bis hin zum Performance Management (Fähigkeitsniveaus, Messkriterien, Zielwerte). In der Praxis bedeutet das: Man steuert nicht mehr „die IT“, sondern die Wirkung von Information & Technology auf das Geschäft – und man tut es so, dass man es jeden Tag sehen und jeden Monat beweisen kann.

Der COBIT 2019 Design Guide ist weit mehr als ein Handbuch zum Ausfüllen von Tabellen. Er ist das fehlende Bindeglied zwischen allgemeiner „Good Practice“ und den sehr konkreten Realitäten Ihrer Organisation: Zielen, Risiken, Kultur, Technologien, regulatorischen Zwängen, Ressourcen und Ambitionen. Sein Anspruch ist nicht, ein starres Korsett zu liefern, sondern ein Bau- und Vermessungsplan für ein Governance-System, das zu Ihrem Unternehmen passt – heute, morgen und in zwei Reorganisationen.

Im Kern beantwortet der Design Guide vier Fragen:

Es gibt Momente, in denen ein Regelwerk seinen wahren Charakter zeigt. Nicht, wenn alles ruhig ist und Pläne akkurat funktionieren, sondern wenn mehrere Dinge gleichzeitig schiefgehen: Märkte zucken, Systeme stolpern, ein Dienstleister meldet Störung, das Callcenter läuft am Limit, und im Vorstand klingeln die Telefone. Genau in diesen Augenblicken beweist sich MaRisk – als Stresstest für Steuerung, Daten, Prozesse und Verhalten. Entweder entsteht Kontrolle: klare Prioritäten, kurze Schleifen, nachvollziehbare Entscheidungen, verlässliche Eskalationen. Oder es herrscht Chaos: Meeting-Marathons ohne Beschluss, Reports, die mehr Fragen als Antworten erzeugen, widersprüchliche Mails, Verantwortungen im Nebel. Dieser Artikel zeigt, warum MaRisk im Kern kein Papierprojekt ist, sondern ein System, das einen ganzen Kosmos aus Kredit, Markt, Liquidität, IT, Auslagerungen und operationellen Risiken in handhabbare Praxis übersetzt – und warum gerade IT-Organisationen davon genauso betroffen sind wie die klassischen Risikoeinheiten.

Worum es im Kern geht: Steuerungsfähigkeit unter Druck

MaRisk ist weder Checklistenromantik noch Selbstzweck. Es ist der Versuch, in einem hochkomplexen Umfeld eine gemeinsame Denkschiene für Entscheidungen zu etablieren: Welche Risiken nehmen wir bewusst? Woran erkennen wir Abweichungen früh? Welche Schwellen lösen Maßnahmen aus? Wer darf was entscheiden? Und wie kommen Erkenntnisse aus Fachbereichen, IT und Auslagerungen zur rechten Zeit an den Ort, an dem gehandelt wird?

Es passiert nicht oft, dass ein technischer Katalog das Zeug zur gemeinsamen Sprache einer ganzen Branche hat. Die CIS Controls sind so ein Fall – und mit Version 8 haben sie sich neu sortiert, ohne ihre DNA zu verlieren. Aus 20 wurden 18 Controls, aus verstreuten Unterpunkten wurden präziser formulierte Safeguards, aus „Hardware“ und „Software“ wurden Enterprise Assets, aus höflichen Empfehlungen wurden umsetzbare Anforderungen für eine Welt, in der Workloads in die Cloud wandern, Mitarbeiter von überall arbeiten und Lieferketten zum größten Risiko werden können. v8 ist kein kosmetisches Update; es ist die Antwort auf die Frage: Wie priorisiert man Sicherheitsarbeit, wenn Infrastruktur, Identitäten und Daten längst über Rechenzentrum, SaaS und mobile Endpunkte verstreut sind – und wenn die Angreifer inzwischen Produktmanagement in eigener Sache betreiben?

Warum es eine Neuordnung brauchte

Die frühen Fassungen der Controls kamen aus einem ganz bestimmten Schmerz: Immer wieder öffentlich ausgenutzte Schwachstellen, vernachlässigte Baselines, keine Übersicht über Assets, zu breite Adminrechte, Protokolle, die niemand liest, Backups, die im Ernstfall nicht zurückspielen. Version 7 brachte diese Einsichten in eine klare, priorisierte Reihenfolge. Aber die Realität drehte schneller: Cloud wurde Standard, SaaS wurde Geschäftsgrundlage, Identitäten wurden zur neuen Perimeter-Kante, Remote Work wurde Alltagsbetrieb, und Drittparteirisiken wurden sichtbar – nicht nur regulatorisch, sondern operativ. Viele Unternehmen stellten fest, dass v7 zwar wirkt, aber Vokabular und Zuschnitt die neuen Infrastrukturen nur unzureichend abbildeten. v8 reagiert darauf, ohne den Kern (Priorisieren, Messen, Automatisieren) zu verwässern.

Ein praxistauglicher Lern- und Denkleitfaden für Menschen, die Scrum wirklich verstehen (und die Prüfung souverän bestehen) wollen

Kurzfassung für Eilige: Lies den Scrum Guide mehrere Male wirklich aktiv, trainiere mit dem Scrum Open und verwandten Assessments, lerne die Warum-Ebene hinter Regeln und Begriffen, übe das Erkennen typischer Fallen – und nutze in der Prüfung die Zeit mit System. Der Rest dieses Textes macht daraus einen vollständigen, gut verdaulichen Lernpfad mit vielen Denkanstößen, Mini-Drills und Praxisbezügen.

Warum dieser Text anders aufgebaut ist

Statt einer klassischen „Roadmap“ oder reinen Tipp-Liste bekommst du hier einen Werkzeugkasten in Form von Bausteinen, die du modular einsetzen kannst: