DevSecOps wird oft falsch verstanden

DevSecOps wird oft falsch verstanden. Es geht nicht darum, mehr Tools einzubauen. Es geht darum, die richtigen Entscheidungen zu treffen. Und genau da verlieren die meisten Teams Zeit. Nicht weil sie es nicht können, sondern weil sie in die falsche Richtung optimieren.

Ich sehe das immer wieder in Gesprächen mit Teams, die ihre Pipeline gehärtet, ihre Images gescannt und ihr SAST-Tool eingeführt haben. Auf dem Papier sieht das nach einer ernsthaften Sicherheitsarbeit aus. In der Praxis stehen sie trotzdem vor denselben Fragen wie vor zwei Jahren: Wer darf was deployen? Wie kommen Secrets in den Build? Wer trägt die Verantwortung, wenn der Scanner anschlägt? Die Werkzeuge sind da. Die Entscheidungen fehlen.

Tools sind billig. Entscheidungen sind teuer.

Ein gutes Tooling kauft man sich in ein paar Tagen zusammen. Es einzuführen dauert ein paar Wochen. Aber eine saubere Entscheidung, wer in welcher Umgebung was darf, wer welchen Alarm wirklich bearbeitet und welche Risiken ein Unternehmen bewusst akzeptiert, fordert Haltung und Ruhe. Sie lässt sich nicht durch eine weitere SaaS-Lizenz ersetzen.

Ich erlebe Teams, die ihr Vulnerability-Backlog jeden Monat um 300 Befunde erweitern, aber nichts davon schließen. Das ist kein Scanner-Problem. Das ist ein Priorisierungsproblem. Ein Team, das sich nicht traut, zu sagen: „Diese drei Findings bearbeiten wir diese Woche, der Rest wartet." Ein Team, das von seiner Tool-Landschaft vor sich hergetrieben wird, statt sie zu steuern.

Ähnlich ist es bei Pipelines. Jedes Unternehmen hat heute YAML. Nicht jedes Unternehmen weiß, wer Zugriff auf die Secrets in dieser YAML hat. Wer den Runner patcht. Was passiert, wenn der Ex-Admin vor zwei Jahren seine persönlichen Tokens dort hinterlegt hat. Das sind keine Tool-Fragen. Das sind Governance- und Entscheidungsfragen.

Warum ich OnlyOle genau dafür gestartet habe

Mit OnlyOle gehe ich bewusst einen anderen Weg als mit meiner Agentur. Keine Projekte. Keine Slides. Keine langen Analysen. Ich arbeite 1:1 mit maximal fünf Kunden pro Monat an genau den Entscheidungen, die ein Team alleine nicht trifft, weil sie politisch, fachlich oder organisatorisch unbequem sind.

Eine Session ist kein Pitch. Ich komme nicht mit einem Produktkatalog. Ich komme mit Fragen. Wo blutet es gerade? Welche Entscheidung schiebst du seit drei Monaten vor dir her? Was würdest du tun, wenn du eine Stunde Schlaf hättest und niemand dir widersprechen könnte? Oft reicht das, um den Knoten zu lösen. Der Rest ist Handwerk, und das können die Teams in der Regel selbst.

Das limitiere ich bewusst auf fünf Kunden im Monat, weil ich die Zeit, die ich pro Fall investiere, ernst meine. Ich arbeite tagsüber weiter in Projekten bei Moselwal und sehe dort, was funktioniert und was nicht. OnlyOle ist der Ort, an dem ich dieses Wissen in kurzen, konzentrierten Gesprächen weitergebe, ohne dass jemand ein dreimonatiges Beratungsprojekt kaufen muss, um eine Stunde echte Klarheit zu bekommen.

Was ich mir von dem Format erhoffe

Ich bin kein Fan von Beratungsmodellen, die davon leben, dass der Berater länger bleibt, als er müsste. Mein Ziel ist das Gegenteil: nach einer Session soll der Kunde in der Lage sein, die nächsten drei Schritte selbst zu gehen. Wenn er danach nie wieder mit mir spricht, habe ich meinen Job gemacht.

Das klingt ungewöhnlich, ich weiß. Aber ich habe in 23 Jahren genug Kunden gesehen, denen man mit einer klaren Antwort mehr geholfen hat als mit einer 80-seitigen Powerpoint. DevSecOps ist für mich am Ende keine Ansammlung von Tools, sondern ein Führungsstil. Wer diesen Stil hat, braucht wenige Werkzeuge. Wer ihn nicht hat, kann sich jedes Werkzeug der Welt kaufen und wird sich trotzdem in seiner eigenen Komplexität verlieren.

Deshalb starte ich OnlyOle genau jetzt. Nicht als Skalierungsspiel, sondern als klares Gegenangebot zu einer Branche, die lieber verkauft als zuhört. Fünf Kunden im Monat, keine Slides, keine Ausreden. Wer gerade merkt, dass sein Team in die falsche Richtung optimiert, findet dort den Einstieg.