Rechte, Pflichten, Verbote: Compliance als Ontologieproblem

Je mehr Gesetze, Verordnungen und regulatorische Rundschreiben man liest, desto deutlicher wird, wie wenige Grundelemente regulatorische Systeme tatsächlich verwenden. Im Datenschutzrecht ist das fast lehrbuchmässig: Betroffene Personen erhalten Rechte (DSGVO Art. 15–22), Verantwortliche und Auftragsbearbeiter bekommen Pflichten (Art. 5–11), und einzelne Verarbeitungen sind ausdrücklich verboten (Art. 9).

Warum drei Elemente und nicht zwei?

Formal liesse sich ein Verbot als „Pflicht zur Unterlassung“ rekonstruieren — die Reduktion wäre sparsamer. Sie kostet aber genau das, was Compliance braucht: Eindeutigkeit. Denn unter einem Verbot bedeutet Unterlassung Erfüllung der Norm; unter einer Pflicht bedeutet sie deren Verletzung. Gleiches Oberflächenverhalten, entgegengesetzter normativer Status.

Wer Verbot und Pflicht zusammenlegt, erzeugt ein Polysem auf operativer Ebene, das später teuer aufgelöst werden muss. Das Drei-Elemente-Modell vermeidet diese Mehrdeutigkeit von vornherein. Die deutsche Rechtstradition kennt das ohnehin: Gebot und Verbot sind eigene Primärnorm-Typen.

Diese Reduktion ist nicht neu. Hohfelds Analyse juristischer Relationen (1913) und die Standard-Deontik mit Verpflichtung, Erlaubnis und Verbot decken denselben Boden ab. Der Anspruch hier ist nicht Originalität, sondern operative Tauglichkeit: klein genug für konsistente Anwendung, gross genug, um Ambiguität zu vermeiden.

Der Preis vermischter Dimensionen

Sauberkeit auf einer Ebene ist nur die halbe Arbeit. Die andere Hälfte ist die Disziplin, Ebenen nicht zu vermischen — auch dort, wo die Vermischung intuitiver wirkt als die Trennung. Etablierte Frameworks scheitern an genau diesem Punkt:

• ORX / Basel Die Basel-Ereignistypen für operationelle Verluste, an denen sich viele Bank-Taxonomien bis heute orientieren, führen Internal Fraud, External Fraud, Damage to Physical Assets und Business Disruption nebeneinander. Das sind unterschiedliche ontologische Ebenen — Akteur und Intention, betroffenes Objekt, eingetretene Konsequenz — die als gleichrangige Kategorien behandelt werden. Die ORX-Referenztaxonomie ergänzt ihre Ereignistypen (2019) um eine eigene Ursachen- und Wirkungstaxonomie (2020) — ein Schritt in Richtung der Trennung, um die es hier geht.
• STRIDE Sechs Bedrohungsklassen: Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege. Drei benennen Wirkungen auf den Daten (Information Disclosure, Tampering, Denial of Service), zwei Zustände, die ein Angriffsschritt herbeiführt (Spoofing, Elevation of Privilege), und eine fehlende Kontrolle (Repudiation). Keine benennt eine Ursache — Folgen, Zustände und eine Kontrolllücke stehen als „Bedrohungen“ auf einer Ebene. Ausführlich: Beyond STRIDE auf tlctc.net.
• MITRE ATT&CK Ordnet beobachtete Techniken nach Tactics. Tactics und Techniken sind aber nicht disjunkt — eine Technik kann mehrere Tactics bedienen. Die Sammlung ist deskriptiv reich, ontologisch aber inkonsistent.

In allen drei Fällen ist die Folge dieselbe: das Framework wirkt umfassend, trägt aber nicht mehr, sobald jemand es für konsistente kausale Analyse oder eine saubere Kontrollzuordnung verwenden will. Es verliert Boden — nicht, weil zu wenig drin ist, sondern weil verschiedene Dimensionen auf einer einzigen Ebene gemischt sind.

Eine Dimension hat ihre eigenen Grenzen und ihre eigene Struktur. Dimensionen zu mischen macht keinen Sinn — auch wenn es Disziplin verlangt, weil saubere Reduktionen auf den ersten Blick zu schmal wirken angesichts einer offenkundig komplexen Wirklichkeit. Genau das ist die analytische Herausforderung: nicht aus Unbehagen mit der Reduktion alles wieder einzukassieren, sondern Ebenen zu trennen, die nicht zusammengehören.

Eine Ebene darüber: Autorität, Befugnis, Durchsetzbarkeit, Anwendungsbereich

Das Tripel beschreibt, was gilt. Es sagt nichts darüber, wer es setzen, ändern und durchsetzen darf, welche Reichweite es hat und wodurch es Wirkung entfaltet. Diese Fragen stehen nicht neben den drei Elementen — sie stehen über ihnen. Sie bilden eine eigene Ebene mit eigenen Kategorien:

• Autorität Wer kann Rechte, Pflichten und Verbote erzeugen, ändern, aufheben? — Gesetzgeber, Aufsichtsbehörde, Vertragsparteien.
• Befugnis / Macht Welche rechtliche Fähigkeit hat ein Akteur, deontische Beziehungen zu schaffen oder zu verändern? — Verträge schliessen, Vollmachten erteilen, Wertpapiere emittieren.
• Durchsetzbarkeit Welche Mechanismen sichern die Geltung der Primärnormen? — Gerichte, Sanktionen, Aufsicht.
• Anwendungsbereich Auf welche Personen, Sachverhalte, Räume und Zeiten beziehen sich die Normen?

Diese Meta-Ebene ist nicht nachgelagert. Sie definiert den Rahmen, innerhalb dessen das Tripel überhaupt operativ wird. Eine Pflicht ohne klaren Anwendungsbereich ist semantisch defekt; ein Verbot ohne Durchsetzungsmechanismus ist normativ leer; ein Recht ohne Autorität, die es schützt, bleibt symbolisch.

Anwendungsbereich, Durchsetzbarkeit und Befugnis hängen dabei strukturell zusammen: wo eine Norm gilt, ist die eine Frage; ob sie dort durchgesetzt werden kann, ist die zweite; wer die Geltung in Bewegung setzen kann, die dritte. Beantwortet werden alle drei über die Befugnisse der zuständigen Akteure.

„Der Gesetzestext belegt; er definiert nicht.“ — Ontologie-zuerst-Maxime

Definitionen, Semantik und Ontologie

Die eigentliche Schwäche heutiger Regulierung liegt nicht im Tripel, sondern in der Behandlung der Begriffe, mit denen es operiert. Definitionen erscheinen unsystematisch, fragmentiert, oft notgedrungen eingeführt. Das ist kein redaktionelles Detail, sondern strukturelle Unsauberkeit.

Ohne klare Semantik entstehen Interpretationsspielräume. Ohne konsistente Ontologie verschwimmen Kategorien, Verantwortlichkeiten und regulatorische Grenzen. Das Resultat ist Semantic Blur: begriffliche Unschärfe innerhalb komplexer normativer Systeme.

Die regulatorische Schalenstruktur

Organisationen treten mit ihrer Gründung in einen normativen Raum ein. Eine juristische Person startet nicht im Vakuum: Bereits die Rechtsform — AG, GmbH, Stiftung — erzeugt einen initialen Kern aus Rechten, Pflichten und Verboten. Darauf legen sich weitere Schalen:

• KernschichtRechtsform und grundlegende regulatorische Eigenschaften.
• GeschäftsschichtBranchen- und tätigkeitsbezogene Vorschriften.
• Prozess & ProduktOperative und technische Anforderungen.

Jede dieser Schichten erweitert das bestehende Set aus Rechten, Pflichten und Verboten additiv. Die geografische Dimension verhält sich anders: Sie wirkt nicht als zusätzliche Schale, sondern als Multiplikator. Eine international tätige Organisation bekommt nicht eine vierte Schicht aufgesetzt — ihre Kern-, Geschäfts- und Prozessschicht werden über Jurisdiktionen hinweg dupliziert und durch Kollisionsrecht aufgelöst. Das ist der strukturelle Grund, warum regulatorische Komplexität mit Internationalisierung nicht linear, sondern als Kreuzprodukt skaliert.

Eine zweite Dimension ist die Zeit. Das Set ist nicht statisch — es verändert sich mit jeder Gesetzesnovelle, jedem neuen Rundschreiben, jedem regulatorischen Vorbescheid. Compliance-Versagen entsteht selten durch falsche Lesart der aktuellen Regeln, sondern fast immer durch unbemerktes Delta.

Was daraus folgt

Das Ziel eines solchen Modells ist nicht juristische Kommentierung, sondern analytische Strukturierung. Compliance wird damit als systemisches Modell behandelbar, nicht als fragmentierte Sammlung isolierter Einzelvorschriften. Operationelle und Compliance-Risiken werden adressierbar an der Stelle, an der sie tatsächlich entstehen: an Begriffen, Kategorien und ihrer normativen Verbindung.

Ontologie-zuerst-Analyse

1. Minimale normative Primitive bestimmen — und Ebenen trennen. Hier: Rechte, Pflichten, Verbote. Sauber von der Meta-Ebene (Autorität, Befugnis, Durchsetzbarkeit, Anwendungsbereich) abgegrenzt halten.
2. Diese Primitive semantisch eindeutig definieren. Gerade dort, wo eine zu sparsame Reduktion Mehrdeutigkeit erzeugen würde — siehe Verbot vs. Pflicht.
3. Regulatorische Texte als Artefakte dieser Struktur behandeln. Nicht als deren Definition. Der Gesetzestext belegt; er definiert nicht.

Der Ansatz ist nicht auf Compliance beschränkt. Wo immer gewachsene Taxonomien zur instabilen Grundlage für systematisches Risikomanagement geworden sind, gilt dieselbe Diagnose und derselbe Hebel: Das eigentliche Problem ist selten das Volumen, sondern die Unschärfe. Und Unschärfe wird nicht durch mehr Text gelöst — sondern durch eine saubere Ontologie und eine präzise Semantik.

Referenzen

1. Hohfeld, W. N. (1913). Some Fundamental Legal Conceptions as Applied in Judicial Reasoning. Yale Law Journal, 23(1).
2. von Wright, G. H. (1951). Deontic Logic. Mind, 60(237).
3. Verordnung (EU) 2016/679 (DSGVO), Art. 5–11, 15–22, 9.
4. Basel Committee on Banking Supervision (2006). International Convergence of Capital Measurement and Capital Standards: A Revised Framework — Comprehensive Version (BCBS 128), Annex 9: Detailed Loss Event Type Classification. Bank for International Settlements.
5. ORX (2019). Operational Risk Reference Taxonomy: Event Types; ORX (2020). Cause and Impact Reference Taxonomy. Mit Oliver Wyman.
6. Shostack, A. (2014). Threat Modeling: Designing for Security. (STRIDE).
7. MITRE Corporation. ATT&CK Framework — Tactics, Techniques, and Procedures.
8. Kreinz, B. (2026). Das Ende der semantischen Diffusion. Barnes Projects, Januar 2026.
9. Kreinz, B. (2026). The Pre-Paradigmatic State of AI. Barnes Projects, Januar 2026.
10. Kreinz, B. (2026). Beyond STRIDE: The TLCTC Framework’s Superior Approach. tlctc.net, aktualisiert für TLCTC v2.6, Oktober 2026.