👥 Der menschliche Faktor in der Cyber Security: Schwachstelle oder ungenutzte Stärke? 👥

Bild generiert durch OpenAI's DALL·E

---

Ein klassisches Dilemma: Der Mensch als Sicherheitsrisiko

Es ist eine altbekannte These: Der Mensch ist das schwächste Glied in der Sicherheitskette.

Phishing-E-Mails werden geöffnet, unsichere Passwörter verwendet, Regeln umgangen. Klassische Ansätze zur Verbesserung des Sicherheitsbewusstseins wie Schulungen und Kampagnen setzen genau hier an. Doch oft bleibt ihre Wirkung hinter den Erwartungen zurück.

Dies liegt nicht allein an der Qualität der Maßnahmen, sondern auch daran, wie Sicherheitsrichtlinien gestaltet und umgesetzt werden. Viele Vorgaben zielen darauf ab, idealisiertes Verhalten durchzusetzen, das mit den tatsächlichen Arbeitsweisen der Mitarbeitenden nicht immer vereinbar ist. Vielleicht ist es an der Zeit, die Perspektive zu wechseln: Nicht die Menschen sollten sich den Policies anpassen – die Policies müssen sich den Menschen und ihrer Realität anpassen.

Policies für Menschen, nicht gegen sie

Ein alternativer Ansatz könnte folgende Überlegungen umfassen:

1. Sicherheitsrichtlinien, die Arbeitsweisen unterstützen

   Vorgaben sollten den Alltag der Mitarbeitenden erleichtern, statt ihn zu erschweren. Beispielsweise sind komplizierte Passwortanforderungen oft unpraktisch und führen zu Regelverstößen. Passwortlose Technologien wie FIDO2-Standards bieten eine sichere und benutzerfreundliche Alternative.

   
   

2. Technologie als Partner, nicht als Blockade

   Statt Sicherheitslösungen als Barriere wahrzunehmen, sollten diese Mitarbeitende unauffällig unterstützen. Adaptive Authentifizierung, die sich an das Verhalten des Nutzers anpasst, oder automatisierte Phishing-Erkennung können Risiken minimieren, ohne den Workflow zu behindern.

   
   

3. Mitarbeitende als Mitgestalter einbeziehen

   Wenn Mitarbeitende frühzeitig in die Entwicklung von Sicherheitsrichtlinien eingebunden werden, entsteht eine stärkere Akzeptanz. Maßnahmen, die auf realen Arbeitsprozessen basieren, sind oft effektiver als rein theoretische Vorgaben.

   
   

4. Fehler als Lernchancen nutzen

   Statt Fehler zu sanktionieren, könnten Unternehmen diese als wertvolle Hinweise auf Schwachstellen betrachten. Ein transparenter und offener Umgang mit Sicherheitsvorfällen fördert eine Kultur, in der Probleme proaktiv gemeldet werden.

Beispiele: Wie der menschliche Faktor wirken kann

• Phishing-Angriffe und Resilienztests

  Laut einer Verizon Data Breach Investigations Report-Analyse (2023) sind 74 % der Cyberangriffe auf Menschen als Einstiegspunkt zurückzuführen. Firmen, die Mitarbeitende aktiv in Phishing-Simulationen einbinden und regelmäßiges Feedback geben, berichten von einer deutlichen Verringerung erfolgreicher Angriffe.

  
  

• Passwortmanagement und Akzeptanz passwortloser Technologien

  Unternehmen wie Microsoft haben durch die Einführung von passwortlosen Systemen nicht nur die Sicherheit erhöht, sondern auch die Nutzerzufriedenheit gesteigert. Diese Lösungen reduzieren die Fehleranfälligkeit und schaffen eine bessere Arbeitsumgebung.

  
  

• Offene Feedback-Kultur

  Ein Security Champion-Programm kann dazu beitragen, die Sicherheitskultur in Unternehmen zu verbessern und Sicherheitsvorfälle zu reduzieren.

Fazit: Vom Sicherheitsrisiko zur Ressource

Der Mensch darf in der Cyber Security nicht nur als potenzielles Risiko gesehen werden, sondern vor allem als zentrale Stärke, die es zu fördern gilt. Richtlinien und Technologien sollten so gestaltet werden, dass sie die Arbeitsrealität und die individuellen Fähigkeiten der Mitarbeitenden berücksichtigen. So kann eine Umgebung entstehen, in der Sicherheit als natürlicher und unterstützender Bestandteil des Arbeitsalltags wahrgenommen wird.

Es sollte weniger darum gehen, Mitarbeitende zu verändern, sondern vielmehr darum, gemeinsam Lösungen zu entwickeln, die ihre Stärken fördern und sie aktiv in die Sicherheitsstrategie einbinden. Denn eine erfolgreiche Cyber Security Strategie muss dort ansetzen, wo Menschen und Technologien Hand in Hand arbeiten – mit dem Ziel, eine sichere und produktive Umgebung für alle zu schaffen.