Blogs & News-Artikel

Vom schwächsten Glied zur stärksten Verteidigung: So stärken Sie Ihre Mitarbeitenden im Bereich IT-Sicherheit

05 Dez

Der menschliche Faktor: das größte Sicherheitsrisiko von allen

Ihre Mitarbeitenden haben die Schlüssel zum Königreich. Je nach Rolle haben sie Zugang zu vertraulichen Unternehmensinformationen, Kundendaten und Finanzunterlagen. Doch sind sie sich der Verantwortung bewusst, die mit diesem Zugang einhergeht? Noch wichtiger: Sind sie wachsam genug, um diese wertvollen Informationen vor Bedrohungen und Sicherheitsverletzungen zu schützen?

IT-Sicherheit bedeutet, sensible und vertrauliche Daten zu schützen. Um dies effektiv zu tun, braucht es ein sorgfältiges Gleichgewicht zwischen drei Säulen:

• Menschen
• Richtlinien
• Technologie

Jedes dieser Elemente ist nur so stark wie die anderen. Eine solide Richtlinie ist nutzlos, wenn sie nicht befolgt wird. Und die fortschrittlichste Technik hilft nichts, wenn jemand sein Passwort auf einen Post-it-Zettel schreibt.

Kurz gesagt: Im Bereich Cybersecurity ist kein Faktor anfälliger (oder wird stärker ausgenutzt) als menschliches Verhalten. Cyberkriminelle wissen dies und nutzen es gezielt durch Social Engineering aus. Mit manipulativen Taktiken nutzen sie menschliche Emotionen und Verhaltensmuster, um Menschen dazu zu bringen, sensible Informationen preiszugeben oder Handlungen auszuführen, die sie normalerweise vermeiden würden.

Social Engineering zielt auf Menschen, nicht auf Systeme. Und da dafür keine hochentwickelten technischen Fähigkeiten erforderlich sind, ist es für Angreifende sowohl leichter durchzuführen als auch skalierbar.

Beispiele aus der Praxis: Wenn Mitarbeitende den Unterschied machen

1. Die ahnungslose Mitarbeiterin, die das Risiko nicht erkannte

Die Medien sind voll von Beispielen für Vorfälle, die auf fehlendes Sicherheitsbewusstsein zurückzuführen sind – vom Versand von E-Mails an die falsche Adresse bis hin zu falsch konfigurierten Druckern. Es gibt unzählige Möglichkeiten, wie Informationen versehentlich durchsickern können.

2. Der zögernde Mitarbeitende, der hereingelegt wurde und Millionen übertrug

In einem anderen Fall überwies ein Mitarbeiter 200 Millionen Hongkong-Dollar (rund 24 Millionen Euro) an Cyberkriminelle. Ausgelöst wurde dies durch eine gezielte Phishing-Mail, die sich zu einem ausgeklügelten Betrug entwickelte. Anfangs war der Mitarbeiter misstrauisch, da es sich um eine geheime Transaktion handelte. Nach einer Videokonferenz mit Personen, die wie seine Kolleginnen und Kollegen wirkten und klangen, ließ er sich jedoch überzeugen. Später stellte sich heraus, dass es sich um einen Deepfake-Angriff handelte. Die Personen im Video waren keine Kollegen, sondern überzeugende, KI-generierte Nachbildungen mit manipulierten Bildern und synthetischen Stimmen.

3. Die Insiderin, die absichtlich Firmendaten leakte

Hoffentlich passiert dies nie in Ihrer Organisation, doch manchmal leaken (ehemalige) Mitarbeitende absichtlich Daten oder entwenden Gelder. Die Gründe dafür sind unterschiedlich: Unzufriedenheit, Rache, Ideologie, finanzielle Interessen oder äußerer Druck. Tesla etwa erlitt 2023 einen schweren Sicherheitsvorfall, verursacht durch zwei ehemalige Mitarbeitende. Und im niederländischen Radboud University Medical Center kam es 2021 zu einer Datenpanne, als ein Ex-Mitarbeitender vertrauliche Informationen auf GitHub veröffentlichte.

Risiken reduzieren

Leider hapert es in vielen Organisationen noch an präventiven Maßnahmen. Die gute Nachricht: Mit ein paar gezielten Ansätzen lässt sich das Risiko drastisch senken:

Klare Richtlinien setzen und technische Schutzmaßnahmen implementieren

Starke Cybersecurity beginnt mit den richtigen Werkzeugen und klaren Erwartungen. Ihre Mitarbeitenden sollten Zugang zu Technik haben, die sie für sicheres Arbeiten brauchen – etwa Passwortmanager. Legen Sie klare Protokolle fest und ergänzen Sie diese mit intelligenten Tools wie Firewalls, um unbefugten Zugriff zu verhindern.

Denken Sie daran: Keine Technik der Welt schützt Sie, wenn Ihre Mitarbeitenden nicht aufmerksam und informiert sind.

Offen und konsistent kommunizieren

Klare Kommunikation ist entscheidend, damit IT-Sicherheitsbewusstsein präsent bleibt. Sie beginnt bereits am ersten Arbeitstag mit dem Verhaltenskodex und endet mit dem letzten Tag, an dem besprochen wird, wie Geräte sicher zurückgegeben werden.

Verwenden Sie einfache Sprache, verzichten Sie auf unnötigen Fachjargon und setzen Sie keine unrealistischen Erwartungen.

Fördern Sie eine Kultur, in der das Ansprechen von Bedenken selbstverständlich ist. Mitarbeitende sollten sich nie schämen oder fürchten, etwas Verdächtiges zu melden. Machen Sie deutlich, dass frühes Handeln geschätzt wird und größeren Schaden verhindern kann. Ermutigen und belohnen Sie gegebenenfalls jene, die sich melden.

IT-Sicherheit zur gemeinsamen Verantwortung machen

Fragt man eine durchschnittliche Person, wer für Cybersecurity zuständig ist, lautet die Antwort meist: die IT-Abteilung. Doch die Wahrheit ist: Alle tragen Verantwortung. Das Problem ist, dass viele das nicht wissen oder sich nicht persönlich zuständig fühlen.

Mit den richtigen Mitteln und dem passenden Ansatz holen Sie alle ins Boot.

Sicherheitsschulungen: Ein Muss

Sicherheitsschulungen sind ein zentraler Bestandteil jedes Informationssicherheitsprogramms. Sie sind das effektivste Mittel, um Ihr Team zur stärksten Verteidigungslinie gegen digitale Bedrohungen zu machen.

Mit der Awaretrain-Plattform können Sie Ihr Team auf unterhaltsame und motivierende Weise schulen. Stellen Sie ganz einfach Ihre eigenen Trainingsprogramme zusammen und entdecken Sie eine umfangreiche Bibliothek mit interaktiven Spielen, kompakten „Security Snacks“ und informativen Herausforderungen.

Möchten Sie sehen, wie das funktioniert? Erstellen Sie ein kostenloses Testkonto und erleben Sie selbst, wie einfach es ist, Ihre gesamte Organisation zu schulen.

Verhaltensänderung beginnt mit Bewusstsein

Wie Sie gesehen haben, ist das Bewusstsein der Schlüssel zu langfristiger Verhaltensänderung und zur Vermeidung kostspieliger Vorfälle. Niemand kann eine hundertprozentig sichere Umgebung versprechen – aber das bedeutet nicht, dass man sie nicht anstreben sollte. Jeder Schritt zählt – oder in diesem Fall: jeder Klick. Und wir unterstützen Sie auf jedem dieser Schritte.