Der menschliche Faktor im Kontext der Cybersicherheit
Wir erklären, wie der menschliche Faktor mit der IT-Sicherheit von Unternehmen zusammenhängt und geben Tipps, wie sich eine solide Cybersicherheitskultur etablieren lässt.
95 % aller Cybersicherheitsverletzungen im Jahr 2022 waren auf menschlichen Irrtum zurückzuführen, so der Weltrisikobericht des Weltwirtschaftsforums.
Auch wenn Ihre Kollegen sicher die größte Gefahr für Ihr Unternehmen darstellen, kann man sie nicht für etwas verantwortlich machen, das sie gar nicht gewusst oder verstanden haben.
Menschlicher Irrtum ist eine unbeabsichtigte Handlung, die oft aus Unkenntnis begangen wird. Der menschliche Faktor ist die Art, wie Unternehmen, Kultur, Beruf und Verhaltensmerkmale zusammenspielen, um einen Menschen mit diesem Wissen auszustatten und sein Sicherheitsbewusstsein am Arbeitsplatz zu erhöhen. Dabei müssen wir unser Augenmerk vor allem auf die menschliche Komponente richten, insbesondere dann, wenn es um Cybersicherheit geht.
Deshalb werden wir uns in diesem Artikel der Reihe in[ctrl] damit beschäftigen, wie und warum IT-Experten ihren Teams besonders gut helfen können, die Gefahren zu verringern, die durch menschlichen Irrtum entstehen. Dazu haben wir für Sie einige praktische Tipps zusammengestellt, die Ihnen helfen werden, Ihre Kolleginnen für die Abwehr von Cybersicherheitsbedrohungen an vorderster Front fit zu machen.
Welche Gefahren die Fernarbeit für die Cybersicherheit mit sich bringt: Der menschliche Faktor
Viele Unternehmen mussten sich mehr oder weniger schnell auf die Fernarbeit und hybrides Arbeiten einstellen. Die neuen Arbeitsweisen haben zwar viele Vorteile wie höhere Flexibilität und Produktivität mit sich gebracht, aber leider auch beispiellose Cybersicherheitsgefahren für uns und unsere Kollegen.
Die Arbeit im Homeoffice:
- findet in einem zwanglosen Umfeld statt, das Unaufmerksamkeit begünstigt
- geht mit vielen Ablenkungen einher, die die Aufmerksamkeit verringern können
- birgt die Gefahr, das sich Geräte beim Wechsel von Privat- zu Firmengeräten und umgekehrt gegenseitig infizieren
- findet meist in ungesicherten Netzwerken statt
Auch den menschlichen Faktor in Betracht zu ziehen, kann IT-Experten helfen, ihre Kollegen bei der Abwehr von Sicherheitsbedrohungen zu unterstützen und eine solide Cybersicherheitskultur zu etablieren.
Was versteht man unter Cybersicherheitskultur?
Eine gute Cybersicherheitskultur entsteht, wenn alle Mitarbeiter wissen, wie man so sicher wie möglich arbeitet.
Denn schließlich ist der Mensch das beste Bollwerk gegen Cyberangriffe, aber auch das schwächste Glied in der Cybersicherheitskette. Deshalb steht und fällt eine effektive Cybersicherheitskultur mit dem Menschen, nicht mit der Technologie. Die erste Verteidigungslinie sollte aus Mitarbeitern bestehen, die über genug Wissen, Intuition und Bewusstsein verfügen, um Sicherheitsprobleme effektiv in Angriff zu nehmen. Die IT-Abteilungen sind am ehesten in der Lage, die Belegschaft für das Thema Cybersicherheit zu sensibilisieren und das Unternehmen dadurch widerstandsfähig zu machen.
Sechs Schritte auf dem Weg zu einer soliden Cybersicherheitskultur
Wenn Cybersicherheit nicht tief in der Firmenkultur verwurzelt ist, kann der menschliche Faktor zu einer ernsten Gefahr werden. Deshalb sollten Sie Ihren Teams beibringen, wie sie mit sechs einfachen Schritten eine robuste Cybersicherheitskultur etablieren können.
1. Vermeiden Sie Fachjargon
Fachsprache ist dem Verständnis meist eher ab- als zuträglich. Deshalb sollten Sie leicht verständliche Formulierungen verwenden, wenn Sie Kollegen mit den bewährten Praktiken der Cybersicherheit vertraut machen.
Verwenden Sie im Gespräch mit Ihren Kollegen, die nicht zur IT-Abteilung gehören, leicht verständliche Formulierungen. Buchhalterinnen, Designer und Mitarbeiter von Catering-Teams werden mit den Begriffen Ransomware, Trojaner, Würmer und Malware vielleicht nichts anzufangen wissen, aber sehr wohl verstehen, dass schädliche Software oft in Fake-E-Mails verschickt wird, um Computersysteme zu infizieren.
Machen Sie Ihre Botschaften nicht komplizierter als nötig. Zu erfahren, wie Blockverschlüsselungsalgorithmen und Egress-Filter funktionieren, wird Ihren Mitarbeitern sicher nicht helfen, eine positive Cybersicherheitskultur aufzubauen. Es wird sie nur verwirren und dazu führen, dass sie sich dem Ganzen nicht mehr gewachsen fühlen.
Sagen Sie Ihren Teams nur das, was sie wissen müssen, um sich neue „cybersichere“ Verhaltensweisen anzueignen und Cyberbedrohungen effektiv abzuwehren.
2. Geben Sie eine Cybersicherheits-Checkliste heraus
Eine Checkliste, auf die jeder in Ihrem Unternehmen zugreifen kann, wird allen helfen, sich gute Gewohnheiten in puncto Cybersicherheit zuzulegen.
Führen Sie in einem leicht verständlichen Dokument aus, welche Vorsichtsmaßnahmen jeder ergreifen sollte, und wann und wie er sie ergreifen sollte, um die Gefahr eines Cyberangriffs zu verringern.
Folgende Maßnahmen sollten darin zum Beispiel enthalten sein:
- Ein Virenschutzprogramm installieren und alle zwei Wochen auf Updates überprüfen
- Dateien jede Woche in der Cloud sichern
- Bei der Arbeit in einem Coworking-Bereich alle Laptop-, PC- und Gerätemonitore sperren
- Immer ein VPN verwenden
- Einzigartige und starke Passwörter für jeden Account und jedes Gerät verwenden
- Monatlich die Passwörter wechseln
- Jede E-Mail zuerst einmal skeptisch betrachten
- Passwortschutz und Wartezimmerfunktion bei Online-Treffen verwenden
- Bluetooth und Filesharing-Funktionen deaktiviert lassen, solange sie nicht benötigt werden
Die Bedrohungen sollten sowohl auf Netzwerk- als auch auf Geräte- und Ausgabeebene bekannt sein. Eine Checkliste wird Ihnen dabei helfen, die grundlegende Sicherheit zu erhöhen und Ihre Daten sowie Vermögenswerte dauerhaft zu schützen.
Fügen Sie der Unterweisung Ihrer Mitarbeiter Screenshots, Links oder Schritt-für-Schritt-Anleitungen per Video hinzu, um den Kollegen vor Augen zu führen, wie sie jede Maßnahme selbst effektiv umsetzen können.
3. Zeigen Sie auch, was im Notfall zu tun ist
Eine Checkliste kann Kollegen dazu bringen, bewährte Cybersicherheitspraktiken anzuwenden. Doch selbst die am besten gesicherten Unternehmen können einmal einem Cyberangriff zum Opfer fallen – insbesondere dann, wenn der menschliche Faktor eine Rolle spielt. Deshalb sollten alle Kollegen genau wissen, was im Verdachts- und Ernstfall zu tun ist.
Notfallverfahren müssen zum Beispiel immer dann anlaufen, wenn eine verdächtige E-Mail im Postfach eines Kollegen erscheint. Dann müssen alle Kollegen wissen, was zu tun ist. Sobald sie auch nur den geringsten Zweifel daran hegen, dass mit der E-Mail alles in Ordnung ist, sollten sie sich an ein Mitglied des Notfallteams wenden. Dafür müssen sie aber erst einmal wissen, wer diesem Team angehört. Fügen Sie einen Leitfaden für richtiges Verhalten im Notfall zu Ihrer Cybersicherheits-Checkliste hinzu, um alle Unterlagen an einem Ort aufzubewahren.
Folgende Informationen sollten in einem solchen Leitfaden enthalten sein:
- Wer ist der erste Ansprechpartner im Notfall?
- Wie kann man ihn erreichen?
- Geschäftszeiten
- Was kann man außerhalb der Geschäftszeiten tun?
- Beispiele für Maßnahmen im Not- oder Verdachtsfall:
- Nicht auf verdächtige Links klicken
- Keine verdächtigen Anhänge öffnen
- Nicht an andere weiterleiten
- Nicht auf die verdächtige E-Mail antworten
- Sofort an das Notfallteam wenden
4. Führen Sie eine einfache Notfallübung durch
Auch wenn das ziemlich banal erscheint, kann eine kurze Übung am Arbeitsplatz den Kollegen anschaulich vermitteln, wie sehr sie für Cyberangriffe anfällig sind. Bei einer firmenweit durchgeführten Übung kann man erkennen, wie sehr die Kollegen schon mit den verschiedenen Cybersicherheitsbedrohungen vertraut sind und gleichzeitig Mitarbeiter auf unaufdringliche Weise schulen.
Indem Sie Ihren Kollegen gelegentlich Fragen zu ihren Cybersicherheitsgewohnheiten auf den schicken, helfen Sie ihnen:
- diese Gewohnheiten zu hinterfragen
- motiviert zu bleiben, die Cybersicherheitsrichtlinien zu erfüllen
- sich die Cybersicherheits-Checkliste in Erinnerung zu rufen
- das, was sie bereits wissen, auf künftige Sicherheitsprobleme anzuwenden
Sie könnten diese Übung auch so gestalten, dass Sie damit bestimmte Aspekte der Cybersicherheit (wie etwa bei der Fernarbeit) analysieren können.
5. Feiern Sie Ihre Cybersicherheitserfolge
Ihre solide Cybersicherheitskultur sollte eine Erweiterung der positiven Kultur Ihres ganzen Unternehmens sein. Cybersicherheitserfolge zu feiern, ist eine effektive Möglichkeit, den Mitarbeitern Selbstvertrauen einzuflößen, sie zur Einhaltung der Richtlinien zu motivieren und ihnen Wertschätzung für ihre Sicherheitsbemühungen zuteil werden zu lassen.
Motivieren Sie die Kollegen mit einem „Security Score“, der wöchentlich aktualisiert werden kann. Eine Verbesserung des Scores kann durch die Teilnahme an Schulungen, für korrekte Antworten in einem Quiz und für das Erkennen möglicher Bedrohungen verliehen werden. Den Mitarbeitern so Anreize zu geben, sich weiterzubilden und ihr Verhalten zu ändern, was sich langfristig auf den menschlichen Faktor auswirkt, hilft Ihnen, eine sicherheitsbewusste Belegschaft zu schaffen, die Cybersicherheit als wichtigen Teil der Gesamtsicherheit des Unternehmens betrachtet.
Mit einem Poster an der Büropinnwand, einem wöchentlichen E-Mail-Newsletter oder einer Popup-Nachricht können Sie die Mitarbeiter ehren, die Ihr Unternehmen vor einer potentiellen Bedrohung und einem kostspieligen Angriff bewahrt haben. Das wird andere dazu motivieren, die Cybersicherheitsrichtlinien zu befolgen und weiter nach Sicherheitsbedrohungen Ausschau zu halten.
6. Geben Sie regelmäßig Updates
Cybersicherheit sollte kein Thema sein, das nur einmal aller paar Monate aufgegriffen wird. Es muss in die tägliche Arbeit jedes Teams und jeder Abteilung Ihres Unternehmens integriert werden. Zu diesem Zweck sollten IT-Profis regelmäßige Updates geben, um alle Kollegen über die jüngsten Phishing-Scams und verdächtigen E-Mails zu informieren.
So könnten Sie beispielsweise einen monatlichen E-Mail-Newsletter zum Thema Cybersicherheit oder Phishing ins Leben rufen, in dem Sie die neusten Betrugsmaschen vorstellen. Diese regelmäßigen Updates werden die Cybersicherheit im Bewusstsein der Mitarbeiter verankern und verhindern, dass sie nachlässig werden.
Doch selbst die beste Cybersicherheitskultur wird nicht immer verhindern können, dass Betrugsversuche erfolgreich sind. Und da Ransomware die 2021 die am weitesten verbreitete Art des Cyberangriffs in Europa war, wird uns dieses Problem wohl noch länger beschäftigen.
Zum Glück können IT-Experten ihren Kollegen helfen, diese Gefahr erheblich zu verringern, indem sie anwenderorientiert an die Cybersicherheit herangehen und Brothers sechs Schritte auf dem Weg zu einer soliden Cybersicherheitskultur verfolgen.
Häufig gestellte Fragen
Abschließend wollen wir noch ein paar Fragen beantworten, die in ihrer Form immer wieder aufkommen.
Was ist der Unterschied zwischen menschlichem Irrtum und dem menschlichen Faktor?
Menschlicher Irrtum ist eine unbeabsichtigte Handlung, die oft aus Unkenntnis begangen wird und negative Konsequenzen hat. Der menschliche Faktor ist die Art, wie das Zusammenspiel von Unternehmen, Kultur, Beruf und Verhaltensmerkmalen das Sicherheitsbewusstsein eines Menschen am Arbeitsplatz beeinflusst.
Welche Rolle spielt der menschliche Faktor für die Cybersicherheit?
Bei der Cybersicherheit kommt der menschliche Faktor immer dann ins Spiel, wenn Situationen, die einen erfolgreichen Angriff oder eine Datenschutzverletzung verursachen, aus menschlichem Handeln hervorgehen.
Warum ist der Mensch das schwächste Glied in der Cybersicherheitskette?
Menschen sind fehlbar und irren sich. So könnte ein Kollege zum Beispiel gerade abgelenkt, überlastet, gestresst, missmutig oder allzu selbstsicher sein. Das kann ihn zu Fehlern verleiten, die ihn zum schwächsten Glied in der Cybersicherheitskette machen.
