Von Markus Stadelhofer, Experte für Cyber-Sicherheit bei Primion
Menschen gelten hinsichtlich ihres Verhaltens in der Cyber-Sicherheit häufig als Schwachstelle. Sie öffnen Anhänge, reagieren auf dringende Anfragen oder geben sensible Informationen weiter. Beschäftigte können aber auch Angriffe erkennen, Abläufe hinterfragen und Sicherheitsvorfälle frühzeitig sichtbar machen.
Jeden Tag treffen Mitarbeitende Entscheidungen mit Folgen für die Sicherheit: Sie bearbeiten Zugriffsanfragen, ändern Stammdaten, prüfen Identitäten oder reagieren auf Nachrichten. Jede dieser Situationen kann zum Ausgangspunkt eines Angriffs werden – oder aber zu jenem Moment, in dem die Angriffskette endet.
Hier setzt das Primion-Konzept der menschlichen Firewall an. Gemeint ist eine Belegschaft, die ungewöhnliche Situationen erkennt, sensible Anfragen überprüft und Beobachtungen meldet. Die Menschen ersetzen die technische Kontrolle nicht, sie ergänzen diese um den geschäftlichen Kontext basierend auf menschlichem Urteilsvermögen.
Sicherheit entsteht im Arbeitsalltag
Dabei geht es nicht mehr nur um klassische Phishing-Mails. Moderne Angreifer nutzen Deepfakes in Videokonferenzen oder KI-generierte Stimmen am Telefon. Technische Systeme können schädliche Dateien blockieren, Zugriffsregeln durchsetzen und auffällige Aktivitäten erkennen. Sie können jedoch nicht jede Anfrage im geschäftlichen Kontext bewerten. Beschäftigte wissen oft besser, ob ein Vorgang üblich ist, eine Begründung plausibel klingt oder jemand versucht, einen festgelegten Prozess zu umgehen. Hier schützen nur das geschulte Auge und Ohr der Beschäftigten.
Allgemeine Schulungen zu Passwörtern, Schadsoftware oder Phishing vermitteln wichtige Grundlagen. Entscheidend ist jedoch, ob Beschäftigte das Gelernte im Alltag in ihrem Arbeitsumfeld konkret anwenden können.
Die Risiken unterscheiden sich je nach Rolle. Im Finanzbereich geht es möglicherweise um geänderte Zahlungsdaten, in der Personalabteilung um Bewerbungsunterlagen, in der Produktion um QR-Codes an Anlagen und in der IT um Zugriffe und Identitäten. Sicherheitsmaßnahmen sollten sich deshalb an den tatsächlichen Aufgaben und Entscheidungen der Beschäftigten orientieren.
Diese vier Verhaltensweisen sind von zentraler Bedeutung: Abweichungen erkennen, bei ungewöhnlicher Dringlichkeit innehalten, sensible Anfragen unabhängig überprüfen und Verdachtsfälle melden. Die Beschäftigten müssen dafür keine Fachleute für Cyber-Sicherheit sein, aber sie benötigen verlässliche Routinen, die auch unter Zeitdruck funktionieren.
Melden muss einfacher sein als Schweigen
Wer ein Risiko erkennt, kann unmittelbar handeln und so die notwendige Reaktionskette in Gang setzen, um dem Sicherheitsteam notwendige Zusammenhänge zu übermitteln und weitere Beschäftigte zu warnen.
Doch Meldewege sind häufig nicht ausreichend bekannt oder schwer zugänglich. Beschäftigte müssen entweder nach einem Verantwortlichen suchen oder selbst beurteilen, ob ihre Beobachtung relevant genug ist. Dabei wollen sie lediglich ein ungewöhnliches Signal weitergeben und nicht eine abschließende Diagnose stellen. Die fachliche Bewertung müssen die zuständigen Stellen übernehmen.
In der Praxis bedeutet dies beispielsweise die Einführung eines zentralen ‚Melde-Buttons‘ direkt im E-Mail-Client. Ein Klick muss genügen, um einen Verdacht an das Sicherheitsteam zu übermitteln, ohne dass der Mitarbeitende Formulare ausfüllen muss. Neben einfachen und erreichbaren Meldewegen braucht es eine zeitnahe Rückmeldung. Wer einen Verdacht meldet, sollte umgehend wissen, dass die Information angekommen ist und ernst genommen wird.
Vertrauen als Voraussetzung
Ob Menschen Sicherheitsvorfälle melden, hängt auch davon ab, wie ein Unternehmen mit Fehlern umgeht. Wer Schuldzuweisungen oder persönliche Konsequenzen befürchtet, wird eine Fehlentscheidung möglicherweise verschweigen oder erst spät offenlegen. Richtiges Verhalten sollte belohnt oder zumindest gelobt werden.
Eine lernorientierte Sicherheitskultur fragt deshalb nicht nur, wer einen Fehler gemacht hat. Sie untersucht auch, warum eine Entscheidung in der jeweiligen Situation plausibel erschien und welche organisatorischen Bedingungen dazu beigetragen haben. Wieder–kehrende Fehler können auf unklare Abläufe, ungeeignete Kontrollen oder wenig praxisnahe Schulungen hinweisen.
Die Wirksamkeit einer menschlichen Firewall zeigt sich daher nicht allein in der Zahl absolvierter Schulungen. Aussagekräftiger ist die Geschwindigkeit von Meldungen, die Entwicklung wiederkehrender Risikomuster und die Frage, ob unterschiedliche Rollen, Standorte und Kommunikationswege berücksichtigt werden.
Der Mensch bleibt ein möglicher Angriffspunkt. Zugleich kann er Unstimmigkeiten erkennen, Zusammenhänge einordnen und im entscheidenden Moment handeln. Ob daraus ein wirksamer Sicherheitsfaktor wird, hängt von klaren Prozessen, praxisnahen Übungen und einer Kultur ab, in der aufmerksames Handeln ausdrücklich erwünscht ist.
