Die Zukunft der Bedrohungsabwehr

Die zunehmende Bedeutung von Verhaltensänderungen für die Unternehmenssicherheit

BEDEUTUNG DER MITARBEITENDEN FÜR DIE SICHERHEITSLAGE

Verhaltensänderungen bei Mitarbeitenden werden heute als eines der wichtigsten Elemente der Cybersicherheits-Verteidigungslage eines Unternehmens eingestuft. Obwohl Menschen eine große Schwachstelle bleiben, sind sie heute auch eine der besten Schutzformen, wenn sie in eine adaptive Schleife integriert werden. Dies spiegelt die Erkenntnis wider, dass personalisiertes, KI-gesteuertes Social Engineering, das auf Einzelpersonen abzielt, eine primäre Methode ist, die Hacker verwenden, um computergestützte Angriffe zu umgehen. Infolgedessen passen Unternehmen ihre mitarbeiterbezogene Verteidigung in mehreren Bereichen an. Tatsächlich glauben 95 % der befragten Sicherheitsexpertinnen und -experten, dass ihre Organisation anpassungsfähig ist in Bezug auf:

• Veränderungen bei Bedrohungen (neue Taktiken, neue Kanäle, neue Vorwände)
• Organisatorische Veränderungen (Standorte, Umfang, Tools, Workflows)
• Unterschiede bei den Mitarbeitenden (Rollen, mit und ohne festen Büroarbeitsplatz, Standort, Sprache)
• Interne Verhaltenssignale (Simulationsinteraktionen, Meldeverhalten, Einhaltung von Richtlinien)

Zukünftige Investitionen in die adaptive Verteidigung

Die große Mehrheit der Befragten in der DACH-Region ((93 %) gab an, dass sie im kommenden Jahr und darüber hinaus „wahrscheinlich in den Aufbau einer anpassungsfähigen, verhaltensbasierten Sicherheitskultur investieren“ werden. Im Detail nannten 42 % dies als „sehr wahrscheinlich“ und 51 % als „eher wahrscheinlich“. Im Vergleich zu den anderen untersuchten Ländern ist die Investitionsabsicht in der DACH-Region hiermit am höchsten.

Auch innerhalb der 93 Prozent gibt es Nuancen. „Wahrscheinlich“ bedeutet nicht zwangsläufig ein zugesagtes Budget, Entscheidungen auf Vorstandsebene oder eine operative Umsetzung. Absicht und Umsetzung sind nicht dasselbe. Die meisten Unternehmen sind sich der Bedeutung der adaptiven Verteidigung bewusst, doch es muss ihnen auch gelingen, diese angesichts organisatorischer Komplexität erfolgreich zu skalieren.

Die strategischere Frage ist nicht, ob Unternehmen den Wert der adaptiven Verteidigung erkennen, sondern ob sie bereit sind, sie als Kerninfrastruktur und nicht als eine optionale Verbesserung zu behandeln.

Warum es schwierig ist, sicherheitsbewusstes Verhalten dauerhaft beizubehalten

Befragte Sicherheitsexpertinnen und -experten nennen mehrere Gründe, die es schwierig machen, ein durchgängig sicheres menschliches Verhalten aufrechtzuerhalten. Allgemeines Training und Anleitungen, die nicht zu realen Situationen passen, sind das am häufigsten genannte Problem, wobei 38 % der Befragten angeben, dass dies auf ihre Organisation zutrifft. Weitere 34 % geben an, dass die Erwartungen vom Management oder von den Teams nicht konsequent durchgesetzt werden. Derselbe Prozentsatz berichtet, dass Mitarbeitende Risiken nicht erkennen oder nicht wissen, welche Maßnahmen sie ergreifen müssen.

Daraus können wir ableiten, dass ein großer Teil der Unternehmen vor der Herausforderung steht, das Verhalten ihrer Mitarbeitenden zu ändern. Allgemeines Training muss durch präzisere Simulationen realer Szenarien ersetzt werden, denen Mitarbeitende in ihrem Arbeitsalltag begegnen. Solche Simulationen können die Risikoerkennung deutlich verbessern und angemessene, sicherheitsbewusste Reaktionen vermitteln. Führungskräfte müssen sicherheitsbewusstes Verhalten durch sanfte Anleitung ständig verstärken, nicht durch strafende Maßnahmen.

Ein weiteres Problem, das 34 % der Befragten nannten, ist, dass Menschen dazu neigen, den Weg des geringsten Widerstands zu gehen und so vom Sicherheitsprozess abzuweichen. Wenn sie den Eindruck haben, dass der sichere Weg zu mühsam ist, suchen sie nach Abkürzungen, verwenden nicht genehmigte Tools und überspringen Schritte. Dies deutet darauf hin, dass Unternehmen nahtlosere, benutzerfreundlichere Sicherheitsprozesse schaffen müssen, um eine höhere Akzeptanz bei den Mitarbeitenden zu erreichen und sie dazu zu bringen, die richtigen Schritte zu befolgen.

Auch Arbeitsbelastung und Zeitdruck können dazu führen, dass Menschen Sicherheitsmaßnahmen ignorieren, weil sie sich überlastet fühlen. So berichteten 30 % der Sicherheitsexpertinnen und -experten. Auch hier besteht die Antwort darin, die Cybersicherheit so zu integrieren, dass die Arbeitsbelastung der Mitarbeitenden nicht erhöht und der Leistungsdruck nicht gesteigert wird. Weitere 33 % gaben an, dass sichere Prozesse bei Mitarbeitenden im Homeoffice und bei externen Mitarbeitenden schwieriger einzuführen sind. Hier sind eine breitere Aufklärung und eine stärkere Zusammenarbeit gefragt. Moderne KI-gesteuerte Angriffe bedrohen das gesamte Ökosystem eines Unternehmens, was erfordert, dass alle Beteiligten in einer kohärenten Cyber-Verteidigungsstrategie zusammenarbeiten.

Bemerkenswerterweise glauben nur 34 % der Sicherheitsexpertinnen und -experten, dass ihre Mitarbeitenden sich im Allgemeinen konsequent sicher verhalten. Das weist auf ein Defizit beim Lerntransfer hin – also der Fähigkeit, Trainingsinhalte auf reale Aufgaben anzuwenden.

Unsere Umfrage zeigt, dass 21 % sich hauptsächlich auf den Abschluss von Trainings und die Unterzeichnung von Richtlinien verlassen. Nur 19 % haben die Fähigkeit, menschliche Erkenntnisse zu gewinnen und ihre Sicherheitslage schnell anzupassen. Während weitere 19 % diese Erkenntnisse ebenfalls nutzen, hinkt die Umsetzung der Änderungen hinterher. Dadurch treten die Unternehmen bei einem schnellen Angriff auf der Stelle und können nicht schnell genug reagieren.

Wir sehen auch, dass 18 % der Unternehmen Personen- und Sicherheitstelemetrie nutzen, um Sicherheitsentscheidungen und das Reporting an den Vorstand zu unterstützen. Dies kann eine wirkungsvolle Kombination sein, solange man sich nicht zu sehr auf Daten statt auf menschlichen Input verlässt. Eine adaptive Verteidigung erfordert eine ausgewogene Mischung aus beidem.

Interessant ist, dass den Ergebnissen zufolge 11 % der Unternehmen zwar das Security-Awareness-Level messen, aber infolgedessen nichts ändern. Weitere 11 % geben zu, dass sie ihren Daten nicht vertrauen können. Dieser Mangel an Bewusstsein oder aktivem Handeln macht sie extrem anfällig, und das selbst gegenüber traditionellen Nicht-AI-Angriffsvektoren.