Bewältigung menschlicher Cyberrisiken: Die funktionsübergreifende Aufschlüsselung, über die niemand spricht

Wenn sich ein Vorfall im Bereich der Cybersicherheit ereignet, reagieren Unternehmen in der Regel umgehend. Die Sicherheitsteams untersuchen den Vorfall, die Unternehmensleitung sucht nach Erklärungen, die Personalabteilung kommuniziert mit den Mitarbeitern, die IT-Abteilung arbeitet daran, das Problem einzudämmen, und die Compliance-Teams beginnen, etwaige regulatorische Auswirkungen zu prüfen.

Für kurze Zeit konzentrieren sich alle auf dasselbe Ziel. Dann ist der Vorfall vorbei, die Prioritäten ändern sich, und jede Abteilung kehrt zu ihren eigenen Aufgaben zurück. Das Sicherheitsbewusstsein wird wieder zum Problem des Sicherheitsteams, die Personalabteilung konzentriert sich auf Personalinitiativen, die IT-Abteilung widmet sich wieder Infrastrukturprojekten, und die Führungskräfte wenden sich der nächsten strategischen Priorität zu.

Dieser Kreislauf wiederholt sich tagtäglich in verschiedenen Organisationen und ist einer der Hauptgründe dafür, dass es nach wie vor so schwierig ist, das durch Menschen verursachte Cyberrisiko zu verringern.

Unser Bericht „Rethinking Human Cyber Risk“ , der auf einer Umfrage unter 200 CISOs in Großbritannien, Frankreich, Deutschland und Schweden basiert, ergab, dass Unternehmen zwar allgemein die Bedeutung des Managements menschlicher Cyberrisiken anerkennen, die Verantwortung dafür jedoch selten sinnvoll verteilt wird. Die Verbesserung der funktionsübergreifenden Zusammenarbeit zwischen den Bereichen Sicherheit, Personalwesen, IT und Compliance wurde von 22 % der CISOs als oberste Priorität genannt. Dies umzusetzen ist jedoch nicht ganz einfach. Jeder Vierte (25 %) gab an, dass konkurrierende geschäftliche Prioritäten weiterhin die für Initiativen im Bereich menschlicher Risiken verfügbare Zeit und die entsprechenden Investitionen einschränken, während 21 % auf begrenzte Teamkapazitäten hinwiesen und 16 % das geringe Interesse der Unternehmensleitung als anhaltendes Hindernis für Fortschritte identifizierten.

Dies bedeutet, dass das durch Menschen verursachte Cyberrisiko in einer heiklen Lage ist, da keine einzelne Funktion von Anfang bis Ende dafür verantwortlich ist. Von den Sicherheitsteams wird erwartet, dass sie dieses Risiko minimieren, doch viele der Faktoren, die das Verhalten der Mitarbeiter beeinflussen – von der Einarbeitung über die Arbeitsplatzkultur bis hin zu Führungspraktiken und Geschäftsprozessen – liegen in anderen Bereichen des Unternehmens.

Solange diese Diskrepanz nicht behoben wird, werden Sensibilisierungsprogramme weiterhin isoliert von den tatsächlichen Geschäftsabläufen durchgeführt, was es erheblich erschwert, die langfristigen Verhaltensänderungen zu erreichen, die Unternehmen anstreben, um Cybersicherheitsrisiken zu mindern.

Warum das Risiko durch menschliches Versagen oft übersehen wird

Technische Cybersicherheitsrisiken sind in der Regel klar zugeordnet. Ob es sich nun um Identitäts- und Zugriffsmanagement, Schwachstellenmanagement oder die Installation von Patches handelt – in der Regel gibt es ein festgelegtes Team, das für das Management dieses Risikos verantwortlich ist und durch etablierte Prozesse, klare Verantwortlichkeiten und messbare Ergebnisse unterstützt wird. Jeder weiß, wer für das Problem zuständig ist und wie der Erfolg gemessen wird.

Das Risiko durch menschliches Versagen funktioniert anders. Sicherheitsteams können zwar entsprechende Maßnahmen ergreifen, haben jedoch keinen Einfluss auf viele der Faktoren, die das tägliche Verhalten der Mitarbeiter beeinflussen.

Viele der Faktoren, die das Cyberrisiko für Menschen beeinflussen, liegen außerhalb des Zuständigkeitsbereichs der Sicherheitsabteilung. Die Personalabteilung prägt durch Einarbeitungsmaßnahmen und kontinuierliche Weiterbildung, wie neue Mitarbeiter an die Sicherheitsanforderungen herangeführt werden; die IT-Abteilung entwickelt die Systeme, Tools und Zugriffskontrollen, auf die sich die Mitarbeiter täglich verlassen; Führungskräfte beeinflussen das Verhalten durch regelmäßige Gespräche mit ihren Teams; und die Unternehmensleitung entscheidet, welche Initiativen Investitionen, Aufmerksamkeit und langfristige Unterstützung erhalten.

Jede dieser Funktionen spielt eine wichtige Rolle bei der Minderung von Risiken für den Menschen, doch verfolgen sie oft unterschiedliche Ziele und messen den Erfolg auf unterschiedliche Weise. Infolgedessen kann das Sicherheitsbewusstsein zu einem isolierten Programm werden, das fast ausschließlich vom Sicherheitsteam getragen wird, anstatt Teil einer umfassenderen Unternehmensstrategie zur Förderung sicherheitsbewussten Verhaltens zu sein.

Diese Diskrepanz spiegelte sich in unserer gesamten Untersuchung wider. Zwar nannten 22 % der CISOs die Verbesserung der Zusammenarbeit zwischen den Bereichen Sicherheit, Personalwesen, IT und Compliance als oberste Priorität, doch wiesen sie gleichzeitig auf die praktischen Hindernisse hin, die dem im Wege stehen. Ein Viertel (25 %) gab an, dass konkurrierende geschäftliche Prioritäten weiterhin die für Initiativen im Bereich „Human Risk“ verfügbare Zeit und die entsprechenden Investitionen einschränken; weitere 21 % verwiesen auf begrenzte Teamkapazitäten, und 16 % nannten das geringe Interesse des Vorstands als erhebliche Herausforderung.

All dies bedeutet keineswegs, dass Unternehmen keine Zeit oder Mühe in die Reduzierung menschlicher Cyberrisiken investieren. Vielmehr wird dadurch deutlich, wie schwierig es ist, Fortschritte zu erzielen, wenn die Teams, die für die Beeinflussung des Mitarbeiterverhaltens zuständig sind, nicht dieselben Ziele verfolgen oder den Erfolg nicht auf dieselbe Weise messen.

Wenn jeder für das Personalrisiko verantwortlich ist, ist eigentlich niemand dafür verantwortlich

Man hört oft den Satz, dass Cybersicherheit in der Verantwortung aller liege, und auf den ersten Blick lässt sich dem kaum widersprechen. Jeder Mitarbeiter hat eine Rolle beim Schutz des Unternehmens zu spielen, sei es durch das Melden einer verdächtigen E-Mail, den sachgemäßen Umgang mit sensiblen Informationen oder die Einhaltung festgelegter Prozesse bei der Genehmigung von Zahlungen oder der Erteilung von Zugriffsrechten.

Die Schwierigkeit besteht darin, dass eine geteilte Verantwortung nicht automatisch zu einer geteilten Eigenverantwortung führt.

Auch wenn jeder eine Rolle zu spielen hat, muss dennoch jemand koordinieren, wie sicheres Verhalten unternehmensweit entwickelt, gefestigt und gemessen wird. Wer entscheidet, ob Sensibilisierungsprogramme zu einer Verhaltensänderung führen? Wer ermittelt, wo zusätzliche Unterstützung erforderlich ist? Wer trägt die Daten zusammen, um zu verstehen, ob das durch menschliches Versagen bedingte Risiko im Laufe der Zeit zunimmt oder abnimmt?

Ohne klare Antworten auf diese Fragen kann es schnell zu einer Zersplitterung der Verantwortlichkeiten kommen. Von Sicherheitsteams wird oft erwartet, dass sie das durch Menschen verursachte Cyberrisiko verringern, und sie werden bei Vorfällen zur Rechenschaft gezogen, doch viele der Faktoren, die das Verhalten der Mitarbeiter beeinflussen, liegen außerhalb ihres Einflussbereichs. Sie können weder Einarbeitungsprogramme gestalten noch die Prioritäten der Unternehmensleitung festlegen oder sichere Verhaltensweisen eigenständig in jeden Geschäftsprozess integrieren.

Ein CISO, den wir im Rahmen unserer Untersuchung befragt haben, hat diese Herausforderung treffend auf den Punkt gebracht: „Es ist nicht Aufgabe des CISO, das Risiko zu akzeptieren – diese Entscheidung obliegt dem Unternehmen.“

Diese Feststellung trifft den Kern des Problems. Cyberrisiken durch menschliches Versagen fallen nicht ausschließlich in den Zuständigkeitsbereich der Sicherheitsabteilung; es handelt sich um ein Unternehmensrisiko, das sich über mehrere Abteilungen, Prozesse und alle Phasen des Mitarbeiterlebenszyklus erstreckt. Solange Unternehmen dies nicht als gemeinsame operative Verantwortung anerkennen, werden Sicherheitsteams weiterhin die Verantwortung tragen, ohne über den nötigen Einfluss zu verfügen, um sinnvolle, unternehmensweite Veränderungen voranzutreiben.

Warum die Unterstützung durch den Vorstand nicht dasselbe ist wie die Abstimmung mit dem Vorstand

Die Unterstützung der Unternehmensleitung für Initiativen zum Schutz vor Cyberrisiken für Mitarbeiter ist in der Regel nicht die größte Herausforderung; vielmehr besteht die Herausforderung darin, diese Unterstützung langfristig aufrechtzuerhalten.

Wenn sich ein Sicherheitsvorfall ereignet, rückt das Thema „menschliche Cyberrisiken“ schnell ganz oben auf die Tagesordnung des Vorstands. Die Unternehmensleitung möchte wissen, was geschehen ist, ob sich ein solcher Vorfall wiederholen könnte und welche Maßnahmen ergriffen werden, um die Wahrscheinlichkeit eines erneuten Vorfalls zu verringern. Budgets werden überprüft, Sensibilisierungsprogramme erhalten neue Aufmerksamkeit, und die Sicherheit wird zu einer unmittelbaren geschäftlichen Priorität.

Die Schwierigkeit besteht darin, dass dieses Maß an Engagement oft nur von kurzer Dauer ist. Unsere Untersuchung ergab, dass 79 % der CISOs der Ansicht sind, dass das Interesse des Vorstands an Programmen zur Sensibilisierung für Sicherheitsfragen nachlässt, sobald die unmittelbaren Auswirkungen eines Vorfalls abgeklungen sind. Da andere strategische Prioritäten um Aufmerksamkeit konkurrieren, werden Gespräche über menschliche Cyberrisiken seltener, bis ein weiterer Vorfall sie wieder in den Fokus rückt.

Dieser Ansatz, bei dem immer wieder Pausen eingelegt werden, erschwert es, dauerhafte Verhaltensänderungen zu bewirken. Eine Veränderung der Denk- und Handlungsweisen der Menschen lässt sich nicht innerhalb weniger Wochen nach einem Vorfall erreichen; sie erfordert anhaltende Unterstützung durch die Führungsebene, konsequente Verstärkung und ein gemeinsames Engagement der gesamten Organisation.

Diese Dynamik aufrechtzuerhalten, wird umso schwieriger, wenn Sicherheitsverantwortliche Schwierigkeiten haben, den Nutzen ihrer Sensibilisierungsprogramme darzulegen. Nur 39 % der CISOs fühlen sich vollkommen sicher dabei, dem Vorstand oder der Geschäftsleitung den Nutzen von Initiativen zur Sensibilisierung für Sicherheitsfragen zu erläutern.

Ein Teil des Problems liegt in der Art und Weise, wie viele Organisationen Erfolg messen. In der Berichterstattung liegt der Fokus häufig auf Kennzahlen wie der Abschlussquote von Schulungen oder den Ergebnissen von Phishing-Simulationen, da diese leicht zu erfassen und unkompliziert darzustellen sind. Diese Zahlen belegen zwar, dass Maßnahmen zur Sensibilisierung für Sicherheitsfragen durchgeführt wurden, geben jedoch kaum Aufschluss darüber, ob die Mitarbeiter fundiertere Sicherheitsentscheidungen treffen oder ob sich das durch Menschen verursachte Cyberrisiko insgesamt verringert.

Ohne diese Belege wird es für CISOs wesentlich schwieriger, den Return on Investment nachzuweisen, die weitere Finanzierung zu rechtfertigen und dafür zu sorgen, dass das Thema „menschliche Cyberrisiken“ als strategische Geschäftspriorität behandelt wird und nicht als ein Problem, das erst dann Beachtung findet, wenn bereits etwas schiefgelaufen ist.

Wie eine gute Ausrichtung aussieht

Unternehmen, die die größten Fortschritte erzielen, erreichen dies nicht einfach dadurch, dass sie ihre Abteilungen zu einer engeren Zusammenarbeit anhalten. Vielmehr entwickeln sie einen gemeinsamen Ansatz für das Management menschlicher Cyberrisiken, bei dem jeder Bereich versteht, welche Rolle er dabei spielt, das Verhalten der Mitarbeiter zu beeinflussen und Risiken zu minimieren.

Sicherheitsteams sind weiterhin dafür verantwortlich, Verhaltensrisiken zu erkennen, gezielte Maßnahmen zu ergreifen und die notwendigen Erkenntnisse zu liefern, um zu verstehen, wo Risiken zunehmen oder sich verringern. Diese Informationen fließen anschließend in Maßnahmen im gesamten Unternehmen ein und bleiben nicht auf den Sicherheitsbereich beschränkt.

Die Personalabteilung unterstützt diese Bemühungen, indem sie Sicherheitsmaßnahmen in den gesamten Mitarbeiterlebenszyklus integriert – von der Einarbeitung über obligatorische Schulungen bis hin zur laufenden Kommunikation und Weiterentwicklung. Die IT-Abteilung ergänzt dies durch die Entwicklung von Systemen, die sicheres Verhalten zur einfachsten Option machen. Dabei kommen sichere Standardeinstellungen, angemessene Zugriffskontrollen und gut durchdachte Prozesse zum Einsatz, um unnötige Möglichkeiten für menschliches Versagen zu reduzieren.

Auch Führungskräfte spielen eine wichtige Rolle, da sie oft am besten in der Lage sind, sicheres Verhalten im Arbeitsalltag zu fördern. Ganz gleich, ob es um den Umgang mit sensiblen Kundendaten, die Genehmigung von Lieferantenzahlungen oder die Nutzung von KI-Tools geht – regelmäßige Gespräche mit den Vorgesetzten können den Mitarbeitern helfen, risikoreichere Situationen zu erkennen, Fragen zu stellen, wenn ihnen etwas ungewöhnlich erscheint, und festgelegte Prozesse zu befolgen, bevor sie wichtige Entscheidungen treffen.

Die Unternehmensführung rundet das Bild ab, indem sie sichtbare und konsequente Unterstützung leistet. Anstatt zuzulassen, dass das Risiko durch menschliches Versagen im Cyberbereich erst nach einem Vorfall zur Priorität wird, behandeln ausgereifte Organisationen dieses Thema als fortlaufendes Unternehmensziel und stellen sicher, dass Investitionen, Berichterstattung und Rechenschaftspflicht das ganze Jahr über konsequent umgesetzt werden.

Wenn alle Bereiche des Unternehmens auf dasselbe Ziel hinarbeiten, ist Sicherheitsbewusstsein mehr als nur ein eigenständiges Schulungsprogramm. Es wird zu einem Bestandteil einer umfassenderen Strategie, die durch gemeinsames Engagement, aussagekräftige Messgrößen und unternehmensweit koordinierte Maßnahmen gestützt wird.

Risiken im Personalbereich erfordern eine gemeinsame Verantwortung

Viele Unternehmen betrachten das durch Menschen verursachte Cyberrisiko nach wie vor als ein Problem, das die Sicherheitsteams allein lösen müssen.

Die Erkenntnisse deuten darauf hin, dass dies einer der Hauptgründe dafür ist, dass Fortschritte nur schwer zu erzielen sind.

Menschliche Risiken entstehen im Rahmen der täglichen Geschäftstätigkeit, werden durch die Unternehmenskultur beeinflusst, von Führungskräften verstärkt und durch die von den Mitarbeitern genutzten Systeme geprägt. Die Minderung dieser Risiken erfordert ein ebenso hohes Maß an Koordination.

Die Organisationen, die die größten Fortschritte erzielen, führen nicht unbedingt mehr Sensibilisierungsschulungen durch als andere. Sie sorgen für eine stärkere Abstimmung zwischen den Personen, die für die Beeinflussung des Verhaltens verantwortlich sind, messen die entscheidenden Faktoren und weisen jedem Beteiligten eine klare Rolle bei der Risikominderung zu.

Wenn das Cyberrisiko durch menschliches Versagen zu einer gemeinsamen Verantwortung statt zu einer reinen Sicherheitsinitiative wird, fällt es wesentlich leichter, den Schritt von Sensibilisierungsmaßnahmen hin zu einer messbaren Risikominderung zu vollziehen.

Wie MetaCompliance zur Verbesserung des funktionsübergreifenden Personalrisikomanagements beiträgt

Das Management von Cyberrisiken im Zusammenhang mit Mitarbeitern erfordert mehr als nur die Durchführung von Schulungen zur Sensibilisierung für Sicherheitsfragen. Es hängt davon ab, dass den Bereichen Sicherheit, Personalwesen, IT, Risikomanagement und der Unternehmensführung eine gemeinsame Sichtweise vermittelt wird, wo Verhaltensrisiken bestehen, welche Maßnahmen die größte Wirkung erzielen und wo zusätzliche Unterstützung erforderlich ist.

Unsere Plattform für das Human-Risk-Management unterstützt Unternehmen dabei, über pauschale Sensibilisierungsprogramme hinauszugehen, indem sie personalisierte Sicherheitsschulungen, Erkenntnisse zum Nutzerverhalten, Phishing-Simulationen, automatisierte Maßnahmen und die Berichterstattung zu menschlichen Risiken auf einer einzigen Plattform vereint. Dies liefert Sicherheitsverantwortlichen die erforderlichen Belege, um Fortschritte nachzuweisen, Nutzer mit hohem Risiko zu priorisieren und Stakeholder im gesamten Unternehmen mit aussagekräftigen, messbaren Ergebnissen einzubinden.

Indem MetaCompliance Unternehmen dabei unterstützt, durch Menschen verursachte Cyberrisiken im Laufe der Zeit zu verstehen, zu messen und zu reduzieren, trägt das Unternehmen dazu bei, dass Sicherheitsbewusstsein zu einem Bestandteil einer koordinierten Unternehmensstrategie wird und nicht nur eine isolierte Sicherheitsinitiative bleibt.

Suchen Sie nach praktischen Anleitungen zur Reduzierung menschlicher Cyberrisiken durch die Abstimmung der Teams in Ihrem gesamten Unternehmen? Laden Sie unser Leitfaden herunter: „Wer ist für menschliche Cyberrisiken verantwortlich?: Fünf Grundsätze für den Aufbau einer gemeinsamen Verantwortung für menschliche Cyberrisiken teamübergreifend“, und erfahren Sie, wie die Bereiche Sicherheit, Personalwesen, IT, Risikomanagement und die Unternehmensführung zusammenarbeiten können, um einen besser koordinierten Ansatz für das Management menschlicher Cyberrisiken zu entwickeln.

Sind Sie bereit, einen besser abgestimmten Ansatz für Cyberrisiken durch menschliches Versagen zu entwickeln? Vereinbaren Sie noch heute eine Demo und erfahren Sie, wie MetaCompliance Ihrem Unternehmen dabei helfen kann, Risiken durch menschliches Versagen in großem Maßstab zu messen, zu verwalten und zu reduzieren.