Menschliches Versagen in der Cybersicherheit und wie Automatisierung Sicherheitsbedrohungen verändert

Warum Technologie allein nicht ausreicht

Bei der Cybersicherheit konzentrieren sich Unternehmen ganz natürlich auf Technologien. Firewalls, Antivirenprogramme, Sicherheitsmonitoring, EDR, SIEM, automatisierte Erkennung oder Zugriffsrichtlinien erzeugen den Eindruck, dass Sicherheit vor allem ein technisches Problem ist.

In der Praxis beginnen viele Vorfälle jedoch nicht mit einer technischen Schwachstelle. Sie beginnen in einer alltäglichen Arbeitssituation: Ein Benutzer öffnet eine legitim wirkende E-Mail, genehmigt eine Anfrage unter Zeitdruck, verwendet einen eingespielten Prozess oder vertraut einer Nachricht, die in den Kontext seiner Arbeit passt.

Aus technischer Sicht kann das System korrekt funktionieren. Das Problem entsteht erst dadurch, wie Technologie in der realen Umgebung verwendet wird: unter Druck, in der Routine, in einem automatisierten Prozess und oft ohne ausreichenden Kontext. Cybersicherheit für Unternehmen beruht heute nicht nur auf Werkzeugen, sondern auf der Fähigkeit, Technologien, Prozesse und Benutzerverhalten zu einem funktionierenden Sicherheitsmodell zu verbinden.

Menschlicher Fehler ist kein Versagen des Benutzers, sondern Teil der Arbeitsrealität

Der Begriff menschlicher Fehler wird in der Cybersicherheit häufig verwendet, kann aber irreführend sein. Er deutet an, dass das Problem eine einzelne Person ist, die versagt hat. In Wirklichkeit handelt es sich eher um die Folge von Arbeitsbedingungen, unter denen Menschen täglich Entscheidungen treffen.

Benutzer arbeiten mit einer Vielzahl von E-Mails, Anwendungen, Benachrichtigungen, Genehmigungsschritten und internen Prozessen. Sie müssen schnell, effizient und oft ohne die Möglichkeit reagieren, jedes Detail zu analysieren. Genau hier entsteht Raum für Risiko.

Einige dieser Muster gehören auch zu den häufigsten Fehlern in der IT-Sicherheit, weil sie im normalen Betrieb entstehen, nicht in Extremsituationen:

• Klicken auf einen Link unter Zeitdruck,
• Vertrauen in eine bekannte Autorität oder einen Geschäftspartner,
• Genehmigung einer Anfrage ohne genauere Prüfung,
• Verwendung routinemäßiger Abkürzungen bei wiederkehrenden Aufgaben,
• Umgehung zu komplizierter Sicherheitsregeln.

Menschen sind kein Problem, das „repariert“ werden muss. Sie sind Teil der Umgebung, in der Sicherheit funktionieren muss. Wenn ein Sicherheitsmodell ideales Benutzerverhalten voraussetzt, ist es für Bedingungen entworfen, die in der Praxis nicht existieren. Die heutige Sicherheit geht daher nicht von der Vorstellung aus, dass Fehler nicht passieren dürfen. Sie geht davon aus, dass Fehler passieren werden und das System ihre Auswirkungen minimieren muss.

Wie Social Engineering Routine und Zeitdruck nutzt

Aktuelle Sicherheitsbedrohungen sind immer weniger auffällig. Ein Angriff muss nicht mehr wie ein Angriff aussehen. Oft sieht er aus wie normale Arbeitskommunikation, eine routinemäßige Anfrage, eine interne Benachrichtigung oder eine Nachricht von einem bekannten Partner.

Social Engineering funktioniert genau deshalb, weil es nicht nur die Technologie angreift. Es greift den Arbeitskontext an. Der Angreifer versucht, sich in Prozesse einzufügen, die im Unternehmen bereits existieren.

Die häufigsten Formen umfassen:

• Phishing, also Massenmeldungen, die darauf ausgelegt sind, eine Reaktion auszulösen,
• Spear Phishing, gezielte Nachrichten, die für eine bestimmte Person oder ein bestimmtes Unternehmen vorbereitet werden,
• Missbrauch von Autorität, zum Beispiel eine gefälschte Nachricht von einem Manager, der IT-Abteilung oder einem Lieferanten,
• Business E-Mail Compromise, bei dem der Angriff legitime Geschäftskommunikation nachahmt.

Der Unterschied zur Vergangenheit liegt in der Qualität. Nachrichten sind sprachlich überzeugend, kontextgenau und knüpfen oft an reale Ereignisse an. Angreifer nutzen öffentlich verfügbare Informationen, organisatorische Änderungen, Geschäftsbeziehungen, Arbeitsrollen sowie Informationen aus sozialen Netzwerken.

Technische Werkzeuge können einen großen Teil bekannter Muster erfassen. Bei Angriffen, die auf der Manipulation von Benutzern beruhen, ist jedoch auch Schutz vor Phishing und Angriffen über E-Mail wichtig, der mit der Identität des Absenders, dem Inhalt der Nachricht und Risikosignalen in der Kommunikation arbeiten kann. Dann entscheidet die Kombination aus technischer Erkennung, Sicherheitsbewusstsein und Prozessen, die eine Überprüfung ohne unnötige Reibung ermöglichen.

Automatisierung erhöht Geschwindigkeit und Auswirkungen von Sicherheitsvorfällen

Automatisierung ist die Grundlage heutiger Unternehmen. Sie beschleunigt Genehmigungen, synchronisiert Daten, verbindet Systeme, reduziert manuelle Arbeit und unterstützt die Skalierung von Prozessen. Aus betrieblicher Sicht ist sie unverzichtbar. Aus Sicherheitssicht verändert sie jedoch den Charakter des Risikos.

Bei einem manuellen Prozess hat ein Fehler oft eine begrenzte Reichweite. Jemand kann ihn bemerken, stoppen oder korrigieren, bevor er sich ausbreitet. In einem automatisierten Prozess kann sich ein Fehler schnell, konsequent und ohne sichtbaren menschlichen Eingriff wiederholen.

Wenn ein Fehler oder Missbrauch in einen automatisierten Ablauf gelangt:

• breitet er sich schneller aus,
• betrifft er mehr Systeme,
• kann er länger unentdeckt bleiben,
• nutzt er legitime Regeln und Zugriffe,
• erhöht er die Auswirkungen des Vorfalls

ähnlich wie in Szenarien, in denen es entscheidend ist, Ransomware vorzubeugen, bevor sich der Vorfall über die Infrastruktur ausbreitet

Automatisierung an sich ist kein Problem. Das Problem ist Automatisierung ohne Kontrollpunkte, ohne Monitoring von Abweichungen und ohne klare Eingriffsmöglichkeit.

Sichere Automatisierung bedeutet nicht, das Unternehmen zu verlangsamen. Sie bedeutet, dass die Geschwindigkeit der Prozesse nicht zum Verlust von Kontrolle führt.

Neue Sicherheitsbedrohungen entstehen zwischen Menschen, Prozessen und Technologien

Das traditionelle Sicherheitsmodell arbeitete oft mit der Vorstellung, dass ein Angriff von außen kommt und das Ziel darin besteht, eine technische Barriere zu durchbrechen. Aktuelle Sicherheitsbedrohungen sind komplexer. Angreifer versuchen immer häufiger, legitime Identitäten, Berechtigungen, Integrationsflüsse und Prozesslücken auszunutzen. Gerade deshalb ist es wichtig, nicht nur das Benutzerverhalten zu behandeln, sondern auch, wie man verhindert, dass die Unternehmensinfrastruktur gehackt wird durch schwache Zugänge, unzureichende Segmentierung oder fehlendes Monitoring.

Anstatt das System „zu knacken“, versuchen sie, sich wie ein legitimer Teil davon zu verhalten. Das verändert die Art der Erkennung und der Abwehr. Wenn ein Benutzer oder Prozess eine technisch erlaubte Aktion ausführt, müssen klassische Kontrollen das Verhalten nicht als riskant bewerten. Das eigentliche Problem zeigt sich erst im Kontext: ungewöhnliche Uhrzeit, unüblicher Standort, atypische Kombination von Aktionen, Abweichung im Datenvolumen oder ein ungewöhnlicher Ablauf in einem automatisierten Prozess.

Das neue Modell der Sicherheitsbedrohungen basiert daher auf drei miteinander verbundenen Bereichen:

• Menschen, die unter Druck und in Routine arbeiten,
• Prozesse, die bestimmen, wie Entscheidungen ausgeführt werden,
• Technologien, die diese Entscheidungen beschleunigen und skalieren.

Wenn einer dieser Bereiche nicht in das Sicherheitsdesign einbezogen wird, entsteht ein blinder Fleck.

Warum weder Schulungen allein noch Technologie allein ausreichen

Unternehmen neigen bei der Lösung menschlicher Fehler häufig zu einem von zwei Extremen. Entweder verlassen sie sich auf Schulungen und erwarten, dass informierte Benutzer Vorfälle verhindern, oder sie investieren in Technologien und glauben, dass automatisierte Systeme den menschlichen Faktor lösen.

Keiner der beiden Ansätze reicht für sich allein aus. Eine einmalige Schulung erhöht das Bewusstsein, verändert aber nicht die Arbeitsbedingungen. Ein Benutzer kann wissen, wie Phishing aussieht, aber unter Stress, bei hohem Arbeitsaufkommen oder bei einer vertrauenswürdig wirkenden Nachricht anders reagieren.

Technologie kann wiederum bekannte Bedrohungen blockieren und Verhalten überwachen, aber ohne Verständnis des Unternehmenskontexts kann sie ein falsches Sicherheitsgefühl erzeugen. Wenn Sicherheitsmaßnahmen die Arbeit zu sehr erschweren, finden Benutzer Abkürzungen. Und diese Abkürzungen werden häufig zu einem neuen Risiko.

Effektive Sicherheit entsteht in der Kombination von:

• Schulungen, die von realen Arbeitssituationen ausgehen,
• technischen Kontrollen, die menschliche Fehler berücksichtigen,
• Prozessen, die sicheres Entscheiden auch unter Druck ermöglichen,
• Automatisierung, die Aufsicht, Grenzen und Kontrollpunkte hat.

Das Ziel ist nicht Perfektion. Das Ziel ist Resilienz.

Wie das Risiko menschlicher Fehler im Unternehmen gesenkt werden kann

Menschliche Fehler lassen sich nicht vollständig eliminieren. Ihre Wahrscheinlichkeit und insbesondere ihre Auswirkungen lassen sich jedoch deutlich reduzieren.

Praktische Maßnahmen umfassen:

• mehrstufige Überprüfung bei sensiblen Vorgängen,
• Kontrollpunkte in automatisierten Prozessen,
• Erkennung von ungewöhnlichem Verhalten von Benutzern und Systemen,
• Segmentierung von Zugängen und das Prinzip der geringsten Berechtigungen,
• regelmäßiges Testen von Sicherheitsprozessen,
• Schulungen auf Basis realer Szenarien, nicht allgemeiner Belehrungen,
• einfache Verfahren zur Meldung verdächtiger Situationen,
• eine Kultur, in der Fehler gemeldet werden, bevor sie verborgen werden.

Entscheidend ist, Sicherheit so einzurichten, dass sie benutzbar ist. Wenn ein Sicherheitsprozess zu kompliziert ist, werden Benutzer ihn umgehen. Ist er zu locker, verliert das Unternehmen die Kontrolle. Der richtige Ansatz sucht das Gleichgewicht: Er ermöglicht Menschen, effizient zu arbeiten, und erfasst gleichzeitig Momente, in denen aus einem gewöhnlichen Fehler ein Vorfall werden kann.

Technische Kontrollen, die menschliche Fehler berücksichtigen

Sicherheitsmaßnahmen, die für die reale Welt entworfen sind, gehen nicht davon aus, dass ein Benutzer niemals auf einen falschen Link klickt oder niemals eine verdächtige Anfrage genehmigt. Sie gehen von der Frage aus: Was passiert, wenn es passiert? Bei Endgeräten hilft Endpoint Detection and Response dabei, ungewöhnliches Verhalten zu beobachten, riskante Aktivitäten zu identifizieren und auf Vorfälle zu reagieren, bevor sie sich auf weitere Teile der Infrastruktur ausbreiten.

Wichtig sind insbesondere:

Kontextbezogene Zugriffssteuerung
Der Zugriff wird nicht nur nach der Identität beurteilt, sondern auch nach Gerät, Standort, Zeit, Art der Operation und Risikopotenzial des Verhaltens.

Erkennung von Abweichungen
Das System verfolgt, was für den Benutzer, die Anwendung oder den Prozess üblich ist. Ungewöhnliche Aktivität wird zu einem Signal, das eine Kontrolle oder Reaktion auslösen kann.

Segmentierung und Einschränkung von Berechtigungen
Ein Fehler sollte nicht automatisch den Zugriff auf die gesamte Infrastruktur oder alle Daten ermöglichen.

Automatisierte Reaktion auf Risiko
Wenn verdächtige Aktivität auftritt, sollte das System den Zugriff schnell einschränken, eine zusätzliche Überprüfung anfordern oder das Sicherheitsteam benachrichtigen können.

Auditierbarkeit und Rückverfolgbarkeit
Bei einem Vorfall ist es entscheidend zu wissen, was passiert ist, wann, über welches Konto, in welchem System und mit welchen Auswirkungen. Genau hier hilft eine SIEM-Lösung für zentralisiertes Sicherheitsmonitoring, die Ereignisse aus verschiedenen Teilen der Infrastruktur sammelt und korreliert. Diese Kontrollen schließen menschliche Fehler nicht aus. Sie tun etwas Wichtigeres: Sie verringern die Wahrscheinlichkeit, dass ein einzelner Fehler zu einem umfangreichen Vorfall eskaliert.

Die häufigsten Fehler beim Umgang mit dem menschlichen Faktor

Auch Unternehmen, die die Bedeutung des menschlichen Faktors erkennen, wiederholen oft dieselben Fehler. Das Ergebnis ist Sicherheit, die formal existiert, in der Praxis aber nicht so funktioniert, wie sie sollte.

Schuldzuweisungen an Benutzer

Wenn nach einem Vorfall ein Schuldiger statt der Ursache gesucht wird, verliert das Unternehmen wichtiges Feedback. Benutzer verbergen dann Fehler, melden verdächtige Situationen nicht und nehmen Sicherheit als Bedrohung wahr, nicht als Unterstützung.

Übermäßige Einschränkungen

Pauschale Verbote, komplizierte Genehmigungen und unpraktische Regeln können das Risiko paradoxerweise erhöhen. Wenn Sicherheit die Arbeit zu sehr bremst, schaffen Menschen inoffizielle Verfahren.

Automatisierung ohne Kontrolle

Automatisierte Prozesse ohne Monitoring, Benachrichtigungen und Eingriffsmöglichkeiten können einen Fehler schneller verbreiten als manuelle Prozesse. Je stärker ein Prozess automatisiert ist, desto wichtiger sind Kontrollpunkte.

Sicherheit nur auf dem Papier

Richtlinien und Vorgaben sind wichtig, reichen aber nicht aus. Wenn sie das reale Verhalten der Benutzer, aktuelle Sicherheitsbedrohungen und die Arbeitsweise des Unternehmens nicht widerspiegeln, ist ihre praktische Wirkung minimal.

Echte Sicherheit zeigt sich nicht in Dokumenten, sondern in täglichen Entscheidungen, Prozessen und Reaktionen auf Risiko.

Sicherheit für Menschen konzipiert, nicht gegen sie

Die Entwicklung von Cyberbedrohungen zeigt einen klaren Trend: Technologie allein reicht nicht aus, und der menschliche Faktor kann weder ignoriert noch beseitigt werden. Sicherheit muss so konzipiert sein, dass sie berücksichtigt, wie Menschen tatsächlich arbeiten.

Die effektivsten Sicherheitslösungen sind oft diejenigen, die Benutzer nicht unnötig belasten. Sie unterstützen Entscheidungen, warnen vor Risiken, überprüfen sensible Aktionen und greifen dann ein, wenn Verhalten von der Norm abweicht.

Ein solcher Ansatz bringt drei wichtige Ergebnisse:

• reduziert die Frustration der Benutzer,
• erhöht die Bereitschaft, Regeln einzuhalten,
• ermöglicht dem Unternehmen, zugleich schnell und sicher zu arbeiten.

Für Menschen konzipierte Sicherheit bedeutet keinen weicheren Ansatz. Sie bedeutet einen realistischeren Ansatz. Sie berücksichtigt, dass Benutzer Fehler machen, Prozesse sich verändern, Automatisierung die Auswirkungen von Vorfällen beschleunigt und Angreifer legitime Arbeitsmuster nutzen.

Menschliche Fehler lassen sich nicht beseitigen, aber ihre Auswirkungen lassen sich steuern

Menschliche Fehler in der Cybersicherheit sind kein Problem, das mit einer Schulung oder einem Werkzeug gelöst werden kann. Sie sind ein natürlicher Teil der Arbeitsrealität, den Unternehmen in ihr Sicherheitsmodell einbeziehen müssen. Ebenso ist Automatisierung an sich kein Risiko. Zum Risiko wird sie dann, wenn sie Prozesse ohne Kontrolle, Kontext und die Möglichkeit eines rechtzeitigen Eingriffs beschleunigt.

Unternehmen, die aktuelle Sicherheitsbedrohungen bewältigen wollen, müssen drei Bereiche verbinden: Menschen, Prozesse und Technologien. Sie brauchen ein Sicherheitsbewusstsein, das von der Realität der Arbeit ausgeht. Sie brauchen technische Kontrollen, die Fehler berücksichtigen. Und sie brauchen Automatisierung, die Effizienz erhöht, ohne die Kontrolle zu verringern.