Cyber Risk: Einfluss menschlicher Faktoren oder Fehler?

In diesem Artikel erhalten Sie Einblicke in Cyber Risk und Cybersicherheit, insbesondere bezüglich der Auswirkungen menschlicher Faktoren und Versäumnisse.

Der „Mensch in der Maschine“ ist ein grundlegender Aspekt bei der Entwicklung einer wirksamen Strategie zur Minimierung von Cybersicherheitsrisiken. Diese Aussage hat jedoch viele Aspekte, denn unsere Mitarbeiter sind ein wesentlicher Bestandteil des Erfolgs unserer Organisation. Anstatt Schuldzuweisungen vorzunehmen, müssen wir das Bösartige vom Zufälligen unterscheiden, das Erstere erkennen und das Letztere verhindern.

Durch gezielte Schulungen zum Sicherheitsbewusstsein können die menschlichen Faktoren, die zu menschlichem Versagen führen, gemildert werden. Hier erfahren Sie, wie und warum das Risiko der Cybersicherheit durch Sicherheitsbewusstsein gemanagt werden kann.

Warum menschliche Faktoren zu Cybersicherheitsrisiken führen

Der menschliche Faktor bei Cybersicherheitsrisiken wird gewöhnlich als „Insider-Bedrohung“ bezeichnet. Bei den „Insidern“ handelt es sich um Mitarbeiter und Nicht-Mitarbeiter, wie z. B. Berater. Die einfache Tatsache, dass Insider ein integrierter Bestandteil der Prozesse eines Unternehmens sind und IT-Ressourcen mit Erlaubnis nutzen, macht es schwierig, die menschlichen Versäumnisse, die zu Cybersicherheitsrisiken führen, zu beseitigen.

Insider-bedingte Cybersicherheitsrisiken sind ein großes Problem: Der 2020 Insider Threat Report von Cyber Security Insiders zeigt, dass sich 68 % der Unternehmen „mäßig bis extrem anfällig“ für Insider-Bedrohungen fühlen. Dies ist nicht überraschend, wenn man sich einige der Schlagzeilen über Cyberangriffe des letzten Jahres ansieht, wie z. B. den Twitter-Hack von 2020, bei dem auf hochkarätige Twitter-Konten, darunter auch das von Barack Obama, zugegriffen wurde und Twitter-Nutzer dazu gebracht wurden, illegale Bitcoin-Transaktionen durchzuführen. Der Schaden wird auf rund 180 Millionen Dollar (129 Millionen Pfund) geschätzt, und der Aktienkurs von Twitter wurde um 4 % gedrückt. Bei dem Hack wurden Twitter-Mitarbeiter durch Spearphishing angegriffen und privilegierte Anmeldedaten gestohlen.

Cyberkriminelle nutzen menschliche Faktoren, um sich unbefugt Zugang zu verschaffen, Anmeldedaten zu stehlen und IT-Systeme sowie Endgeräte mit Malware wie Ransomware zu infizieren. Ohne den Mensch-im-Maschine-Effekt wäre die Cyberkriminalität viel schwieriger.

Die menschlichen Faktoren, die zu menschlichem Versagen führen

Nach einer Untersuchung von IBM sind die drei wichtigsten Bereiche, auf die man sich bei der Entwicklung von Sicherheitsstrategien zur Minderung von Cybersicherheitsrisiken konzentrieren sollte:

1. Phishing
2. Scannen und Ausnutzen
3. Unbefugte Verwendung von Zugangsdaten

Bei allen drei Vektoren ist an irgendeinem Punkt der Angriffskette ein menschlicher Faktor beteiligt.

Phishing und Spear-Phishing – menschliche Faktoren: Hier muss ein menschliches Ziel auf einen Link klicken oder einen infizierten Anhang öffnen, um die Infektionskette in Gang zu setzen. Oft wird Phishing eingesetzt, um privilegierte Benutzer anzusprechen (Spear-Phishing), um deren Anmeldedaten abzugreifen. Privilegierte Benutzer haben Zugang zu wichtigeren Ressourcen – der Diebstahl von privilegierten Zugangsdaten ist der goldene Kelch des Hackings. Hier kommt ein menschlicher Faktor ins Spiel, z. B. die automatische Klickreaktion.

Scannen und Ausnutzen – menschliches Versagen: Hacker nutzen alles, was ihnen das Leben leicht macht, und die Möglichkeit, automatisch nach Schwachstellen zu suchen, ist ein nützlicher Vektor für die Infektion mit Malware. IT-Systemkomponenten wie Webserver, Datenbanken und Cloud-Anwendungen können falsch konfiguriert werden, wenn die Auswirkungen mangelnder Sicherheit nicht vollständig verstanden werden. Unsichere Anwendungen und Webkomponenten führen zu Sicherheitslücken, die von Hackern ausgenutzt werden können. In diesem Fall führt menschliches Versagen zu einem Cybersicherheitsrisiko.

Unbefugte Verwendung von Zugangsdaten – menschliches Versagen und menschliche Faktoren: Der Diebstahl von Zugangsdaten führt zu unbefugtem Zugriff auf IT-Systeme und -Ressourcen. Zu den Möglichkeiten der unbefugten Nutzung von Berechtigungsnachweisen gehören:

• Shoulder Surfing: Anmeldedaten werden gestohlen, wenn eine böswillige Person jemanden bei der Eingabe eines Passworts beobachtet.
• Phishing: Eine Person wird dazu verleitet, ihre Anmeldedaten auf einer gefälschten Anmeldeseite einzugeben.
• Social Engineering: Eine Person wird dazu gebracht, ihre Anmeldedaten per Telefon, über soziale Medien oder andere Kommunikationsmethoden wie E-Mails, Helpdesks und SMS zu übermitteln.

Bei allen drei erfolgreichsten Hacking-Vektoren spielen sowohl der menschliche Faktor als auch menschliches Versagen eine große Rolle. Das Cybersicherheitsrisiko konzentriert sich daher stark auf das menschliche Verhalten und die Notwendigkeit, dieses durch geeignete Maßnahmen zu minimieren.

Bewährte Praktiken, die verhindern, dass menschliche Faktoren zu menschlichem Versagen werden

Eine Studie von Kaspersky, die sich mit der Rolle menschlicher Faktoren bei Cybersicherheitsrisiken befasste, ergab, dass „unvorsichtiges oder uninformiertes Personal“ die zweitwahrscheinlichste Ursache für eine schwerwiegende Sicherheitsverletzung ist; die Infektion mit Malware steht an erster Stelle, wird aber oft selbst durch unvorsichtiges oder uninformiertes Personal verursacht. Angesichts des hohen Risikos, das mit menschlichen Faktoren verbunden ist, ist die Verringerung von Fehlern von entscheidender Bedeutung für die Minderung des Sicherheitsrisikos.

Zwei Bereiche fallen auf, die sowohl nachlässiges als auch uninformiertes Personal betreffen:

Unvorsichtige Entscheidungen, die zu Sicherheitsmängeln führen

Schlechte Sicherheitsentscheidungen wie die Fehlkonfiguration von IT-Systemen und -Komponenten oder das Klicken auf einen Phishing-Link, ohne darüber nachzudenken, sind menschliche Fehler, die zu einem erhöhten Cybersicherheitsrisiko führen. Die Fehlkonfiguration von IT-Systemen und -Komponenten ist ein Beispiel für eine unbedachte Sicherheitsentscheidung. Das Anklicken eines Phishing-Links ist ein weiteres. Sowohl IT- als auch Nicht-IT-Mitarbeiter sind zu unbedachten Entscheidungen fähig, die zu Sicherheitsmängeln führen. Eine grundlegende Maßnahme zur Minderung des Cybersicherheitsrisikos besteht darin, sicherzustellen, dass alle Mitarbeiter, sowohl technische als auch nicht-technische, sich der Auswirkungen ihrer Entscheidungen bewusst sind.

Uninformiertes Personal führt zu Sicherheitsmängeln

Wenn sich die Mitarbeiter nicht über ihre Handlungen im Klaren sind, wie können sie dann die Konsequenzen für die Sicherheit erkennen? Unternehmen schulen ihre Mitarbeiter routinemäßig in anderen Bereichen des Unternehmens, und dies sollte auch auf die Schulung des Sicherheitsbewusstseins ausgedehnt werden. Die Sicherheitsschulung des Personals umfasst auch das Verständnis der Funktionsweise von Phishing sowie anderer gängiger Sicherheitsfehler, wie die gemeinsame Nutzung von Passwörtern und die falsche Zustellung von E-Mails. Laut dem Verizon Data Breach Investigation Report (DBIR) steigt die Zahl der Falschzustellungen als eine Form menschlichen Versagens weiter an.

Abmilderung des menschlichen Faktors bei Cybersicherheitsrisiken

Die Kaspersky-Studie hat ein entscheidendes Element menschlichen Versagens im Sicherheitsbereich identifiziert – den Drang, Fehler zu verbergen. Die Umfrage ergab, dass in 40 % der Unternehmen die Mitarbeiter Sicherheitsvorfälle verheimlichen. Diese Zahl sollte die Alarmglocken läuten lassen und die Unternehmen veranlassen, ihre Sicherheitsschulungen zu intensivieren. Selbst wenn die Mitarbeiter die Tragweite eines Sicherheitsvorfalls verstanden haben, sahen sie sich gezwungen, die Informationen zu verbergen. Dies wirft die Frage nach dem Warum auf, auf die es eine zweiteilige Antwort gibt:

Sicherheit zur Kultur machen

Es mag wie ein Klischee klingen, aber wenn der Sicherheitsgedanke in Ihrer Unternehmenskultur verankert ist, ist es weniger wahrscheinlich, dass die Mitarbeiter überfordert sind und Angst haben, wenn etwas passiert. Eine Sicherheitskultur wird durch Sicherheitsschulungen geschaffen, die dazu beitragen, bei den Mitarbeitern positive Sicherheitsgewohnheiten zu entwickeln.

Erleichtern Sie die Meldung von Sicherheitsvorfällen

Vorfälle müssen gemeldet werden, damit das richtige Fachpersonal entsprechend dem Risiko auf sie reagieren kann. Ein Meldesystem, das so konzipiert ist, dass die Meldung für die Mitarbeiter sehr einfach ist, macht die Meldung von Vorfällen weniger mühsam und erhöht die Wahrscheinlichkeit, dass sie erfolgt.

Praktische Schritte zur Abmilderung menschlicher Fehler

1. Regelmäßige Schulungen und Sensibilisierung

• Schulungsprogramme: Führen Sie regelmäßige und umfassende Schulungsprogramme durch, die die neuesten Bedrohungen und Best Practices abdecken.
• Phishing-Simulationen: Setzen Sie realistische Phishing-Simulationen ein, um die Mitarbeiter auf solche Angriffe vorzubereiten und ihr Bewusstsein zu schärfen.

2. Sicherheitsrichtlinien und -verfahren

• Klar formulierte Richtlinien: Stellen Sie sicher, dass alle Mitarbeiter klare und verständliche Richtlinien zur Cybersicherheit haben.
• Regelmäßige Überprüfung: Aktualisieren Sie die Richtlinien regelmäßig, um sie an neue Bedrohungen und Technologien anzupassen.

3. Technische Schutzmaßnahmen

• Automatisierte Systeme: Nutzen Sie Firewalls, Antivirensoftware und Intrusion-Detection-Systeme, um potenzielle Bedrohungen frühzeitig zu erkennen und abzuwehren.
• Zugriffskontrollen: Implementieren Sie strenge Zugriffskontrollen, um sicherzustellen, dass Mitarbeiter nur auf die Informationen zugreifen können, die sie tatsächlich benötigen.

4. Förderung einer Sicherheitskultur

• Vorbildfunktion: Führungskräfte sollten mit gutem Beispiel vorangehen und die Wichtigkeit der Cybersicherheit betonen.
• Positive Verstärkung: Belohnen Sie Mitarbeiter, die sich an Sicherheitsrichtlinien halten und Sicherheitsvorfälle melden.

5. Einfaches Meldesystem

• Benutzerfreundliche Plattform: Entwickeln Sie ein benutzerfreundliches System zur Meldung von Sicherheitsvorfällen, das den Meldeprozess erleichtert.
• Anonymität gewährleisten: Bieten Sie die Möglichkeit, Vorfälle anonym zu melden, um die Hemmschwelle für die Meldung zu senken.

Indem ein Unternehmen das menschliche Verhalten, das zu unbedachten Fehlern und schlechten Entscheidungen führt, in den Griff bekommt, kann es das Cybersicherheitsrisiko signifikant verringern. Eine Kombination aus Schulung, Kulturförderung und technischen Maßnahmen kann dabei helfen, die Auswirkungen menschlicher Faktoren zu minimieren.