Der Mensch ist das schwächste Glied.“ Ein Satz, der in der
Cybersecurity ständig fällt. Aber was macht diese Botschaft mit
den Menschen, die sich jeden Tag sicher verhalten sollen? Wer
Mitarbeitenden immer wieder erklärt, dass sie das Problem sind,
fördert womöglich genau das Gegenteil von dem, was eigentlich
erreicht werden soll: Resignation statt Verantwortung.
In dieser Folge von „Cybersecurity ist Chefsache“ sprechen
Ann-Katrin Langeund Nico Freitag mit Lia Fey über Security
Awareness, Motivationspsychologie und die Frage, wie aus
verpflichtenden Schulungen wirklich sicheres Verhalten entstehen
kann.
Lia arbeitet in der Informationssicherheit, berät Unternehmen
beim Aufbau von Informationssicherheitsmanagementsystemen und
beschäftigt sich besonders damit, wie man Menschen für Sicherheit
begeistert. Ihre klare Botschaft: Wer möchte, dass Menschen
zuhören und mitmachen, muss ihnen ein nachvollziehbares Warum
geben. Die eigene Familie, Kinder und Freunde schützen zu können,
ist dabei oft ein stärkerer Antrieb als die nächste
Compliance-Vorgabe.
Zum Einstieg stellt Nico eine scheinbar einfache Frage: Warum
klickt ein Mitarbeiter auf einen Phishing-Link, obwohl er weder
dumm noch nachlässig noch unmotiviert ist? Lias Antwort: „Weil
der Link gut war.“ Angreifer nutzen Neugier, Hilfsbereitschaft,
Angst und Zeitdruck. Auch Menschen, die sich mit Sicherheit
auskennen, können im falschen Moment darauf hereinfallen.
Entscheidend ist deshalb auch, wie ein Unternehmen anschließend
reagiert und ob Fehler ohne Angst gemeldet werden können.
Im weiteren Gespräch wird deutlich, warum ein Training für alle
selten zu allen passt. Wer in der Produktion kaum E-Mails nutzt,
braucht andere Inhalte als jemand, der den ganzen Tag im Postfach
arbeitet. Lia spricht darüber, wie Humor, persönliche Relevanz
und die Beteiligung unterschiedlicher Abteilungen helfen können,
Menschen besser zu erreichen. Statt Schulungen einfach
vorzugeben, sollten Unternehmen auch diejenigen fragen, die
bisher wenig damit anfangen können.
Besonders greifbar wird die Diskussion beim Zusammenspiel von
Technik und Verhalten. Ann-Katrin erzählt von einer E-Mail, die
wegen restriktiver Sicherheitsregeln nicht weitergeleitet werden
konnte. Die Lösung im Arbeitsalltag: ein Foto, verschickt über
WhatsApp. Das Beispiel zeigt, warum Sicherheitsmaßnahmen auch
praktikabel sein müssen und weshalb sich Menschen mit
zusätzlicher Technik allein nicht aus der Gleichung nehmen
lassen.
Ein weiterer Schwerpunkt ist die Situation nach dem Fehlklick.
Viele Phishing-Simulationen zeigen, woran man eine verdächtige
Nachricht erkennt. Doch was passiert, wenn der Rechner plötzlich
nicht mehr funktioniert und der Stress steigt? Nico, Ann-Katrin
und Lia diskutieren, warum Meldewege, Notfallabläufe und die
ersten Reaktionen genauso geübt werden müssen. Ein Plan auf
Papier hilft nur begrenzt, wenn ihn im Ernstfall niemand anwenden
kann.
Im Gespräch geht es unter anderem um:
Warum auch gut geschulte und motivierte Menschen auf Phishing
hereinfallen
Wie Angreifer Neugier, Angst, Zeitdruck und Hilfsbereitschaft
ausnutzen
Weshalb die Botschaft vom „schwächsten Glied“ Resignation und
Verantwortungsabgabe fördern kann
Warum ein persönliches Warum mehr bewirken kann als eine
reine Compliance-Vorgabe
Wie Humor und Emotionen helfen können, Inhalte im Gedächtnis
zu verankern
Weshalb Awareness auch im privaten und familiären Umfeld
relevant ist
Warum Produktion, Verwaltung und Führungskräfte
unterschiedliche Inhalte brauchen
Wie Mitarbeitende an der Entwicklung ihrer Trainings
beteiligt werden können
Weshalb zu restriktive Schutzmaßnahmen unsichere Umwege
begünstigen
Warum Klickraten allein noch keine funktionierende
Sicherheitskultur belegen
Welche Rolle Melderaten und ein offener Umgang mit Fehlern
spielen
Weshalb regelmäßige Übungen und Micro-Learnings wichtiger
sind als eine einzelne Jahresveranstaltung
Wie Phishing-Simulationen mit passenden Schwierigkeitsgraden
fördern statt frustrieren können
Warum Simulationen keine Falle sein sollten, um Mitarbeitende
bloßzustellen
Was unter Stress nach einem Fehlklick passiert und wie sich
die Reaktion trainieren lässt
Wie öffentlich verfügbare Informationen persönliche
Angriffspunkte bei Führungskräften sichtbar machen können
Warum Medienkompetenz und niedrigschwellige Lernangebote auch
Kinder und ältere Menschen erreichen sollten
Wie KI und glaubwürdige Täuschungen die Herausforderungen
weiter verändern
Warum Motivation und gutes Systemdesign zusammengehören
Der rote Faden der Folge: Wissen allein führt noch nicht zu
sicherem Verhalten. Menschen brauchen einen persönlichen Bezug,
verständliche und praktikable Abläufe sowie die Möglichkeit,
regelmäßig zu üben. Eine funktionierende Sicherheitskultur
entsteht dort, wo Technik, Prozesse und Menschen zusammenspielen
und Fehler gemeldet werden, statt aus Angst verborgen zu bleiben.
Eine Folge für Geschäftsführungen, CISOs,
Informationssicherheitsbeauftragte, Security- und
Awareness-Verantwortliche, Personalentwicklung sowie alle, die
Menschen für Cybersecurity gewinnen und Sicherheitskultur im
Alltag verankern möchten.
____________________________________________
Mehr Informationen
Lia Fey - LinkedIn Profil
____________________________________________
Reinschauen lohnt sich!
Podcast - Cybersecurity ist Chefsache: @cybersec_ist_chefsache
Podcast - Cybersecurity shall be C-Level priority:
@cybersec_clevel_priority
Podcast - Die Zwei Auftrag: Cybersicherheit: @diezweicyber
Schließe dich uns an, um tiefer in die Welt der digitalen
Sicherheit einzutauchen.
____________________________________________
Du findest mich auf folgenden Social Media Kanälen:
Instagram: cybersec_ist_chefsache
TikTok: cybersec_ist_chefsache
LinkedIn - Nico: nicofreitag
LinkedIn - Ann-Katrin: annkatrin
Kontaktaufnahme - Podcast: Cybersecurity ist Chefsache
____________________________________________
Deine Reise in die Welt der Cyber Security startet hier – ich
freue uns darauf, mich mit dir zu vernetzen.
Kommentare (0)
Melde dich an, um einen Kommentar zu schreiben.