„Der Faktor Mensch bleibt unsere größte Stärke – und Schwachstelle zugleich“

Wir haben in den letzten Jahren oft über Resilienz, Cyber Security und Business Continuity gesprochen. Dabei fiel immer wieder der Begriff Human Firewall. Was genau steckt dahinter? 

Der Faktor Mensch spielt nach wie vor bei der Cyber Security die größte Rolle. Wenn man schaut, wo die meisten Risiken liegen, dann ist es immer noch der Mensch – ob beim Phishing, beim Social Engineering oder schlicht durch Unachtsamkeit. Angreifer versuchen, Menschen auszutricksen. Und genau da setzen unsere Maßnahmen an: technisch, organisatorisch und vor allem menschlich. Ganz fertig ist man damit nie, aber wir arbeiten auf mehreren Ebenen daran, uns stetig zu verbessern. 

Wie setzen Sie das praktisch um? 

Wir führen regelmäßig eigene Phishing-Kampagnen durch. Da gibt’s humorvolle Beispiele wie „Ihr Urlaub wurde abgelehnt“ oder „Hier VIP-Tickets für die EM“. Das sind kleine Tests, die helfen, das Bewusstsein zu schärfen. Wichtig ist uns: Wir testen Prozesse, nicht Personen. Wir werten keine Namen aus, niemand wird bloßgestellt. Wenn jemand häufiger auf solche Mails klickt, bekommt er keine Rüge, sondern Unterstützung – etwa durch ein Lernmodul oder eine Awareness-Nachschulung. Es geht darum, die Organisation als Ganzes zu stärken, nicht einzelne an den Pranger zu stellen. 

Und wie erfolgreich sind diese Tests? 

(lacht) Kommt ganz drauf an. Wir hatten mal eine Phase mit sehr niedriger Klickrate – da dachten einige schon: „Jetzt haben wir’s geschafft!“ Dann ist uns ein richtig gemeines Szenario eingefallen („VIP-Lounge EM-Tickets zu gewinnen!“), und die Klickrate ging wieder hoch. Das gehört dazu. Wenn man eine Trendlinie zeichnen würde, ginge sie wahrscheinlich leicht nach oben, aber linear ist das nie. Es hängt stark vom Thema ab – und wir haben bisher vielleicht vier oder fünf Wellen durchgeführt. Das ist noch zu wenig für eine echte Statistik. Wir haben bewusst mit einfacheren Szenarien begonnen, um die Lernkurve aufzubauen. Wären wir gleich mit den fiesesten Mails gestartet, hätten wir zwar hohe Klickraten, aber wenig Lerneffekt gehabt. 

Neben diesen Tests – welche weiteren Maßnahmen laufen? 

Die Pflicht sind unsere Standardschulungen zur Informationssicherheit – so wie bei Compliance oder Datenschutz auch. Die wurden dieses Jahr komplett neu aufgesetzt, gemeinsam mit unserer Tochter TMT, die sich mit digitalen Lernlösungen und Change befasst.  
Die Kür sind Awareness-Maßnahmen: Phishing-Wellen, Social-Engineering-Tests oder Intranet-Meldungen, wenn irgendwo eine akute Schwachstelle bekannt wird. Und für das nächste Jahr plane ich etwas Besonderes: ein Live-Hacking-Event. Da sehen Mitarbeitende live, wie ein Hacker vorgeht – und wie leicht es manchmal sein kann. Das wirkt nachhaltiger als jede PowerPoint-Präsentation. 

Klingt spannend. Gibt es da auch Überraschungseffekte? 

Absolut. Beim Social Engineering geht es nicht darum, gezielt jemanden hereinzulegen, sondern zu sehen, wie Menschen und Prozesse reagieren. Oft entdeckt man dabei ganz nebenbei ineffiziente Abläufe – und kann sie gleich verbessern. Das ist der schöne „Beifang“ solcher Tests. 

Wie messen Sie den Erfolg solcher Programme? 

Das Ziel ist ständige Wachsamkeit – nicht eine bestimmte Zahl. Menschen sind keine Maschinen. Ich kann nicht jeden Tag fünf Warnmeldungen verschicken, sonst hört irgendwann keiner mehr zu. Die Kunst ist, das richtige Maß zu finden. Aber ich sehe an den Rückmeldungen: Viele sind aufmerksam. Wir bekommen regelmäßig Meldungen über verdächtige Mails oder Auffälligkeiten – das zeigt mir, dass das Bewusstsein da ist. 

Wie lange braucht es, um den Kulturwandel und die Awareness bei den Mitarbeitenden zu schaffen? 

Server kann man in einer Minute patchen. Köpfe brauchen länger. Ein schönes Beispiel ist das Tragen der Mitarbeiterausweise. Das steht seit 20 Jahren in der Richtlinie, aber so richtig gemacht hat es keiner. Ich habe das Thema wieder auf die Agenda gebracht. Wenn alle ihren Ausweis tragen, fällt jemand ohne sofort auf. Ich habe früher selbst physische Penetrationstests durchgeführt. Wenn niemand Ausweise trägt, kommst du überall rein, einfach, weil die Leute höflich und hilfsbereit sind. Und genau das nutzen Angreifer aus. Deshalb sage ich: Wir müssen uns gegenseitig freundlich kontrollieren – das ist kein Misstrauen, sondern Schutz. 

Was ist der Schlüssel zum Erfolg dieses Wandels? 

Sicherheit ist zwar ein ernstes Thema, aber wir versuchen, das Thema mit einer Prise Humor zu vermitteln. Mit einer Emotion verknüpfte Inhalte bleiben besser hängen. Unsere Intranet-Beiträge sind oft witzig oder selbstironisch. Das kommt super an. Viele sagen, dass sie unsere Beiträge gerade deswegen lesen. Auch unsere neu aufgesetzten Schulungen sind mit einem Augenzwinkern gestaltet. Kulturwandel passiert nicht durch Angst, sondern durch Leichtigkeit.

Gab es Situationen, die besonders prägend waren? 

Oh ja. Ich war erst zwei Monate im Unternehmen, da hatten wir den größten Sicherheitsvorfall unserer Geschichte. Und auch dieser Vorfall ist auf menschliche Fehler zurückzuführen. Wir wussten anfangs nicht, wie schlimm es war, also haben wir drastische Maßnahmen ergriffen: Systeme isoliert, Rechenzentren runtergefahren. In zwei Wochen hatten alle neue Geräte – eine Wahnsinnsleistung. Entscheidend war aber: Wir waren transparent. Wir haben Kunden offen informiert, was passiert ist und wie wir reagieren. Das kam unglaublich gut an. Es gab keine Regressfälle, keine Klagen – im Gegenteil: Wir haben Vertrauen gewonnen, weil wir ehrlich waren.  

Wie verändert KI das Thema Sicherheit? 

Sie hebt das Ganze auf ein neues Level. Das Katz-und-Maus-Spiel läuft jetzt einfach auf einer höheren Ebene. KI hilft Angreifern wie Verteidigern gleichermaßen. Es wird also nicht leichter – nur komplexer. Aber am Ende bleibt es dabei: Der Mensch ist und bleibt der entscheidende Faktor. 

Was wünschen Sie sich von den Mitarbeitenden? 

Gar nicht viel. Im Bundeswehrjargon sagt man: „Melden macht frei.“ (lacht) Im Kern heißt das: Jeder ist Teil der Sicherheit. Es gibt kein „die da oben“ und „wir hier unten“. Wenn eine Mail komisch aussieht – nachfragen. Wenn eine unbekannte Person ohne Ausweis durchs Haus läuft – freundlich ansprechen. Das kostet zwei Minuten, macht uns aber als Organisation viel stärker. 

Vielen Dank für das Gespräch!