Im heutigen Beitrag von KRISENSICHER, dem Blog rund um Organisationale Resilienz in der Polykrise, beschäftigt sich Christian F. Hirsch näher mit der Frage, warum ein selektiver Zugang beispielsweise zu Programmen und Datenbanken in einem Unternehmen essenziell für die Resilienz gegenüber Cyberangriffen ist.
In vielen Unternehmen wird der Zugang zu Programmen und Datenbanken oft zu allzu großzügig gehandhabt. Ein klassisches Beispiel dafür sind Auszubildende: Während ihrer Ausbildung durchlaufen sie meist mehrere Abteilungen und erhalten Zugang zu einer Vielzahl von Systemen und Informationen.
Das Problem dabei: Ihre Zugänge aus vorherigen Abteilungen werden oft nicht deaktiviert. Nach Abschluss ihrer Ausbildung verfügen sie so über weitreichende Rechte, die sie gar nicht mehr benötigen. Dieser Zustand schafft nicht nur Unübersichtlichkeit, sondern auch eine immense Angriffsfläche für potenzielle Cyberangriffe.
Der Gedanke ist erschreckend einfach: Ein ehemaliger Azubi mit weitreichenden Zugängen ist ein potenzielles Einfallstor für Angreifer. Cyberkriminelle suchen gezielt nach Schwachstellen in Organisationen – und unübersichtliche Berechtigungsstrukturen sind eine Einladung. Besonders riskant wird es, wenn ehemalige Mitarbeitende das Unternehmen verlassen, ohne dass ihre Zugänge zeitnah gesperrt werden. Die Folge: Der Kreis derjenigen, die potenziell auf vertrauliche Informationen zugreifen können, wird unnötig groß.
Unübersichtliche Zugangsstrukturen können zudem zu internen Sicherheitsproblemen führen. Wenn Mitarbeitende nicht wissen, wer auf welche Informationen zugreifen kann, steigt das Risiko, dass sensible Daten unbeabsichtigt offengelegt oder manipuliert werden.
Ein verbreiteter Irrglaube ist, dass Cybersecurity vor allem eine technische Disziplin sei. Zwar spielen Firewalls, Virenscanner und Verschlüsselungstechnologien eine wichtige Rolle, doch der wahre Kern der Cybersicherheit liegt beim Menschen. Eine unklare Vergabepraxis von Zugängen zeigt, dass oft organisatorische und menschliche Faktoren die größten Risiken darstellen.
Die technische Umsetzung, wie etwa die Installation von Sicherheitssystemen, ist dabei nur ein Teil der Lösung. Viel entscheidender ist es, Mitarbeitende zu sensibilisieren und klare Prozesse zu etablieren, die den sicheren Umgang mit Daten und Zugängen garantieren. Hierbei rücken Themen wie Verantwortung, Vertrauen und Zusammenarbeit in den Vordergrund. Cybersecurity ist also weniger eine Frage der Technik, sondern eine Herausforderung der Organisationskultur.
Ein weiteres Problem, das aus einer mangelnden Fokussierung auf den Menschen entsteht, ist die sogenannte „Privilegienakkumulation“. Mitarbeiter sammeln im Laufe ihrer Karriere immer mehr Rechte an, die sie nicht mehr benötigen. Diese ungenutzten Rechte können von Angreifern ausgenutzt werden, um sich im Netzwerk zu bewegen und größeren Schaden anzurichten.
Ein Konzept, das diesen Ansatz zusammenfasst, ist die sogenannte Human Firewall. Der Begriff beschreibt den bewussten Einsatz und die Schulung von Mitarbeitenden, um als erste Verteidigungslinie gegen Cyberangriffe zu dienen. Ursprünglich stammt der Begriff aus dem IT-Sicherheitsmanagement und wird heute von Unternehmen weltweit genutzt, um auf die menschliche Komponente der Cyberabwehr hinzuweisen.
Die Idee der Human Firewall betont, dass jeder Mitarbeitende, unabhängig von seiner Position oder Abteilung, eine Rolle bei der Cybersicherheit spielt. Im Gegensatz zu herkömmlichen Sicherheitsmaßnahmen, die sich auf Technologien wie Firewalls oder Antivirus-Programme stützen, setzt die Human Firewall auf den Aufbau einer Sicherheitskultur. Ziel ist es, Mitarbeitende so zu schulen und zu motivieren, dass sie verdächtige Aktivitäten erkennen und darauf reagieren können.
Der Begriff wird heute nicht nur in der Praxis verwendet, sondern auch in Schulungen, Fachartikeln und Sicherheitskonferenzen diskutiert. Viele internationale Konzerne haben das Konzept mittlerweile in ihre Sicherheitsstrategien integriert und bieten spezielle Programme zur Stärkung der Human Firewall an. Diese Programme reichen von Phishing-Simulationen bis hin zu interaktiven Schulungen, die reale Bedrohungsszenarien nachstellen.
Die Human Firewall ist mehr als ein Schlagwort. Sie erfordert konkrete Maßnahmen, um ihre Wirksamkeit zu entfalten. Zu den wichtigsten Ansätzen gehören:
Awareness-Schulungen: Regelmäßige Schulungen, die Mitarbeitende über aktuelle Bedrohungen und den sicheren Umgang mit Daten informieren. Ziel ist es, ein Bewusstsein für Risiken wie Phishing, Social Engineering und Ransomware zu schaffen.
Phishing-Tests: Simulierte Angriffe, um das Bewusstsein der Mitarbeitenden für gefälschte E-Mails oder Websites zu schärfen. Diese Tests helfen, Schwachstellen im Verhalten aufzudecken und gezielt anzusprechen.
Klare Zugangsrichtlinien: Regelmäßige Überprüfung und Aktualisierung von Berechtigungen, insbesondere bei Rollenänderungen oder Austritten aus dem Unternehmen. Dies verhindert die Akkumulation von Zugangsrechten.
Feedback-Kultur: Eine offene Kultur, in der Mitarbeitende verdächtige Aktivitäten melden können, ohne Angst vor Sanktionen zu haben. Dies ermutigt zu einem proaktiven Umgang mit potenziellen Bedrohungen.
Zugangsbeschränkungen: Prinzipien wie „Least Privilege“ und „Need-to-Know“ sollten konsequent umgesetzt werden. Mitarbeitende sollten nur auf die Daten zugreifen können, die sie für ihre Arbeit benötigen.
Technische Unterstützung: Obwohl der Fokus auf den Menschen liegt, spielen technische Lösungen wie Identity- und Access-Management-Systeme eine wichtige Rolle, um die Einhaltung von Richtlinien zu erleichtern.
Die Implementierung einer Human Firewall ist nicht ohne Herausforderungen. Widerstand gegen Veränderungen, mangelnde Ressourcen und fehlende Sensibilisierung sind häufige Hürden. Doch die Chancen überwiegen: Unternehmen, die in ihre Mitarbeitenden investieren und eine Sicherheitskultur etablieren, sind besser gegen Cyberangriffe gewappnet und können schneller auf Vorfälle reagieren.
Eine starke Human Firewall reduziert nicht nur die Wahrscheinlichkeit erfolgreicher Angriffe, sondern verbessert auch das allgemeine Sicherheitsbewusstsein in der Organisation. Dies kann langfristig zu einer nachhaltigeren und widerstandsfähigeren Sicherheitsstrategie führen.
Cybersicherheit beginnt nicht bei der Technik, sondern beim Menschen. Indem Unternehmen klare Strukturen für den Umgang mit Zugängen schaffen und ihre Mitarbeitenden in die Abwehrstrategie einbinden, können sie das Risiko von Cyberangriffen erheblich reduzieren. Der Ansatz der Human Firewall zeigt, dass es sich lohnt, den Menschen als Schwachstelle, aber auch als Ressource zu begreifen. Denn letztlich ist ein gut geschulter und verantwortungsbewusster Mitarbeitender die beste Verteidigung gegen Angreifer.
Durch den gezielten Einsatz von Schulungen, simulierten Angriffen und klaren Richtlinien wird die Human Firewall zu einem integralen Bestandteil moderner Cybersicherheitsstrategien. Unternehmen, die diesen Ansatz verfolgen, investieren nicht nur in ihre Sicherheit, sondern auch in ihre Zukunftsfähigkeit. Die Human Firewall ist somit mehr als ein Konzept – sie ist ein notwendiger Schritt hin zu einer sicheren und widerstandsfähigen Organisation.
Christian F. Hirsch ist Chief of Staff der KR Krisensicher Risikoberatung GmbH. Im Blog KRISENSICHER schreibt er unter anderem über Krisenmanangement und Krisenkommunkation, Kommunikationsresilienz, Akzeptanzkommunikation oder die Social License to Operate.