Sicherheitsverhalten

Die Mehrheit erfolgreicher Angriffe nutzt keine Softwareschwachstelle aus. Sie nutzt einen Menschen aus, der beschäftigt, hilfsbereit oder müde war — oder einfach einem Prozess folgte, der die unsichere Handlung zur einfachsten machte. Technische Kontrollen sind wichtig, aber die entscheidende Variable ist Verhalten. Und Verhalten lässt sich beobachten, verstehen und verändern.

Warum das jetzt zählt

Generative KI hat die Kosten überzeugender Täuschung kollabieren lassen. Spear-Phishing in makellosem Deutsch, Stimmklone der Finanzvorständin, gefälschte Lieferantenportale, an einem Nachmittag gebaut: Die „offensichtlichen Anzeichen“, auf die sich Awareness-Trainings ein Jahrzehnt lang stützten, sind verschwunden. Gleichzeitig schaffen dieselben KI-Werkzeuge innerhalb Ihrer Organisation neue Angriffsflächen — eine Entwicklerin, die Zugangsdaten in einen Assistenten einfügt, ein Agent, der auf ein manipuliertes Dokument reagiert, ein Support-Bot, der sich zur Herausgabe von Daten überreden lässt.

Die Aufsicht hat das bemerkt. DORA, NIS2 und branchenspezifische Leitlinien erwarten inzwischen Nachweise, dass Awareness-Maßnahmen wirksam sind — nicht nur, dass sie stattgefunden haben.

Wie ich vorgehe

Mein Hintergrund liegt in interdisziplinärer Forschung dazu, wie Menschen mit komplexen, sicherheitskritischen Systemen interagieren. Das prägt die Methode: Vor jedem Training steht ein Assessment. Strukturierte Beobachtung, Interviews, Ablaufanalyse und kontrollierte Simulationen zeigen, warum unsicheres Verhalten entsteht — Zeitdruck, unklare Verantwortung, Werkzeuge, die Vorsicht bestrafen —, und diese Diagnose bestimmt die Intervention.

Das Training wird dann für die tatsächlichen Teams gestaltet: Entwicklung, Betrieb, Finanzen, Führung — jedes mit eigener Angriffsfläche und eigener Sprache, oft über Kulturen hinweg. Die Sessions sind interaktiv und werden gemessen; die Ergebnisse fließen in ein Kultur-Dashboard, mit dem das Management arbeiten und das die Aufsicht lesen kann.

Wo es üblicherweise beginnt

Ein vier- bis sechswöchiges Verhaltensassessment einer Geschäftseinheit oder eines kritischen Prozesses, inklusive Simulations-Baseline. Daraus folgt ein Trainingsprogramm, eine Neugestaltung der riskantesten Abläufe — oder beides.