«Cybersicherheit beginnt beim Menschen»

Jill Wick, Unternehmen investieren Millionen in Firewalls und Sicherheitssysteme. Weshalb gelingt es Cyberkriminellen trotzdem immer wieder, über den Menschen zum Ziel zu kommen?
Eine Antwort, die der Individualität der Menschen gerecht wird, ist in wenigen Sätzen kaum möglich. Systeme und Firewalls funktionieren nach ihrer Implementierung zuverlässig. Der Mensch ist jedoch individuell und Betrüger haben sich darauf spezialisiert, dieses Betriebssystem zu «hacken», also Social Engineering zu betreiben. Viele unterschätzen, wie skrupellos Betrüger vorgehen, weil wir selbst ethisch denken. Das menschliche Betriebssystem hat zahlreiche Denkfehler und Schwachstellen («Biases»), die gezielt ausgenutzt werden. Darauf gehe ich auch in meinen Vorträgen ein. 

Social Engineering gehört heute zu den grössten Cyberbedrohungen. Mit welchen psychologischen Mechanismen arbeiten Angreifer besonders erfolgreich?
Man muss zwischen geschäftlichem und privatem Kontext unterscheiden. Grundsätzlich wirken bei allen Menschen Auslöser wie Autorität («Der Chef schreibt.») oder Dringlichkeit («Ihr Konto ist gesperrt!»). Entscheidend ist jedoch, wie diese Mechanismen eingesetzt werden. Es gibt für praktisch jeden Menschen eine passende Betrugsmasche. Für die einen ist die SMS über ein angeblich nicht zugestelltes Paket gefährlich, für andere eine LinkedIn-Bekanntschaft, die plötzlich Geldanlagen empfiehlt. Ausgenutzt werden dabei unsere Denkweise, Wahrnehmung und unser Vertrauen.

Künstliche Intelligenz macht Phishing-Mails, Stimmen und sogar Videobotschaften immer glaubwürdiger. Wie verändert das die Bedrohungslage für Unternehmen?
Die grundsätzliche Bedrohungslage hat sich nicht wesentlich verändert. KI ermöglicht es Betrügern jedoch, ihre Angriffe zu verstärken und zu skalieren. Aus einem anonymen Anruf wird die Stimme der Tochter, die um Hilfe bittet, oder des CEOs, der eine sofortige Überweisung verlangt. Gleichzeitig müssen Unternehmen ihre Awareness-Programme anpassen. Schlechte Sprache oder unprofessionelle Webseiten sind heute keine verlässlichen Warnsignale mehr. KI erstellt in Sekunden überzeugende Webseiten und personalisierte Phishing-Mails. Umso wichtiger werden klare Prozesse und das Bewusstsein: Sobald jemand Geld oder Daten verlangt, sollte man besonders genau hinschauen.

Viele Unternehmen führen regelmässig Security-Awareness-Schulungen durch. Woran erkennen Sie, ob eine solche Sensibilisierung tatsächlich wirkt und nicht nur eine Pflichtübung bleibt?
Von aussen ist das kaum erkennbar. Sicherheitsverantwortliche merken jedoch schnell, ob Mitarbeitende aufmerksam sind. Stellen sie Fragen, melden sie verdächtige Vorfälle oder weisen sie auf Schwachstellen hin? Auch das Eingestehen eigener Fehler ist ein gutes Zeichen. Es zeigt, dass die Mitarbeitenden Verantwortung übernehmen und die Sicherheitskultur wichtiger ist als die Angst vor Konsequenzen. 

Welche Verhaltensweisen oder Routinen sollten Führungskräfte vorleben, damit Cybersicherheit Teil der Unternehmenskultur wird und nicht bloss ein IT-Thema bleibt?
Führungskräfte sollten die Cybersicherheitsregeln konsequenter einhalten als alle anderen. Leider passiert oft das Gegenteil: Das C-Level verlangt Ausnahmen, etwa bei Browserfreigaben oder Sicherheitskursen. Das sendet ein falsches Signal und prägt das Verhalten der gesamten Organisation. 

Was können Geschäftsleitungen tun, um Cybersicherheit dauerhaft in der Unternehmenskultur zu verankern und nicht allein der IT-Abteilung zu überlassen?
Nur die Geschäftsleitung kann Cybersicherheit dauerhaft im Unternehmen verankern. Unterstützt sie die Sicherheitsabteilung nicht, werden deren Vorgaben kaum umgesetzt. Es braucht deshalb klare Unterstützung, die nötigen personellen und finanziellen Ressourcen und eine konsequente Vorbildfunktion. Ebenso wichtig sind Ansprechpersonen im Unternehmen, die Fragen entgegennehmen, Meldungen fördern und einen konstruktiven Umgang mit Fehlern vorleben. Das schafft psychologische Sicherheit. 

Welchen Aspekt rund um Security Awareness und den menschlichen Faktor möchten Sie Ihrem Publikum an der Digital Conference Ostschweiz besonders vermitteln?
Aus meiner Zeit in der Betrugsanalyse weiss ich, wie viele Menschen auf Betrug hereinfallen. Solange wir das als Dummheit abtun, wird sich nichts ändern. Verstehen wir es dagegen als menschlich, können wir besser damit umgehen. Mir ist wichtig zu vermitteln, dass es jedem passieren kann und wir Betroffene unterstützen statt verurteilen sollten. Gleichzeitig lohnt es sich, die eigenen Stärken und Schwächen zu kennen und eine höfliche Skepsis zu bewahren, besonders wenn unerwartet Geld oder Daten verlangt werden oder etwas zu gut erscheint, um wahr zu sein.