IT-Security menschlich gedacht: warum der Mensch entscheidet
Jeder kennt Brandschutz. Niemand fährt mit einem Auto los, dessen Bremsen nicht funktionieren. Sicherheit ist in diesen Bereichen greifbar. Bei IT-Sicherheit ist das anders: Angriffsszenarien bleiben für viele abstrakt, weil man sie nicht sieht und nicht anfassen kann. Genau hier setzt Sandra Balz an, Leiterin der kiwiko eG. Ihr Ansatz lautet, IT-Security menschlich zu machen, also von der abstrakten technischen Ebene auf eine Ebene zu heben, die für jeden im Unternehmen verständlich ist.
Der Kern ihrer Botschaft ist deutlich: Das beste Security-Produkt bringt nichts, wenn die Mitarbeitenden nicht mitgenommen werden. Vor den Rechnern und Mobilgeräten sitzen Menschen, und Angreifer wissen das. Social Engineering zielt bewusst auf menschliche Reaktionen ab. Wer technisch hervorragend aufgestellt ist, aber einen Mitarbeiter hat, der auf eine Phishing-Mail klickt oder das Passwort an den Monitor klebt, hat am Ende trotzdem eine offene Tür.
Security Awareness ist keine einmalige Aufgabe
Ein verbreiteter Irrtum ist, dass beim Thema Awareness inzwischen genug getan sei. Sandra Balz sieht das anders, und der Grund ist einfach: Angriffe werden immer professioneller. Die Zeiten der offensichtlich schlecht übersetzten Betrugsmail sind vorbei. Heute sehen gefälschte Nachrichten täuschend echt aus und kommen oft zum passenden Zeitpunkt. Die SMS „Ihr Paket konnte nicht zugestellt werden“ trifft ausgerechnet dann ein, wenn man tatsächlich etwas bestellt hat.
Dass solche Maschen nach Jahren immer noch verschickt werden, hat einen einfachen Grund: Sie funktionieren. Im Podcast wird die Größenordnung genannt, dass ein sehr hoher Anteil aller Angriffe auf den menschlichen Faktor zurückgeht. Diese Zahl kursiert in verschiedenen Studien und Quellen mit unterschiedlichen Werten, die Tendenz ist aber überall dieselbe: Der Mensch ist das zentrale Einfallstor. Eine gute Security Awareness Schulung sensibilisiert deshalb nicht nur dafür, wie man einen Angriff erkennt, sondern schafft überhaupt erst das Bewusstsein, dass ein Risiko besteht.
Ein wichtiger Nebeneffekt: Wer privat aufmerksam ist, trägt diese Haltung auch ins Unternehmen. Awareness endet nicht am Bürotor.
Kleine Unternehmen sind keine zu kleinen Ziele
„Wir sind ja viel zu klein, bei uns ist nichts zu holen.“ Diesen Satz hört Sandra Balz seit Jahren, und er stimmt nicht. Angreifer probieren es überall, denn am Ende ist überall Geld zu holen, unabhängig von der Unternehmensgröße. Kleinere Betriebe sind sogar oft attraktiver, weil dort seltener klare Leitfäden, regelmäßige Schulungen oder ausreichende Schutzmechanismen vorhanden sind. Genau diese Lücken lassen sich leichter ausnutzen.
NIS-2: die neue Verantwortung der Geschäftsführung
Mit der NIS-2-Richtlinie verschiebt sich die Verantwortung. Nach Schilderung von Sandra Balz aus ihrer Praxis kann sich die Geschäftsführung nicht mehr darauf zurückziehen, dass der Dienstleister oder die IT-Abteilung schuld gewesen sei. Haftbar ist, wer die Verantwortung trägt. Wichtig sei dabei die Dokumentation: Wer nachweislich auf ein Risiko hingewiesen und es dokumentiert hat, steht anders da als jemand, bei dem im Ernstfall gar keine oder nur rudimentäre Dokumentation vorliegt. Fehlt diese, greift im Zweifel auch keine Cyberversicherung, sofern überhaupt eine besteht.
Diese Einordnung ist Sandra Balz’ persönliche Einschätzung aus der Zusammenarbeit mit Partnern und Unternehmen und ersetzt keine Rechtsberatung. Für die konkrete Betroffenheit und die genauen Pflichten unter NIS-2 sollte fachkundiger Rat eingeholt werden.
Was ein Betriebsausfall wirklich kostet
Viele unterschätzen, um welche Summen es geht. Die wenigsten haben ausgerechnet, was eine Woche Stillstand bedeutet. Steht der Betrieb nach einem Angriff still, laufen Fixkosten wie Löhne und Mieten weiter, während die Einnahmen ausbleiben. Nico Löhle berichtet von einem Workshop mit einem Partner, in dem genau solche Szenarien durchgespielt wurden. Ein Teilnehmer nahm sich am Ende vor, sofort einen Notfallplan aufzustellen, weil ihm im Gespräch klar geworden war, wie schnell und wie existenzbedrohend ein Ausfall wirken kann. Im Podcast fällt in diesem Zusammenhang auch das Beispiel eines Unternehmens, das nach einem Cyberangriff in die Insolvenz geriet.
Warum der Notfallplan so oft fehlt
Fragt man Geschäftsführer, wie gut sie aufgestellt sind, lautet die Antwort häufig „sehr gut“, weil ein Dienstleister und ein Produkt vorhanden sind. Doch eine Firewall allein oder gelegentliches Patchen ergibt noch kein Sicherheitskonzept. IT-Sicherheit ist ganzheitlich, und sie beginnt mit einem Notfallplan. Die entscheidende Frage lautet: Welche Prozesse sind besonders verwundbar, und wie lange hält das Unternehmen durch, wenn sie ausfallen? Viele müssen erst überlegen und merken dann schnell, dass nach kurzer Zeit gar nichts mehr geht. Erschwerend kommt hinzu, dass Angriffe selten mitten am Arbeitstag passieren, sondern bevorzugt am Wochenende oder an Feiertagen, wenn die Reaktion länger dauert.
Vom Kistenschieber zum Trusted Advisor
Ein Teil der Herausforderung liegt in der Branche selbst. Viele Systemhäuser kommen historisch aus dem Handel, haben also zunächst Hardware und später Software verkauft und sich nicht von Anfang an mit Security beschäftigt. Genau hier setzt die kiwiko eG an, ein Netzwerk spezialisierter Partner, das sich auf Augenhöhe austauscht und über den Zusammenschluss mit dem Systemhausverbund comTeam Expertise in die Breite tragen will. Der Anspruch: Partner sollen ihre Kunden als Trusted Advisor an die Hand nehmen, statt nur Produkte zu liefern. Nicht jeder Partner kann alles, aber im Netzwerk findet sich für jedes Thema der passende Ansprechpartner. So entsteht kein Flickenteppich, sondern eine ganzheitliche Begleitung, die auf Vertrauen aufbaut.
Fazit: Sicherheit ist eine menschliche Aufgabe
IT-Sicherheit lässt sich nicht allein einkaufen. Sie entsteht dort, wo Technik, klare Prozesse und sensibilisierte Menschen zusammenkommen. Awareness ist dabei kein Projekt mit Enddatum, sondern eine Daueraufgabe. Wer seine Mitarbeitenden mitnimmt, einen Notfallplan aufsetzt und seine Verantwortung unter NIS-2 ernst nimmt, macht IT-Security genau das, was Sandra Balz fordert: greifbar und menschlich.
Das ganze Gespräch mit Sandra Balz gibt es in Folge 9 von Sofa Talk und IT, zum Hören und zum Ansehen:
Häufige Fragen zu Security Awareness und NIS-2
Security Awareness beschreibt das Sicherheitsbewusstsein der Mitarbeitenden. Ziel ist, dass Menschen im Unternehmen Angriffsversuche wie Phishing oder Social Engineering erkennen und richtig reagieren. Sie ist keine einmalige Maßnahme, sondern eine fortlaufende Aufgabe.
Weil Angreifer unabhängig von der Unternehmensgröße vorgehen und kleinere Betriebe oft weniger Schutzmechanismen und Schulungen haben. Diese Lücken lassen sich leichter ausnutzen.
Nach der Darstellung im Podcast trägt die Geschäftsführung die Verantwortung und kann sich nicht mehr allein auf Dienstleister oder die IT-Abteilung berufen. Dokumentation spielt eine zentrale Rolle. Für die individuelle Betroffenheit ist fachkundiger Rat nötig, dieser Beitrag ersetzt keine Rechtsberatung.
Weil IT-Sicherheit ganzheitlich ist. Technik, Prozesse und geschulte Mitarbeitende gehören zusammen. Ein Notfallplan, der festlegt, was im Ernstfall zu tun ist, ist ein wesentlicher Bestandteil.
NIS-2 betrifft die Geschäftsführung, nicht die IT-Abteilung
Wenn Sie wissen wollen, ob und wie Ihr Unternehmen von NIS-2 betroffen ist, welche Nachweise verlangt werden und wo Ihre Dokumentation heute steht, sehen wir uns das gemeinsam an. Wir ordnen Ihre Pflichten ein und benennen die Schritte, die zuerst zählen.
