Die Weiterentwicklung hin zum human risk management

Schulungen zur Sensibilisierung für Sicherheitsfragen sind seit Jahren ein fester Bestandteil von Cybersicherheitsprogrammen. Die meisten Unternehmen führen es durch, die meisten Mitarbeiter absolvieren es, und die meisten Compliance-Anforderungen werden erfüllt. Doch hier ist die unangenehme Wahrheit: Bewusstsein allein bringt keine Veränderung. Interne Bedrohungen, der Missbrauch von Zugangsdaten und menschliches Versagen sind mittlerweile die Hauptursachen für die meisten Sicherheitsvorfälle, wobei lediglich 8 % der Mitarbeiter für 80 % davon verantwortlich sind. Wenn Training allein ausreichen würde, sähen diese Zahlen inzwischen ganz anders aus.

Die Kluft zwischen Wissen und Handeln ist der Bereich, in dem Organisationen am stärksten gefährdet sind. Mitarbeiter mögen zwar verstehen, dass das Anklicken verdächtiger Links ein Risiko darstellt, doch ohne die richtigen Unternehmenskulturen, Prozesse und Unterstützungssysteme bleiben risikobehaftete Verhaltensweisen bestehen. Aus diesem Grund verlagern zukunftsorientierte Sicherheitsverantwortliche ihren Fokus von der herkömmlichen Sensibilisierung für Sicherheitsfragen hin zu einem umfassenderen Ansatz: human risk management.

Was versteht man unter human risk management?

Das Human Risk Management (HRM) ist ein ganzheitlicher Ansatz für die Cybersicherheit, der über die bloße Aufklärung der Menschen darüber hinausgeht, wie Bedrohungen aussehen. Im Mittelpunkt steht die Erfassung, Quantifizierung, Steuerung und letztendlich die Minderung des Risikos, das durch menschliches Verhalten für eine Organisation entsteht. Während herkömmliche Modelle sich auf die Einhaltung von Vorschriften oder die Sensibilisierung beschränken, konzentriert sich das Personalmanagement darauf, das Verhalten der Nutzer mit dem höchsten Risiko zu überwachen und durch kontinuierliche Verbesserung messbare Ergebnisse zu erzielen.

Betrachten Sie es einmal so: Das Bewusstsein sagt den Menschen, was sie tun sollen. Das Personalmanagement schafft das Umfeld, die Instrumente und die Rückkopplungsmechanismen, die den Mitarbeitern dabei helfen, dies tatsächlich umzusetzen. Zudem beweist das Personalmanagement, dass es funktioniert.

Warum dieser Wandel gerade jetzt von Bedeutung ist

Die Bedrohungslage entwickelt sich rasch weiter, und die targeted attack entwickelt sich ebenfalls weiter. Laut dem Bericht „The State of Human Risk 2026“ von Mimecast rechnen 71% der Unternehmen in diesem Jahr mit negativen geschäftlichen Auswirkungen durch Angriffe auf Kollaborations-Tools, wobei 45% bereits eine Zunahme von Cyberangriffen auf Plattformen wie Teams, Slack und Zoom verzeichnen. Unterdessen sind 80 % der Unternehmen besorgt darüber, dass sensible Daten über generative KI-Tools nach außen gelangen könnten, und 60 % verfügen noch immer nicht über konkrete Strategien zur Abwehr KI-gestützter Bedrohungen, obwohl 98 % bereits KI in ihren Abwehrmaßnahmen einsetzen.

Die finanziellen Risiken sind enorm. Unternehmen verzeichnen durchschnittlich sechs durch Insider verursachte Vorfälle pro Monat, deren geschätzte Kosten sich auf 13,1 Millionen US-Dollar pro Vorfall belaufen, und 66 % gehen davon aus, dass der durch Insider verursachte Datenverlust im Laufe des nächsten Jahres zunehmen wird. Dennoch kombinieren nur 28 % der Unternehmen regelmäßige Schulungen zur Sensibilisierung für Sicherheitsfragen mit einer kontinuierlichen Überwachung auf Verstöße gegen Richtlinien. Genau an dieser Diskrepanz zwischen Bewusstsein und Handeln treten Sicherheitsverletzungen auf. Die Herausforderung besteht nicht nur darin, mehr Geld auszugeben. Es geht darum, Ausgaben sinnvoller zu gestalten, und das bedeutet, dem menschlichen Faktor mit derselben Sorgfalt zu begegnen wie den technischen Sicherheitsmaßnahmen.

Die vier Bereiche des Personalmanagements

Mimecast Human Risk Management bietet ein strukturiertes Rahmenkonzept für Unternehmen, die diesen Wandel vollziehen möchten. Es gliedert die Personalmanagement-Kompetenzen in vier miteinander verbundene Bereiche:

Die Kultur bildet die Grundlage. Dieser Bereich befasst sich damit, wie Sicherheitsverhalten, Werte und Erwartungen in die täglichen Abläufe und Teampraktiken eingebunden sind. Es geht über die Häufigkeit von Schulungen hinaus, zu prüfen, ob sich die Mitarbeiter psychologisch sicher fühlen, Fehler zu melden, ob die Führungskräfte sicheres Verhalten sichtbar unterstützen und ob Sicherheit als gemeinsame Verantwortung und nicht als reines IT-Problem betrachtet wird. Eine starke Sicherheitskultur zeichnet sich dadurch aus, dass das Richtige zu tun ganz einfach zur Arbeitsweise gehört.

Die Technologie dient als Wegbereiter. In diesem Bereich wird geprüft, ob Sicherheitstools in alle wichtigen Geschäftssysteme integriert sind und ob Verhaltensdaten erfasst, analysiert und entsprechend verarbeitet werden. Auf höheren Reifegraden setzen Unternehmen Verhaltensanalysen und Automatisierung ein, um Just-in-Time-Maßnahmen zu ergreifen – also zeitnahe Anstöße genau in dem Moment, in dem ein Risiko besteht, anstatt allgemeine Erinnerungen, die erst Monate später versendet werden.

Die Einhaltung von Cybersicherheitsvorschriften stellt sicher, dass Richtlinien nicht nur dokumentiert, sondern auch aktiv gepflegt, durchgesetzt und angepasst werden. Dazu gehören das Management von durch Dritte und Lieferanten verursachten personellen Risiken, die Automatisierung der Compliance-Überwachung sowie die Aufrechterhaltung der Prüfungsbereitschaft. Ganze 91 % der Unternehmen stehen vor Herausforderungen in den Bereichen Governance und Compliance, und 36 % verlassen sich nach wie vor auf manuelle Überwachungsprozesse, was angesichts des rasant steigenden Datenvolumens unweigerlich zu Engpässen führt.

Im Bereich der Ergebnisse und deren Messung beweist das Personalmanagement seinen Wert. Dieser Bereich dient dazu, zu ermitteln, ob Maßnahmen tatsächlich zu einer Verhaltensänderung führen und die Zahl der Vorfälle verringern. Es geht über oberflächliche Kennzahlen wie die Abschlussquoten von Schulungen hinaus und konzentriert sich stattdessen auf aussagekräftige Indikatoren: die Verringerung von durch Menschen verursachten Vorfällen, Verhaltensänderungen im Zeitverlauf sowie den quantifizierten geschäftlichen Nutzen aus Investitionen in das Personalmanagement.

Eine Reise, kein Ziel

Mimecast HRM definiert fünf Stufen, die von reaktivem und ad-hoc-orientiertem Handeln auf Stufe 1 bis hin zu einer vollständig widerstandsfähigen, vorausschauenden Sicherheitskultur auf Stufe 5 reichen. Die meisten Unternehmen werden nicht über Nacht die höchste Stufe erreichen, und das müssen sie auch nicht. Mimecast HRM ist auf schrittweisen Fortschritt ausgelegt: Es ermittelt, wo Lücken bestehen, legt erreichbare Ziele fest und baut im Laufe der Zeit Kompetenzen auf.

Das Wichtigste ist, mit einer ehrlichen Einschätzung zu beginnen. In welchen Bereichen haben Sie die niedrigsten Punktzahlen? Dies sind wahrscheinlich die Bereiche, in denen gezielte Investitionen die größte Wirkung erzielen werden. Fortschritte in einem Bereich beschleunigen häufig auch die Fortschritte in anderen Bereichen. Bessere Technologie liefert bessere Messdaten. Eine stärkere Unternehmenskultur trägt dazu bei, dass die Einhaltung von Vorschriften und die Einführung neuer Technologien effektiver gestaltet werden.

Den nächsten Schritt gehen

Das human risk management stellt einen grundlegenden Wandel in der Art und Weise dar, wie Organisationen ihre Mitarbeiter und die Sicherheit betrachten. Es geht nicht darum, den Mitarbeitern die Schuld dafür zu geben, dass sie auf den falschen Link geklickt haben. Es geht darum, Systeme, eine Unternehmenskultur und Prozesse zu etablieren, die sicheres Verhalten zur Selbstverständlichkeit machen, und dies anhand von Daten zu belegen.

Die Organisationen, die diesen Wandel aktiv vorantreiben, werden besser in der Lage sein, Risiken proaktiv zu bewältigen, der Unternehmensleitung einen klaren ROI nachzuweisen und in einem zunehmend komplexen Bedrohungsumfeld echte Widerstandsfähigkeit aufzubauen.

Sind Sie bereit herauszufinden, wo Ihr Unternehmen derzeit steht und wie es von Mimecast Human Risk Management profitieren kann? Fordern Sie noch heute eine Demo an.

Alle in diesem Beitrag genannten Daten stammen aus dem Bericht „The State of Human Risk 2026 “ von Mimecast.