Von allgemeinen Strategien bis hin zu gezielten Maßnahmen: Die Entwicklung des human risk management

Jedes Quartal wiederholt sich in Tausenden von Unternehmen dasselbe Ritual: Jeder Mitarbeiter, von der Rezeption bis zur Führungsetage, muss dieselbe Schulung zur Sensibilisierung für Sicherheitsfragen absolvieren. Der Finanzanalyst, der noch nie auf einen Phishing-Link geklickt hat, erhält dasselbe Modul wie der Vertriebsmitarbeiter, der diesen Monat bereits dreimal darauf geklickt hat. Der langjährige Ingenieur mit einwandfreier Dienstbilanz unterliegt denselben Kontrollmaßnahmen wie der Auftragnehmer, der erst seit kurzem mit sensiblen Daten umgeht. Jeder wird als gleich risikobehaftet behandelt, was bedeutet, dass niemand angemessen behandelt wird.

Dieser Einheitsansatz prägt seit viel zu vielen Jahren die Programme zur Sensibilisierung für Sicherheitsfragen und zum Umgang mit Insiderrisiken. Und seit Jahren führt dies zu denselben vorhersehbaren Ergebnissen: verschwendete Ressourcen für Mitarbeiter mit geringem Risiko, unzureichende Konzentration auf die Personen und Verhaltensweisen, die tatsächlich eine Gefahr darstellen, sowie eine wachsende Welle der Frustration bei den Anwendern, die sich gegen die Sicherheitsteams richtet, die irrelevante Maßnahmen ergreifen.

Die gute Nachricht? Diese Ära neigt sich dem Ende zu. Der Wandel hin zu adaptiven, verhaltensorientierten Maßnahmen ermöglicht es, die richtige Maßnahme zur richtigen Zeit an die richtige Person zu richten – und dies in großem Maßstab.

Warum Personalisierung bislang unerreichbar war

Das Konzept der risikobasierten Sicherheit ist nicht neu. Sicherheitsverantwortliche haben längst erkannt, dass verschiedene Personen unterschiedliche Risikostufen darstellen und dass Maßnahmen in einem angemessenen Verhältnis stehen sollten. Dieses Verständnis in die operative Praxis umzusetzen, war jedoch eine ganz andere Sache.

Die Hindernisse waren praktischer Natur. Die Pflege dynamischer Benutzergruppen erforderte einen ständigen manuellen Aufwand. Risikosignale befanden sich in voneinander getrennten Systemen. Um einen Risikowert in eine konkrete Richtlinienänderung umzusetzen, musste man sich durch ein Gewirr aus Tools, Tickets und Genehmigungsverfahren arbeiten. Bis ein manueller Prozess einen Nutzer mit hohem Risiko identifiziert und entsprechende Kontrollmaßnahmen ergriffen hatte, war das Zeitfenster für ein wirksames Eingreifen oft bereits verstrichen.

Was sich geändert hat, ist die Infrastruktur. Wenn Sie eine umfassende Bewertung von Verhaltensrisiken mit Automatisierung und plattformübergreifender Integration kombinieren, ist personalisierte Sicherheit kein Wunschtraum mehr, sondern wird zur Realität.

Dynamische Beobachtungslisten: Von der Sichtbarkeit zum Handeln

Der erste bedeutende Schritt in dieser Entwicklung ist die dynamische Beobachtungsliste – eine verhaltensgesteuerte, sich selbst aktualisierende Benutzergruppe, die über die statische Listenverwaltung hinausgeht und adaptive Maßnahmen ermöglicht.

Herkömmliche Beobachtungslisten werden manuell geführt. Ein Mitarbeiter der Sicherheitsabteilung fügt einen Namen hinzu – vielleicht nach einem Vorfall, vielleicht aufgrund eines Hinweises aus der Personalabteilung. Dieser Name bleibt auf der Liste stehen, bis jemand daran denkt, ihn zu entfernen. Die Liste verliert an Aktualität. Er spiegelt die Risiken von gestern wider, nicht die von heute.

Dynamische Beobachtungslisten kehren dieses Modell um. Anstatt Benutzer manuell auszuwählen, legen Sie die relevanten Kriterien fest – bestimmte Risikoverhaltensweisen, Schwellenwerte für Bewertungen, Abteilungsfilter, organisatorische Signale – und die Liste verwaltet sich von selbst. Benutzer werden in den Prozess aufgenommen, sobald ihr Verhalten den Kriterien entspricht, und wieder aus dem Prozess entfernt, sobald dies nicht mehr der Fall ist, wobei die Aktualisierungen kontinuierlich erfolgen.

Betrachten Sie einige praktische Beispiele. Eine Beobachtungsliste für Mitarbeiter der Finanzabteilung, die im vergangenen Monat auf echte Phishing-Links geklickt haben, wird auf der Grundlage des tatsächlichen Verhaltens automatisch erstellt und wieder gelöscht. Eine Beobachtungsliste für Auftragnehmer mit erhöhten Bewertungen hinsichtlich des Umgangs mit sensiblen Daten wird in Echtzeit angepasst, sobald sich die Datenzugriffsmuster ändern. Eine Beobachtungsliste für ausscheidende Mitarbeiter, die risikobehaftetes Verhalten zeigen, stützt sich gleichzeitig auf Daten aus integrierten HR-Systemen und auf Verhaltenssignale.

Die Kriterien legen die Liste fest. Keine Person, die mit einer Tabellenkalkulation arbeitet.

Verknüpfung von Beobachtungslisten mit adaptiven Kontrollen

Sichtbarkeit allein verringert das Risiko nicht. Was dynamische Beobachtungslisten so bahnbrechend macht, ist ihre Verknüpfung mit adaptiven Richtlinien – die Fähigkeit, differenzierte Kontrollmaßnahmen auf der Grundlage des Echtzeit-Risikoprofils eines Benutzers auszulösen.

Dies bedeutet, dass ein anhand von Watchlist-Kriterien identifizierter Nutzer mit hohem Risiko automatisch strengeren E-Mail-Kontrollen, erhöhten Authentifizierungsanforderungen oder einer verstärkten Überwachung unterliegen kann, während Kollegen mit geringem Risiko ihre Arbeit ohne Einschränkungen fortsetzen können. Wenn sich das Verhalten des Hochrisikonutzers verbessert, werden die Kontrollmaßnahmen gelockert. Das System schafft einen Regelkreis: Das Verhalten bestimmt die Politik, und die Politik passt sich an, wenn sich das Verhalten ändert.

Dies lässt sich durch die Integration mit HR-Systemen wie Workday noch weiter ausbauen, wodurch eine automatisierte Anwendung von Richtlinien bei Ereignissen wie dem Ausscheiden von Mitarbeitern ermöglicht wird. Die tagbasierte Automatisierung berücksichtigt Auftragnehmer, bestimmte Abteilungen und benutzerdefinierte Klassifizierungen, ohne dass die Sicherheitsteams bei jedem Übergang manuell eingreifen müssen.

Das Ergebnis ist ein Risikomanagement, das tatsächlich nach dem Prinzip „Einmal einrichten und dann vergessen“ funktioniert – nicht, weil Risiken ignoriert werden, sondern weil das Reaktionssystem intelligent genug ist, sich selbstständig anzupassen.

Die Notwendigkeit der Integration

Präzisionsmaßnahmen sind nur so gut wie die Risikosignale, auf denen sie basieren. Ein auf einer single Datenquelle basierender Verhaltensrisikowert wird stets unvollständig sein. Aus diesem Grund ist der Umfang der Integration von enormer Bedeutung.

Ein effektives human risk management stützt sich heutzutage auf verschiedene Kategorien von Risikosignalen – Endpunktsicherheitsdaten von Tools wie CrowdStrike, Identitäts- und Authentifizierungssignale von Okta und Duo, Netzwerkaktivitäten von Palo Alto und vieles mehr. Über fünfzehn oder mehr Anbieterintegrationen hinweg ergeben diese Signale zusammen ein umfassendes Bild des personellen Risikos, das kein single Tool für sich allein liefern könnte.

In dem Maße, wie sich die Integrationsökosysteme um Plattformen wie Google Workspace, Cisco XDR und weitere MFA-Anbieter erweitern, wird das Gesamtbild immer schärfer – und damit steigt auch die Präzision der daraus resultierenden Maßnahmen.

Die Auswirkungen in der Praxis

Wenn Organisationen von allgemeinen Richtlinien zu gezielten Maßnahmen übergehen, sind die Auswirkungen in vielerlei Hinsicht spürbar.

Mitarbeiter mit geringem Risiko werden nicht mehr mit irrelevanten Schulungen und unnötigen Einschränkungen belästigt, was Reibungsverluste verringert und ihr Verhältnis zum Sicherheitsteam verbessert. Risikoreiche Verhaltensweisen werden gezielt berücksichtigt und mit Ressourcen ausgestattet, was tatsächlich zu einer Verringerung der Risiken führt. Maßnahmen werden eher als hilfreich denn als strafend empfunden, da sie eindeutig mit bestimmten Verhaltensweisen in Verbindung stehen und nicht willkürlich angewendet werden. Zudem können Sicherheitsverantwortliche einen messbaren ROI nachweisen, indem sie eine gezielte Risikominderung in den für sie wichtigsten Zielgruppen aufzeigen.

Dies stellt einen grundlegenden Philosophiewechsel dar – weg von Bestrafung hin zu Anleitung, weg von starren Richtlinien hin zu anpassungsfähigen Reaktionen, weg von organisationsweiten Vorgaben hin zu individuell abgestimmten Maßnahmen und letztendlich weg von „Sicherheitstheater“ hin zu einer sinnvollen Risikominderung.

Wie geht es weiter?

Die Entwicklung ist klar erkennbar und deutet auf eine noch höhere Präzision hin. Vorgefertigte Vorlagen für Beobachtungslisten für gängige Szenarien – wie beispielsweise den Einsatz von „Shadow-AI“ in regulierten Abteilungen – werden die Hürden bei der Umsetzung senken. Durch die direkte Integration in gezielte Nudge-Kampagnen wird die Risikoerkennung mit personalisierten Aufklärungsmaßnahmen verknüpft. Ein abgestuftes Sanktionssystem für Wiederholungstäter wird eine verhältnismäßige Verschärfung der Maßnahmen bewirken. Und Konfigurationsagenten werden den Teams dabei helfen, empfohlene Maßnahmen umzusetzen, ohne dass dafür fundiertes Fachwissen erforderlich ist.

Die Zeit, in der jeder Mitarbeiter als gleich risikobehaftet betrachtet wurde, weicht einer besseren Lösung: einer Sicherheit, die sich an das tatsächliche Verhalten der Menschen anpasst, dort eingreift, wo es wirklich darauf ankommt, und Vertrauen gewinnt, indem sie relevant ist, anstatt lediglich reaktiv zu reagieren. Präzisionssicherheit ist kein Versprechen für die Zukunft. Es ist da und verändert die Art und Weise, wie Unternehmen mit personellen Risiken umgehen.