Die Lage im Bereich der menschlichen Risiken im Jahr 2026: Die Koordinationskrise

Ein Finanzdirektor erhält eine überzeugend wirkende E-Mail, die scheinbar vom Vorstandsvorsitzenden stammt und in der um eine dringende Überweisung gebeten wird. Die E-Mail umgeht den Spamfilter. Wenige Sekunden später bestätigt ein mit Deepfake-Stimme getätigter Anruf die Anfrage. Unterdessen stellt die Endpunktüberwachung nichts Ungewöhnliches fest, und der Mitarbeiter – der nie eine Schulung zum Thema „Multi-Vektor-Social-Engineering“ erhalten hat – genehmigt die Zahlung. Es waren drei Sicherheitstools in Betrieb. Keiner von ihnen sprach mit dem anderen. Das Geld ist innerhalb weniger Minuten weg.

So sieht die Realität der modernen Cyberabwehr aus: koordinierte Angreifer gegen zersplitterte Verteidiger. Und die Kluft wird immer größer.

Die Falle der Tool-Flut

Der durchschnittliche CISO verwaltet mittlerweile mehr als 40 Sicherheitstools. Jedes einzelne davon wurde angeschafft, um ein konkretes Problem zu lösen. In ihrer Gesamtheit haben sie jedoch zu einer neuen Herausforderung geführt: einer derart hohen Komplexität, dass 65 % der Unternehmen angeben, die Integration ihrer Cybersicherheits-Tools sei kompliziert oder sehr kompliziert.

Das Ergebnis ist das, was Sicherheitsteams mit einem Anflug von Bitterkeit als „Drehstuhl-Sicherheit“ bezeichnen – Analysten, die zwischen nicht miteinander vernetzten Konsolen hin- und herspringen und Warnmeldungen manuell miteinander in Zusammenhang bringen, die eigentlich automatisch verknüpft werden sollten. Wenn Ihre E-Mail-Sicherheitsplattform keine Kontextinformationen an Ihr Endpunkt-Erkennungstool weitergibt und auch nicht mit Ihrem Identitätsmanagementsystem kommuniziert, wird jede Warnmeldung isoliert behandelt. Der Kontext geht verloren. Es kommt zu einer Alarmmüdigkeit. Und die grausame Ironie wird noch deutlicher: Unternehmen kaufen ein weiteres Tool, um Probleme zu lösen, die gerade dadurch entstanden sind, dass sie von vornherein zu viele Tools hatten.

Wie sich bei der Erstellung des Mimecast-Berichts „The State of Human Risk 2026“ herausstellte, stimmen unterdessen nur 28% der Unternehmen ihre Schulungsprogramme für Mitarbeiter auf ihre technischen Überwachungssysteme ab. Das bedeutet, dass die überwiegende Mehrheit Sensibilisierungsprogramme durchführt, die in keinerlei Zusammenhang mit den tatsächlichen Bedrohungen stehen, die ihre Sicherheitstools erkennen. Die Schulung befasst sich mit den Risiken des letzten Quartals. Die Überwachung erfasst die heutigen Angriffe. Die beiden begegnen sich nie.

Wie böswillige Insider die Schwachstellen ausnutzen

Diese Zersplitterung ist nicht nur ineffizient, sondern auch gefährlich. Die Zahl der Vorfälle durch böswillige Insider ist um neun Prozentpunkte auf 44 % gestiegen, wobei Koordinationsmängel ein wesentlicher Grund dafür sind.

Stellen Sie sich folgendes häufiges Szenario vor: Ein Mitarbeiter kündigt am Freitag. Die Personalabteilung aktualisiert ihr System, doch das Sicherheitsteam wird erst in der folgenden Woche darüber informiert. Am Wochenende lädt der ausscheidende Mitarbeiter vertrauliche Kundendateien herunter, leitet geschützte Dokumente an seine private E-Mail-Adresse weiter und greift auf Systeme zu, die er nicht mehr benötigt. Bei der E-Mail-Überwachung werden die Dateiübertragungen nicht erfasst. Der Endpunkt-Erkennungsdienst hat keine Kenntnis von der Kündigung. Die DLP-Richtlinien wurden nicht angepasst. Jedes Werkzeug erfasst nur einen Ausschnitt des Gesamtbildes. Niemand erkennt das gesamte Ausmaß der Bedrohung.

Erfahrene Angreifer – seien es allein handelnde Insider oder externe Angreifer, die sich Zugriff auf Zugangsdaten verschafft haben – suchen aktiv nach solchen Sicherheitslücken. Ihnen ist bewusst, dass die Schnittstellen zwischen nicht miteinander verbundenen Systemen die verwundbarsten Stellen sind. Zudem verfügen sie über einen eingebauten Zeitvorteil: Die Durchführung eines Angriffs dauert nur wenige Minuten, während es Stunden oder Tage dauert, bis zersplitterte Verteidigungsteams rekonstruieren können, was genau geschehen ist.

Der KI-Angriffsmultiplikator

Das Koordinationsproblem wird sich in Kürze dramatisch verschärfen. Ganze 69 % der Unternehmen halten KI-gestützte Angriffe in den nächsten 12 Monaten mittlerweile für unvermeidlich – und das aus gutem Grund. KI versetzt Angreifer in die Lage, Multi-Vektor-Kampagnen in einem Ausmaß und mit einer Geschwindigkeit zu orchestrieren, mit denen fragmentierte Abwehrmaßnahmen schlichtweg nicht mithalten können.

Eine single KI-gesteuerte Kampagne kann gleichzeitig eine maßgeschneiderte Phishing-E-Mail generieren, einen Social-Engineering-Anruf mit geklontem Sprachaudio starten und eine überzeugende gefälschte Anmeldeseite einrichten – und das alles, um denselben Mitarbeiter innerhalb derselben Stunde ins Visier zu nehmen. Jedes Element verstärkt die anderen. Jede nutzt eine andere Lücke in den isolierten Abwehrsystemen aus.

Nimmt man noch Kollaborationsplattformen hinzu – 71 % der Unternehmen rechnen mit negativen geschäftlichen Auswirkungen durch Angriffe auf diese Tools –, wird die Angriffsfläche bei nicht vernetzten Systemen noch schwieriger zu überwachen.

Vom isolierten zum synchronisierten Betrieb

Die Lösung besteht nicht darin, Werkzeug Nummer 41 zu kaufen. Es geht darum, die Tools, die Sie bereits besitzen, miteinander zu verknüpfen.

Ein unified Ansatz für das human risk management verknüpft die verschiedenen Bereiche – E-Mail, Endgeräte, Cloud und Identitätssysteme – über eine single Risiko-Engine miteinander. Wenn Verhaltensdaten auf einer einzigen Plattform zusammenlaufen, werden Muster deutlich, die für sich genommen nicht erkennbar waren. Ein von der E-Mail-Sicherheit erkannter Phishing-Klick löst die Endgeräteüberwachung aus, um den anschließenden Dateizugriff zu verfolgen; dies führt zur automatisierten Bereitstellung von Schulungsmaßnahmen und löst eine Benachrichtigung an die Personalabteilung aus, falls Anzeichen für ein Ausscheiden vorliegen. Jede Maßnahme erfolgt koordiniert und ohne Doppelarbeit.

Die dynamische Risikobewertung fasst Signale aus dem gesamten Sicherheitsökosystem zusammen und wird fortlaufend aktualisiert, sobald neue Informationen eintreffen. Benutzer mit hohem Risiko, die aufgrund von Schulungslücken identifiziert wurden, unterliegen automatisch strengeren E-Mail-Richtlinien und einer verstärkten DLP-Überwachung. Anomalien bei Collaboration-Tools werden mit E-Mail-Mustern in Zusammenhang gebracht und fließen in die Bewertung von Insider-Risiken ein.

So sieht defensive Symmetrie aus: Man geht nicht Mittel zu Mittel auf die Angreifer ein, sondern passt die eigene Koordination an die der Angreifer an.

Den Kreislauf durchbrechen

Koordinierte Angreifer sind gegenüber uneinigen Verteidigern stets im Vorteil. Der Weg in die Zukunft führt nicht über weitere Investitionen in isolierte Einzellösungen – sondern über Integration, Vereinheitlichung und Koordination. Wenn die Bereiche Sicherheit, Personalwesen, Rechtsabteilung und IT eine gemeinsame Sichtweise auf das Risiko durch Mitarbeiter teilen, beginnen sich die Lücken zu schließen, die Insider ausnutzen.

Die Frage ist nicht, ob Ihr Unternehmen über genügend Werkzeuge verfügt. Es geht darum, ob diese Instrumente zusammenwirken.

Erfahren Sie, wie das „Human Risk Command Center“ von Mimecast die Transparenz in Ihrem gesamten Sicherheitsökosystem vereint und die Reaktionen koordiniert. Beantragen Sie eine Risikobewertung.