Diese Statistik haben Sie garantiert schon einmal gesehen. Es ist einer der meistzitierten Sätze der IT-Sicherheitsbranche: „Über 80 % aller Sicherheitsvorfälle sind auf menschliche Fehler zurückzuführen.“
Der Satz wird gern als erhobener Zeigefinger benutzt. Als Beweis dafür, dass die Mitarbeitenden das schwächste Glied in der Kette sind.
Aber was, wenn diese Behauptung wahr und zugleich grundlegend falsch ist?
Genau das schauen wir uns in diesem Artikel genauer an.
Warum die Behauptung stimmt
Fakten zu ignorieren, ist ungesund. Der Grund, warum die Zahl 82 % in einer Studie nach der anderen auftaucht (unter anderem im Verizon DBIR), ist simpel: Cyberangriffe treffen selten zuerst den Code. Sie treffen den Menschen.
Angreifer rennen selten gegen eine uneinnehmbare technische Firewall an, wenn sie stattdessen eine gut formulierte Phishing-Mail oder einen gefälschten Login-Link verschicken – oder jemanden im hektischen Arbeitsalltag mit einem geschickten Anruf überrumpeln können.
Menschen sind das wichtigste Einfallstor zu den Unternehmensdaten, weil wir:
- Auf Zeitdruck, Autorität und Emotionen reagieren.
- Im hektischen Alltag schnelle Entscheidungen treffen.
- Passwörter wiederverwenden oder auf überzeugende Phishing-Versuche hereinfallen.
Wird ein Sicherheitsvorfall im Nachhinein analysiert, lässt sich fast immer ein Punkt im Ablauf finden, an dem ein Mensch geklickt, etwas freigegeben oder Daten eingegeben hat. Insofern stimmt die Aussage.
Teil 2: Warum die Behauptung „falsch“ ist (es ist ein Designproblem)
Und hier liegt der Haken: Den Menschen zum „Fehler“ zu erklären, ist so, als würde man einem Autofahrer die Schuld an einem Unfall auf einer Strecke geben, die weder beschildert noch beleuchtet ist und deren scharfe Kurve hinter einer Kuppe versteckt liegt.
Wenn ein System es leicht macht, Dinge falsch zu machen, dann werden sie auch falsch gemacht.
82 % der Sicherheitsvorfälle als „menschliche Fehler“ zu bezeichnen, stimmt nur, wenn wir das Design mit einbeziehen. Dafür gibt es drei Gründe:
1. Schlechtes Systemdesign zwingt Menschen zu Fehlern
Wenn Mitarbeitende sich durch fünf komplizierte Logins kämpfen, alle 14 Tage ihr Passwort ändern und schwerfällige Arbeitsabläufe durchlaufen müssen, entstehen Umwege. Passwörter landen auf gelben Klebezetteln, Dokumente werden an private E-Mail-Adressen geschickt – nur um überhaupt arbeiten zu können. Das ist keine Fahrlässigkeit. Das ist ein System, das gegen die Menschen arbeitet, die es nutzen.
2. Die technischen Barrieren haben zuerst versagt
Bevor eine Phishing-Mail überhaupt im Posteingang landet, hat sie die Spamfilter, Mail-Gateways und Sicherheitseinstellungen des Unternehmens passiert. Klickt jemand, versagt zwar die letzte Verteidigungslinie – doch es war die technische Sicherheitsschicht, die die Bedrohung durchgelassen hat. Genau an dieser Stelle brauchen Mitarbeitende genug Training, um den Angriff zu erkennen.
3. Fehlende Sicherheits-„Airbags“
Ein gut gestaltetes System berücksichtigt, dass Menschen Menschen sind. Wenn ein einziger Klick einer einzigen Person das gesamte Unternehmensnetzwerk lahmlegen kann, liegt das Problem nicht allein im Verhalten dieser Person.
Von „Der Mensch ist das Problem“ zu „Sicherheit mit dem Menschen im Mittelpunkt“
Wenn wir die Schuld nur bei den Mitarbeitenden suchen, schaffen wir eine ungesunde Angstkultur. Wer Angst hat, Fehler zu machen, sagt nichts, wenn etwas schiefgegangen ist – und dann wird ein Einbruch erst entdeckt, wenn der Schaden nicht mehr gutzumachen ist.
Die Lösung besteht weder darin, den Faktor Mensch zu ignorieren, noch darin, alles der Technik zu überlassen. Die Lösung ist, eine Brücke zwischen gutem Systemdesign und trainiertem Verhalten zu schlagen:
- Machen Sie die richtige Wahl zur einfachsten Wahl: Reduzieren Sie die Komplexität Ihrer Systeme, damit Sicherheit im Alltag nicht als Bremsklotz empfunden wird.
- Trainieren Sie Verhalten, statt Schuld zu verteilen: Geben Sie Ihren Mitarbeitenden übersichtliches, relevantes und kontinuierliches Training im Erkennen von Bedrohungen – damit sie als menschliche Firewall zum aktiven Teil der Verteidigung werden.
- Bauen Sie fehlertolerante Systeme: Sorgen Sie für technische Sicherheitsnetze (z. B. MFA, saubere Zugriffssteuerung und automatisches Abfangen), damit eine einzelne Fehlentscheidung nicht in einer Katastrophe endet.
Fazit
Menschen sind nicht das schwächste Glied. Menschen sind der flexibelste und aufmerksamste Baustein Ihrer Verteidigung – wenn sie die richtigen Voraussetzungen bekommen.
Die meisten dieser Fehler entstehen in Systemen und Prozessen, die falsch konzipiert sind.
Möchten Sie mehr darüber erfahren, wie Sie eine starke Sicherheitskultur aufbauen, in der Mitarbeitende unterstützt statt an den Pranger gestellt werden?
Kontaktieren Sie uns für ein unverbindliches Gespräch >>