Schützen Sie das Netzwerk Ihres Unternehmens vor menschlichen Fehlern

Wichtige Erkenntnisse

• Menschliches Versagen, einschließlich Anfälligkeit für Phishing, Wiederverwendung von Zugangsdaten, Fehlkonfigurationen und Social Engineering, war bei 62 Prozent der Sicherheitsverletzungen im Verizon 2026 DBIR ein Faktor, gegenüber 60 Prozent im Vorjahr.
• Sicherheitsschulungen reduzieren das Risiko, beseitigen es aber nicht; die Kontrollmechanismen, die die menschliche Entscheidungsfreiheit im Sicherheitsbereich tatsächlich ausschließen (Phishing-resistente MFA, passwortlose Authentifizierung, automatisiertes Schlüssel- und Zertifikatslebenszyklusmanagement), schließen die Lücke, die Schulungen allein hinterlassen.
• SSH-Schlüssel und langlebige Anmeldeinformationen gehören zu den am stärksten gefährdeten Technologien, da sie selten ablaufen, selten einer einzelnen verantwortlichen Person gehören und leicht versehentlich überdimensioniert werden können.
• Zugriff nach dem Prinzip der minimalen Berechtigungen, automatisierte Zertifikatserneuerung und kontinuierliche, rollenbasierte Schulungen bilden zusammen die praktische Checkliste zur Behebung von Mängeln, die die meisten Audit- und Compliance-Rahmenwerke heute erwarten.
• Keine Kontrollmaßnahme kann menschliches Versagen vollständig ausschließen; das Ziel besteht darin, die Auswirkungen eines einzelnen Fehlers zu minimieren, nicht aber darin, zu versprechen, dass ein Fehler niemals passieren wird.

Veröffentlicht: Juni 2022. Aktualisiert: August 2026. Geprüft vom Sicherheitsteam von Encryption Consulting.

Die Sicherheitsbudgets steigen stetig und neue Erkennungstools werden ständig auf den Markt gebracht, doch die Schwachstelle in den meisten Angriffsketten ist nach wie vor der Mensch, der etwas anklickt, tippt oder genehmigt, was er nicht hätte tun sollen. Das ist kein Charakterfehler. Es ist die Folge davon, dass Systeme so konzipiert sind, dass sie von den Nutzern stets korrektes Verhalten erwarten, und ein einziger Fehler genügt einem Angreifer.

Was gilt in der Cybersicherheit als „menschliches Versagen“?

Menschliches Versagen in der Cybersicherheit bezeichnet eine unbeabsichtigte Handlung oder Unterlassung eines autorisierten Benutzers, die einen Sicherheitsvorfall verursacht, verbreitet oder ermöglicht. Es unterscheidet sich von böswilligen Insideraktivitäten, bei denen die Person Schaden beabsichtigt. Vier Kategorien machen den Großteil davon aus:

• Anfälligkeit für Phishing-Angriffe. Das Anklicken eines schädlichen Links oder Anhangs oder das Beantworten einer betrügerischen Anfrage nach Erhalt einer Nachricht, die sich als vertrauenswürdiger Absender ausgibt.
• Wiederverwendung von Zugangsdaten und schwache Passwörter. Die Verwendung desselben Passworts für verschiedene Dienste oder die Wahl eines Passworts, das ein Angreifer oder ein Cracking-Tool schnell erraten kann.
• Fehlkonfiguration. Einen Cloud-Speicher-Bucket öffentlich zugänglich zu machen, einen SSH-Schlüssel ohne Ablaufdatum zu verwenden oder eine standardmäßig zu permissive Zugriffskontrolle einzurichten.
• Anfälligkeit für Social Engineering. Durch psychologische Taktiken, Vorwände, Köder oder Identitätsdiebstahl manipuliert zu werden, um eine Kontrollmaßnahme zu umgehen, der man sich sonst unterwerfen würde.

Social Engineering ist der Oberbegriff für Angriffe, die Menschen manipulieren, anstatt Software auszunutzen. Angreifer sammeln Informationen über ihr Ziel, oft aus öffentlichen Social-Media-Profilen oder früheren Sicherheitslücken, und nutzen diese, um vertrauenswürdig zu wirken, bevor sie nach einem Passwort, einer Zahlung oder einem Klick fragen. Phishing ist die häufigste Methode: eine betrügerische E-Mail, SMS oder ein Anruf, der eine der oben genannten Aktionen auslösen soll. Insider-Risiken sind eine verwandte, aber separate Kategorie, die sowohl unachtsame Mitarbeiter mit ehrlichen Fehlern als auch böswillige Angreifer mit vorsätzlichem Missbrauch ihrer Zugriffsrechte umfasst. Die jeweiligen Schutzmaßnahmen unterscheiden sich, weshalb die Behandlung von Insider-Risiken als einheitliches Problem ein häufiger Planungsfehler ist. Sicherheitsschulungen sind strukturierte, regelmäßig stattfindende Weiterbildungsprogramme, die Unternehmen durchführen, um die ersten drei Risikokategorien zu reduzieren. Wie die folgenden Abschnitte zeigen, stößt die Wirksamkeit von Schulungen allein jedoch an ihre Grenzen.

Welche Rolle spielt menschliches Versagen bei Datenpannen?

Der jährlich erscheinende Data Breach Investigations Report (DBIR) von Verizon, der auf Zehntausenden bestätigten Datenschutzverletzungen basiert, die von Unternehmen und Sicherheitsfirmen weltweit gemeldet wurden, ist die meistzitierte Primärquelle, um zu verstehen, wie Datenschutzverletzungen tatsächlich entstehen. Der Anteil des menschlichen Faktors ist weiterhin hoch und hat sogar noch zugenommen.

• DBIR 2025: Der menschliche Faktor spielte bei 60 Prozent der analysierten Verstöße eine Rolle.
• DBIR 2026: Diese Zahl stieg auf 62 Prozent der Sicherheitsverletzungen, obwohl Angreifer verstärkt auf die Ausnutzung ungepatchter Schwachstellen in Edge-Geräten und VPNs setzten – eine Kategorie, die gestohlene Zugangsdaten zum ersten Mal als häufigsten ersten Zugriffsvektor ablöste.

Dieser letzte Punkt ist entscheidend für die Interpretation des Trends. Menschliches Versagen verliert gegenüber raffinierteren Angriffen nicht an Bedeutung, sondern tritt parallel zu ihnen auf. Ein falsch konfiguriertes oder ungepatchtes System ist häufig selbst die Folge einer menschlichen Entscheidung (ein verschobener Patch, eine ignorierte Warnung, eine Änderung ohne Überprüfung). Daher ist die Grenze zwischen „menschlichem Versagen“ und „technischer Schwachstelle“ fließender, als diese beiden Kategorien vermuten lassen.

Welche Technologien sind am stärksten dem Risiko menschlicher Fehler ausgesetzt?

Bei manchen Systemen konzentriert sich das Risiko menschlicher Fehler stärker als bei anderen, weil sie darauf angewiesen sind, dass sich eine Person auf unbestimmte Zeit daran erinnert, etwas richtig zu tun, ohne dass es eine automatische Rücksicherung gibt.

• Passwortbasierte Authentifizierung. Jeder Anmeldebildschirm, der die Eingabe eines Passworts akzeptiert, ist eine Angriffsfläche, auf der Wiederverwendung, schwache Passwortwahl und Phishing direkt zur Kontoübernahme führen können.
• SSH-Schlüssel. Im Gegensatz zu Passwörtern laufen SSH-Schlüssel in der Regel nie ab und sind selten an einen einzelnen Besitzer in einem Verzeichnissystem gebunden, sodass ein vor Jahren von einem Mitarbeiter generierter Schlüssel weiterhin gültig und unüberwacht bleiben kann.
• Cloud-Speicher- und Kollaborationstools. Bei vielen Plattformen wird bei den Freigabeeinstellungen standardmäßig der Komfort vor der Einschränkung priorisiert, und ein einziger falscher Klick kann dazu führen, dass ein Bucket oder ein Dokument im öffentlichen Internet zugänglich gemacht wird.
• E-Mail: Fehlzustellung, also das Versenden sensibler Informationen an den falschen Empfänger aufgrund eines Fehlers bei der automatischen Vervollständigung oder eines falschen „An“- bzw. „Bcc“-Feldes, ist nach wie vor eine häufige Ursache für bestätigte Datenschutzverletzungen in regulierten Branchen.
• Die Prozesse zur Zertifikats- und Schlüsselverwaltung wurden manuell abgewickelt. Die Nachverfolgung einer Zertifikatserneuerung in einer Tabellenkalkulation setzt voraus, dass sich jemand an das Datum erinnert; wird es verpasst, kommt es zu einem Ausfall, und unter Zeitdruck übereilt wird, erhöht sich die Wahrscheinlichkeit einer Fehlkonfiguration.

Welche Auswirkungen hat ein durch menschliches Versagen verursachter Sicherheitsvorfall?

Die unmittelbaren Auswirkungen hängen davon ab, was der Fehler aufgedeckt hat, aber drei Konsequenzen treten in dokumentierten Fällen immer wieder auf:

1. Unautorisierter Zugriff. Durch Phishing erlangte Zugangsdaten oder einen durchgesickerten Schlüssel erhalten Angreifer einen legitim aussehenden Zugang, der schwieriger zu erkennen ist als Schadsoftware, da die Aktivität zunächst wie normales Benutzerverhalten aussieht.
2. Datenoffenlegung oder -verlust. Fehlzustellungen, öffentliche Fehlkonfigurationen und erfolgreiches Phishing, bei dem Daten direkt abgegriffen werden, führen alle zum gleichen Folgeproblem: Informationen verlassen die Kontrolle der Organisation, oft verbunden mit Meldepflichten gegenüber Aufsichtsbehörden.
3. Betriebsstörung. Ob Ransomware durch einen Phishing-Klick oder ein durch ein abgelaufenes, unbemerkt gebliebenes Zertifikat verursachter Ausfall – beides unterbricht den Geschäftsbetrieb, und die Kosten der Ausfallzeit übersteigen häufig die Kosten der ursprünglichen Datenoffenlegung.

Erschwerend kommt der Zeitfaktor hinzu. Da menschliche Fehler zunächst oft wie legitime Zugriffe aussehen, bleiben sie tendenziell länger unentdeckt als Vorfälle, die eine offensichtliche technische Warnung auslösen. Dies erhöht sowohl den Umfang der Angriffsmöglichkeiten eines Angreifers als auch die letztendlichen Kosten der Gegenmaßnahmen.

Wie erkennen Sicherheitsteams durch menschliches Versagen verursachte Vorfälle?

Die Erkennung in dieser Kategorie stützt sich weniger auf signaturbasierte Tools und mehr auf Verhaltens- und Prozesssignale, da die zugrunde liegende Aktivität gültige Anmeldeinformationen oder einen gültigen Konfigurationspfad verwendet.

• Anomale Anmeldemuster. Unmögliche Reisemöglichkeiten, Anmeldungen zu ungewöhnlichen Zeiten oder die Authentifizierung von einem neuen Gerät in Verbindung mit einer sensiblen Aktion sind starke Anzeichen dafür, dass Anmeldeinformationen per Phishing erbeutet oder wiederverwendet wurden.
• Warnmeldungen zum Schutz vor Datenverlust (DLP). Regeln, die sensible Daten kennzeichnen, die per E-Mail, Upload oder falsch konfigurierter Freigabe das Netzwerk verlassen, verhindern Fehlzustellungen und versehentliche Offenlegung, bevor diese öffentlich werden.
• Zertifikats- und Schlüsselinventurprüfungen. Durch das Scannen nach abgelaufenen, bald ablaufenden oder herrenlosen Zertifikaten und SSH-Schlüsseln werden die Fehler bei der manuellen Nachverfolgung aufgedeckt, bevor es zu einem Ausfall oder veralteten Anmeldeinformationen kommt, die jemand vergessen hat zu widerrufen.
• Melderaten für Phishing-Simulationen. Die Erfassung der Anzahl der Mitarbeiter, die eine simulierte Phishing-E-Mail melden, und nicht nur die Anzahl derer, die darauf klicken, ist ein wichtiger Indikator dafür, ob Sensibilisierungsschulungen das Verhalten verändern oder nur toleriert werden.
• Zugriffsprüfung und Berechtigungsprüfungen. Eine regelmäßige Überprüfung der Zugriffsrechte, gemessen am Prinzip der minimalen Berechtigungen, deckt die sich anhäufende Überbelegung auf, die entsteht, wenn Zugriffe schnell gewährt und langsam wieder entzogen werden.

Was ist die Checkliste für Maßnahmen zur Reduzierung menschlicher Fehler?

Schulungen verändern das Verhalten mancher Menschen zeitweise. Die folgenden Maßnahmen reduzieren die Kosten eines einzelnen Fehlers, indem sie die Entscheidungsgewalt nach Möglichkeit von der betroffenen Person nehmen.

1. Implementieren Sie eine phishingresistente Multi-Faktor-Authentifizierung (MFA). Standardmäßige MFA-Verfahren, die auf Einmalcodes oder Push-Benachrichtigungen basieren, können weiterhin durch Phishing oder Manipulation zur Bestätigung gezwungen werden. Phishing-resistente Methoden wie FIDO2/WebAuthn-Sicherheitsschlüssel oder zertifikatsbasierte Authentifizierung binden die Anmeldung kryptografisch an die legitime Website und können von Angreifern nicht weitergeleitet werden.
2. Hinwendung zu passwortloser oder zertifikatsbasierter Authentifizierung. Durch den Ersatz von Passwörtern durch ein gerätegebundenes Zertifikat werden die Wiederverwendung von Anmeldeinformationen und das Erraten von Passwörtern vollständig aus dem Bedrohungsmodell entfernt, da es kein gemeinsames Geheimnis mehr gibt, das ein Angreifer erschnüffeln oder knacken könnte.
3. Das Zugriffsprinzip mit den geringsten Berechtigungen durchsetzen. Standardmäßig wird der Zugriff verweigert. Anschließend werden die minimal erforderlichen Berechtigungen für eine Rolle erteilt und in regelmäßigen Abständen überprüft, anstatt sie sich ansammeln zu lassen. Die Zero-Trust-Prinzipien, die jede Zugriffsanfrage verifizieren, anstatt ihr aufgrund ihres Netzwerkstandorts zu vertrauen, finden hier direkte Anwendung.
4. Automatisierte Verwaltung des Lebenszyklus von SSH-Schlüsseln und Zertifikaten. Ersetzen Sie manuell verwaltete, nie ablaufende Schlüssel und tabellenkalkulationsbasierte Zertifikatserneuerungen durch eine Plattform, die Anmeldeinformationen nach einem Zeitplan ausstellt, rotiert und widerruft, damit eine verpasste Erinnerung nicht zu einer aktiven Sicherheitslücke werden kann.
5. Führen Sie kontinuierliche, rollenbasierte Schulungen zur Sensibilisierung für IT-Sicherheit durch. Ein jährliches Compliance-Video ändert wenig. Kurze, häufige Schulungen, die auf die spezifischen Risiken einer bestimmten Rolle zugeschnitten sind, kombiniert mit regelmäßigen Phishing-Simulationen, verbessern die Melderaten im Laufe der Zeit messbar.
6. Fügen Sie E-Mail- und Dateifreigabefunktionen zur Verhinderung von Datenverlust hinzu. Automatisierte Prüfungen, die sensible Daten, die über den falschen Kanal gelangen, kennzeichnen oder blockieren, fangen Fehlzustellungen auf, bevor es zu einem Datenleck kommt.
7. Die Erkennung sollte als Sicherheitsmaßnahme dienen, nicht als erste Maßnahme. Gehen Sie davon aus, dass einige Fehler die oben genannten Kontrollen umgehen, und investieren Sie in die im vorherigen Abschnitt beschriebenen Anomalieerkennungs- und Prüfverfahren, damit ein Fehler innerhalb von Stunden und nicht Monaten erkannt wird.

Welche technische Kontrollmaßnahme gleicht die einzelnen Kategorien menschlicher Fehler am besten aus?

Kategorie Menschlicher Fehler	Typisches Beispiel	Technische Kontrolle, die die Abhängigkeit von Wachsamkeit verringert
Anfälligkeit für Phishing	Das Anklicken eines schädlichen Links oder das Bestätigen einer betrügerischen MFA-Authentifizierung	Phishing-resistente MFA (FIDO2/WebAuthn, zertifikatsbasierte Authentifizierung)
Wiederverwendung von Zugangsdaten und schwache Passwörter	Dasselbe Passwort wird für private und geschäftliche Konten wiederverwendet.	Passwortlose oder zertifikatsbasierte Authentifizierung, erzwungene Passwort-Manager-Richtlinie
Fehlkonfiguration	Öffentlich zugänglicher Lagerbehälter oder übermäßig nachsichtige Zugangsgewährung	Zugriffskontrollen nach dem Prinzip der minimalen Berechtigungen, automatisierte Konfigurationsprüfungen
Fehlzustellung und Datenfehler	Sensible Daten wurden an den falschen Empfänger gesendet	Tools zur Verhinderung von Datenverlust (DLP), Verschlüsselung während der Übertragung und im Ruhezustand
Social Engineering (Vortäuschung falscher Tatsachen, Ködern, Identitätsdiebstahl)	Betrüger geben sich als IT-Supportmitarbeiter oder Lieferant aus, um Zugangsdaten zu erlangen.	Verifizierte, außerbörsliche Bestätigungsprozesse, kontinuierliche Schulungen zum Sicherheitsbewusstsein
Nicht verwaltete oder nie ablaufende Anmeldeinformationen	SSH-Schlüssel oder Zertifikat, an dessen Rotation oder Widerruf niemand denkt	Automatisiertes Schlüssel- und Zertifikatslebenszyklusmanagement

Welche Grenzen haben Programme zur Reduzierung menschlicher Fehler?

Keine Kombination aus Schulung und technischen Kontrollen kann menschliche Fehler vollständig ausschließen, und die Betrachtung einer einzelnen Kennzahl, einschließlich der in diesem Artikel zitierten DBIR-Statistik von 62 Prozent, als präzise Messung der eigenen Umgebung überschätzt die Aussagekraft der Daten. Einige Einschränkungen sollten direkt genannt werden:

• Die DBIR-Zahlen basieren auf einer großen, freiwilligen Stichprobe von teilnehmenden Organisationen; sie beschreiben ein branchenweites Muster und stellen keine Prognose für ein bestimmtes Unternehmen dar.
• Phishing-resistente MFA und passwortlose Authentifizierung beseitigen zwar passwortbezogene Risiken, aber nicht alle Social-Engineering-Angriffsmethoden; ein Angreifer, der beispielsweise einen Kundendienstmitarbeiter persönlich dazu bringt, einen Faktor zurückzusetzen, umgeht die technische Kontrolle vollständig.
• Automatisierte Tools für den Lebenszyklus von Schlüsseln und Zertifikaten reduzieren zwar Fehler bei der manuellen Nachverfolgung, sind aber weiterhin auf eine korrekte Erstkonfiguration und einen korrekten Anwendungsbereich angewiesen; eine schlecht definierte Automatisierung kann einen Fehler schneller verbreiten als ein manueller Prozess.
• Schulungen verbessern die Berichts- und Sensibilisierungsmetriken, aber veröffentlichte Forschungsergebnisse zu Sensibilisierungsprogrammen zeigen, dass der Effekt je nach Organisation, Rolle und Art der Durchführung der Schulung erheblich variiert; es handelt sich um eine Risikominderungsmaßnahme, nicht um eine Garantie.

Update-Protokoll

Dieser Artikel wurde erstmals im Juni 2022 veröffentlicht und im August 2026 grundlegend aktualisiert. Die Aktualisierung vom August 2026 enthielt aktuelle Verizon DBIR-Statistiken (Ausgaben 2025 und 2026), einen Abschnitt zur Bewertung der Technologierisiken und -auswirkungen, einen Abschnitt zu Erkennungsmaßnahmen, eine nummerierte Checkliste zur Behebung von Sicherheitslücken, die spezifischen technischen Kontrollen zugeordnet ist, eine Entscheidungstabelle zum Umgang mit menschlichen Fehlern, einen Abschnitt zu Einschränkungen, einen FAQ-Bereich mit entsprechenden strukturierten Daten sowie aktualisierte interne Links zu den aktuellen Ressourcen von Encryption Consulting im Bereich Authentifizierung und Schlüsselmanagement. Veraltete Darstellungen (nicht belegte Statistiken, eine pauschale Angabe von „95 Prozent“) wurden durch belegte und datierte Daten ersetzt.

Was würde Encryption Consulting empfehlen?

Die meisten Organisationen führen bereits Schulungen zur Sensibilisierung für IT-Sicherheit durch. Weitaus weniger haben das Passwort als primären Schwachpunkt entfernt, obwohl dies die einzelne Änderung mit dem größten messbaren Effekt auf das Risiko von Phishing und der Wiederverwendung von Zugangsdaten ist. Unsere Empfehlung in der Reihenfolge:

1. Beginnen Sie mit den Anmeldeinformationen, nicht mit der Person. Stellen Sie die Authentifizierung privilegierter Benutzer und mit der Zeit die gesamte Benutzerauthentifizierung auf zertifikatsbasierte, passwortlose Anmeldung um. CertSecure ManagerSomit gibt es kein Passwort mehr, das ein Mitarbeiter wiederverwenden oder ein Angreifer per Phishing abfangen könnte.
2. SSH-Schlüssel sollten der gleichen Sorgfalt unterliegen. Statische, nie ablaufende SSH-Schlüssel sind eine der häufigsten Ursachen dafür, dass eine jahrelang zurückliegende menschliche Entscheidung zu einem akuten Sicherheitsrisiko wird. SSH-Sicherheit automatisiert die Schlüsselausgabe, -rotation und -entziehung, sodass Besitzverhältnisse und Ablaufdaten durchgesetzt werden und nicht in einer Tabellenkalkulation erfasst werden müssen.
3. Entwickeln Sie eine Zertifikatsinfrastruktur, die beides in großem Umfang unterstützt, ohne Ihr Team zusätzlich operativ zu belasten. PKI-as-a-Service bietet Ihnen eine verwaltete Public-Key-Infrastruktur, sodass zertifikatsbasierte Authentifizierung und automatisiertes Key-Lifecycle-Management möglich sind, ohne dass Sie eine private Zertifizierungsstelle von Grund auf aufbauen und besetzen müssen.
4. Das Training sollte fortgesetzt werden, aber es sollte nur eine von mehreren Ebenen sein, nicht das gesamte Programm.

Encryption Consulting ist nach ISO/IEC 27001:2022 zertifiziert und SOC 2-konform. Unser Beratungsteam hat Authentifizierungs- und Schlüsselmanagementprogramme für Unternehmen verschiedenster regulierter Branchen entwickelt. Wenn Sie eine Zweitmeinung zum aktuellen Stand Ihres Programms wünschen, ist diese Bewertung ein sinnvoller erster Schritt vor jeglichen Änderungen an den verwendeten Tools.

Fazit

Menschliches Versagen wird es immer geben, und kein Schulungsprogramm kann es vollständig ausmerzen. Was sich seit der Erstveröffentlichung dieses Artikels im Jahr 2022 geändert hat, ist, dass dieses Risiko heute weitgehend systemseitig minimiert werden kann, anstatt es den Mitarbeitern abzutrainieren. Zertifikatsbasierte Authentifizierung macht Passwörter überflüssig, die Angreifer per Phishing abfangen können. Die automatisierte Verwaltung des Schlüssel- und Zertifikatslebenszyklus eliminiert den manuellen Schritt, den jemand leicht vergisst. Das Prinzip der minimalen Berechtigungen begrenzt die Auswirkungen eines einzelnen Fehlers. Nichts davon beseitigt menschliches Versagen vollständig, aber gemeinsam verringern diese Maßnahmen die Anzahl der Fälle, in denen ein Fehler einer einzelnen Person zu einem Sicherheitsvorfall für das gesamte Unternehmen führt.

Weiterführende Lektüre: Warum ist Data Loss Prevention so wichtig und wie profitiert Ihr Unternehmen davon?, Stärken Sie Ihre MFA mit Hardware - Sicherheitsmodulen (HSMs) , Warum SSH-Schlüssel ohne Ablaufdatum ein Sicherheitsrisiko darstellen und Was ist Zero-Trust-Sicherheit?

Häufig gestellte Fragen

Welcher Prozentsatz der Datenschutzverletzungen ist auf menschliches Versagen zurückzuführen?
Laut dem Verizon-Bericht zu Datenpannen 2026 spielte der Mensch bei 62 Prozent der Datenschutzverletzungen eine Rolle, gegenüber 60 Prozent im Bericht von 2025. Dies umfasst Phishing, Missbrauch von Zugangsdaten, Fehlkonfigurationen und Fehler sowie Datenschutzverletzungen, die primär durch ausgenutzte technische Schwachstellen verursacht wurden.

Reicht eine Schulung zur Sensibilisierung für IT-Sicherheit aus, um Sicherheitslücken durch menschliches Versagen zu verhindern?
Nein. Schulungen verbessern zwar messbar die Melderaten von Phishing-Angriffen und das allgemeine Bewusstsein, beseitigen aber nicht das grundlegende Risiko, dass eine Person unter Druck getäuscht werden kann. Die Kombination von Schulungen mit technischen Kontrollmaßnahmen, die die Entscheidung dem Nutzer abnehmen, wie z. B. Phishing-resistente Multi-Faktor-Authentifizierung und passwortlose Authentifizierung, schließt die Lücke, die Schulungen allein hinterlassen.

Was ist phishingresistente MFA und warum ist sie wichtiger als die Standard-MFA?
Phishing-resistente MFA-Verfahren wie FIDO2/WebAuthn-Sicherheitsschlüssel oder zertifikatsbasierte Authentifizierung verknüpfen den Anmeldeversuch kryptografisch mit der legitimen Website, sodass gestohlene Anmeldedaten nicht anderweitig verwendet werden können. Standardmäßige MFA-Methoden wie Einmalcodes und Push-Benachrichtigungen können jedoch weiterhin durch Echtzeit-Relay-Angriffe ausgenutzt oder aufgrund von Push-Müdigkeit versehentlich freigegeben werden.

Wie verringert die passwortlose Authentifizierung das Risiko menschlicher Fehler?
Die passwortlose Authentifizierung ersetzt ein eingegebenes, gemeinsames Geheimnis durch einen gerätegebundenen kryptografischen Schlüssel oder ein Zertifikat. Da kein Passwort wiederverwendet, erraten oder per Phishing ausgenutzt werden kann, werden ganze Kategorien menschlicher Fehler (schwache Passwörter, Passwortwiederverwendung, Phishing von Anmeldeinformationen) aus dem Bedrohungsmodell entfernt, anstatt sie nachträglich zu beheben.

Worin besteht der Unterschied zwischen menschlichem Versagen und einer Bedrohung durch Insider?
Menschliches Versagen ist unbeabsichtigt: Ein Mitarbeiter macht einen Fehler, ohne Schaden anzurichten. Eine böswillige Bedrohung durch Insider liegt vor, wenn eine Person legitimen Zugriff vorsätzlich missbraucht. Beides fällt unter den Oberbegriff „Insiderrisiko“, erfordert aber unterschiedliche Kontrollmaßnahmen: Menschliches Versagen lässt sich am besten durch Schulungen und technische Sicherheitsvorkehrungen beheben, während böswillige Insideraktivitäten Überwachung, Zugriffskontrolle und Funktionstrennung erfordern.

Referenzen

• Verizon, „Bericht über die Untersuchung von Datenschutzverletzungen 2026“, https://www.verizon.com/business/resources/reports/dbir/
• Verizon, „Bericht über die Untersuchung von Datenschutzverletzungen 2025“, https://www.verizon.com/business/resources/reports/2025-dbir-data-breach-investigations-report.pdf