Der Mensch als größte Schwachstelle - das stimmt per se nicht. Menschliches Versagen ist lediglich das Ende einer Fehlerkette, denn das eigentliche Problem hat viel damit zu tun, wie in einem Unternehmen mit Fehlern umgegangen wird. Ein Interview mit Ari Albertini, Revenue Flow Manager bei der FTAPI Software GmbH.
Herr Albertini, wenn es um Gefahren für IT-Sicherheit in Unternehmen geht, dauert es selten lange, bis der Mensch als größte Schwachstelle gesehen wird. Stimmt das?
Ari Albertini: Wenn man sich bekannte Fälle von Sicherheitslücken anschaut, mag es auf den ersten Blick oft so aussehen. Was man dabei aber nicht vergessen darf: Unternehmen sind Organisationen, in denen bestimmte Regeln herrschen. Und diese Regeln werden in vielen Fällen festgelegt, sei es von der Geschäftsleitung oder im Falle der IT von der IT-Abteilung. Ich würde daher sagen, dass mit Ausnahmen von ganz wenigen Personen, Angestellte, denen einen Fehler unterläuft, nicht in Absicht gehandelt haben. Das sogenannte „menschliche Versagen“ steht am Ende einer Fehlerkette, nicht am Anfang.
Dann lassen sich solche Fehler also komplett vermeiden, wenn die richtigen Abläufe aufgesetzt werden?
Ari Albertini: Ganz vermeiden lassen sich Fehler nie. Aber mit den richtigen Maßnahmen, Programmen und Training lassen sie sich stark reduzieren. Wichtig ist allerdings auch, dass Fehler, sobald sie dann passieren, genutzt werden, um Abläufe zu verbessern. Es bringt nichts, mit dem Finger auf eine Person zu zeigen. Anstatt die Frage zu stellen „Wer ist schuld?“ lautet die wichtigere Frage „Wie können wir verhindern, dass es sich wiederholt? Wir verfolgen den Ansatz: Ein Fehler bedeutet, dass die Abläufe das System nicht gut genug war, um diesen zu verhindern. Die "Schuld" ist immer im System zu suchen.“
Und wo setzt man da an, wenn es um die IT-Sicherheit geht?
Ari Albertini: Erstmal muss ich im Unternehmen genau wissen, an welchen Stellen besonders kritische und sensible Daten verwendet werden. Dieser Bestandsaufnahme folgt dann die Erarbeitung einer IT-Sicherheitsrichtlinie, in der ich festlege, welche Datentypen wie verwendet werden müssen. Die Gesamtverantwortung dafür kann nicht komplett delegiert werden. Denn sie bleibt beim obersten Führungspersonal, welches das Vorhaben initiieren, steuern und auch kontrollieren muss. Auch muss es notwendige Ressource bereitstellen.
Ok, dann habe ich die Strategie festgelegt, aber nur der Führungskreis weiß davon. Wie komme ich denn jetzt an die Mitarbeiterinnen und Mitarbeiter?
Ari Albertini: Indem ich sie regelmäßig darauf anspreche, dazu schule und die Einhaltung von IT-Sicherheitsvorkehrungen so einfach wie möglich für die gestalte. Nehmen wir das Beispiel, dass eine neue Kollegin im Unternehmen anfängt und ein Onboarding durchläuft. Meistens umfasst das eine Orientierung im Unternehmen wenn es um Angelegenheiten mit der Personalabteilung geht oder auch die Einrichtung der eigenen Arbeitsgeräte geht. Hier sollte von Beginn an eine Datensicherheitsschulung entlang der Sicherheitsstrategie Pflicht sein.
Alle Nutzer sollten in regelmäßigen Abständen an Sicherheitsschulungen teilnehmen. Das kann etwa ein Webinar sein. Oder es ist mal eine gemeinsame Mittagspause mit kurzer Präsentation. Dort kann etwa eine Datenschutzbeauftragte Learnings aus aktuellen Beispielen im Unternehmenskontext erläutern.
Was machen Sie als Unternehmen denn zum Beispiel?
Ari Albertini: Wir bieten bei FTAPI allen Angestellten kostenlos die Möglichkeit zur Ausbildung zur betrieblichen Datenschützer*in innerhalb der Arbeitszeit. Gerade erst haben wieder 23 Kolleginnen und Kollegen ihre Prüfung bestanden. Regelmäßige Schulungen gehören bei uns ebenfalls zum Programm. Grundsätzlich haben wir den Vorteil, dass wir mit unseren Lösungen erfolgreich sind, wenn wir sie gut erklären können. Daher müssen sich alle im Team mit verschiedensten Anwendungsfällen auseinandersetzen. Das schafft Verständnis auch für die interne IT-Sicherheit. Und wenn in der Öffentlichkeit über größere Sicherheitslecks bei Firmen oder Behörden berichtet wird, thematisieren wir das in unseren internen Kanälen. Neulich hat eine Kollegin zum Beispiel von einem Phishing-Versuch erzählt, den sie privat erlebt hat. Ein solcher Austausch macht das Ganze nochmal greifbarer für alle, denn es zeigt, dass es nicht ungewöhnlich ist, entsprechende Mails zu bekommen.
Was empfehlen Sie neben Schulungen sonst noch?
Ari Albertini: Es muss innerhalb einer Organisation die Möglichkeit geben, Fehler frühzeitig zugeben zu können ohne, dass gleich drakonische Maßnahmen verhängt werden. Wie eben gesagt haben wir es auch bei der IT-Sicherheit und entsprechenden Vorfällen meist mit Fehlerketten zu tun. Das heißt, je früher auf etwas hingewiesen werden kann, desto größer ist die Wahrscheinlichkeit, dass man erfolgreiche Gegenmaßnahmen ergreift und es in Zukunft verhindert. Haben Angestellte hingegen Angst, auf etwas hinzuweisen, geht die Fehlerkette weiter.
Heißt das, dass man die Einzelperson also von jeglicher Schuld freisprechen kann?
Ari Albertini: Nein, aber es sollte nicht darum gehen, einen Schuldigen zu finden, sondern den Fehler in Zukunft so gut es geht abzustellen. Wie gesagt, wir reden nicht von jenen, die bewusst einem Unternehmen schaden wollen. Jedem Fehler muss ein Learning folgen und dieses muss auch kommuniziert und thematisiert werden.
Worauf sollten Nutzer denn beim sicheren Umgang mit Daten achten?
Ari Albertini: Wichtige Zugriffe, Programme und Daten sollten sowohl passwortgeschützt sein als auch hinter einer Zwei-Faktor-Authentifizierung (2FA) liegen. Die 2FA kennen die meisten bereits, wenn sie online mit der Kreditkarte zahlen oder sich bei Online-Banking anmelden. Sie ist mittlerweile sehr einfach über das Smartphone möglich.
Wenn sich Nutzer selber ein entsprechendes Passwort erstellen, müssen sie wissen, dass es ausreichend komplex sein sollte. In vielen Unternehmen gibt es dafür Passwortrichtlinien, die es unmöglich machen, schwache Passwörter einzurichten. Das ist aber nicht bei allen der Fall. Ein komplexes Passwort lässt sich im Idealfall nicht von persönlichen Faktoren ableiten. Der Geburtstag des Kindes, der Hochzeitstag oder der Name des Haustieres sind sehr anfällig für Social Engineering sind. Besonders, wenn die Nutzer viele Aspekte ihre Lebens in sozialen Netzwerken teilen.
Wenn ein solches Passwort ein unsicheres Programm schützt bringt es dann aber auch nichts.
Ari Albertini: Sicherheitsbewusstsein endet nicht beim Login, das stimmt. Angestellte müssen zum einen abgeholt werden, wenn es darum geht, welche Programme sie nutzen und welche sie nicht nutzen dürfen. Man denke hier etwa an scheinbar kostenlose und browserbasierte Filesharing-Portale, die oftmals aus datenschutzrechtlicher Sicht ein Albtraum sind. Hier kann eine entsprechend aufgestellte IT ebenfalls mit Blocklisten einiges verhindern, aber sie sollte nicht auf sich allein gestellt sein.
Zum anderen müssen Nutzer richtig geschult werden im Umgang mit den Lösungen, die geschäftskritische Daten verarbeiten. Es bringt nichts, sichere Anwendungen anzubieten, wenn diese falsch genutzt werden und dann umgangen werden. Unsere Erfahrung etwa im sicheren Datentransfer zeigt, dass die Nutzungsrate beim Kunden sehr hoch ist, wenn die Lösung leicht zu verstehen ist und wenn sich für die Nutzer möglichst wenig ändert.
Ähnlich wie bei Passwortrichtlinien oder Blocklisten bieten einige Lösungen Konfigurationen, die eine bestimmte ungewollte Art der Softwarenutzung automatisch unterbinden. Beispielsweise lässt sich einstellen, dass E-Mails mit Anhängen bestimmter Dateiformate oder -größen erst gar nicht verschickt werden können. Unternehmen sollten sich aber nicht nur auf die Technik verlassen. Jede technische Maßnahme wird umso effektiver, je sicherheitsbewusster die Angestellten sind.
Was passiert, wenn ich auf dem Weg nach Hause dann doch das Notebook im Bus liegen lasse?
Ari Albertini: Gerade mit dem Vormarsch des Home Office sollten mobile Arbeitsgeräte verschlüsselt sein können. Das in Kombination mit starken Passwörtern reduziert das Risiko, dass auch bei Verlust eines Gerätes Dritte auf sensible Daten zugreifen können.
Grundsätzlich sollte jedes Unternehmen für diese und andere Fälle ein effizientes betriebliches Notfallmanagement etablieren, in dem genau festgelegt ist, was als nächstes zu tun ist, um den akuten Schaden zu begrenzen. Wichtig ist dabei dann, dass alle Beteiligten genau wissen, was zu tun ist.
