Wichtig für IT-Sicherheit ist Risikobewusstsein

Das größte Risiko jedes Computersystems sitzt vor dem Bildschirm, kann man sagen. IT-Sicherheit ist zu großen Teilen eine Frage des notwendigen Risikobewusstseins.

Während viele Menschen übervorsichtig im Umgang mit dem Internet sind, legen viele andere einen erstaunlichen Leichtsinn an den Tag. Richtiges Verhalten am Computer ist im privaten und im beruflichen Umfeld wichtig. Hier ist jeder Einzelne gefragt, schon aus ganz eigenem Interesse. Dennoch ist es wichtig, andere dabei zu unterstützen, sich richtig zu verhalten, das gilt besonders im beruflichen Umfeld. Einem Unternehmen hilft es wenig, wenn ein Mitarbeiter die “Schuld” an etwas trifft. Besser ist es, Risiken zu minimieren.

Das IT-Profimagazin iX befasst sich in der April-Ausgabe mit dem menschlichen Faktor in der IT-Sicherheit und schreibt im Pressetext: >>Internet-Betrüger nutzen heute nicht mehr technische Angriffswege allein. Sie spionieren Anwender aus oder manipulieren sie. Damit Mitarbeiter sicherheitsbewusst mit Computer und Internet umgehen, sollten Vorgesetzte nicht nur auf technische Aufklärung setzen, sondern auch besondere Verhaltensweisen einüben.<<

Es liegt schließlich im Unternehmensinteresse, sich des Themas anzunehmen. Weiter heißt es:  >>Bewährte menschliche Verhaltensweisen zur Risikovermeidung funktionieren nicht in der Informationstechnik. Im Gegenteil:
Oft verstärken sie sogar die Gefahren. So hilft automatische Musterergänzung im richtigen Leben bei der Alltagsbewältigung.

Nicht aber in der virtuellen Welt. Schiebt etwa ein Internet-Betrüger einem Surfer die URL www.deutsche-bonk.de unter, sieht dieser mit großer Wahrscheinlichkeit das Wort “Bank”, weil das Gehirn Bekanntes wieder schnell zugänglich machen will.

Andere seit Urzeiten eingeübte Eigenschaften des Menschen verleiten ihn dazu, sich in unbekannten Umgebungen am Verhalten der Mehrheit zu orientieren, generell einmal eingeschlagene Wege beizubehalten, sympathischen Menschen zu trauen, Autoritäten zu gehorchen, moralischen Grundsätzen zu folgen oder bei Zeitknappheit Regeln zu missachten. Die aus Hilfsbereitschaft gegebene Information, dass ein bestimmter Mitarbeiter Urlaub hat, kann für einen Angreifer ein wertvoller Hinweis sein. Er kann diesen nutzen, um einem weiteren Kollegen das Passwort des Urlaubers zu entlocken und sich so Zugang zu sensiblen Daten verschaffen.

Gegen dieses “Social Engineering” hilft keine ITgestützte Technik, sondern nur Vorsicht und sicherheitsbewusstes Verhalten der potenziellen Zielpersonen. “Wichtig ist dabei, bei dem Anwender das Gefühl zu erzeugen, für Aspekte des Datenschutzes und der Informationssicherheit verantwortlich zu sein”, erklärt iX-Redakteurin Ute Roos. “Darüber hinaus sollte der Mitarbeiter für den richtigen Umgang mit Computer und Netz positive Rückkopplung erhalten. Auch wenn das Risiko, das er vermindern soll, für ihn abstrakt bleibt. Denn moderne Malware schädigt ja meist nicht ihn direkt, sondern arbeitet heimlich im Hintergrund.”<<