Wenn Sicherheitsregeln den Arbeitsalltag überfordern, entsteht kein zuverlässiger Schutz, sondern ein zusätzliches Risiko. Der Fall des niederländischen Mobilfunkanbieters Odido zeigt, dass Angreifer dafür weder Deepfakes noch künstliche Intelligenz benötigen: Ein Anruf und eine nachgebaute Log-in-Seite reichten nach Angaben des Unternehmens aus, um Daten von mehr als sechs Millionen Kunden abfließen zu lassen.
Ein Sicherheitsvorfall ist nicht automatisch menschliches Versagen
Anfang 2026 brachte ein angeblicher IT-Kollege eine Mitarbeiterin im Callcenter von Odido dazu, sich auf einer gefälschten Log-in-Seite anzumelden – einschließlich zweitem Faktor. Hinter dem Angriff wird die kriminelle Gruppe ShinyHunters vermutet.
Angela Sasse, Professorin für Human-Centred Security an der Ruhr-Universität Bochum, warnt im c’t-Podcast „Nutzer sind nicht der Feind“ davor, solche Vorfälle allein den Beschäftigten anzulasten. Sicherheitsmechanismen müssten so gestaltet sein, dass Menschen sie im Arbeitsalltag tatsächlich zuverlässig anwenden können.
Für Unternehmen ist das eine wichtige Unterscheidung: Wenn ein Prozess unter Zeitdruck, bei vielen parallelen Aufgaben oder mit schwer verständlichen Regeln kaum beherrschbar ist, liegt die Schwachstelle nicht nur bei der einzelnen Person. Sie liegt auch in der Gestaltung des Sicherheitsprozesses.
Überforderte Regeln kosten Zeit und schaffen Umgehungsrisiken
Die Professorin erzählt in dem Podcast von einer Erfahrung, die auch ich immer wieder in meinem Berufsleben gemacht habe: Sicherheitsregeln, die das menschliche Gedächtnis überfordern, werden umgangen. Die Folge ist eine Kombination aus hohen Kosten, unzufriedenen Nutzern und trotzdem fehlender Sicherheit.
Das betrifft unter anderem Passwörter. Viele Menschen müssen heute zahlreiche Konten verwalten. Komplexe Vorgaben können deshalb dazu führen, dass Passwörter notiert, wiederverwendet oder durch andere wenig sichere Verfahren ersetzt werden. Ein Sicherheitsstandard, der praktisch nicht umsetzbar ist, erfüllt seinen Zweck nicht zuverlässig.
Eine zentrale Prüfgröße lautet daher: Wie viel Zeit und Aufmerksamkeit verlangt eine Sicherheitsregel von den Beschäftigten? Nach Sasses Einschätzung wird diese Frage in vielen Unternehmen nicht ausreichend untersucht. Für Entscheider bedeutet das, Sicherheitsvorgaben nicht nur formal zu beschließen, sondern ihre tatsächliche Umsetzung im Prozess zu prüfen.
Phishing lässt sich nicht allein durch Aufmerksamkeit lösen
Phishing-E-Mails werden laut Sasse immer häufiger zur Grundlage von Cyberangriffen. Gleichzeitig ist es im täglichen Mailaufkommen eine kaum lösbare Aufgabe, jede Nachricht mit voller Aufmerksamkeit zu bewerten. Wer dies verlangt, riskiert, dass Beschäftigte entweder nicht mehr effizient arbeiten oder wichtige Warnsignale routinemäßig übersehen.
Awareness-Trainings und Test-Phishing können dieses Grundproblem nicht allein beseitigen. Sasse kritisiert, dass Schulungen kurzfristig günstiger erscheinen als technische Maßnahmen. Sie könnten jedoch teuer werden, wenn sie Arbeitszeit binden und trotzdem keine verlässliche Erkennung aller Angriffe ermöglichen.
Ein anderer Ansatz besteht darin, technische Verfahren stärker einzusetzen. E-Mails können nach ihrer Absenderauthentizität sortiert werden, sodass im Posteingang möglichst nur Nachrichten landen, die tatsächlich vom vorgeblichen Absender stammen. Unverifizierte Nachrichten würden dadurch gezielter Aufmerksamkeit erfordern.
Technik, Prozesse und Verantwortung müssen zusammenpassen
Auch bei Zugangsdaten zeigt sich, wie technische Gestaltung Menschen entlasten kann. Passkeys verwenden kryptografische Schlüssel statt Passwörter und lassen sich laut Sasse nicht auf einer gefälschten Log-in-Seite abgreifen. Damit wird ein Risiko reduziert, das Schulungen allein nicht zuverlässig verhindern können.
Für Unternehmen folgt daraus keine pauschale Abschaffung von Schulungen. Sinnvoller ist eine Kombination aus verständlichen Regeln, praktikablen Abläufen und technischen Schutzmaßnahmen. Beschäftigte bleiben ein wichtiger Teil der Sicherheitsorganisation, sollten aber nicht zur alleinigen Sicherheitsbarriere gemacht werden.
Bei KI-generiertem Code gilt derselbe Grundgedanke. Sasse warnt, dass Laien Sicherheitslücken darin möglicherweise nicht erkennen. Dass KI beim Auffinden von Schwachstellen helfen kann, löst das Problem nicht automatisch: Das Schließen von Schwachstellen sei deutlich aufwendiger als ihre Identifikation.
Eine menschenorientierte Sicherheitsprüfung beginnt beim Arbeitsablauf
Datenschutz und Informationssicherheit sollten nach dem Verständnis von Tulos nicht isoliert betrachtet werden. Entscheidend ist, ob technische Maßnahmen, klare Verantwortlichkeiten und organisatorische Prozesse gemeinsam dazu beitragen, Unternehmensdaten sowie Kunden- und Mitarbeiterdaten angemessen zu schützen.
Eine Prüfung sollte deshalb sichtbar machen, welche Sicherheitsanforderungen Beschäftigte im Alltag tatsächlich erfüllen müssen, wo unnötige manuelle Entscheidungen entstehen und welche technischen Verfahren diese Entscheidungen reduzieren können. Ein Datensicherheits-Audit kann dabei helfen, Schwächen in bestehenden Abläufen und Schutzmaßnahmen strukturiert zu erkennen.
Die wichtigsten Fragen und Antworten
Warum reicht ein zweiter Faktor beim Log-in nicht immer aus?
Ein zweiter Faktor erhöht grundsätzlich die Sicherheit. Im Fall Odido meldete sich die Mitarbeiterin jedoch einschließlich zweitem Faktor auf einer nachgebauten Log-in-Seite an. Der Faktor schützt daher nicht, wenn Zugangsdaten und die Bestätigung gemeinsam an einen Angreifer übermittelt werden.
Sind Awareness-Trainings damit überflüssig?
Nein. Sie können Regeln und Risiken verständlich machen. Nach der Einordnung von Angela Sasse können Schulungen technische Maßnahmen jedoch nicht ersetzen, wenn Beschäftigte im Arbeitsalltag unmöglich jede Phishing-E-Mail sicher prüfen können.
Welche Sicherheitsregel sollten Unternehmen zuerst überprüfen?
Ein naheliegender Ausgangspunkt ist die Frage, wie viel Zeit und Aufmerksamkeit Beschäftigte für ihre Einhaltung benötigen. Regeln, die regelmäßig umgangen werden oder den Arbeitsablauf stark belasten, sollten auf ihre praktische Gestaltung und mögliche technische Unterstützung geprüft werden.
Quelle: heise.de