Der diesjährige Human Risk Report 2025 von Arctic Wolf zeigt deutlich: Der Faktor Mensch bleibt eine der größten Schwachstellen in der Cybersicherheitsstrategie von Unternehmen weltweit. Die zum zweiten Mal durchgeführte Studie legt offen, wie Fehleinschätzungen, riskantes Verhalten und mangelnde Awareness die Angriffsfläche von Organisationen massiv erweitern. [...]
Mit zunehmender Bedrohungsaktivität und wachsender Verankerung generativer KI im Arbeitsalltag wird der Faktor Mensch zu einer der unberechenbarsten Variablen in der Cybersicherheit. Eine übersteigerte Selbstsicherheit seitens mancher Führungskräfte – kombiniert mit Mitarbeitenden, die grundlegende Sicherheitsmaßnahmen umgehen oder falsch anwenden – vergrößert die Lücke zwischen der wahrgenommenen Widerstandsfähigkeit und der tatsächlichen Angriffsfläche. Der Arctic Wolf Human Risk Report 2025 soll dazu dienen, Führungskräften und Sicherheitsexpertinnen und -experten dabei zu helfen, diese Herausforderungen zu erkennen und die menschengemachten Risiken anzugehen, die in jeder Organisation bestehen.
Phishing: Übermut statt Vorsicht
Laut Report gaben 68 Prozent der IT-Verantwortlichen an, dass ihr Unternehmen im vergangenen Jahr mindestens einen Sicherheitsvorfall erlebt hat – ein Anstieg um 8 Prozent gegenüber 2024. Besonders alarmierend: Jeder zweite Mitarbeitende und zwei Drittel der IT-Verantwortlichen haben bereits auf potenziell schädliche Links geklickt. Dennoch glauben drei Viertel der Führungskräfte, ihre Organisation sei ausreichend gegen Phishing-Angriffe gewappnet.
Diese Selbstüberschätzung öffnet Angreifern Tür und Tor – vor allem, wenn Sicherheitskultur und Meldebereitschaft fehlen. Fast ein Fünftel der Befragten, die auf verdächtige Links klickten, meldeten den Vorfall nicht.
Außerdem sind vor allem Führungsetagen im Visier: 39 Prozent waren von Phishing-Angriffen betroffen, 35 Prozent von Malware-Infektionen, die besonders sensible Konten gefährden.
Trugschluss: Schulungen als Allheilmittel
Am sichersten fühlen sich diejenigen, deren Unternehmen wöchentlich Security-Awareness-Trainings durchführen. Und tatsächlich zeigt die Studie, dass Organisationen, die auf entsprechende Schulungen setzen, das Risiko erfolgreicher Angriffe um 88 Prozent reduzieren können. Jedoch: Auch wenn Trainings helfen, als alleinige Maßnahme reichen sie nicht aus.
„Security-Awareness-Trainings sind elementare Bestandteile der Cybersicherheit. Jedoch ist die Sicherheit, in der sich Führungskräfte durch kontinuierlich stattfindende Schulungen wiegen, trügerisch“, sagt Sebastian Schmerl, Regional Vice President Security Services EMEA bei Arctic Wolf. „Cyberangriffe per E-Mail waren früher oft an ihrer holperigen Sprache klar als solche erkennbar. Heute ist es eine Mail vom vermeintlichen Vorgesetzten, der mit Kenntnissen über private Sachverhalte Vertrauen schafft und so Geldtransfers und ähnliche Aktionen veranlasst. Dies gelingt vor allem durch den Einsatz von KI-Technologien. Neben regelmäßigen Trainings werden daher unter anderem regelmäßiges Monitoring, umfangreiche reaktive und präventive Maßnahmen sowie ein detaillierter Incident-Response-Plan benötigt.“
KI als neue Risikoquelle
Auch durch die wachsende Verbreitung von generativer KI entstehen zusätzliche Gefahren für Datenschutz und Informationssicherheit: 80 Prozent der IT-Leitenden und 63 Prozent der Mitarbeitenden nutzen laut Report KI-Tools wie ChatGPT im Arbeitsalltag – und 60 Prozent bzw. 41 Prozent geben dabei vertrauliche Informationen ein, teilweise ohne die Unternehmensrichtlinien zum sicheren Umgang mit KI zu kennen. Hier herrscht deutlicher Nachholbedarf: Bei frei zugänglichen KI-Tools können eingegebene firmeninterne Informationen in das Trainingsmaterial einfließen – und dadurch künftig als Modellantworten für andere Nutzende sichtbar werden.
Sicherheitskultur: Strafen statt Lernen
77 Prozent der IT-Leitenden weltweit würden Mitarbeitende entlassen, wenn diese Opfer eines Social-Engineering-Angriffs werden – ein deutlicher Anstieg gegenüber dem Vorjahr (66 Prozent). Doch eine solche Vorgehensweise führt zu Angst unter Mitarbeitenden, Vorfälle zu melden, und wirkt einem umfassenden Cyberschutz entgegen.
Technische Grundlagen oft unzureichend
Auch bei der Umsetzung technischer Schutzmaßnahmen zeigen sich Defizite: Nur 54 Prozent der befragten Organisationen setzen Multi-Faktor-Authentifizierung (MFA) für alle Benutzerkonten ein. Viele Unternehmen beschränken MFA auf privilegierte Accounts – und ermöglichen damit erfolgreiche Kompromittierungen in unteren Zugriffsebenen.
„Wenn Verantwortliche ihre Sicherheitslage überschätzen und gleichzeitig unterschätzen, wie Mitarbeitende tatsächlich mit Technologie umgehen, entsteht das perfekte Umfeld für menschliche Fehler – und somit für erfolgreiche Angriffe. Gerade im deutschsprachigen Raum, wo Fachkräftemangel und hybride Arbeitsmodelle Alltag sind, braucht es eine Sicherheitskultur, die auf Förderung, Lernen und kontinuierliche Sensibilisierung setzt”, sagt Sebastian Schmerl.
Be the first to comment