Übermäßig komplexe, unnötige oder unsinnige Sicherheitsmaßnahmen können Mitarbeiter nachhaltig frustrieren. Das schafft neue Risiken.

Foto: vchal | shutterstock.com

Je mehr Zwang besteht, Systeme und Daten zu schützen, desto besser ist es um die Security bestellt. So zumindest die Annahme einiger Unternehmen. Eine unzureichende User Experience ist in diesem Zusammenhang noch das geringste Übel. Im schlimmsten Fall werden übermäßig komplexe Sicherheitsmaßnahmen von den Mitarbeitern schlicht umgangen.

Dabei ist es auch möglich, die Benutzerfreundlichkeit zu verbessern, ohne dafür die Security zu opfern. Im Folgenden haben wir die fünf häufigsten Fehler zusammengetragen, mit denen sich Unternehmen regelmäßig ins Security-Verderben bugsieren. Natürlich erfahren Sie bei dieser Gelegenheit auch, wie Sie es besser machen.

1. Security-Mindset vernachlässigen

Wenn Ihre Mitarbeiter in Sachen Cybersecurity nicht mitziehen, wird es schwierig, Ihr Unternehmen abzusichern. Deswegen ist es essenziell, Ihre Belegschaft über die Risiken und die Lösungen, die diese beseitigen oder minimieren können, zu informieren.

Das sollte auch keine Angelegenheit sein, die an IT- oder Security-Spezialisten “abgeschoben” wird, wie Yehudah Sunshine, Berater und Experte für Influencer-Marketing, unterstreicht: “Um ein effektives Bewusstsein für Cybersicherheit zu entwickeln, müssen Mitarbeiter entsprechend geschult werden. Dabei besteht die Herausforderung darin, mit Nicht-Experten so zu kommunizieren, dass sie das ‘Was’ und ‘Warum’ der Cybersicherheit verstehen.”

Das erfordere einen klaren Fokus auf die Praxis, ohne dabei herablassend, manipulativ oder bestrafend zu wirken: “Es gilt, Ängste abzubauen. Die Mitarbeiter brauchen die Gewissheit, dass sie ehrlich über ihre Fehler kommunizieren können und nichts vertuschen müssen. Erst dann kommen sie in die Lage, dazu beizutragen, das Sicherheitsniveau ihres Unternehmens zu verbessern.”

In diesem Zusammenhang ist für den Consultant zudem entscheidend, dass sämtliche Mitarbeiter mit an Bord sind: “Dazu gehört die Personalabteilung, das UX- und Technologie-Team. Wer an dieser Stelle spart, kann keine guten Ergebnisse erzielen.”

2. An IT-Sicherheit in Einheitsgröße glauben

Um optimale Ergebnisse im Sinne der Cybersicherheit zu erzielen, gilt es, die richtige Balance zwischen Security und User-Komfort zu ermitteln. Das ist allerdings auch stark kontextabhängig, wie Sunshine verdeutlicht: “Bei Mitarbeitern in Regierungsbehörden wird beispielsweise in der Regel ein strengerer Maßstab angelegt als bei der Belegschaft eines Fast-Food-Restaurants.”

Die Sicherheitsanforderungen einer Regierungsinstitution auf einen Schnellrestaurant-Betrieb anzuwenden, führt dagegen lediglich zu unnötigen Reibungsverlusten. Dahinter steht der grundlegende Fehler in vielen Security-Protokollen, allen Benutzern sämtliche Sicherheitsmaßnahmen aufzuerlegen – statt zwischen verschiedenen Usern und Bedürfnissen zu differenzieren.

Joseph Steinberg, Autor von “Cybersecurity for Dummies“, bringt das Problem auf den Punkt: “Wenn man jede Aktion so behandelt, als ob sie zusätzliche Sicherheitsmaßnahmen erfordert, sinkt die Wahrscheinlichkeit, dass Anzeichen für echte Bedrohungen erkannt werden – und damit das Schutzniveau.” Er fügt hinzu: “Wenn das Risiko gering und das Vertrauen hoch ist, besteht keine Notwendigkeit, eine zusätzliche Sicherheitsebene hinzuzufügen. Das ist nur dann erforderlich, wenn das Risiko aufgrund der Art der Transaktion oder mangelnden Vertrauens höher ist.”

3. Komplexität mit mehr Sicherheit verwechseln

Eine Mindestzeichenzahl, Groß und Kleinbuchstaben, Sonderzeichen, regelmäßige Passwort-Änderungen: Viele Unternehmen legen bei der Account-Erstellung strenge Maßstäbe an. Das Mehr an Komplexität beruht auf der Überzeugung, dass es für Angreifer mit steigender Variablen- oder Zeichenfolge zunehmend schwieriger wird, Passwörter zu knacken.

Das stimme zwar in der Theorie, weiß Sicherheitsexperte Steinberg, in der Praxis sehe das allerdings anders aus: “Weil Menschen gerne in Muster verfallen, folgen auch die meisten Passwörter vorhersehbaren Mustern: Sie beginnen meist mit einem Großbuchstaben und enden oft mit einer Zahl, an die gegebenenfalls noch ein Sonderzeichen angehängt wird.” Dazu komme noch das Problem, dass die Komplexität selbst ein Security-Problem aufwerfen kann. Weil es schwierig sei, sich lange und komplexe Kennwörter zu merken, würden diese häufig auf Papierzetteln notiert oder im Browser gespeichert.

Ein Unding, findet auch Softwareexpertin April McBroom und legt eine bessere Option nahe: “Nutzen Sie stattdessen einen Passwort-Manager. Sie könnten Passwörter auch durch Passcodes ersetzen – etwa mit Hilfe von Push-Benachrichtigungen oder einer Authentifizierungs-App.”

4. Auf Sicherheitsfragen verlassen

Sicherheitsfragen sind auf dem Papier zunächst ein gutes Konzept. Wen Sie allerdings schon einmal solche Fragen unabsichtlich falsch beantwortet haben und anschließend aus Ihrem Account ausgesperrt waren, wissen Sie um die Frustration, die das mit sich bringt.

Anstelle herkömmlicher Sicherheitsfragen empfiehlt Autor Steinberg, auf wissensbasierte Fragen mit einigen Abstufungen zu setzen, um kriminellen Hackern ihr Wirken zu erschweren: “Wenn jemand eine Schwester namens Mary hat, würde ich zu einer Multiple-Choice-Frage wie ‘Welche der folgenden Straßen verbinden Sie mit Mary?’ raten.”

5. Biometrie-Wunder erwarten

Wenn von einer passwortlosen Zukunft die Rede ist, denken nicht wenige Menschen an biometrische Sicherheitsmaßnahmen wie Fingerabdruck-, Gesichts- oder Irisscans. Selbst wenn diese Maßnahmen wie vorgesehen funktionieren, sieht Steinberg zwei wesentliche Nachteile: “Zum einen könnten Kriminelle relativ leicht die Fingerabdrücke von berechtigten Personen abnehmen, um sich Zugang zu verschaffen – ein Vorgehen, dass bei Passwörtern nicht möglich ist. Zum anderen können etwa Fingerabdrücke nicht so einfach zurückgesetzt werden, wie das bei Kennwörtern der Fall ist.”

Sinnvoller wäre es nach Meinung des Experten, auch im Bereich der biometrischen Security den jeweiligen Kontext mit einzubeziehen- Stichwort “Behavioral Biometrics“: “Die Verhaltensbiometrie beruht etwa darauf, wie schnell ein bestimmter Nutzer die für ein Passwort verwendeten Tasten drückt. Solche unsichtbaren biometrischen Daten sind der bessere Ansatz.”

Es sei ein allgemeiner Fehler in Sachen Benutzererfahrung, so Steinberg weiter, davon auszugehen, dass es bei Security ausschließlich um Dinge geht, die sichtbar sind: “Je weniger der Benutzer sehen muss, desto besser. Das ist der Schlüssel, um negative Auswirkungen auf die User Experience zu minimieren.” (fm)

Sie wollen weitere interessante Beiträge rund um das Thema IT-Sicherheit lesen? Unser kostenloser Newsletter liefert Ihnen alles, was Sicherheitsentscheider und -experten wissen sollten, direkt in Ihre Inbox.

ABONNIERE UNSEREN NEWSLETTER

Von unseren Redakteuren direkt in Ihren Posteingang

Beginnen Sie, indem Sie unten Ihre E-Mail-Adresse eingeben.