Die Röntgentechniker hatten ein Problem. Jedes Mal, wenn einer von ihnen auf Patientenakten im gemeinsamen Computersystem ihres Krankenhauses zugreifen wollte, musste er sich einzeln anmelden. Das „
“-System und die dazugehörige Software waren so veraltet, dass der Anmeldevorgang zwischen
und fünf Minuten dauern konnte.
Ihre Lösung: Wer auch immer als Erster zur Schicht erschien, meldete sich unter seiner ID an. Und wer auch immer als Letzter da war, würde sich abmelden.
„Sie hatten keine böse Absicht“, sagt Clay Posey, der als leitender Forschungswissenschaftler bei der Cyber-Beratungsfirma Beyond Layer 7 das Team zu seinen Gewohnheiten im Bereich der Cyberhygiene im Rahmen der Studie „ “ befragt hat:. „Sie hatten nicht die Absicht,
einen Verstoß gegen die Vertraulichkeit zu begehen.“ Doch durch ihr Handeln schufen sie die Voraussetzungen dafür.
Vom Mitarbeiter zur internen Bedrohung
Eine solche interne Bedrohung wird als „unverschuldete Nichteinhaltung“ bezeichnet. Dies ist eine der häufigsten Arten, wie Mitarbeiter gegen Richtlinien zur Cybersicherheit verstoßen. „Sie wussten, dass ihr Handeln gegen die Richtlinien verstieß“, sagt Posey, der zudem außerordentlicher Professor für Informationssysteme an der Marriott School of Business der Brigham Young University ist. „Doch Sicherheitsvorschriften, die als sinnvoll erachtet wurden, behinderten die Produktivität und den Arbeitsablauf. „Diese Gruppe hat also einfach eine Umgehungslösung gefunden.“
In einer anderen Zeit würde man diesen Einfallsreichtum vielleicht begrüßen. Doch nicht heute, da Cyberkriminelle und staatlich gestützte Hacker ständig Endgeräte und Netzwerkschwachstellen ausloten, auf der Suche nach Anmeldedaten, Zugriffs
auf sensible Daten sowie nach Möglichkeiten, lukrative Ransomware-Angriffe
auf ihre Opfer zu starten.
Tatsächlich sind interne Bedrohungen wie die im Krankenhaus häufig das Ergebnis von Mitarbeiter em Stress, dem Druck, die Arbeit zu erledigen, und sogar fehlgeleitetem Altruismus. Dies geht aus einer Studie mit dem Titel „ “ (Juni 2020 ) von Posey und anderen hervor, die von der National Science Foundation veröffentlicht wurde und in der sein Team das Online-Verhalten von Mitarbeitern untersuchte, die erst seit kurzem im Homeoffice arbeiten. Sie stellten fest, dass die Arbeit im Homeoffice (die für Millionen von Menschen nach wie vor die Standardarbeitsweise ist) mehr Möglichkeiten für solche Sicherheitsverletzungen geschaffen hat.
Scott Shackelford, Leiter des Programms für Cybersicherheits-Risikomanagement an der IU-Bloomington, der nicht an der Studie beteiligt war, erklärt: „Im Allgemeinen sind diese Probleme auf einen Mangel an Verständnis, mangelndes Bewusstsein oder auf Stress und Eile zurückzuführen.“ Und das ist eine offene Hintertür für die Bösewichte. „Es ist beispielsweise nicht ungewöhnlich, dass Betrüger Mitarbeiter am späten Freitagnachmittag oder während der Feiertage kontaktieren, wenn sie wissen, dass die Aufmerksamkeit der Mitarbeiter nachlässt“, sagt er.
Es handelt sich um ein zentrales Cybersicherheitsrisiko, das sich nicht mit technischen Mitteln beheben lässt. Dieses Problem lässt sich nur lösen, indem man sich an die Menschen in diesem System wendet. IT-Teams können zwar bessere Mausefallen entwickeln, doch wenn sie dies isoliert tun – ohne den Mitarbeiter am Computer zu berücksichtigen, der mittlerweile Teil eines verteilten Netzwerk-Ökosystems außerhalb der schützenden Unternehmensgrenzen ist –, wird dies unweigerlich dazu führen, dass der Käse verloren geht.
Wie Remote-Mitarbeiter tatsächlich mit Cybersicherheitsrichtlinien umgehen
Poseys Studie, an der mehr als 330 Remote-Mitarbeiter aus den unterschiedlichsten Branchen teilnahmen, ergab, dass IT-Abteilungen oft nur ein begrenztes Verständnis dafür haben, inwiefern ihre Vorschriften die Arbeitsabläufe der Mitarbeiter beeinträchtigen oder neue Stressfaktoren schaffen könnten. Die Studie, die sich auf Selbstauskünfte über einen Zeitraum von zwei Wochen stützte, ergab, dass 18 % der Verstöße gegen die Cybersicherheitsrichtlinien dadurch motiviert waren, dass ein oder mehrere Mitarbeiter einander helfen wollten. Insgesamt geben 67 % an, dass sie die Richtlinien zur Cybersicherheit mindestens einmal nicht eingehalten haben, wobei die durchschnittliche Nichtbefolgungsrate bei einer von 20 Arbeitsaufgaben liegt.
„. Es ist nicht ungewöhnlich, dass Betrüger Mitarbeiter spät am Freitag oder während der Feiertage kontaktieren, wenn sie wissen, dass [die Mitarbeiter] abgelenkt sind.“Scott Shackelford, Vorsitzender des Programms für Cybersicherheitsrisikomanagement, IU-Bloomington
Die für diese Verstöße angeführten Gründe sind aufschlussreich. Zu den drei wichtigsten Gründen zählten „meine beruflichen Aufgaben besser zu erledigen“, „etwas zu beschaffen, das ich benötigte“ und „anderen dabei zu helfen, ihre Arbeit zu erledigen“. Zusammen machten sie 85 % der gemeldeten vorsätzlichen Verstöße gegen Sicherheitsvorschriften aus.
Tatsächlich scheint remote work das Risiko für unbeabsichtigte Verstöße seitens der Mitarbeiter zu erhöhen. Dies kann von Mitarbeitern reichen, die nicht genehmigte Software auf ihren Firmenlaptop herunterladen, bis hin dazu, dass sie Familienangehörigen gestatten, Firmengeräte zu nutzen. Zudem greifen die Menschen bei der Arbeit von zu Hause aus immer häufiger über ihre Mobilgeräte auf sensible Daten zu.
Infolgedessen stehen Unternehmen vor der Herausforderung, die Einhaltung der Cybersicherheitsvorschriften zu verbessern.
Die psychische Belastung durch Sicherheitsaspekte beim Arbeiten von zu Hause aus verstehen
Zu den schwerwiegendsten Cybersicherheitsproblemen, mit denen Unternehmen angesichts der heutigen Remote-Arbeitswelt konfrontiert sind, zählen E-Mail- -Phishing- -Betrugsversuche, auch bekannt als „“ (BEC) (Business Email Compromise) . So könnte es ablaufen: Ein Angreifer, der sich als Vorgesetzter oder enger Kollege ausgibt, sendet einem Mitarbeiter per E-Mail eine dringende Aufforderung zur Überweisung von Geldbeträgen. Der Zeitdruck und der Wunsch zu helfen können Mitarbeiter dazu veranlassen, gegen die Vorschriften zu verstoßen und diese Überweisungen vorzunehmen, ohne die Anfrage zu überprüfen.
Um ein Unternehmen vor Cyberangriffen zu schützen, reicht es nicht aus, lediglich eine Überprüfungsrichtlinie für große Transaktionen einzuführen. Vielmehr müssen die Mitarbeiter darüber aufgeklärt werden, warum Sicherheitsprotokolle wichtig sind, es gilt, die Beeinträchtigungen der täglichen Arbeit durch diese Protokolle so gering wie möglich zu halten, und es müssen Leitlinien bereitgestellt werden, wie vorzugehen ist, wenn die Protokolle der Erledigung der Arbeit im Wege stehen.
Da Millionen von Arbeitnehmern weiterhin im Homeoffice arbeiten, weisen Cybersicherheitsexperten darauf hin, dass Führungskräfte wachsam sein sollten hinsichtlich der potenziellen psychischen Belastung , der Mitarbeiter ausgesetzt sind, wenn sie unter den Bedingungen arbeiten, unter denen sie überwacht werden. Überwachungssysteme, wie beispielsweise Tools zur Nachverfolgung von „
“ und zur Überwachung von Tastenanschlägen, können im privaten Umfeld als besonders aufdringlich empfunden werden. Selbst wenn es keine direkten Folgen gibt, deuten Forschungsergebnisse darauf hin, dass der zusätzliche Stress indirekt dazu führen könnte, dass Menschen eher dazu neigen, Sicherheitsvorschriften zu missachten.
[Lesen Sie auch: Remote-Arbeit schürt Bedenken hinsichtlich des Datenschutzes]
Führungskräfte aus Wirtschaft und Technologie sollten darauf achten, ihre Mitarbeiter in die Entwicklung, Bewertung und Umsetzung neuer Sicherheitsmaßnahmen einzubeziehen. Posey erklärt, dass IT-Teams ein Gleichgewicht zwischen dem, was er als „Vermeidungsdenken und Toleranz“ bezeichnet, finden müssen. Anstatt bei Sicherheitsverstößen Strafen zu verhängen, sollten Führungskräfte akzeptieren, dass Mitarbeiter Fehler machen.
„Es werden Dinge passieren, und Führungskräfte sollten sich gezielt darum bemühen, die eigentliche Ursache dafür zu verstehen“, sagt er.
Mehr Zuckerbrot und weniger Peitsche bei der Cybersicherheitsschulung für Mitarbeiter
Tatsächlich können IT- und Sicherheitsteams von Mitarbeitern profitieren, die von Natur aus neugierig sind und die Gründe für ihre umständlichen Sicherheitsrichtlinien verstehen möchten, so Posey. Unternehmen sollten sich bewusst sein, dass – im Gegensatz zu böswilligen Angriffen und unerwarteten Schwachstellen in der Lieferkette – viele durch Mitarbeiter verursachte Sicherheitsverletzungen auf dem Versuch beruhen, ein Gleichgewicht zwischen Sicherheit und Produktivität herzustellen, und dass sie häufig auf völlig vorhersehbares menschliches Verhalten zurückzuführen sind.
[Lesen Sie auch: Das Management von Risiken in der Software-Lieferkette beginnt mit Transparenz]
Sicherheitsteams müssen die Mitarbeiter darüber aufklären, wie häufig unbeabsichtigte Verstöße vorkommen. Doch dabei muss (und sollte) es nicht bleiben. Wenn man versteht, was Mitarbeiter motiviert, und sie in den Prozess der Entwicklung und Anwendertests von Sicherheitsrichtlinien einbezieht, kann dies wesentlich dazu beitragen, dass sie sich engagieren und mitwirken. Und vor allem müssen Führungskräfte aus Wirtschaft und Technologie dafür sorgen, dass Cybersicherheitsprotokolle die Produktivität der Mitarbeiter nicht beeinträchtigen.
„Die meisten Menschen wollen einfach nur ihre Arbeit erledigen“, sagt Posey. „Sie gehen nicht jeden Tag zur Arbeit und fragen: ‚Hey, wie kann ich hier etwas vermasseln?‘“
