Technische Schutzmaßnahmen können noch so gut sein – wenn sorglos und nachlässig mit Daten, Programmen und Rechnern umgegangen wird, nützen sie recht wenig. Neben der Technik ist daher auch die Berücksichtigung des Faktors „Mensch“ beim Thema IT-Sicherheit entscheidend. Denn Bedrohungen können längst nicht nur durch Angriffe von außen, sondern auch – ob bewusst oder unbewusst – durch Mitarbeiter selbst entstehen.
Ein gutes Beispiel, wie die Schwachstelle Mensch ausgenutzt werden kann, sind so genannte Social-Engineering-Attacken. Eine der verbreitetsten Formen dafür sind Phishing-Mails – gefälschte E-Mails, etwa von der vermeintlichen Hausbank, die zu Überprüfungszwecken nach Kontodaten oder PIN und TAN von Online-Banking-Zugängen fragt. Übergibt das Opfer die Daten, kann der Betrüger eine Geldüberweisung zu Lasten des Opfers tätigen.
Doch auch hier gilt: Die Attacken werden immer ausgeklügelter. So gibt es immer mehr Fälle von Anrufern, die vertrauliche Daten wie Passwörter oder geschäftskritische Informationen anfordern. Mithilfe von Insiderwissen oder Smalltalk über den Büroalltag erweckt der Anrufer dabei Vertrauen, verwirrt mit Fachjargon oder übt Druck aus, um an die gewünschte Information zu kommen. Werden vertrauliche Daten unbedacht weitergegeben, kann dies einem Unternehmen erheblichen Schaden zufügen.
Auch mobile Geräte wie Laptops, Smartphones oder Tablets, die mittlerweile für viele zum Arbeitsalltag gehören sind ein potenzieller Risikofaktor. Bei Verlust oder Diebstahl entstehen nicht nur Kosten für die Wiederbeschaffung, sondern auch die Gefahr, dass Fremde unbefugten Zugriff auf firmeninterne Informationen erhalten. Weitere Gefahren lauern etwa bei E-Mail-Anhängen, die Schadsoftware enthalten können oder der Verwendung von USB-Sticks, die das Umgehen der Sicherheitsmechanismen am Schnittpunkt zwischen Unternehmen und Internet ermöglichen.
Wie die Beispiele zeigen ist es für Unternehmen unerlässlich, ihre Mitarbeiter für das Thema Informationssicherheit zu sensibilisieren. Wichtig ist es dabei, IT-Security-Verhaltensregeln so zu gestalten, dass sie den realen Anforderungen von Unternehmen und Mitarbeitern genügen – nur dann werden sie auch akzeptiert. Vergleichbar gilt dieses natürlich auch für eine Sicherheitspolitik in anderen Segmenten der Unternehmenssicherheit, wie dem Schutz des technischen Know-hows.