Erfolgreiche IT-Sicherheit im Unternehmen:
Strategien für jedes Kompetenzniveau
Wir hören immer wieder, von Kunden, von Geschäftspartnern, aber auch allgemein in der Branche, dass es immer noch schwierig ist, IT-Sicherheitsmaßnahmen einzuführen.
Das kann gelegentlich seine Ursache in den üblichen Querulanten haben, die zur Installation einer Authenticator App natürlich ein Firmen-Mobiltelefon erwarten. Das sind meistens dieselben Mitarbeiter, die während des Home Offices in der Pandemie auch Obst, Kaffee und Internetzugang der Firma in Rechnung stellen wollten, weil am Arbeitsplatz das ja auch vom Arbeitgeber bezahlt wird.
Unterschiedliche technische Hintergründe und Einstiegshürden für Mitarbeiter
Ein wichtiger aber häufig unterschätzter Aspekt ist jedoch, wie einfach oder schwierig die Umsetzung für den einzelnen ist.
Hardware Token, diese kleinen Schlüsselanhänger mit Display, die z.B. für die VPN-Anmeldung ein Einmalpasswort anzeigen, sind eine sehr sichere Form der Mehrfaktorauthentifizierung und in größeren Unternehmen auch wegen der oben angesprochenen Querulanten beliebt, weil ohne Mobiltelefon nutzbar. Diese Token sind jedoch nicht besonders integrativ.
Das Display ist in der Regel nicht beleuchtet und manchmal schlecht ablesbar, es gibt keine Sprach- oder Braille-Ausgabe für Blinde, man darf das Token, das am Schlüsselanhänger auch kaputt gehen kann, nicht vergessen oder verlieren … in Summe gibt das eine überraschend große Zahl von Nachteilen.
Lesen Sie in diesem Zusammenhang auch unseren Artikel zur „Leichten Sprache“
Komplexität der Sicherheitsmaßnahmen
Ein zweiter Aspekt ist die Komplexität hinter Sicherheitsmaßnahmen.
Benutzername, Passwort, PIN und Tokencode muss jeweils in die richtige Felder eingetragen werden. Manchmal steht das Eingabefeld des Passworts vor dem Token, manchmal danach und manchmal auf einer eigenen Seite. Was von den meisten recht trivial gesehen und eher als lästiges Detail abgetan wird, ist für einige Mitarbeiter eine nennenswerte Hürde, die kaum zu überwinden ist.
Auf diese Weise umgesetzt ist IT-Sicherheit für die meisten Mitarbeiter eine notwendigerweise akzeptierte Lästigkeit, die gezwungenermaßen akzeptiert wird. Und die wenigen Ausnahmen fallen notfalls unter den Tisch oder bekommen eine spezielle Sonderregelung.
Warum muss IT-Sicherheit ganzheitlich gedacht werden?
Wir glauben, IT-Sicherheit muss vom Ende aus gedacht werden.
Die wichtigste Frage die immer zuerst beantwortet werden muss lautet: Was soll mit den IT-Sicherheitsmaßnahmen erreicht werden?
Die zweite Frage muss dann lauten: Wie können wir das für die Nutzer, für ALLE Nutzer, so einfach wie möglich gestalten?
Und erst die dritte Frage betrifft dann die konkrete Umsetzung.
Werden IT-Sicherheitsmaßnahmen von Anfang an so geplant, dass sie inklusiv sind, d.h. auch Mitarbeiter berücksichtigen, die beispielsweise blind sind, lernschwächen haben oder die deutsche und englische Sprache nur sehr schwer verstehen, sind diese IT-Sicherheitsmaßnahmen am Ende für alle Mitarbeiter leichter zu nutzen und werden besser akzeptiert.
Wir nennen das integrative IT-Sicherheit.
Weitere interessante Beiträge zur IT-Sicherheit
- Einsatz Künstlicher Intelligenz (KI/AI) in der Cybersicherheit
- Vergleich: Pentests durch externe Dienstleister vs. Eigenregie
- Cyber-Risiko Check vs. Cyber Sicherheits Check vs. Penetrationstest
- Informationssicherheitsbeauftragter (ISB) – Aufgaben und Verantwortlichkeiten
- Wie kann man der Bedrohung durch Social Engineering begegnen?