In den letzten Jahren ist der „Faktor Mensch“ in den Vordergrund der Informationssicherheit gerückt. Security Awareness, wie auch seine Nebendisziplinen, haben deutlich an Bedeutung gewonnen, doch das war nicht immer so: Lange lag der Fokus auf technischer Sicherheit. Mit der Verbreitung des Internets in den 1990er Jahren rückten die Anwender selbst in den Fokus: Angriffsarten wie das „Social Engineering“ verdeutlichten, dass Sicherheit nicht allein auf technischer Ebene gelöst werden kann. In den 2000er Jahren fand Security Awareness ihren Weg schließlich in Standards und zunehmend werden auch Themen rund um Verhalten, Psychologie und Kultur in Awareness Programme integriert.

Heutzutage wird aus „Security Awareness Training“ immer öfter „Human Risk Management“. Doch damit stellt sich eine zentrale Frage: Wo liegt eigentlich das Risiko des Menschen im System „Organisation“? Der Mensch ist nicht nur Teil der Organisation, sondern gestaltet sie aktiv: Er entwickelt, konfiguriert und betreibt die zugrunde liegenden Prozesse und Technologien. Gleichzeitig wird immer wieder diskutiert, welche Rolle der Mensch in der Verteidigung einnimmt: Ist er das „schwächste Glied der Kette“ oder doch die „Human Firewall“?

Fest steht: Der Mensch ist ein zentraler Faktor in der Abwehr von (Cyber-)Angriffen. Allerdings darf er nicht isoliert betrachtet werden, sondern als Teil des Systems. Denn warum handelt der Mensch überhaupt so, dass sein Verhalten ein Risiko für das Unternehmen darstellen könnte? Die Antwort liegt oft weniger im Individuum selbst, sondern in den Bedingungen, unter denen Entscheidungen getroffen werden.

Das Schweizer-Käse-Modell: Sicherheit als Zusammenspiel

James Reason hat bereits in den 1990er Jahren das sogenannte „Schweizer-Käse-Modell“ entwickelt, um Unfälle in Hochrisiko-Systemen wie der Luftfahrt oder dem Gesundheitswesen zu analysieren.¹ Reason beschreibt Sicherheit in diesem Kontext als eine Sammlung von mehreren Schichten („Scheiben“), etwa auf technischer, menschlicher oder prozessualer Ebene, die jeweils Schwächen („Löcher“) aufweisen. Richten sich diese über mehrere Schichten hinweg richtig aus, kann es zu einem Vorfall kommen.

In einer solchen Fehlerkette ist der Mensch oft nur die letzte, aber sichtbarste Instanz. Genau das kritisiert Reason mit seinem „Person-Approach“: Er beschreibt, wie menschliche Entscheidungen zu direkten, unsicheren Handlungen mit unmittelbarer Wirkung führen. Diese werden aber vorab durch viele externe Faktoren beeinflusst.² ³

Wenn ein Mitarbeitender zum Beispiel auf eine Phishing-Mail klickt, ist das selten nur ein individueller Fehler. Häufig zeigt sich hier eine Kombination aus glaubwürdigem Angriff, fehlender Orientierung, hoher Arbeitslast oder mangelnder Unterstützung im Prozess.

Reason appelliert daher an einen Perspektivwechsel hin zum „System-Approach“.² ³ Fehler werden nicht als isolierte Ursachen verstanden, sondern als Folge der Bedingungen, die bereits früh durch die Organisation, das Management oder im Prozessdesign im System angelegt wurden. Erst dadurch werden Fehler begünstigt und Situationen im Alltag geschaffen, die im schlimmsten Fall zu dauerhaften Schwächen in Schutzmaßnahmen führen, etwa durch Zeitdruck, unklare Abläufe oder ungeeignete Tools.²

Das Modell macht deutlich: Fehler sind selten isolierte Einzelhandlungen, sondern Ausdruck eines Systems, in dem Entscheidungen unter bestimmten Bedingungen getroffen werden.

Die Rolle von Security Awareness: Verstärker im System

Keine Schicht ist somit für sich genommen ausreichend: Ein gutes Awareness-Programm kann schlechte Prozesse nicht kompensieren und gute Technik hilft wenig, wenn sie im Alltag umgangen wird.

Folgt man also dem „System-Approach“ von Reason, greift die Funktion von Security Awareness zu kurz, wenn sie als isolierte Maßnahme auf den Menschen reduziert wird. Sie fungiert nicht nur als eigene Schicht, sondern wirkt auch als Verstärker für andere Maßnahmen, indem sie deren Nutzung und Grenzen verständlich macht.

Das zeigt sich beispielhaft im Umgang mit Phishing: Geht eine verdächtige E-Mail ein, müssen Mitarbeitende einen Meldeweg kennen und im richtigen Moment nutzen können. Awareness erklärt nicht nur, dass gemeldet werden soll, sondern bringt durch Erfahrungen aus Trainings und Vorfällen auch die Perspektive der Nutzenden aktiv in die Gestaltung einer solchen Maßnahme ein. Das erfordert interdisziplinäre Zusammenarbeit, denn viele der Bedingungen, unter denen Verhalten entsteht, liegen außerhalb klassischer Awareness-Maßnahmen: in Prozessen, Systemen oder organisatorischen Entscheidungen.

Awareness erhöht dabei Aufmerksamkeit, schafft Kontext und zeigt auf, wo Rahmenbedingungen sicheres Verhalten erschweren. Gleichzeitig trägt sie dazu bei, dass Prozesse verständlicher werden, Tools sinnvoll eingesetzt und Sicherheitsmaßnahmen als Teil des Arbeitsalltags wahrgenommen werden – nicht als zusätzlicher Aufwand.

So kann sie Verhalten beeinflussen und gezielt Impulse setzen, die durch passende Rahmenbedingungen unterstützt und im Alltag wiederholt werden. Daraus entwickelt sich langfristig eine gelebte Sicherheitskultur – mit Security Awareness als Treiber.

Fazit: Security Awareness ist „Teamarbeit“

Der Mensch bleibt ein zentraler Faktor in der Informationssicherheit, aber nicht der einzige. Das Schweizer-Käse-Modell macht deutlich: Fehler sind selten isolierte Einzelhandlungen, sondern Ergebnis von systemischen Bedingungen.

Security Awareness ist also mehr als eine einzelne Maßnahme. Sie wirkt nicht isoliert, sondern als Verstärker im System und über Maßnahmen hinweg, zwischen Menschen, Prozessen und Technologie. Sie funktioniert nur im Zusammenspiel und ist damit Teamarbeit.

Awareness macht Zusammenhänge sichtbar, erklärt die Nutzung von Maßnahmen verständlich und spielt Erfahrungen aus dem Alltag in deren Gestaltung zurück. So kann sie Impulse geben und trägt dazu bei, dass Sicherheitsmechanismen tatsächlich greifen.

Security Awareness wirkt also nicht am Menschen allein, sondern im System.

Literatur

1. Reason, J., Managing the Risks of Organizational Accidents, 1997.

2. Reason, J., Human Error, 1990.

3. Reason, J., Human Error: Models and Management, 2000.