NTT Data: „Der Mitarbeiter ist keine Firewall“
Der Mensch gilt in der Cybersicherheit als schwächstes Glied. Gleichzeitig soll er Phishing erkennen, Deepfakes durchschauen, verdächtige Anweisungen hinterfragen und inzwischen sogar den sicheren Umgang mit KI-Agenten beherrschen. „Das ist paradox“, findet Patrick Schraut, Managing Director Cybersecurity DACH bei NTT Data.
„Achtung, Phishing!“ Früher reichte ein Blick auf die Absenderadresse, ein Rechtschreibfehler oder eine verdächtige URL – diese Zeiten sind vorbei. Generative KI hat die Spielregeln verändert. Angriffe lassen sich personalisieren, skalieren und sprachlich perfektionieren. Dafür werden Stimmen imitiert, Videos manipuliert oder Nachrichten am Kommunikationsstil einzelner Personen ausgerichtet. Ein vermeintlicher CEO kann heute so überzeugend auftreten, dass die bloße visuelle oder akustische Überprüfung nicht mehr ausreicht.
Und genau hier gerät ein altes Sicherheitsprinzip an seine Grenzen: der Mensch als letzte Verteidigungslinie. Natürlich müssen Mitarbeiter Risiken erkennen können. Das heißt, Awareness ist unverzichtbar. Aber Unternehmen machen es sich zu einfach und jährliche Pflichttrainings allein reichen nicht aus, meint Patrick Schraut.
Eine gute Awareness-Kampagne muss kontinuierlich und konkret sein. Regelmäßige, kleine Schulungseinheiten zu aktuellen Angriffsmethoden oder sonstigen Themen sowie realitätsnahe Szenarien sind wirkungsvoller als das große Security-Lehrstück, das schnell wieder in Vergessenheit gerät.
Mindestens genauso wichtig sind – natürlich neben einer guten technischen Absicherung – die organisatorischen Prozesse, die im Ernstfall greifen, so Patrick Schraut. So muss eine ungewöhnliche Zahlungsanweisung unabhängig verifiziert werden können. Niemand sollte Angst haben, eine Nachricht zu hinterfragen. Auch nicht, wenn sie angeblich aus der Chefetage kommt. Gerade dieser Punkt wird oft unterschätzt. Angreifer nutzen Hierarchien, Zeitdruck und Vertrauen für sich aus. Eine Unternehmenskultur, in der niemand den Vorstand infrage stellen möchte, schafft automatisch eine Angriffsfläche.
Bei KI-Agenten ist dieser Punkt genauso brisant. Sie sind quasi die neuen Mitarbeiter und übernehmen in dieser Rolle die unterschiedlichsten Aufgaben, greifen auf Unternehmensdaten zu und treffen Entscheidungen. Wer einem neuen Kollegen Zugang zu sensiblen Systemen gewährt, definiert in der Regel dessen Zuständigkeiten, Berechtigungen und Freigabegrenzen. Bei dem digitalen Äquivalent muss es genauso sein.
Ein Agent braucht nicht nur einen Auftrag, sondern auch einen klaren Handlungsrahmen. Welche Daten darf er sehen? Welche Systeme darf er nutzen? Welche Entscheidungen darf er selbst treffen? Und wann muss er einen Menschen einbeziehen? All das ist umso wichtiger, weil Agenten nicht nur Fehler machen, sondern auch manipuliert werden können, meint Patrick Schraut. Dies setzt wiederum technische Leitplanken in Form von Least Privilege, Zero Trust, starker Authentifizierung und kontextabhängigen Zugriffsrechten voraus.
Kurzum: Unternehmen brauchen Mitarbeiter, die Risiken erkennen, Prozesse, die Fehlentscheidungen auffangen, sowie Systeme, die gefährliche Aktionen technisch begrenzen. Nur aus diesem Zusammenspiel entsteht tatsächlich echte Cyberresilienz, so Patrick Schraut abschließend.
