Awareness und Sicherheitskultur im Fokus Der Mensch als größte Sicherheitslücke und stärkste Verteidigung

Anbieter zum Thema

BTC AG

Fsas Technologies GmbH

Cyberkriminelle setzen längst nicht nur auf Technik, sondern auf Manipulation. Phishing, Social Engineering und psychologische Tricks machen Mitarbeitende zur größten Angriffsfläche. Doch wer Awareness fördert und eine Sicherheitskultur etabliert, verwandelt den Risikofaktor Mensch in die stärkste Verteidigung.

Cyberkriminalität gehört heute zu den gravierendsten Bedrohungen für die deutsche Wirtschaft und die Dynamik ist alarmierend. Laut dem Digitalverband Bitkom waren bis August 2025 bereits 81 Prozent der Unternehmen in Deutschland von Datendiebstahl, Spionage oder Sabotage betroffen. Zehn Prozent vermuten, ebenfalls angegriffen worden zu sein – unbemerkt. Für die kommende Zeit erwarten sogar 90 Prozent der Unternehmen mehr Cyberattacken. Der gesamte daraus resultierende wirtschaftliche Schaden belief sich zum Zeitpunkt der Studie auf rund 267 Milliarden Euro. Besonders besorgniserregend: 65 Prozent der Unternehmen fühlen sich durch digitale Angriffe existenziell bedroht – 2021 waren es noch neun Prozent.

Deutsche Firmen im Visier chinesischer Hacker

267 Milliarden Euro Schaden pro Jahr für die deutsche Wirtschaft

Ransomware, Phishing, Passwortattacken oder Schadsoftware sind dabei die gängigen Methoden der Cyberkriminellen – und sie haben eines gemeinsam: Sie zielen nicht nur auf Systeme, sondern auch auf Menschen. Die Schwachstelle Mensch ist längst zum effektivsten Einfallstor geworden.

Wie perfide diese Angriffe heute gestaltet sind, zeigen einige spektakuläre Fälle: Das britische Einzelhandelsunternehmen Marks & Spencer wurde durch den Scattered Spider Clan schwer getroffen – Ransomware legte Zahlungssysteme lahm, der Schaden betrug rund 300 Millionen Pfund. Beim deutschen Rüstungskonzern Rheinmetall behaupten Hacker 750 Gigabyte interner Daten gestohlen zu haben, darunter sensible Informationen zu Militärtechnik und Lieferketten. In den USA hackte ein IT-Sicherheitsexperte gezielt Organisationen, um ihnen anschließend seine eigenen Schutzdienste zu verkaufen – ein Angriff, der nicht nur mit krimineller Energie, sondern auch gezielter menschlicher Beeinflussung durchgeführt wurde. Cyberkriminalität ist schon längst keine technische Spielerei mehr, sondern gezielte psychologische Manipulation – und sie treffen alle Branchen und jede Unternehmensgröße.

Angeblich 750 GB an Daten gestohlen

Mutmaßlicher Cyberangriff auf Rheinmetall

Jeder Mitarbeitende kann Ziel sein – ob Konzern oder KMU

Die Annahme, dass nur Großunternehmen und ihre Mitarbeitende Ziel von Cyberangriffen sind, ist trügerisch. Tatsächlich sind Unternehmen jeder Größe gefährdet – denn Angreifende wählen oft das am leichtesten angreifbare Ziel. Große Konzerne haben zwar meist mehr Ressourcen für Cyberabwehr, aber auch komplexere IT-Strukturen mit zahlreichen Schwachstellen. Kleine und mittlere Unternehmen (KMU) sind hingegen oft schlechter geschützt – etwa durch fehlende Sicherheitsabteilungen oder mangelndes Risikobewusstsein. Das macht sie anfällig für breit gestreute, automatisierte Angriffe und für sogenannte Supply Chain Attacks. Hierbei wird ein schwächer geschützter Zulieferer gehackt, um größere Partner zu kompromittieren. Die Folgen können ganze Lieferketten lahmlegen – auch bei Großkonzernen. Cyberkriminalität ist heute strategisch organisiert: Ziel ist nicht das größte, sondern das schwächste Glied.

Die unterschätzte Waffe: Social Engineering

Im Zentrum dieser Angriffe steht zunehmend Social Engineering – der Versuch, Menschen in Unternehmen durch gezielte Manipulation zu bestimmten Handlungen zu verleiten. Statt komplizierte Firewalls zu durchbrechen, setzen Angreifende auf Vertrauen, Routine, Stress und Unachtsamkeit. Dabei nutzen sie grundlegende psychologische Mechanismen: emotionale Reize, Zeitdruck, Gruppenzwang oder den Wunsch, hilfsbereit zu sein.

Eine gefälschte E-Mail im Stil eines vertrauten Dienstleisters, ein freundlicher Ton, eine scheinbar dringende Bitte – oft reicht das aus, um Mitarbeitende zum unüberlegten Klick zu bewegen. Phishing-Mails sehen heute aus wie persönliche Nachrichten, maßgeschneidert – auch mithilfe Künstlicher Intelligenz. Besonders perfide: Angriffe erfolgen oft zu Zeiten, in denen die Aufmerksamkeit ohnehin sinkt – rund um Feiertage, Quartalsenden oder während Personalwechseln. Der Mensch wird in diesen Momenten zur größten Angriffsfläche.

BSI appelliert an Chefetage

In 8 Schritten zum Security-Awareness-Programm

Die Täter sind vielfältig – und effizient

Egal, ob Angriff auf Großkonzerne oder KMU, das Bild des Einzelgänger-Hackers ist längst überholt. Die Täterlandschaft ist heute so divers wie ihre Methoden. Professionell organisierte Gruppen mit politischer oder wirtschaftlicher Agenda operieren weltweit und verfügen über finanzielle Ressourcen, Fachwissen und Zugang zu Zero-Day-Schwachstellen. Gleichzeitig wächst die Zahl semiprofessioneller Akteure, die mit vorgefertigten Tools aus dem Darknet oder generativer KI schnell einsatzfähig werden. Phishing-Kits, Botnet-Vermietung und Cybercrime-as-a-Service machen Cyberangriffe heute teilweise sogar zur Dienstleistung.

Nicht zu unterschätzen sind auch Innentäter – frustrierte Mitarbeitende, die aus Enttäuschung, wirtschaftlichem Druck oder Gleichgültigkeit interne Informationen preisgeben oder absichtlich Schaden anrichten. Auch ehemalige Angestellte mit aktiven Zugängen sind ein Risiko. Der gemeinsame Nenner aller Tätergruppen: Sie setzen bevorzugt auf psychologische Schwächen statt technischer Lücken. Manipulation ist einfacher – und effektiver.

Cybersicherheit beginnt beim Menschen – nicht bei der Technik

Viele Unternehmen investieren in Firewalls, Verschlüsselung und Antivirusprogramme – und übersehen dabei einen zentralen Faktor: den Menschen. Technik schützt nur dann, wenn das Verhalten der Mitarbeitenden mitzieht. Deshalb muss Cybersicherheit Teil der Unternehmenskultur werden – nicht als Pflicht, sondern als gemeinsame Verantwortung. Wer es schafft, Mitarbeitende zu sensibilisieren und persönliche Relevanz herzustellen, schafft echte Resilienz.

Besonders wirksam sind Awareness-Maßnahmen, die auf Beteiligung, Erfahrung und Aha-Effekte setzen: Phishing-Simulationen, Gamification, Notfallübungen oder interaktive Trainings fördern nicht nur Wissen, sondern verändern Verhalten. Wer seine Passwörter prüft oder merkwürdig anmutende E-Mails gemeinsam entschlüsselt, lernt mit Bezug zum Alltag – und bleibt eher aufmerksam.

Business Continuity und Notfallmanagement

Sind Sie auf den Ernstfall vorbereitet?

Diese Übungen stärken nicht nur Abläufe, sondern auch den Umgang mit Stress. Wer eine Krise geübt hat, reagiert im Ernstfall ruhiger und koordinierter. Wichtig ist, dass nicht nur die IT, sondern der gesamte Krisenstab vorbereitet wird – inklusive Führung. Denn wenn im Ernstfall niemand weiß, wer zuständig ist oder wie man ohne IT kommuniziert, helfen auch die besten Tools nicht weiter.

Awareness wirkt besonders stark, wenn sie persönlichen Nutzen auch im Privaten stiftet. Tipps zur Sicherheit im Smart Home oder für Kinder im Netz zeigen: Cybersicherheit schützt nicht nur den Betrieb, sondern auch das eigene Privatleben. So entstehen Multiplikatoren im Unternehmen und darüber hinaus.

Voraussetzung für all das ist glaubwürdige Führung. Wer Sicherheit vorlebt, schafft Vertrauen. Eine offene Fehlerkultur, in der auch Missgeschicke besprochen werden dürfen, stärkt das Miteinander – und macht Cybersicherheit zum Teil der gelebten Kultur.

Notfallpläne – nicht nur für den Krisenfall

Neben der Prävention braucht es auch Klarheit für den Ernstfall. Notfallpläne müssen nicht nur existieren, sie müssen auch praktikabel sein. Wer nachts um drei Uhr den Vorstandsbeschluss braucht, um ein kompromittiertes System abzuschalten, hat den Ernstfall nicht zu Ende gedacht.

Daher gilt:

• Rollen und Verantwortlichkeiten im Krisenfall definieren

• Entscheidungsbefugnisse klar regeln

• Kommunikation absichern, auch ohne IT-Infrastruktur (z. B. über Checkkarten mit Notfallnummern)

• Wiederholt üben – mit allen Beteiligten, auch auf Vorstandsebene

Je häufiger solche Situationen simuliert werden, desto geringer der Stress im Ernstfall. Wer das zweite Mal in eine Krisensituation gerät, ist deutlich besser vorbereitet – psychologisch wie organisatorisch.

Auf Cyberangriffe richtig reagieren

Was CEOs für einen Cyber-Ernstfall wissen müssen

Aus Risiko wird Ressource: Der Mensch als Cyber-Verteidigung

Cyberkriminalität ist längst keine Randerscheinung mehr – sie ist Alltag und trifft alle Unternehmen unabhängig von Größe oder Branche. Technische Lösungen bleiben wichtig, reichen allein aber nicht aus. Die entscheidende Sicherheitslücke ist und bleibt der Mensch. Wer das erkennt, entsprechend trainiert, sensibilisiert und eine echte Sicherheitskultur etabliert, wird widerstandsfähiger – nicht trotz, sondern wegen der Komplexität der Bedrohung.

Letztlich ist der Faktor Mensch zwar das größte Einfallstor, bietet aber auch das größte Potenzial: Wer seine Mitarbeitenden für das Thema Cyber Security motiviert, gewinnt auch die beste Verteidigung. Unternehmen haben nicht nur die wirtschaftliche, sondern auch die moralische Pflicht, ihre Teams bestmöglich zu schützen – und sollten deshalb frühzeitig, nachhaltig und mit hoher Qualität in Awareness investieren.

Über den Autor: Christian Bruns ist Manager Business Area Cyber Security, Berater von KRITIS-Unternehmen und seit 2009 in unterschiedlichsten Rollen im Bereich Cyber Security bei der BTC Business Technology Consulting AG aktiv. Vor seiner Tätigkeit als Business Development Manager hat er als Head of Information Security die Informationssicherheit in einem weltweit operierenden Unternehmen aus dem Bereich Ticketing und Live Events verantwortet. Schwerpunkt der aktuellen Projekte sind die Themen ISMS für KRITIS-Betreiber, Security Assessments, Risikoanalysen und Cyber Security Awareness.

Security-Insider Podcast – Folge 84

Gehackt! Was jetzt?

(ID:50548792)