Die Forderung ist berechtigt, aber sie reicht nicht. Mit Social Engineering setzen Angreifer die Faktoren Zeit und Druck ein, um Menschen zu Fehlern oder mangelnder Vorsicht zu verleiten und leichtsinnig zu handeln. Das ist keine Bedienungsfrage, sondern Psychologie. Auch das einfachste System schützt nicht vor dem Anruf des vermeintlichen IT-Chefs, der dringend Zugangsdaten braucht. Awareness-Training lehrt genau das, nämlich diese psychologischen Muster zu erkennen. Einfachere IT und gute Schulung schließen sich außerdem nicht aus.

Natürlich muss IT einfacher werden. Vieles, was heute als «Human Error» verkauft wird, ist in Wahrheit schlechtes Design oder eine grottige Usability. Aber daraus zu folgern, wenn die IT einfacher ist, brauche man keine Awareness mehr, ist genauso falsch. Wenn Systeme Menschen überfordern, ist das für mich eben ein Design- und Architekturproblem. Wenn dann Menschen trotz Risiken Entscheidungen treffen müssen, ist Awareness unverzichtbar. Wir sollten aufhören, Technik und Mensch gegeneinander auszuspielen. Human Centred Security setzt übrigens genau da an.