Das Konzept einer „Human Firewall“, wenn man es so nennen möchte, ist Ergänzung, nie Ersatz. Neben einer soliden IT-Sicherheitstechnik sollten die Unternehmen nicht den menschlichen Faktor vergessen und Hard- und Softwaremaßnahmen auch durch eine „Human Firewall“ flankieren. Der Fehler liegt aber nicht im Konzept, sondern in der falschen Erwartungshaltung: Die „Human Firewall“ ersetzt keine technischen Schutzmaßnahmen, sie ergänzt sie. Menschen zur letzten Verteidigungslinie zu machen ohne technischen Schutz dahinter wäre tatsächlich falsch. Beides zusammen ist richtig.

«Human Firewall» ist aus meiner Sicht ein gefährlicher und auch sehr bequemer Begriff. Er klingt nach Empowerment, verschiebt dabei aber oft die Verantwortung nach unten. Eine Firewall kann man patchen, Menschen (glücklicherweise) aber nicht. Wenn ein System nur dann sicher ist, wenn jede einzelne Person permanent perfekt und richtig reagiert oder interagikert, dann ist nicht der Mensch das Problem, sondern das Sicherheitsdesign. Menschen dürfen nicht die Ausfallversicherung für schlechte Architektur sein. Awareness ja – Schuld- und Verantwortungsverschiebung oder gar die Delegation von Risiken: Nein.