Cybersecurity wird in vielen Unternehmen zu technisch gesehen. Cyber-Angriffe gelten zwar den Daten und IT-Systemen, doch sie starten meistens mit dem Versuch, einzelne Benutzer, Administratoren oder Entscheider zu manipulieren und auszutricksen. Selbst perfekte Technik kann Social Engineering nicht verhindern. Technische Datensicherheit alleine kann keinen Schutz bieten, denn getäuschte Nutzerinnen und Nutzer können mit ihren Berechtigungen unabsichtlich viele Schutzmaßnahmen unwirksam machen. Awareness ist also kein Pflaster, sie schließt die Lücke, die keine Firewall schließen kann.

Wer Awareness tatsächlich als «Pflaster» abtut und es so nebenbei ohne Planung, ohne Sinngebung und ohne Ressourcen bereitzustellen umsetzen will, macht es sich zu bequem. Ja, IT Anwendungen und Software muss besser werden, sicherer – gar keine Frage. Und die Patchstände in manchen Organisationen sind übel, Vulnerability Managment nicht auf der Agenda. Und ja, wäre die IT sicherer, würden es auch die Menschen sein. Aber IT wird ja auch von Menschen gemacht, da schliesst sich der Kreis. Wir Menschen treffen Entscheidungen, machen Ausnahmen und nutzen Grauzonen. Genau dort entstehen Risiken. Also müssen wir da ansetzen – gut ausgebildetes und auf die jeweiligen Jobrolle ausgebildete Mitarbeitenden, die permanent und stätig weiterentwickelt werden mit Schulungen und Trainings die attraktiv, wertvoll und sinnhaftig sind. Und im arbeitsalltag den Druck rausnehmen, Stress vermeiden, Shift-left nicht auf «Teufel komm raus». Wir brauchen aber auch sinnvolle Bug Bounty Programme, ein permanentes Testen und Prüfen – gern auch mit KI und dem «Human in the loop». So bekommen wir das Thema auch in den Griff. Dann können wir auch über eine resiliente Arbeitsorganisation reden. Awareness kann hier nur die Antwort auf eine Realität sein, dass wir Menschen nun mal Fehler machen. Awareness kann hier unterstützen.