Informationssicherheit: Der menschliche Faktor und die Frage nach der Motivation, Gesetze einzuhalten
Von welcher Seite man sich der Problematik der Cybersicherheit auch nähert, stets stößt man vors immerwährende Problem: Mit Technik allein ist es nicht getan. Und mit dem organisationspsychologischen Impact haben wir unsere Probleme. Der klingt nämlich nach, Verzeihung, Schwafelei, weil seine Faktoren nicht direkt abzählbar oder in Zahlen darstellbar sind. Man kann es auch anders wenden: Was schraubbar, programmierbar, nummerierbar, administrierbar ist, kann angegangen werden, und die Probleme löst man Mittels Mathematik, Informatik und Ingenieurskunst. Notfalls oder immer häufiger mit Claude Code und anderen Helferlein.
Aber wenn es um Nöte, Befürchtungen, Angst vor Entlassung, vor Burnouts, Überlastung durch neue Compliance-Regularien, Rentenunsicherheit geht, steht man plötzlich mit ziemlich kurzem Hemd da. Es fehlen die Faktoren, um Produktivität und Wirksamkeit zu bemessen. Da fehlt das P in KPI, bzw. es ist nicht darstellbar. Und um zur Cybersicherheit zurückzukehren: Niemand kann präzise sagen, warum diese oder jener beim Awareness-Training oder in der Wildbahn täglichen Arbeitens wider besseres Wissen den falschen Klick gesetzt hat. Aber wir sollten mittlerweile wissen, dass es hinreichend Faktoren gibt, die negative Verhaltensweisen begünstigen. Milliardenschäden für die Wirtschaft sind dann leider die Folge.
Promoter von Prinzipien der Informationssicherheit wie ich haben es leicht: Wir dürfen behaupten, dass Informationssicherheit sowohl Team- als auch Chefsache ist. Dass sie ganzheitlich ins Programm unternehmensstrategischen Denkens und Handelns eingeschrieben werden sollte. Natürlich steht dahinter eine präzisierbare oder doch zumindest benennbare Vorstellung von scheinbar nichtmessbaren Faktoren. Diese üben jedoch einen enormen Einfluss aus auf unser tägliches Handeln am Arbeitsplatz: Es sind Motivation, Identifikation, Freude, Wertschätzung, Transparenz, Kommunikationsbereitschaft, Fehlertoleranz bzw. -kultur, Kollegialität. Die Reihe lässt sich fortsetzen. Und man kann diese Aspekte hierarchisieren. Wer beispielsweise nicht kommuniziert, isoliert sich. Oder wird isoliert, wenn die Organisation Kommunikation für unwichtig erachtet. Das hat Folgen!
Das alles ist nicht aus dem Blauen daher philosophiert. Neulich durfte ich mit einem Security-Team einer Organisation mit 10.000 Mitarbeitenden sprechen. Und da hieß es nicht, der CRA sei ein Problem, weil man SBOMs schreiben muss. „Wir wissen, wie das geht“, erläuterte der CISO. Um dann mitzuteilen, dass Lieferanten und Abteilungen schlicht mit dem Gesetz überfordert sind, weil sie längst nicht ganzheitlich aufgestellt sind. Sehen wir auf die Jobs im Kontext mit dem CRA aus dieser weiten Perspektive, wird klar, dass es neben der Wehklage über Meldefristen und Co. die weichen Faktoren sind, die mitbestimmen, wie wir die Anforderungen des Gesetzgebers stemmen. Da gerät leider der Mensch aus dem Blickfeld. Und dann landet man irgendwann doch wieder beim alten Gesetz von der Informationssicherheit als ganzheitlicher Aufgabe. Das kostet Mut. Den sollten wir aufbringen. Alle. Und zwar mit der Verantwortung für unsere Wertschöpfungsketten und die Menschen, die diese gestalten.
Ihr Matthias Kampmann