Nicht nur Technik, auch Menschen können zu Cyberrisiken führen. Wie eine CISO-Befragung von Metacompliance zeigt, sind sich drei Viertel der Geschäftsführer dieses Risikos aber nicht bewusst. Befragt wurden 200 CISOs aus Unternehmen mit mindestens 250 Mitarbeitenden in Frankreich, Deutschland, Schweden und dem Vereinigten Königreich. Knapp die Hälfte von ihnen nannte gegenüber Metacompliance immer ausgefeiltere KI-gestützte Social-Engineering-Angriffe als Hauptgrund für diese Einschätzung. Mehr als zwei Drittel der CISOs sehen in den eigenen Mitarbeitenden das größte Sicherheitsrisiko für ihre Organisation, nicht zuletzt, weil KI menschliche Schwächen immer geschickter ausnutzt.
Wie KI die Bedrohungslandschaft verändert
Knapp ein Viertel der CISOs nannte die Resilienz gegenüber KI-gestützten Social-Engineering-Angriffen als einen der wichtigsten Schwerpunkte für die nächsten zwölf Monate. Die daraus entstandenen größten Sorgen: Mehr als vier von zehn CISOs bereitet es Sorgen, dass KI Social-Engineering-Angriffe schneller und wirksamer macht. 40 Prozent befürchten, dass Mitarbeitende sensible Informationen in generative KI-Plattformen eingeben. Weitere 41 Prozent haben Bedenken, dass böswillige Insider KI für Betrug, Cyberkriminalität oder Datendiebstahl nutzen könnten.
"Am besten werden in Zukunft die Organisationen aufgestellt sein, die Human Cyber Risk als kontinuierliche Managementaufgabe begreifen, und nicht als wiederkehrendes Schulungsevent", sagt James Mackay, CEO von Metacompliance. "Mitarbeitende brauchen immer genau dann Unterstützung, wenn sie einem Risiko ausgesetzt sind. Dafür müssen Unternehmen Einblicke in Verhaltensweisen nutzen, zielgerichtet in Echtzeit intervenieren und ihren Mitarbeitenden kontextbezogene Orientierung bieten."
Wenn die Geschäftsführung die CISOs allein lässt
Die Befragung zeigt zudem, dass viele CISOs sich nicht selbstverständlich auf die Unterstützung der Geschäftsführung verlassen können. Knapp vier von fünf berichten, dass die Beteiligung an Sicherheitsschulungen mit der Zeit nachlasse. Gleichzeitig haben 76 Prozent Schwierigkeiten, den teils widersprüchlichen Anforderungen an Human-Risk-Kennzahlen verschiedener Stakeholder gerecht zu werden. Beinahe ein Viertel nannte die Abstimmung zwischen verschiedenen Unternehmensbereichen als eine Aufgabe, der sie sich am wenigsten gewachsen fühlen, ein Hinweis darauf, wie schwer es ist, im gesamten Unternehmen eine gemeinsame Strategie für das Human Risk Management zu verankern.
"KI hat die Risiken durch menschliche Fehler erheblich vergrößert. Angreifer haben offensichtliche Betrugsversuche oder schlecht geschriebene Phishing-Mails schon lange hinter sich gelassen. Sie können heute täuschend echt die Identität von Personen nachahmen, Social-Engineering-Angriffe starten und Kommunikation im großen Maßstab fälschen", erklärt Mackay. "Diese rasante Entwicklung macht die Unterstützung der Geschäftsführung wichtiger denn je. Human Cyber Risk ist längst keine reine Awareness- oder Schulungsfrage mehr, sondern ein strategisches Risiko für jedes Unternehmen. Unsere Studie zeigt, dass viele CISOs nach wie vor allein dastehen, wenn sie versuchen, Veränderungen voranzutreiben. Ihnen fehlen oft verlässlicher Rückhalt von oben, klare Zuständigkeiten und ein unternehmensweites Grundverständnis der Risiken."
Lässt das Interesse der Geschäftsführung nach der ersten Initiative nach, bleiben Organisationen gefährdet. Um Resilienz gegenüber KI-gestützten Bedrohungen aufzubauen, braucht es dauerhafte Unterstützung im Unternehmen, eine bessere Abstimmung der Stakeholder und einen verhaltensorientierten Ansatz für das Human Cyber Risk Management.