IT Security: Haben Sie Moral, Ethik, innere Einstellungen und Verhaltensweisen Ihrer Anwender im Griff?

Von unserem Sicherheitsexperten Jesper Lundorf

Folgende Situation am Flughafen kennen Urlauber wahrscheinlich ziemlich gut. Häufig ist diese der Beginn einer schönen Urlaubsreise, die mit Vorfreude und Aufregung erwartet wird. Damit ist es dann aber erst einmal vorbei, wenn der Urlauber wie ein Krimineller gebeten wird, seine Schuhe und seinen Gürtel auszuziehen und sein Getränk, das er sich eben erst gekauft hat, wegzuwerfen. Der Sicherheitslevel an den Security- und Check-In-Bereichen der Flughäfen ist enorm gestiegen - und die verschärften Sicherheitsvorkehrungen betreffen natürlich alle Reisenden. Der Grund aber, warum sich manche Leute ungerecht behandelt und belästigt fühlen ist, dass sie nicht verstehen, warum auch sie sich diesen „übertriebenen" Sicherheitsvorkehrungen unterziehen müssen. Manche Menschen nehmen sich das Recht heraus, beleidigt zu sein oder das Security-Personal zu provozieren. Sie haben das Gefühl, dass ihnen diese Sicherheit aufgezwungen wird - ohne dass sie den Grund dafür verstehen.

Es gibt noch eine weitere Situation, die viele aus ihrem Alltag kennen. Immer wieder geht der Alarm eines Autos los und wir beachten ihn gar nicht mehr. So sehr haben wir uns schon daran gewöhnt und gehen davon aus, dass es ein Fehlalarm ist und der Fahrer sich falsch verhalten hat. Das sind zwei Reaktionsarten auf Sicherheitsvorkehrungen; einmal reaktiv und einmal passiv.

Die Reaktionen von Menschen in der realen Welt können auch auf die digitale Welt übertragen werden. Denn häufig kommt es zu Unzufriedenheit, wenn Mitarbeiter die Notwendigkeit erhöhter Sicherheitsvorkehrungen nicht verstehen. Wenn Mitarbeiter plötzlich keine Multimedia-Dateien mehr downloaden oder aufrufen können, kann es passieren, dass sich ihr Verhalten plötzlich ins Gegenteil kehrt. Das kann im schlimmsten Fall dazu führen, dass sie die Einschränkungen des Arbeitgebers ignorieren oder umgehen, um damit alles downloaden zu können, was sie möchten. Dabei handelt es sich um kein unbekanntes Phänomen. Häufig wird in Unternehmen auch fahrlässig mit Passwörtern umgegangen, die einfach ausgeliehen und von Kollegen weitergegeben werden - die Entsprechung in der realen Welt ist, dass sich Kollegen ihre Zugangskarten ohne weiteres gegenseitig ausleihen. Aber so ein Verhalten bedroht die Sicherheit.

Wenn Moral und Ethik bei Mitarbeitern und das Verständnis für die IT Security Regeln eines Unternehmens intakt wären, könnte ein Großteil der vielen Spam-Mails, die heutzutage versendet werden, vermieden werden. Wenn Mitarbeiter verstehen würden, wie viel Ressourcen notwendig sind, um einen Witz oder ein lustiges Bild an den gesamten E-Mail-Verteiler zu senden - dann würden sicherlich sehr wenige E-Mails dieser Art versendet werden. Es geht ja nicht nur darum, dass ein großer Teil der Bandbreite des Unternehmens in Anspruch genommen wird und dadurch unternehmenswichtiger Datenverkehr verzögert wird. Es geht doch darum, dass rein moralisch und ethisch hier etwas in eine ganz falsche Richtung läuft. Wenn es wirklich angemessen wäre, Witze und Bilder auf diesem Wege zu verschicken - warum stecken Mitarbeiter diese dann nicht auch in Briefumschläge der Firma und kleben eine Briefmarke darauf? Es ist wirklich lustig, dass es Mitarbeitern nie im Traum einfallen würde, das zu tun, weil sie natürlich verstehen, dass das moralisch etwas ganz anderes ist - aber ist es das wirklich? Denn es ist eigentlich genau das Gleiche, was sie in der digitalen Welt machen.

Kombinieren Sie Software und Training für Ihre Anwender

Leider gibt es keine Security Systeme, die ihren Zweck erfüllen, wenn die Anwender keine Motivation dafür haben oder den Sinn und Zweck der Sicherheitsmaßnahmen nicht verstehen. Genau da haben viele Unternehmen eine Lücke in ihrer IT Sicherheit. Häufig investieren Unternehmen in teure Sicherheitslösungen, vergessen aber die notwendige Schulung ihrer Mitarbeiter dafür. Und wenn Mitarbeiter nicht verstehen, warum Sicherheitsmaßnahmen erforderlich sind, werden sie unmotiviert und werten Sicherheit als Behinderung in ihrem täglichen Arbeitsablauf ab.

Eine einfache, statische Lösung, die alle Sicherheitsprobleme beseitigt, wird es nie geben. Außer dem eigentlichen Sicherheitskonzept - in Form von Spam-Filtern, Antivirenschutz, Intrusion Detection usw. - besteht Sicherheit im Grunde aus vier Dingen:

Moral, die wir alle haben oder haben sollten. Selbst die weltbeste Sicherheitslösung kann in einem Unternehmen nicht funktionieren, wenn wir keine Moral haben. Ohne Moral wird der erwünschte Sicherheitsstatus nie erreicht werden.

Verhalten, das auf den Umgang mit Sicherheit in unserem Unternehmen schließen lässt. Fahrlässiges Verhalten von vertrauenswürdigen Mitarbeitern, die im Prinzip Zugang zu allem im Unternehmen haben, sind eine Bedrohung für jedes Sicherheitssystem.

Innere Einstellung, die grundlegend für unsere Persönlichkeit ist. Wenn wir keine oder eine schlechte Einstellung zum Thema Sicherheit haben, wird es kein System geben, das für uns funktionieren kann.

Ethik, das sind Grundsätze, mit denen ein Unternehmen festlegt, was erlaubt ist und was nicht. Ohne ethische Grundsätze wäre im Grunde alles möglich.

Beim Thema IT Sicherheit geht es um uns Menschen, unser Bewusstsein, unser Verhalten, und im Besonderen, um eine ernsthafte Umsetzung von Technologie und Technik. Wenn wir also in teure Sicherheitslösungen investieren möchten, sollten wir unbedingt daran denken, unsere Mitarbeiter darauf einzustimmen und ihnen den Sinn und Nutzen der Sicherheitslösung in Trainings zu erklären.

• 
  Zurück zur Übersicht