Menschliche Fehler in der Cybersicherheit entstehen durch das Spannungsfeld zwischen der Arbeitsweise von Menschen und der Funktionsweise von Systemen. Arbeitspasswörter werden wiederverwendet, wenn von Menschen erwartet wird, dass sie sich zu viel merken. Anmeldedaten werden über Chats ausgetauscht, wenn es keinen freigegebenen Weg gibt, sie schnell zu teilen. Riskanter Zugriff bleibt offen, wenn das Offboarding davon abhängt, dass sich jemand an jedes Konto erinnert, das eine Person verwendet hat.

Die unsichere Entscheidung wird selten absichtlich getroffen. Meistens geschieht dies, weil der sicherere Pfad langsamer, verwirrend oder nicht verfügbar ist, wenn man ihn braucht. Alltäglicher Druck, wie das Einhalten einer Frist, das Anmelden auf einem neuen Gerät oder der schnelle Zugriff auf ein Tool, kann Menschen zu riskanteren Tastaturkürzeln verleiten.

Sicherheit sollte sich nicht nur darauf verlassen, dass Angestellte sich an die Regeln halten oder jedes Mal die richtige Entscheidung treffen. Schulungen spielen eine wichtige Rolle, müssen aber durch Tools, Standards und Routinen unterstützt werden, die sicheres Verhalten im Arbeitsalltag erleichtern.

Menschliche Fehler in der Cybersicherheit sind nicht nur ein Problem der Angestellten

Menschliche Fehler gehören zu den hartnäckigsten Risiken in der Cybersicherheit von Unternehmen, da sie Teil der täglichen Arbeit sind und sich nicht so einfach wie ein Softwarefehler beheben lassen. Sie können in Form eines plattformübergreifend wiederverwendeten Passworts auftreten, als geöffneter Link in einer überzeugenden E-Mail, als zu weit gefasste Berechtigung oder als informell geteilte Anmeldedaten.

Der Cost of a Data Breach Report(neues Fenster) von IBM unterstreicht die wirtschaftlichen Auswirkungen von Sicherheitslücken. Im Bericht für 2025 werden die weltweiten durchschnittlichen Kosten eines Datenlecks auf 4,4 Millionen USD beziffert und die Identitätssicherheit als ein Schlüsselbereich für Maßnahmen hervorgehoben. Für Unternehmen lautet das Fazit: Technische Kontrollen können Risiken zwar verringern, aber sie können nicht die menschlichen Entscheidungen ausschalten, die Angreifer ausnutzen, wenn Menschen mit Systemen, Konten und Zugriffspunkten interagieren.

Menschliche Fehler wiegen schwerer, wenn das Unternehmen keine verlässliche Möglichkeit hat, sie einzudämmen. Ein wiederverwendetes Passwort, ein versehentlicher Klick oder ein Konto mit übermäßigen Berechtigungen können in jedem Unternehmen vorkommen. Der Schaden vergrößert sich, wenn es keine Überwachung, keine Pflicht zur Zwei-Faktor-Authentifizierung (2FA), keine Überprüfung der Zugriffsrechte oder keinen eindeutigen Meldeprozess gibt. In diesen Fällen wird der erste Fehler zwar von einer Person begangen, aber das eigentliche Risiko entsteht durch die Sicherheitslücken im System.

Häufige menschliche Fehler in der Cybersicherheit

Cybersicherheitsfehler von Angestellten wirken intern meist unauffällig, da es sich um kleine Entscheidungen im hektischen Arbeitsalltag handelt.

Häufige Beispiele sind:

Wiederverwendung von Passwörtern: Angestellte verwenden ein bekanntes Passwort wieder, da das Erstellen und Merken eines neuen Passworts unpraktisch sein kann.

Klicken auf Phishing-Links: Eine Nachricht sieht legitim genug aus, kommt im richtigen Moment an oder scheint von einem vertrauenswürdigen Kontakt zu stammen.

Informelles Teilen von Anmeldedaten: Ein Kollege benötigt Zugriff, also sendet jemand ein Passwort über einen Chat, eine E-Mail oder ein freigegebenes Dokument über einen nicht genehmigten, unsicheren Kanal.

Zu viel Zugriff gewähren: Ein Benutzer erhält weitreichende Berechtigungen, da dies schneller geht, als einen auf seine spezifische Rolle oder Aufgaben beschränkten Zugriff einzurichten (Prinzip der minimalen Rechtevergabe)..

Ignorieren von Update-Aufforderungen: Ein Gerät oder Browser verlangt ein Update, aber die angestellte Person verschiebt es, um die Arbeit nicht zu unterbrechen.

Nutzung von Schatten-IT-Tools: Ein Team führt ein Tool ohne Genehmigung der IT ein, weil die genehmigte Alternative langsamer ist, eine Funktion vermissen lässt oder schlicht unbekannt ist.

Wenn die sichere Option Reibung erzeugt oder eine Aufgabe unterbricht, neigen Menschen dazu, Tastaturkürzel zu wählen, damit es weitergeht. Die Cybersicherheit muss berücksichtigen, wie sich Menschen tatsächlich verhalten, und nicht nur, wie sie es tun sollten.

Richtlinien, die auf unbegrenzte Aufmerksamkeit, ein perfektes Gedächtnis und ständige Wachsamkeit gegenüber Sicherheitsbedrohungen setzen, funktionieren wahrscheinlich nicht.. Menschen können schlechte Entscheidungen treffen, während sie mit anderen Aufgaben jonglieren, oft ohne alle Informationen zu haben, die zum Erkennen eines Cybersicherheitsrisikos erforderlich sind. Wenn sich dein Unternehmen ein sichereres Verhalten wünscht, musst du eine Cybersicherheitsrichtlinie entwickeln, die auf die tatsächliche Arbeitsweise deiner Angestellten abgestimmt ist.

Schulung allein kann menschliche Fehler nicht beheben

Schulungen helfen. Angestellte müssen wissen, wie Phishing funktioniert, wie die Wiederverwendung von Passwörtern dein Unternehmen für Credential-Stuffing-Angriffe anfällig machen kann, wie sie verdächtige Aktivitäten melden und was das Unternehmen von ihnen erwartet. Ein Unternehmen ganz ohne Sicherheitsbewusstsein lässt die Beteiligten ohne Orientierung zurück.

Doch Schulungen allein reichen nicht aus, da sie den Kompromiss zwischen Sicherheit und Bequemlichkeit nicht auflösen können. Wenn der sichere Pfad schwieriger ist als der unsichere, bevorzugen Angestellte unter Umständen Tastaturkürzel. Nicht, weil sie die Schulung ignorieren, sondern weil das Arbeitsumfeld Schnelligkeit, Reaktionsfähigkeit und Effizienz belohnt.

Jemand weiß vielleicht, dass er ein Passwort nicht wiederverwenden sollte, tut es aber trotzdem, wenn er keinen Passwort-Manager hat. Menschen wissen vielleicht, dass sie Anmeldedaten nicht im Chat teilen sollten, tun es aber trotzdem, wenn es keinen einfachen Weg gibt, den Zugriff schnell zu teilen. Sie verstehen vielleicht, dass die Zwei-Faktor-Authentifizierung sicherer ist, überspringen sie aber, wenn die Anmeldung optional ist und niemand nachhakt.

Eine Schulungssitzung kann das Risiko erklären, aber sie kann die Bequemlichkeit nicht beseitigen. Deshalb muss Sicherheit in den Arbeitsablauf integriert werden. Gutes Sicherheitsdesign reduziert die Anzahl der Momente, in denen Angestellte folgenschwere Entscheidungen auf eigene Faust treffen müssen. Es bietet ihnen sicherere Standards, eindeutigere Aufforderungen und weniger Gründe zum Improvisieren.

Sicheres Verhalten zum Standard machen

Der effektivste Weg, menschliche Fehler zu reduzieren, besteht darin, unnötige Fehlerquellen zu beseitigen. Ein Passwort-Manager für Unternehmen ist sowohl für Angestellte als auch für Betriebe ein hervorragendes Tool, da er die tägliche Arbeit einfacher und sicherer machen kann. Ohne ein solches Tool müssen Angestellte Passwörter selbst erstellen, sich merken und eingeben.

Das öffnet Tür und Tor für schwache Passwörter, Wiederverwendung, vergessene Anmeldungen und unsichere Speicherung. Mit Proton Pass for Business lassen sich starke Passwörter generieren, sicher speichern und bei Bedarf automatisch ausfüllen.

Automatisches Ausfüllen senkt das Risiko zudem, weil es Phishing-Angriffe verhindert. Wenn Anmeldedaten mit der richtigen Website verknüpft sind, unterstützt das Tool ein sichereres Verhalten, ohne dass Angestellte jeden Link aus dem Gedächtnis heraus überprüfen müssen.

Das sichere Teilen von Passwörtern funktioniert auf die gleiche Weise. Wenn die freigegebene Option schnell und einfach ist, gibt es weniger Gründe, Anmeldedaten in Chats zu kopieren. Wenn der Zugriff über verschlüsselte Tresore geteilt werden kann, kann das Unternehmen das informelle Teilen reduzieren und gleichzeitig dafür sorgen, dass Teams schnell handlungsfähig bleiben.

Die Erzwingung von 2FA beseitigt eine weitere Entscheidungssituation. Wenn 2FA optional ist, verschieben Angestellte die Einrichtung möglicherweise oder deaktivieren sie, wenn sie als unbequem empfunden wird. Wenn sie jedoch erzwungen wird, bleibt dein Unternehmen geschützt

Das ist das Gestaltungsprinzip hinter der Reduzierung des Risikos von Datenlecks durch menschliche Fehler: Verlasse dich niemals darauf, dass Menschen unter unvollkommenen Bedingungen eine perfekte Wahl treffen. Entwickle stattdessen Systeme, bei denen die sicherere Option bereits der Pfad des geringsten Widerstands ist.

Proton Pass for Business hilft Unternehmen dabei, sicheres Verhalten zum Standard zu machen, indem es starke Passwörter, sicheres Teilen, automatisches Ausfüllen und die Kontrolle über Anmeldedaten im Arbeitsalltag vereinfacht.

Warum Fehler bei den Anmeldedaten sich so schnell verbreiten

Fehler bei den Anmeldedaten bleiben selten lokal begrenzt, wenn sie passieren. Wenn jemand ein Passwort wiederverwendet, beschränkt sich das Risiko nicht nur auf das an diesem Tag erstellte Konto. Wenn dasselbe Passwort beispielsweise eine Finanzplattform, einen Cloud-Dienst oder eine Administrator-Konsole schützt, kann eine einzige schlechte Gewohnheit vernetzte Systeme gefährden.

Dasselbe gilt für geteilten Zugriff. In einem kleinen Team mag das Senden einer Anmeldung an einen Kollegen harmlos erscheinen, besonders wenn es schnell gehen muss. Doch sobald diese Anmeldedaten ein freigegebenes System verlassen, verliert das Unternehmen den Überblick: Wer sie hat, wohin sie kopiert wurden, ob sie woanders gespeichert wurden und ob der Zugriff Wochen später noch bestehen sollte.

Die Verwaltung von Anmeldedaten ist ein praktischer und effektiver Weg, um die durch den Faktor Mensch bedingten Cybersicherheitsrisiken zu reduzieren. Sie gibt deinem Unternehmen mehr Kontrolle darüber, was nach einem Fehler passiert:

  • Starke, einzigartige Passwörter reduzieren die Wiederverwendung.
  • Verschlüsselte Tresore halten den Zugriff von nicht freigegebenen, unsicheren Kanälen wie Chats und Tabellen fern.
  • 2FA reduziert das Risiko, dass ein gestohlenes Passwort verwendet werden kann, um auf ein Konto zuzugreifen.
  • Überprüfungen von Zugriffsrechten helfen dabei, nicht mehr benötigte Anmeldedaten zu identifizieren und zu widerrufen.

Unser Leitfaden zum Schutz vor Datenlecks für Unternehmen erklärt, wie mehrschichtige Sicherheitskontrollen die Gefährdung verringern, noch bevor es zu einem Datenleck kommt. Bei Anmeldedaten sind diese Schichten wichtig, da Passwörter oft an der Schnittstelle zwischen der normalen Arbeit und sensiblen Systemen stehen. Dies ist besonders für Start-ups und kleinere Teams relevant, bei denen oft die Schnelligkeit bestimmt, wie der Zugriff geteilt wird.

Tech-Start-ups, die nach Sicherheitstipps suchen, können ebenfalls aus den häufigen Fehlern in der Cybersicherheit lernen, die Unternehmen zu Beginn machen, und erfahren, welche Schritte sie unternehmen können, um diese zu vermeiden.

Zugriff sollte nicht vom Gedächtnis abhängen

Menschliche Fehler werden wahrscheinlicher, wenn die Cybersicherheit davon abhängt, dass Angestellte sich zu viele Details merken müssen. Die moderne Arbeitswelt kann Dutzende von Konten, Passwörtern, Zugriffsregeln und Sicherheitsaufforderungen umfassen, die über verschiedene Tools verteilt sind. Ein besserer Ansatz besteht darin, diese Belastung so weit wie möglich zu reduzieren, indem sichere Prozesse in die bereits verwendeten Tools und Arbeitsabläufe integriert werden. Ein besseres Modell ist es, die Gedächtnisarbeit wo immer möglich zu verringern.

Mit einem sicheren Passwort-Manager für Unternehmen können Teams starke Passwörter generieren, Anmeldedaten in verschlüsselten Tresoren speichern, automatisches Ausfüllen nutzen, den Zugriff sicher teilen, Passkeys verwalten und die integrierte Zwei-Faktor-Authentifizierung nutzen. Administrator-Funktionen wie Passwortrichtlinien, Berichte, Protokolle, rollenbasierte Zugriffskontrolle, SCIM-Bereitstellung und SSO-Integrationen helfen Unternehmen dabei, Anmeldedaten mit weniger Abhängigkeit von informellen Gewohnheiten zu verwalten.

Das richtige Tool verändert die Art der Arbeit. Wenn es einen freigegebenen Weg gibt, Anmeldedaten zu erstellen, zu speichern und zu teilen, muss sich das Unternehmen nicht mehr darauf verlassen, dass jeder seine eigene Übergangslösung erfindet.

Überprüfe die Systeme rund um den Fehler

Wenn ein Angestellter einen Fehler bei der Cybersicherheit macht (wie das Gefährden eines Passworts), muss dein Unternehmen das System betrachten, das diesen Fehler zugelassen hat, und diese Bedingungen beheben.

Hier sind einige Fragen, die du dir stellen musst:

  • Hat die angestellte Person ein schwaches Passwort verwendet, weil das Unternehmen keinen Passwort-Manager hatte?
  • Wurden Anmeldedaten im Chat geteilt, weil es keinen freigegebenen Freigabeprozess gab?
  • Behielt jemand nach einem Rollenwechsel den Zugriff, weil das Offboarding unklar war?
  • Wurde ein Update verzögert, weil den Beteiligten keine Zeit gegeben wurde, Geräte sicher neu zu starten?

Die angestellte Person benötigt möglicherweise Support oder Anleitung, und grobe Fahrlässigkeit zieht unter Umständen Konsequenzen nach sich, aber das Unternehmen muss auch den Arbeitsablauf, die Richtlinie oder die Funktionslücke beheben, die das Entstehen des Risikos ermöglicht hat.

Unser Cybersicherheitsbericht für KMU kann Unternehmen dabei helfen, zu verstehen, wie kleine und mittlere Unternehmen über Risiken und Kontrollen in der Cybersicherheit denken. Für viele besteht die Herausforderung darin, das Bewusstsein in Prozesse umzusetzen, die zur tatsächlichen Arbeit passen.

Praktische Wege zur Reduzierung menschlicher Fehler in der Cybersicherheit

Die Reduzierung menschlicher Fehler in der Cybersicherheit erfordert ein besseres Umfeld für alltägliche Entscheidungen. Beginne mit den Bereichen, in denen Fehler am häufigsten vorkommen und den größten Schaden anrichten:

  • Nutze einen Passwort-Manager für Unternehmen, damit Angestellte Passwörter nicht manuell erstellen, sich merken oder speichern müssen.
  • Setze starke Passwortrichtlinien durch und fördere generierte Passwörter für geschäftliche Konten.
  • Aktiviere 2FA für sensible Systeme und mache es dort zur Pflicht, wo das Risiko am höchsten ist.
  • Ersetze das informelle Teilen von Anmeldedaten durch das Teilen über verschlüsselte Tresore.
  • Überprüfe den Zugriff, wenn Personen dem Unternehmen beitreten, es verlassen, die Rolle wechseln oder ein Projekt abschließen.
  • Halte Software, Browser und Geräte auf dem neuesten Stand und formuliere klare Erwartungen bezüglich Update-Aufforderungen.
  • Richte einen einfachen Meldeprozess für verdächtige E-Mails, versehentliche Klicks und Beinahe-Vorfälle ein.
  • Sprich über Fehler, ohne Schuldzuweisungen zu machen, damit Angestellte Probleme melden, bevor sie eskalieren.

Die besten Ergebnisse werden erzielt, wenn das Unternehmen aufhört, menschliche Fehler ausschließlich als Schulungsproblem zu betrachten. Angestellte benötigen Anleitung, aber sie brauchen auch leicht verständliche Prozesse, Sicherheitsfunktionen, die riskante Tastaturkürzel reduzieren, und eine Kultur, in der das Melden eines Fehlers als Beitrag zum Schutz des Unternehmens angesehen wird und nicht als ein Versagen, das man ausblenden muss.

Sicheres Verhalten einfacher machen als das Tastaturkürzel

Menschliche Fehler werden immer Teil der Cybersicherheit sein, weil Menschen immer Teil von Unternehmen sein werden. Sie müssen immer Nachrichten öffnen, den Zugriff genehmigen, Konten erstellen, Dateien teilen, Updates installieren und Entscheidungen treffen. Die Cybersicherheit deines Unternehmens kann sich schlichtweg nicht darauf verlassen, dass Menschen stets richtig handeln, es sei denn, dies ist auch der einfachste Weg.

Für KMU ist das nützlichste Umdenken zu beobachten, wo Tastaturkürzel Teil des Arbeitsablaufs werden. Diese Muster zeigen, wo das Unternehmen den Pfad für die Angestellten neu gestalten kann: das Erstellen starker Anmeldedaten vereinfachen, den Zugriff in kontrollierten Tresoren halten, strengeren Schutz bei höherem Risiko verlangen und das Melden als normalen Sicherheitsschritt etablieren.

Mit einem Passwort-Manager für Unternehmen können Teams sichere Gewohnheiten im Umgang mit Anmeldedaten im Arbeitsalltag leichter umsetzen.