Cybercrime 2024 und die Verhaltenspsychologie „Letztlich hängt alles am Faktor Mensch“

Anbieter zum Thema

Agentur für Innovation in der Cybersicherheit GmbH

SoSafe SE

G DATA CyberDefense AG

Materna Information & Communications SE

secunet Security Networks AG

„Kriminelle brauchen immer weniger Skills und immer weniger ­Organisationspower, um einen wirklich guten Angriff zu fahren. Letztlich wird uns das vor ein Mengenproblem stellen“, so Ralf Schneider, Senior Fellow, Head of Cyber Security and NextGenIT Think Tank der Allianz SE. Forschende haben nun neue Ideen und Technologien entwickelt, um das „digitale Ich“ zu schützen. Kann die Verhaltenspsychologie womöglich eine Lösung für die ­Sicherheit in der digitalen Welt sein?

Mehr digitale Zugänge zu öffentlichen Dienstleistungen und eine sich stetig verbessernde Künstliche Intelligenz bringen die Sicherheitskultur im Cyberraum ins Wanken. Der öffentliche Sektor bot ­Hackern schon immer eine große und beliebte Angriffsfläche. Deshalb ist es so wichtig für die Verwaltungen, die IT-Sicherheit auf die oberste Stufe zu stellen. Schwachstellen wird es immer geben, doch diese erkennt man oft erst, wenn es schon zu spät ist. Wie lässt sich unsere Sicherheitskultur also stärken?

Im Cybercrime Trend Report 2024 von SoSafe wird unter anderem der Mensch genauer beleuchtet. Denn die Gefahr geht immer zuerst vom Menschen aus: Jemand sitzt hinter dem Computer, schleust ein Virus ein, versendet automatisch eine Pishing-Mail. Doch Cyberangriffe werden auch von Menschen wieder abgewehrt. „Indem wir die Menschen mit dem Thema Cybersicherheit dort abholen, wo sie stehen und sichere Verhaltensweisen verinnerlichen, können wir uns Cyberbedrohungen effektiv entgegensetzen“, heißt es dort im Report bezüglich Gegenmaßnahmen. Dahingehend hat SoSafe – ein Unternehmen, das Organisationen hilft, Bewusstsein für die Risiken in der digitalen Welt zu schaffen, menschliche Risiken zu managen und zu minimieren – ­eine Awareness-Plattform entwickelt, um die Sicherheitskultur zu stärken. Diese orientiert sich am Lernen (Micro Learning), am Transfer (Angriffssimulationen), am Handeln (Risk Monitoring) und an der Vernetzung (Rapid Awareness).

Wie sicher ist eigentlich das digitale Ich?

Vergessen sollte man nicht, dass das Ziel ebenso wenig das System ist, sondern die Daten dahinter und der Mensch davor. Auch die Cyber­agentur in Halle (Saale) setzt daher auf sichere Verhaltensweisen. Bis vor Kurzem wurden Teilnehmende mit neuen bahnbrechenden Ideen zu einem neuen Forschungsprojekt gesucht: „Digitale Authentifizierung durch neuartige biometrische Verfahren“ (AuBi). Kristin Biegner, Projektleiterin in der Cyberagentur, erklärte: „Klassische biometrische Verfahren sind die, die wir jetzt schon täglich nutzen, wie ein Gesichtserkenner oder ein Fingerabdruck. Der Scope der Cyberagentur ist, dass wir jetzt schon erforschen, was in zehn bis 15 Jahren einmal relevant sein könnte und diese Projekte initiieren und finanzieren wir.“

„Letztlich hängt alles am Faktor Mensch. Die richtigen Menschen zu finden und ihnen die Möglichkeiten zu bieten, sich eigenverantwortlich weiterzubilden. Wenn man keine Capability oder Awareness im Unternehmen hat, dann nützen sämtliche Technologien nur bedingt etwas“, sagte auch Ralf Schneider, Senior Fellow, Head of Cyber Security and NextGenIT Think Tank bei Allianz SE.

In der Cyberagentur wird vor allem die Grundlagen-Forschung gefördert. Neue Ideen werden gesucht und entwickelt – und man stellt sich die Frage: „Kann es in der Theorie funktionieren?“ Und auch auf die Frage „Was ist in zehn bis 15 Jahren relevant?“ antwortete Biegner sicher: „Das wissen wir nicht, wir können nur mutmaßen. Die Herausforderung dabei wird sein, Fiktion von Realität zu unterscheiden.“ Also, welche Ideen lassen sich am Ende umsetzen und welche Herausforderungen können gemeistert werden?

Dazu wurden drei Themenfelder bzw. „Research Areas“ herausgearbeitet, die das eingrenzen und näher beleuchten sollen:

• 1. Verhaltensbiometrie: Das sind Verfahren, die kontinuierlich Verhaltensweisen aufzeichnen. Ein Beispiel hierfür ist das Handy, weil bestimmte Sensoren durch die Aufzeichnung der Gangart erkennen, dass es in meiner eigenen Hosentasche liegt. Wenn es aber gestohlen wird und sich die Gangart des Menschen plötzlich ändert, sperrt sich das Handy automatisch. Kontinuierliche Messungen sind daher sinnvoll und sicher. Das Ganze funktioniert auch mit der Tastatur: Wie tippe ich? Wie nutze ich eine Maus? Die Technik muss außerdem gesellschaftlich akzeptiert werden: „Die gesellschaftliche Einbettung ist auch für den einzelnen Bürger wichtig, gewährleistet Datensicherheit und fördert die Nutzerfreundlichkeit. Denn die tollste Technik bringt uns nichts, wenn sie nicht benutzt werden kann oder will“, erklärte Biegner.

• 2. Stimulus-induzierte Biometrie: Ein spezifischer Reiz wird ausgesendet und dessen körperliche Reaktion aufgezeichnet. Der Stimulus kann ein Bild, ein Ton oder eine Vibration sein. Zum Beispiel: Eine Smartwatch gibt einen Ton ab, der durch das ganze Gewebe am Handgelenk, durch die Haut und durch das Fettgewebe dringt. Der Ton verändert sich mit jedem Körper und wird auf der anderen Seite wieder aufgenommen. Dadurch entsteht ein Pärchen: Ein Stimulus und die Reaktion. „Jeder Körper ist anders und daher nur schwer zu kopieren. Wenn man den Ton stiehlt, kann man auch einen neuen Ton abspielen, der mit meinem anderen Handgelenk abgestimmt ist“, teilte die Projektleiterin mit.

• 3. Universelle Muster: Auch hier gibt es einen Stimulus. Die Besonderheit und der Unterschied ist jedoch, dass die Reaktion auf den Reiz bei jedem Menschen gleich ist. Demnach hat das Gehirn verschiedene Reaktionen, die sich in Wellen äußern. „Die Idee ist, dass ich ein Bild ansehe und das Gehirn mit einer ‚Ich erkenne mich wieder‘-Welle antwortet. Ich sehe einen Freund und ich denke ‚Den kenne ich!‘, ich sehe mich selbst und ich weiß ‚Das bin ich!‘. Genauso funktioniert das auch bei einem Fremden“, führte Biegner weiter aus.

Gibt es einen Reiz, der für alle gleich ist? Das wird die Forschung zeigen. Die Leiterin ergänzte dazu, dass es auch eine bestimmte Augenbewegung oder eine minimale Änderung des Herzschlags sein kann. Dadurch würden sich neue Möglichkeiten eröffnen. Man müsse nicht mehr extra das Passwort speichern, finden oder merken. Denn jeder hat das Passwort immer bei sich.

„Die Technik muss auch kryptographisch sicher sein. Die Systeme müssen eine geeignete Schlüssel- oder Hash-Länge haben und intrinsisch sicher sein“, denn laut Biegner handelt es sich vor allem bei der Biometrie lediglich um Wahrscheinlichkeiten: Wenn ein bestimmtes Passwort falsch eingegeben wird, kann man sich nicht einloggen. Bei der Biometrie gibt es aber eine gewisse Wahrscheinlichkeit, dass man falsch eingeloggt wird, weil ein Mensch nicht jeden Tag gleich aussieht. „Mal kann es heller, mal dunkler sein. Heute bin ich geschminkt oder trage eine ­Brille. Man wird also nur bei einer gewissen Wahrscheinlichkeit eingeloggt und das wird gerade bei Zwillingen auch zu einem Problem“, erklärte sie. Diese Rückweisungsraten oder Falschakzeptanzen werden in der Forschung ­berücksichtigt und sollen perfektioniert werden, sodass „jeder, der nicht ‚Ich‘ ist, zurückgewiesen wird“.

„Digitale Identitäten betreffen uns alle“, so Biegner. „Die Vergangenheit hat gezeigt, dass alles schnell mal ins Wanken geraten kann, wie mit dem Crowdstrike-Vorfall, der die halbe Welt lahmgelegt hat. Auch das Potsdam-Institut für ­Klimafolgenforschung (PIK) hat gezeigt, dass Daten, die online geführt werden, anfälliger für Diebstahl sind. Vorfälle wie diese werden auch in Zukunft geschehen. Deshalb ist es so wichtig, weiter zu forschen, um Sicherheit zu gewährleisten, bevor es überhaupt zum Angriff kommt.“ Doch bis neue Ansätze wie die der Cyberagentur auf den Markt kommen, muss noch ­einiges geschehen. Das Projekt läuft gerade erst an: „Nichtsdestotrotz wird aus diesem Projekt eine gute Basis entstehen; ein Nährboden für die nächsten zehn Jahre. Ob sich daraus eine Pflanze entwickelt, wird sich noch zeigen“, ­sagte Biegner.

IT-Security

Der Boom von Cybercrime – was tun im Ernstfall?

IT-Sicherheit

Leitfaden zur NIS-2-Compliance bis Oktober

(ID:50149513)