Der menschliche Faktor: Warum Menschen das schwächste Glied in der Cybersicherheit bleiben

In einer Zeit, in der sich Cyberbedrohungen schneller denn je entwickeln, verstärken kleine und mittlere Unternehmen (KMU) ihre digitale Abwehr mit modernsten Tools, robusten Firewalls und fortschrittlicher Verschlüsselung.

Doch trotz Milliardeninvestitionen in Technologie ist die hartnäckigste Schwachstelle nicht Code oder Hardware – es sind wir.

Der menschliche Faktor

Der menschliche Faktor, der Fehler, Versäumnisse und Anfälligkeit für Social Engineering umfasst, ist für die Mehrheit der Verstöße verantwortlich. Dieser Beitrag stützt sich auf den Verizon Data Breach Investigations Report (DBIR) von 2025 und andere führende Analysen und untersucht, warum Menschen der kritischste Schwachpunkt bei Cyberangriffen sind, und bietet umsetzbare Strategien zur Minderung dieses allzu menschlichen Risikos.

Wie in unserem aktuellen Leitfaden zu wesentlichen Cybersicherheitsstrategien für kleine Unternehmen hervorgehoben wird, lassen sich etwa 6 von 10 Verstößen auf menschliche Fehler oder Versäumnisse zurückführen. Aber die Daten zeichnen ein noch düstereres Bild: Das menschliche Element ist in bis zu 95 % der Vorfälle involviert, was es nicht nur zu einem Faktor, sondern zum Dreh- und Angelpunkt moderner Cyberbedrohungen macht. Packen wir die Zahlen und Implikationen aus.

Die alarmierenden Statistiken: Menschen als primäres Ziel

Cyberangreifer haben schon immer auf Vorhersehbarkeit gesetzt, aber sie haben ihre Taktiken geändert, als die Systeme härter wurden. Wo früher Exploits dominierten, regiert heute Social Engineering – die Manipulation von Menschen zur Preisgabe vertraulicher Informationen. Laut dem Verizon DBIR 2025 war Social Engineering an 22 % der Verstöße beteiligt, was einen deutlichen Anstieg gegenüber den Vorjahren darstellt, wobei allein Phishing 16 % aller Vorfälle auslöste. Umfassendere Analysen bestätigen diesen Trend:

• 74 % der Verstöße beinhalten das menschliche Element: Dies umfasst Fehler, Missbrauch von Berechtigungen, gestohlene Anmeldedaten oder Social Engineering, gemäß dem 2024 Cost of a Data Breach Report von IBM (wobei die Prognosen für 2025 stabil bleiben). Davon entfallen fast 30 % der weltweiten Verstöße auf Phishing, was durchschnittlich 4,91 Millionen Dollar pro Verstoß kostet – weit mehr als andere Vektoren.
• Bis zu 95 % auf menschliches Versagen zurückzuführen: Eine Mimecast-Studie von 2025 ergab, dass 95 % der Datenschutzverletzungen im Jahr 2024 auf Insider-Bedrohungen, Missbrauch von Anmeldedaten oder benutzerbedingte Fehler zurückzuführen sind, die oft durch Müdigkeit oder unzureichende Schulung verstärkt werden. In ähnlicher Weise beziffert die Stanford-Forschung Mitarbeiterfehler auf 88 % der Verstöße.
• Explosives Wachstum von Phishing: 80-95 % der mit Menschen verbundenen Verstöße beginnen mit Phishing, wobei die Angriffe seit dem Debüt von ChatGPT im Jahr 2022 um 4.151 % gestiegen sind, was durch KI-generierte Köder angeheizt wird. Das FBI meldete allein im Jahr 2024 Verluste in Höhe von 2,77 Milliarden Dollar durch Business Email Compromise (BEC)-Betrug.

Diese Zahlen unterstreichen eine bittere Wahrheit: Während Technologieinvestitionen die technischen Schwachstellen reduziert haben, haben sich die Angreifer dem „weichen Unterbauch“ zugewandt – den Menschen. Im Gegensatz zu Maschinen operieren Menschen nicht in Binärdateien; wir werden von Dringlichkeit, Vertrauen, Neugier oder Erschöpfung beeinflusst. Ein einziger Klick auf einen bösartigen Link kann Schutzschichten aufheben und einen wachsamen Mitarbeiter in ein unwissentliches Einfallstor verwandeln.

Warum Menschen das schwächste Glied in der Cybersicherheit bleiben

Der menschliche Faktor ist nicht nur weit verbreitet, sondern auch grundlegend. Cyberabwehr ist nur so stark wie die Menschen, die sie durchsetzen. Hier ist der Grund, warum sie andere Risiken in den Schatten stellt:

1. Unvorhersehbarkeit und Ausmaß: Maschinen folgen Regeln; Menschen nicht. Da die Telearbeit die Grenzen verwischt, setzen BYOD-Richtlinien (Bring Your Own Device) 50 % der kompromittierten Maschinen gemischten persönlichen und geschäftlichen Daten aus, so der DBIR 2025. Eine übersehene E-Mail in einem Team von 50 Personen kann sich zu einer organisationsweiten Gefährdung ausweiten.
2. Wirtschaftliche Anreize für Angreifer: Die Ausnutzung von Menschen ist billig und effektiv. Pretexting – das Erstellen glaubwürdiger Szenarien – treibt heute über 50 % der Social-Engineering-Angriffe an, was sich seit 2023 verdoppelt hat, da es Malware vollständig umgeht. Für KMU, deren IT-Budgets knapp sind, begünstigt diese Asymmetrie die Angreifer.
3. Zusätzliche Kosten: Von Menschen initiierte Verstöße dauern am längsten. Der Diebstahl von Anmeldedaten dauert 328 Tage, um ihn einzudämmen (gegenüber dem globalen Durchschnitt von 277 Tagen), was die Kosten um Millionen erhöht. Reputationsschaden? Noch schlimmer – 43 % der Opfer verlieren nach dem Verstoß Kunden.

Kurz gesagt, Menschen sind kein Fehler im System; sie sind das Merkmal, das Angreifer am zuverlässigsten ausnutzen. Da Systeme schneller gepatcht werden, wird die „menschliche Firewall“ zum entscheidenden Schlachtfeld.

Zähmung des menschlichen Risikos: Praktische Schritte für KMU

Die gute Nachricht? Menschliche Schwachstellen sind trainierbar. So bauen Sie Resilienz auf:

Stärkung des Bewusstseins und der Schulung

• Laufende Simulationen: Führen Sie monatliche Phishing-Übungen durch – Verizon stellt eine globale Melderate von 20 % in Simulationen fest, aber konsequentes Üben erhöht sie auf 40 %. Passen Sie sie an die Rollen an: Vertriebsteams sind mit Business Email Compromise konfrontiert, Entwickler erkennen Fehlkonfigurationen.
• Micro-Learning-Module: Kurze, rollenspezifische Tipps (z. B. „Phishing bei der Docusign-Anmeldung erkennen“) reduzieren Fehler laut Branchen-Benchmarks um 70 %.

Technische Schutzmaßnahmen durchsetzen

• MFA überall: Es blockiert 99 % der Kontoübernahmeversuche, dennoch schreiben es nur 50 % der KMU vollständig vor. Kombinieren Sie es mit Passwort-Managern, um die Wiederverwendung einzudämmen (ein Faktor bei 30 % der Verstöße).
• Passkeys nach Möglichkeit erzwingen: Passkeys bieten von Natur aus Multifaktor-Authentifizierung und sind von Natur aus phishing-resistent.
• Zero-Trust-Zugriff: Überprüfen Sie jede Anmeldung, unabhängig von der Quelle – reduziert Risiken durch Dritte, die jetzt bei 30 % der Verstöße liegen.

Förderung einer Sicherheitskultur

• Vorfall-Playbooks: Einfache Anleitungen für „Was wäre wenn“-Szenarien ermöglichen eine schnelle Isolierung und reduzieren Ausfallzeiten um 50 %.
• Anbietervetreuung: Überprüfen Sie Partner vierteljährlich; gemeinsam genutzte Anmeldedaten haben die Beteiligung an Verstößen im letzten Jahr auf 30 % verdoppelt.

Stärken Sie Ihr Team: Der menschenzentrierte Ansatz

Der menschliche Faktor mag die größte Bedrohung sein, aber er ist auch Ihr größtes Kapital, wenn er richtig ausgestattet ist. Bei Vali.now sind wir auf maßgeschneiderte Schulungen und Scans spezialisiert, die sich mit den Risiken befassen, bei denen der Mensch im Vordergrund steht, und KMU helfen, die Wahrscheinlichkeit von Verstößen um bis zu 60 % zu reduzieren. Vereinbaren Sie noch heute eine kostenlose Schwachstellenbewertung, um Ihre menschlichen Lücken zu identifizieren.

Bleiben Sie menschlich, bleiben Sie sicher.

Daten adaptiert von Verizons 2025 DBIR, IBMs 2024/2025 Cost of a Data Breach, Mimecasts State of Human Risk Report, und mehr.