Human Firewall

Was ist eine Human Firewall?

Der Ausdruck Human Firewall erscheint in einer Kampagne der ENISA, die Menschen zum Schutz gegen Cyberangriffe aufruft. Laut BSI können die Handlungen von Menschen Sicherheitsmaßnahmen entweder unterstützen oder untergraben. Eine Gefahr besteht darin, dass Nutzer getäuscht werden, damit sie sensible Daten preisgeben oder Schadsoftware installieren. So verloren zahlreiche Firmen hohe Geldbeträge, weil Mitarbeiter aus der Buchhaltung mit gut recherchierten Informationen gezielt angesprochen und von vermeintlichen Geschäftsführern oder Lieferanten zu Zahlungen angewiesen wurden.

Erkennen Fachkräfte eines Versicherers gefälschte Zahlungsanweisungen oder Phishing-Mails frühzeitig und wenden geeignete Schutzmaßnahmen an, leisten sie einen aktiven Beitrag zur Informationssicherheit. IT-Sicherheit ist so gut wie der Mensch, der die Systeme bedient; aus diesem Grund sieht das BSI den Menschen nicht als Sicherheitslücke, sondern als Abwehrschirm gegen Cyber-Angriffe. Die Rhetorik vom „Faktor Mensch“ kann aus dieser Sicht tendenziell destruktiv wirken. Eine Kombination aus Technik, Schulung/Sensibilisierung und Sicherheitskultur ist der Schlüssel zu einer robusten Informationssicherheitsstrategie eines Unternehmens. Systeme sollten so gestaltet sein, dass sie sicheres Verhalten erleichtern.

Wie entsteht eine Human Firewall?

Passgenaue Schulungen und Sensibilisierungen können erreichen, dass Mitarbeiter die für ihre Aufgaben relevanten Gefahren frühzeitig erkennen, geeignete Schutzmaßnahmen anwenden und damit einen aktiven Beitrag zur Informationssicherheit des Unternehmens leisten.

Nach Artikel 20 Absatz 2 der NIS-2-Richtlinie stellen die Mitgliedstaaten sicher, dass die Mitglieder der Leitungsorgane wesentlicher und wichtiger Einrichtungen an Schulungen teilnehmen müssen, und fordern wesentliche und wichtige Einrichtungen auf, allen Mitarbeitern regelmäßig entsprechende Schulungen anzubieten. Artikel 21 Absatz 2 Buchstabe g der Richtlinie führt grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit auf. Auch § 30 Absatz 2 Nummer 7 BSIG führt unter den Risikomanagementmaßnahmen grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik auf (vorbehaltlich der Ausnahmen in § 28 BSIG).

Human Firewall im Vergleich

Während eine Firewall nach dem BSI-Baustein NET.3.2 ein System aus soft- und hardwaretechnischen Komponenten ist, das dazu eingesetzt wird, IP-basierte Datennetze sicher zu koppeln, spricht der Ausdruck Human Firewall Menschen als Schutz gegen Cyberangriffe an.

Security-Awareness-Training ist dagegen eine Maßnahme, bei der durch passgenaue Schulungen und Sensibilisierungen erreicht werden kann, dass Mitarbeiter Gefahren frühzeitig erkennen.

Woran erkenne ich eine wirksame Human Firewall?

Security-Awareness-Maßnahmen sind laut BSI dann erfolgreich, wenn sie die Zielgruppen befähigen und den einzelnen Menschen für mehr Cyber-Sicherheit motivieren.

Schutz im Ernstfall

Vorbeugen

• Systeme so gestalten, dass sie sicheres Verhalten erleichtern.
• Cyberhygiene und Schulungen einplanen: Artikel 21 Absatz 2 Buchstabe g der NIS-2-Richtlinie führt grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit auf.
• Schulungen auffrischen: Das BSI hält es für zweckmäßig, im Rahmen der Ersteinweisung von Mitarbeitern Schulungen durchzuführen und um jährliche Information über aktuelle Neuerungen zu ergänzen.

Was tun im Ernstfall

• Zweifelhafte Zahlungsaufforderungen prüfen: Das BSI empfiehlt, zweifelhaften Aufforderungen nach Geld per E-Mail oder Anruf nicht nachzukommen, die Kommunikation zu beenden und die Anfrage über einen anderen Kommunikationsweg zu verifizieren.