Security: Der Phish stinkt vom Kopf her
Inhalt
Irren ist menschlich. Versagen technisch. Die Alltagserfahrung zeigt: Menschen machen Fehler – gerade dann, wenn sie unter Stress oder Zeitdruck stehen oder ungewohnte Dinge tun müssen. Und: Technik versagt spontan – häufig zur absoluten Unzeit und auch aus durchaus bizarren und unvorhersehbaren Gründen.
Bei alltagstauglichen, ausgereiften Technologien erwarten und verlangen wir, dass Laienfehler keine dramatischen, weitreichenden Konsequenzen zeitigen, solange die Laien nicht vorsätzlich und aktiv mehrere Schutzeinrichtungen überwinden.
Bereits mit dem Aufkommen der Dampfmaschinen kam die Erkenntnis, dass es komplett inakzeptabel ist, wenn technische Mängel oder Bedienfehler Einzelner das Leben und die Lebensgrundlage vieler zerstören – etwa, indem eine Fabrik explodiert. Werner von Siemens erklärte schon 1880: "Die Verhütung von Unfällen ist nicht eine Frage gesetzlicher Vorschriften, sondern unternehmerischer Verantwortung und zudem ein Gebot wirtschaftlicher Vernunft."
Es wären inakzeptable und absurde Unfälle, wenn die einfache Fehlbedienung eines Gasboilers regelmäßig Häuser sprengen oder einfache Fehler beim Tanken binnen Sekunden eine katastrophale Explosion einer Tankstelle auslösen würden.
In der IT aber sollen wir es als unvermeidlich hinnehmen, dass einfache Laienfehler die gesamte IT einer Institution gefährden, den Bestand von Arbeitsplätzen und Unternehmen sowie die Sicherheit von ''Passagieren der IT-Systeme'' (also der Betroffenen nach DSGVO)?
Ist IT keine alltagstaugliche und ausgereifte Technologie? Ist sie noch experimentell, frisch aus dem Labor geschlüpft und braucht Welpenschutz? Falls ja, sollte sich unsere Gesellschaft wesentlich weniger abhängig davon machen …
Diese Gedanken mache ich mir, mit der Erfahrung aus mehr als 40 Berufsjahren in der Security, schon länger. Dass ich jetzt hier darüber schreibe, lag aber an meinem Ärger über diese Golem-Meldung und die Foren-Kommentare dazu.
Reale Menschen, die mit einem anderen Mindset einer anspruchsvollen Arbeit nachgehen
Es geht mir vor allem um den Golem-Blick am Ende der Meldung. Er hat mich verärgert – gleich doppelt, denn ich halte ihn für fachlich falsch und ein schlechtes Vorbild. Er übernimmt blauäugig die These, dass Anti-Phishing-Kampagnen wirksam seien, sowie dass User, die auf einen Phishing-Köder hereinfallen, einen schlimmen Fehler machen.
Er verkennt, dass es um reale Menschen geht, die mit einem völlig anderen Mindset einer anspruchsvollen Arbeit nachgehen, die ihre erste Priorität ist und sein soll – gerade im Gesundheitswesen! – und dass ein folgenreicher Phishing-Vorfall regelmäßig ein schlimmer Fehler der IT-Security ist.
Den IT-Laien als zentralen Eckpfeiler der IT-Sicherheit zu betrachten, ist – IMNSHO – schlicht lächerlich und unprofessionell. IT-Laien machen mit Sicherheit sicherheitsrelevante Fehler.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.