c’t-Podcast: „Nutzer sind nicht der Feind“

Der Angreifer benötigte kein Deepfake oder eine KI. Ein Anruf auf Niederländisch genügte: Ein angeblicher IT-Kollege brachte Anfang 2026 eine Mitarbeiterin im Callcenter des Mobilfunkanbieters Odido dazu, sich auf einer nachgebauten Login-Seite anzumelden – inklusive zweitem Faktor. Am Ende waren nach Angaben des Unternehmens die Daten von mehr als sechs Millionen Kundinnen und Kunden abgeflossen. Hinter dem Angriff wird die kriminelle Gruppe ShinyHunters vermutet. Die niederländische Polizei spielte die Stimme des Anrufers später im Fernsehen ab.

Wer solche Fälle als menschliches Versagen abtut, macht es sich zu einfach, sagt Angela Sasse im c't-Podcast "They Talk Tech" mit Svea Eckert und Eva Wolfangel. Die Psychologin und promovierte Informatikerin forschte fast 30 Jahre am University College London und ist seit 2018 Professorin für Human-Centred Security an der Ruhr-Universität Bochum. 1999 veröffentlichte sie mit Anne Adams den Aufsatz "Users Are Not the Enemy", bis heute einer der meistzitierten Texte des Fachs. Darin untersuchte sie, wieso Menschen IT-Sicherheit häufig missachten, indem sie zum Beispiel statt komplexer alphanumerischer Zeichenketten leicht zu erratenden Passwörter nutzen.

Hohe Kosten, genervte Mitarbeiter, keine Sicherheit

"Schon damals war klar, dass die klassischen Sicherheitsmaßnahmen der Informatik nicht funktionieren, weil sie nicht auf den Menschen abgestimmt sind", sagt Sasse. Anstatt daraus die logischen Konsequenzen zu ziehen und Sicherheitsmechanismen zu entwickeln, die Menschen auch gut umsetzen zu können, betrachteten viele Fachleute in der IT-Sicherheit die Anwender als das Problem.

Bis heute untersucht Sasse, wie etwa Beschäftigte in Unternehmen mit Sicherheitsanforderungen umgehen – seien es Passwörter oder auch die aktuell beliebten Awareness-Trainings und Test-Phishing-Emails. Das Ergebnis: Die Regeln überfordern das menschliche Gedächtnis, sie werden umgangen und kosten viel Arbeitszeit. "Man hat also große Kosten, unzufriedene Nutzer und keine Sicherheit", fasst Sasse zusammen. Nur: Diese Kosten werden häufig nicht gesehen. Angela Sasses einfachste Leitlinie lautet seither: Wer eine Sicherheitsregel aufstellt, muss feststellen, wer wie viel Zeit aufwenden muss, um sie einzuhalten. "Das passiert bis heute in schätzungsweise 90 Prozent der Unternehmen nicht."

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.

Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden. Damit können personenbezogene Daten an Drittplattformen (Podigee GmbH) übermittelt werden. Mehr dazu in unserer Datenschutzerklärung.

Passwörter hält sie für ein Relikt aus den 1960er-Jahren, als wenige Fachleute je einen Zugang zu einem Rechner hatten. Heute haben viele Menschen Hunderte Konten. Mit Passkeys sieht Sasse einen der großen Fortschritte der vergangenen Jahre: Statt Passwörtern werden kryptografische Schlüssel ausgetauscht, die sich nicht auf einer gefälschten Login-Seite abgreifen lassen.

Geschäftsmodell Awareness

Aber es gibt natürlich neue Probleme, die mit dem gleichen Mindset angegangen werden, warnt sie. Zum Beispiel Phishing-Emails, die nicht nur besser werden, sondern immer häufiger auch die Grundlage für Cyberangriffe bilden. "Der erste Impuls ist immer: 'Dann geben wir den Angestellten einfach mehr Trainings'," sagt Sasse. Aber das führt zu den gleichen Problemen und Herausforderungen wie bei den Passwörtern. Denn es sei eine unmögliche Aufgabe, im täglichen Mailaufkommen jede Nachricht kritisch zu prüfen. "Wenn wir das tun, kommen wir nicht mehr zum Arbeiten", sagt sie.

Dabei lasse sich vieles davon technisch lösen: Mit kryptografischen Verfahren zum Beispiel lassen sich E-Mails so sortieren, dass nur jene im Posteingang landen, die tatsächlich von dem Absender kommen, der sie vorgeblich abgeschickt hat. Dann müsse man nur die wenigen unverifizierten Nachrichten mit voller Aufmerksamkeit prüfen. Dass solche Lösungen selten eingesetzt werden, erklärt Sasse auch mit dem Geschäftsmodell der Awareness-Anbieter: Die Schulung sei zumindest kurzfristig billiger als technische Maßnahmen, so dass Verantwortliche in den Unternehmen den Versprechen Glauben schenkten, dass geschulte Angestellte Cyberangriffe verhindern können. Das funktioniere nur nicht. "Wir sind so angreifbar, weil wir technische Maßnahmen ignorieren", erklärt Sasse. "Am Ende ist Awareness-Training deutlich teurer." Nicht nur, weil es Menschen vom Arbeiten abhalte, sondern weil es schlicht unmöglich sei, im Arbeitsalltag jede Phishing-Email sicher zu erkennen.

Mit Sorge blickt Sasse auf KI in der Softwareentwicklung. "Wenn Unternehmen jetzt glauben, dass sie die Hälfte ihrer Entwickler einsparen können, verschärft das die bestehenden Probleme", warnt sie. Denn KI-generierter Code beinhalte Sicherheitslücken, die Laien nicht erkennen. Dass KI auch beim Aufspüren von Sicherheitslücken hilft, gleiche das nicht aus. "Schwachstellen zu finden ist einfach. Schwachstellen zu schließen ist viel, viel aufwendiger."

„They Talk Tech“ erscheint jeden Mittwoch überall, wo es Podcasts gibt. Svea Eckert und Eva Wolfangel diskutieren ein Tech-Thema oder treffen inspirierende Frauen aus und rund um die Tech-Welt.