Anwendende treffen tagtäglich Entscheidungen, welche einen Einfluss auf die Informationssicherheit haben. Sie entscheiden sich, sensible Informationen auf Social Media zu posten, ihr Smartphone oder Notebook unbeaufsichtigt zu lassen, sie nutzen unsichere Passwörter oder vergessen, den Bildschirm bei Abwesenheit zu sperren.

Dieses Kapitel beleuchtet die Rolle der Menschen als „Bedrohung“ näher. Zunächst werden Szenarien vorgestellt, in welchen Menschen bewusst oder unbewusst mit ihren Entscheidungen die Informationssicherheit gefährden können. Die Gründe, Ursachen und Motive für dieses „falsche“ Verhalten sind vielfältig. Deren Verständnis ist wichtig, um Menschen dabei zu unterstützen, zu Sicherheitsfaktoren zu werden. Der zweite Teil des Kapitels beschäftigt sich mit dem Phänomen der Malicious Insider und betrachtet speziell die Bedrohung, die von den eigenen Mitarbeitenden oder anderen Insidern für die Informationssicherheit ausgehen kann, wenn diese in böswilliger Absicht handeln.

Menschen verhalten sich nicht immer „informationssicherheitskonform“ (information security compliant). Anwendende, die unbewusst oder bewusst Richtlinien ignorieren, sich am Arbeitsplatz und außerhalb der Organisation unbedacht oder fahrlässig verhalten, können die Informationssicherheit der eigenen Organisation gefährden. Die Gründe für ein abweichendes (non-compliant) Verhalten sind sehr vielfältig, und in vielen Fällen kann den Anwendenden nicht einmal ein Vorwurf gemacht werden. Mitarbeitende konzentrieren sich auf die Erledigung ihrer primären Aufgaben, und das für die Einhaltung von Sicherheitsmaßnahmen erforderliche Verhalten stellt oft ein Hindernis auf diesem Weg dar. Dieser Konflikt zwischen Sicherheit und Produktivität ist ein häufiger Grund für Non-Compliance (Beautement et al., 2008).

Bild 2.1 zeigt aus einem anderen Kontext, wie leicht eine Sicherheitsmaßnahme als Hindernis gesehen werden kann. Sie versperrt wortwörtlich den Weg und hindert das Erreichen des eigentlichen Ziels. So wird sie einfach umgangen bzw. umfahren.

Dieser Abschnitt zeigt zunächst typische Beispiele und Szenarien aus dem Unternehmensalltag, in welchen Mitarbeitende mit ihrem Verhalten die Sicherheit von Unternehmensinformationen beeinflussen können. Im Anschluss werden mögliche Gründe oder Ursachen fürunsicheres Verhalten aufgezeigt. Es ist wichtig, diese Gründe zu kennen und zu verstehen, um Menschen aus der Rolle „Bedrohung“ in die Rolle „Sicherheitsfaktor“