Risikomanagement in der menschenzentrierten Sicherheit

Verständnis von menschenzentrierter Sicherheit und Risikomanagement

Sicherheitslösungen können auch aus anderen Gründen als der Stärke der Verschlüsselung oder der Härtung von Servern versagen. Manchmal überspringen Benutzer Schritte, interpretieren Fehlermeldungen falsch oder nehmen Abkürzungen. Sie tun dies, weil sie befürchten, dass dies ihren Fortschritt verlangsamen könnte. In großen Unternehmen summieren sich diese kleinen Momente. Sie können alltägliche Interaktionen zu potenziellen Schwachstellen machen.

Aus diesem Grund setzen immer mehr Teams auf eine menschenzentrierte Sicherheit. Dieser Ansatz betrachtet das Thema Sicherheit aus der Perspektive der Nutzer. Dabei werden ihre Gewohnheiten, Herausforderungen und die Art und Weise, wie sie unter Druck Entscheidungen treffen, berücksichtigt. Das Ziel besteht nicht darin, die Sicherheit um ihrer selbst willen „benutzerfreundlicher“ zu gestalten. Wir möchten realistische Arbeitsabläufe gestalten und die Sicherheit der Menschen bei der Arbeit gewährleisten.

In diesem Artikel werden wir uns mit Möglichkeiten befassen, wie sich durch Menschen verursachte Risiken bewältigen lassen. Wir konzentrieren uns auf das Framework Continuous Product Discovery, insbesondere auf den Aspekt der Gebrauchstauglichkeit, und zeigen einen praxisnahen Ansatz zur Identifizierung, Bewertung und Steuerung sicherheitskritischer Nutzerkontaktpunkte während der kontinuierlichen Weiterentwicklung des Produkts.

Die Rolle menschlicher Faktoren in der Cybersicherheit

Menschenzentrierte Sicherheit ist ein strategischer Ansatz für die Cybersicherheit, bei dem die Erfahrung der Nutzer im Vordergrund steht. Anstatt Sicherheit als rein technologische Herausforderung zu betrachten, konzentriert sich dieser Ansatz darauf, zu verstehen, wie Menschen in realen Kontexten mit Systemen, Produkten und Dienstleistungen interagieren. Ziel ist es, Sicherheitsmaßnahmen nahtlos in die alltäglichen Arbeitsabläufe zu integrieren, um sicheres Verhalten intuitiv zu gestalten und das Risiko menschlicher Fehler zu minimieren.

Warum menschliches Versagen das größte Sicherheitsrisiko bleibt

Menschliches Versagen bleibt eine der Hauptursachen für Sicherheitsvorfälle. Eine Studie von Gartner zeigt, dass über 90% der Arbeitnehmer, die am Arbeitsplatz verschiedene unsichere Verhaltensweisen an den Tag legten, sich voll und ganz bewusst waren, dass ihre Handlungen das Risiko für das Unternehmen erhöhten, und dennoch weitermachten wie bisher. Ein menschenzentriertes Sicherheitskonzept verlagert den Fokus von Technologie, Bedrohungen oder Standort hin zum Einzelnen und räumt der Kontrolle durch den Nutzer sowie der Gestaltung und Umsetzung Vorrang ein. Gartner prognostiziert, dass bis 2027 die Hälfte aller CISOs die Prinzipien des menschenzentrierten Designs formell in ihre Cybersicherheitsstrategien integriert haben wird. Dadurch werden operative Hürden reduziert und die Akzeptanz von Sicherheitskontrollen verbessert.

In Unternehmensumgebungen kann das Ignorieren des menschlichen Faktors schwerwiegende Folgen haben. Beispiele hierfür sind:

• Falsch konfigurierter Cloud-Speicher

• Schwache Passwortpraktiken

• Phishing-Angriffe

Diese Beispiele verdeutlichen ein zentrales Prinzip: Sicherheitsmaßnahmen müssen mit Blick auf den Nutzer entwickelt werden, um wirksam zu sein. Die Nichtbeachtung des menschlichen Verhaltens führt zu Schwachstellen, die durch keine technische Lösung vollständig behoben werden können.

Anwendung der kontinuierlichen Produktentwicklung (CPD) auf das Sicherheitsdesign

Herkömmliche Methoden zur Produktentwicklung, die vor über 30 Jahren etabliert wurden, stützten sich stark auf umfangreiche Untersuchungen der Nutzer und erste Sondierungen vor Beginn der Produktion. Ohne Zugang zu Rapid Prototyping und Validierung kommen diese Ansätze oft bereits in der Phase der Erkenntnisgewinnung und Entdeckung ins Stocken. Im Gegensatz dazu ermöglicht die Continuous Product Discovery (CPD) es Teams, mehrere Ideen schnell und gleichzeitig zu prototypisieren und zu validieren. Indem sie komplexe Produkte oder Dienstleistungen in einzelne Bestandteile zerlegen und ausgewählte Komponenten hinsichtlich ihres Nutzens, ihrer Benutzerfreundlichkeit und ihrer Machbarkeit prüfen, können Teams fundierte Erkenntnisse gewinnen, bevor sie größere Investitionen tätigen.

CPD legt Wert auf Agilität und eine nutzerorientierte Weiterentwicklung durch kontinuierliches Lernen, Prototyping und Verfeinerung, um sicherzustellen, dass sich digitale Produkte an veränderte Anforderungen anpassen können. Anstatt auf eine umfangreiche Planung im Voraus zu setzen, fördert dieser Ansatz schnelles Experimentieren und kontinuierliche Nutzerrückmeldungen, sodass sich Produkte ohne Unterbrechungen weiterentwickeln können. Dieser iterative Entdeckungszyklus stimmt die Produktentwicklung auf die Bedürfnisse der Nutzer, die Unternehmensziele und die technischen Rahmenbedingungen ab.

Im Kern fördert CPD ein proaktives Risikomanagement über den gesamten Produktlebenszyklus hinweg. Durch die kontinuierliche Überprüfung von Annahmen können Teams potenzielle Probleme frühzeitig erkennen und abwenden. Damit werden drei wesentliche Arten von Produktrisiken adressiert: Nutzen, Gebrauchstauglichkeit und technische Umsetzbarkeit.

Außerdem haben wir das vierte Risiko hinzugefügt, um zu betonen, dass das Thema Sicherheit während des gesamten Produktlebenszyklus kontinuierlich berücksichtigt wird. Die Herausforderung besteht darin, dieses Konzept so darzustellen, dass es mit der beruflichen Weiterbildung im Einklang steht und gleichzeitig an unterschiedliche organisatorische Kontexte angepasst werden kann.

Nr. 1 Wertrisiko: Produkte entwickeln, die echten Mehrwert schaffen

Hierbei geht es um die Möglichkeit, dass das Produkt oder die Funktion den Nutzern oder der Organisation möglicherweise keine wesentlichen oder sinnvollen Nutzen bringt. Dies umfasst Szenarien, in denen die Lösung ein tatsächliches Problem nicht löst, nicht den Marktanforderungen entspricht oder keine überzeugende Kapitalrendite liefert. Ohne ausreichenden Mehrwert kann das Produkt unter geringen Akzeptanzraten und einem nachlassenden Nutzerengagement leiden, was letztendlich zu geschäftlichen Rückschlägen führt. Um Wertrisiken anzugehen, muss durch ständige Marktvalidierung sichergestellt werden, dass das Produkt den tatsächlichen geschäftlichen Anforderungen entspricht und die strategischen Ziele unterstützt.

Nr. 2 Usability-Risiko: Mit Fokus auf Klarheit und Effizienz gestalten

Es bezieht sich auf die Herausforderungen, denen Nutzer bei der Interaktion mit dem Produkt begegnen. Dazu gehören alle Hindernisse, die eine intuitive, effiziente und zufriedenstellende Nutzung der Produktfunktionen verhindern. Unglückliche Entscheidungen beim Designen, komplexe Arbeitsabläufe, unklare Weisungen oder Probleme bei der Barrierefreiheit können zu diesem Risiko beitragen. Ein hohes Risiko hinsichtlich der Benutzerfreundlichkeit kann zu Frustration bei den Nutzern, erhöhten Supportkosten und einer Abwanderung der Nutzer führen, was den Erfolg des Produkts gefährdet. Kontinuierliche Tests und Nutzerrückmeldungen sind daher entscheidend, um solche Hürden frühzeitig zu erkennen und zu beseitigen.

Nr. 3 Machbarkeitsrisiko: Zwischen Ambitionen und technischer Realität abwägen

Dieses Risiko ergibt sich aus technischen Einschränkungen, begrenzten Ressourcen oder zeitlichen Vorgaben, die die erfolgreiche Entwicklung oder Einführung des Produkts behindern könnten. Es umfasst Unsicherheiten hinsichtlich der Umsetzbarkeit der vorgeschlagenen Lösung innerhalb der bestehenden technologischen Umgebung sowie im Rahmen des verfügbaren Budgets und Zeitplans. Wird das Risiko der technischen Umsetzbarkeit nicht angemessen berücksichtigt, kann es zu Verzögerungen bei der Produkteinführung oder zu funktionalen Einschränkungen kommen. Um dieses Risiko zu mindern, bedarf es realistischer Einschätzungen der Fähigkeiten und einer proaktiven Planung zur Überwindung von Hindernissen.

Nr. 4 Sicherheitsrisiko: Schutz in jede Schicht einbetten

Dazu gehören Mängel in der Softwarearchitektur und unsichere Programmierpraktiken, die das Produkt Cyberangriffen oder Datenschutzverletzungen aussetzen können, sowie unzureichende Authentifizierungsmechanismen und Verhaltensweisen der Nutzer, die zu Sicherheitslücken führen können. Werden Sicherheitsrisiken nicht angegangen, kann dies schwerwiegende Folgen haben, wie beispielsweise den Verlust des Kundenvertrauens, behördliche Strafen und finanzielle Schäden. Wenn Sicherheitsmaßnahmen von Anfang an in den Entwicklungsprozess einbezogen werden, trägt dies dazu bei, widerstandsfähige Produkte zu schaffen, die sowohl Nutzer als auch Unternehmen vor sich ständig weiterentwickelnden Bedrohungen schützen.

Nahtlose Integration von Sicherheitsmaßnahmen über den gesamten Produktlebenszyklus hinweg

Für die Umsetzung einer menschenzentrierten Sicherheit ist ein systemischer Ansatz unerlässlich. Dieser Ansatz integriert von Anfang an die Perspektive der Nutzer mit den technischen Anforderungen. Indem der Umfang des Programms festgelegt und dieser Schwerpunkt in jeder Phase beibehalten wird, wird sichergestellt, dass Sicherheit zu einem integrierten Bestandteil des gesamten Entwicklungsprozesses wird und nicht erst nachträglich berücksichtigt wird.

Wichtig ist, dass das Continuous Threat Exposure Management (CTEM) den iterativen Charakter der Produktentwicklung widerspiegelt. So wie nutzerzentriertes Design auf Zyklen aus Recherche, Tests und Optimierung basiert, nutzt CTEM einen kontinuierlichen Zyklus aus Bestimmung des Umfangs, Erkundung, Priorisierung, Validierung und Mobilisierung, um potenzielle Angriffsvektoren zu erkennen und zu bewältigen. Diese gemeinsame iterative Struktur verbindet sichere Designpraktiken mit CTEM und stellt sicher, dass sich die Sicherheit im Einklang mit den Produkt- und Nutzeranforderungen weiterentwickelt.

Projektdefinition, Analyse, Priorisierung, Validierung, Projektvorbereitung

• Projektdefinition - Zu Beginn arbeiten die Sicherheitsteams mit den Beteiligten zusammen, um den Umfang und die Ziele des Programms zum Management von Sicherheitsrisiken festzulegen. Durch die Berücksichtigung der Nutzererfahrungen können sie besser abschätzen, wie sich Schutzmaßnahmen auf die Benutzerfreundlichkeit und den Komfort auswirken könnten. Durch die Erfassung der gesamten Angriffsfläche - sowohl intern als auch extern - können Entwickler potenzielle Bedrohungen und Anforderungen vorhersehen und so sicherstellen, dass Sicherheitsmaßnahmen die Nutzer schützen, ohne unnötige Hindernisse zu schaffen.

• Analyse - In der Analyse-Phase erstellt das Team eine Bestandsaufnahme der Ressourcen, ermittelt Schwachstellen und analysiert Abhängigkeiten. Besonders viel Aufmerksamkeit wird den Kontaktpunkten der Nutzer gewidmet, an denen die Sicherheit effektiv, nahtlos und intuitiv sein muss. Dieser Ansatz reduziert Hürden, verhindert Frustration und stärkt das Vertrauen der Nutzer in das Produkt.

• Priorisierung - Nicht alle Risiken sind gleich, weshalb eine Priorisierung unerlässlich ist. Die Bedrohungen werden sowohl nach dem potenziellen Ausmaß des Schadens als auch nach den potenziellen Auswirkungen von Schutzmaßnahmen auf die Benutzererfahrung eingestuft. Durch das Erreichen dieses Gleichgewichts wird sichergestellt, dass die Lösungen ein hohes Maß an Sicherheit bieten, ohne dabei die Benutzerfreundlichkeit oder die Zufriedenheit zu beeinträchtigen.

• Validierung - Durch Tests und Angriffssimulationen werden die Ausfallsicherheit des Systems und die Reaktion der Nutzer auf integrierte Sicherheitsvorkehrungen überprüft. Sicherheitsbezogene Interaktionen, wie beispielsweise Warnmeldungen und Benachrichtigungen, müssen so gestaltet sein, dass sie leicht verständlich sind und die richtige Reaktion hervorrufen. Dadurch steigt die Wahrscheinlichkeit, dass sich die Nutzer angesichts von Bedrohungen korrekt verhalten, und es werden Fehler vermieden, die durch verwirrende oder aufdringliche Mechanismen verursacht werden.

• Projektvorbereitung - In der letzten Phase werden Sicherheitsmaßnahmen zu einem festen Bestandteil des Produkts und der organisatorischen Abläufe. Automatisierung und optimierte Arbeitsabläufe zielen darauf ab, unnötige Belastungen für die Nutzer zu beseitigen und gleichzeitig die Effizienz der Reaktion auf Vorfälle zu steigern. Dadurch wird Sicherheit zu einem festen und selbstverständlichen Bestandteil des Gesamterlebnisses, was wiederum das Vertrauen und die Kundenbindung stärkt.

Die wichtigsten Vorteile der kontinuierlichen Analyse des Produkts im Sicherheitsbereich

Ein effektives Risikomanagement erfordert anpassungsfähige Ansätze, die genau auf das Verhalten der Nutzer abgestimmt sind. Continuous Product Discovery bietet hierfür ein solides Rahmenkonzept, das kontinuierliches Lernen, Testen und Iterieren in die Entwicklung von Sicherheitslösungen integriert. Um besser zu verstehen, wie CPD die menschenzentrierte Sicherheit stärkt, sollten Sie Folgendes bedenken:

Schnelle Validierung von Bedrohungen und Nutzerverhalten

CPD ermöglicht es Sicherheitsteams, Annahmen zu neuen Bedrohungen, zum Nutzerverhalten und zu Systemschwachstellen schnell zu testen und zu validieren. Durch eine frühzeitige Validierung können Unternehmen Risiken erkennen und beheben, bevor sie eskalieren, und so sicherstellen, dass Sicherheitsmaßnahmen wirksam bleiben und den Herausforderungen der Praxis gerecht werden.

Nutzerzentrierte Sicherheitsentwicklung

Wirksame Sicherheitslösungen müssen bei den Nutzern, die sie schützen, Anklang finden. Continuous Product Discovery (CPD) legt großen Wert darauf zu verstehen, wie Nutzer tatsächlich mit Systemen interagieren. Dadurch können Sicherheitsfunktionen entwickelt werden, die intuitiv und unaufdringlich sind und deshalb leichter angenommen werden. So werden Hürden für die Nutzer reduziert und menschliche Fehler minimiert.

Agiles Reagieren auf neue Risiken

Da sich Bedrohungen rasch weiterentwickeln, fördert CPD einen anpassungsfähigen Sicherheitsansatz, der mit dem Wandel Schritt hält. Dieser Ansatz ermöglicht es den Teams, schnell auf neue Risiken zu reagieren, notwendige Aktualisierungen umgehend umzusetzen und die Protokolle kontinuierlich zu optimieren, um einen zuverlässigen Schutz zu gewährleisten - und das alles bei gleichbleibend nahtloser Nutzererfahrung.

Kontinuierliche Verbesserung und iteratives Testen

Durch iterative Tests und kontinuierliche Rückkopplungsschleifen fördert dieser Ansatz eine Kultur der kontinuierlichen Verbesserung. Dieser proaktive Zyklus stellt sicher, dass Sicherheitslösungen regelmäßig weiterentwickelt werden, wodurch das Risiko unbehobener Schwachstellen verringert und die allgemeine Widerstandsfähigkeit gegenüber ausgeklügelten und sich ständig weiterentwickelnden Bedrohungen verbessert wird.

Im Mittelpunkt dieses Ansatzes steht unser ganzheitliches Konzept des menschenzentrierten Designs, bei dem wir Sicherheitsaspekte auf das tatsächliche Nutzerverhalten und die geschäftlichen Prioritäten abstimmen und so sicherstellen, dass Lösungen von Grund auf sicher, intuitiv zu bedienen und auf Langlebigkeit ausgelegt sind.

Zusammenfassung: Kontinuierliches, nutzerorientiertes Risikomanagement

Bei genauer Betrachtung stehen Sicherheit und Benutzerfreundlichkeit nicht unbedingt im Widerspruch zueinander - sie können sich vielmehr ergänzen, um Produkte zu schaffen, die effektiver, vertrauenswürdiger und widerstandsfähiger sind. Diese Sichtweise berücksichtigt, dass selbst die fortschrittlichsten Sicherheitslösungen wirkungslos sind, wenn sie den menschlichen Faktor außer Acht lassen. Durch die systematische Analyse von Nutzerabläufen, kognitiven Mustern und potenziellen Reibungspunkten können Unternehmen intuitive Systeme entwickeln, die Fehlern standhalten, Missbrauch verhindern und die Risiken von Social-Engineering-Angriffen mindern.

Um dies jedoch wirklich zu erreichen, darf Sicherheit nicht als einmalige Maßnahme betrachtet werden. Unternehmen müssen ein kontinuierliches, menschenzentriertes Risikomanagement als festen Bestandteil ihrer Entwicklung und ihres Betriebs verinnerlichen. Dazu gehört es, Sicherheit nahtlos in den Produktlebenszyklus zu integrieren, die teamübergreifende Zusammenarbeit zu fördern und sicherzustellen, dass Schutzmaßnahmen die Arbeit erleichtern und nicht behindern.

Wenn Sie mehr darüber erfahren möchten, wie Sie fortschrittliche Produkte entwickeln und den Fokus Ihres Teams auf menschenzentrierte Sicherheit verlagern können, wenden Sie sich an unsere Experten. In einem kurzen 30-minütigen Gespräch können wir Ihnen die wichtigsten Techniken erläutern und Ihnen zeigen, wie wir durch die nahtlose Integration von Sicherheitsaspekten in die Produktentwicklung mittels Experimenten und Prototypen dabei helfen, neue Chancen zu identifizieren.

FAQ