Die Signal-Attacke, die unter anderem die Bundestagspräsidentin getroffen hat, bewegt die Gemüter. Was ist passiert? Betroffene erhielten eine Signal-Nachricht angeblich vom offiziellen technischen Support von Signal. Man solle seine PIN bestätigen oder einen Bestätigungscode eingeben. Einige Betroffene haben dies getan und so ihren Signal-Account kompromittiert. Oft ist die Reaktion: »Wie konnte man nur so blöd sein, darauf reinzufallen?«. Genau diese Überheblichkeit ist gefährlich. Erstens wird sie der Situation, in der den Betroffenen der Fehler unterlaufen ist, nicht gerecht und zweitens vermittelt sie den Eindruck, man selbst sei immun gegen solche Angriffe. Social Engineering-Expertinnen und-Experten können nur bestätigen: das ist niemand.

Im Zusammenhang mit der Signal-Attacke muss man bedenken: Systemnachrichten von Signal bitten regelmäßig um die Eingabe der PIN, um zu verhindern, dass diese vergessen wird. Nutzer der App sind also daran gewöhnt, ab und an eine solche Aufforderung zu erhalten. Jetzt kommt also wieder eine solche Aufforderung unter dutzenden wichtigen Nachrichten. Man passt einen Moment nicht auf und schon ist es geschehen: man hat die PIN in einen Chat geschrieben und nicht bemerkt, dass dies nicht der gewohnte Systemprompt war. So etwas klassifiziert der Experte Norman als »rule-based mistake«.

Was heißt das für Cybersicherheit in Unternehmen?

Oft stoßen wir auf Aussagen wie »Menschen werden immer Fehler machen, wir sollten uns deshalb darauf konzentrieren, die Systeme im Unternehmen so sicher zu machen, dass Fehler von Menschen diese nicht kompromittieren können.« Das ist nicht komplett falsch und auch im Kontext des Signal-Beispiels relevant: hier wurden Nutzende trainiert, die PIN auf Anfrage einzugeben. Auch Gewohnheit kann unsensibel für Sicherheitsrisiken machen. Aber genauso wenig wie es Unternehmen bisher gelungen ist, systematisch Software ohne Schwachstellen zu erstellen, können Unternehmen IT-Systeme bauen, die komplett immun gegen Fehler von Mitarbeitenden sind.

Wer Menschen Security-fit machen will, muss sie deshalb befähigen: mit realitätsnahen Szenarien, Erlebbarkeit in geschützten Erfahrungsräumen und klaren Routinen für den Ernstfall. Erst wenn Menschen Manipulationsmuster erkennen, Unsicherheit aussprechen dürfen und unter Druck handlungsfähig bleiben, wird aus Awareness wirksame Sicherheitskompetenz.

Genau dafür haben wir das Lernlabor Cybersicherheit »Faktor Mensch« entwickelt. Es übersetzt abstrakte Bedrohungen in konkrete Situationen, macht Manipulation erfahrbar und schafft einen Raum, in dem Reaktionen ausprobiert, Fehler gemacht und Handlungsroutinen aufgebaut werden können.

Ich nehme Sie mit auf einen kleinen Rundgang durch das Lernlabor, um Ihnen diesen neuen und innovativen Ansatz zur Vermittlung von Security-Kompetenzen vorzustellen.

Cybersicherheit wird konkret erlebbar – nicht theoretisch vermittelt

Ein Rundgang durch das Lernlabor beginnt mit einem Perspektivwechsel. Wer den Raum betritt, bewegt sich in einer Mikrowelt, in der Cyberangriffe nicht abstrakt erklärt, sondern erlebbar gemacht werden. Die Teilnehmenden begegnen Situationen, wie sie im beruflichen Alltag tatsächlich entstehen: geprägt von Zeitdruck, Routine, und wichtigen To Do‘s.

Bereits an der ersten Station wird deutlich, dass Cybersicherheit hier vom Menschen aus gedacht wird. Die sogenannte Hypebox bildet eine vollständige Unternehmensumgebung mit unterschiedlichen Abteilungen nach – von der Fertigung über Personal und Finanzen bis hin zum Management. Die Teilnehmenden durchlaufen kurze, realitätsnahe Cybergeschichten, die an typische Arbeitskontexte anknüpfen.

So entsteht ein persönlicher Bezug: Was bedeutet diese Bedrohung konkret für meine Rolle, meine Entscheidungen und meinen Arbeitsalltag?

Ransomware als Prozess – nicht als Schockmoment

Im nächsten Schritt erleben die Teilnehmenden die Dynamik eines Ransomware-Angriffs. Der Angriff erscheint nicht als plötzliches Ereignis, sondern als Prozess: Kontaktaufnahme, Manipulation, erster Zugriff und Ausbreitung im System. Dabei wird sichtbar, wie professionell Angreifende vorgehen – und wie eng technische Abläufe mit menschlichem Verhalten verbunden sind.

Selbst erleben statt nur zuhören

Eine weitere Station macht IT-Angriffe praktisch erfahrbar. In der Demonstrator-Plattform ELITE 2.0 werden typische Arbeitssituationen kleiner und mittlerer Unternehmen simuliert. Die Teilnehmenden lösen selbst Sicherheitsvorfälle aus, erleben deren Folgen und erkennen, welche Maßnahmen tatsächlich schützen. Mitarbeitende werden nicht als Schwachstelle betrachtet, sondern als aktive Sicherheitsfaktoren.

Wenn KI täuschend echt wird

Besonders eindrücklich wird der Rundgang im Bereich moderner Social-Engineering-Angriffe. Beim KI-gestützten Spear-Phishing wird sichtbar, wie aus öffentlich verfügbaren Informationen und Generativer KI täuschend echte Angriffsmails entstehen. Sprache, Tonalität und Kontext lassen sich von den Teilnehmenden so präzise einstellen, dass selbst erfahrene Führungskräfte unter Druck geraten würden.

Wenn die Stimme nicht mehr vertrauenswürdig ist

Eine weitere Station erweitert dieses Szenario: Voice Cloning. Besucherinnen und Besucher können eigene Stimmen aufnehmen oder bekannte Stimmen auswählen und erleben, wie daraus realistische Telefongespräche generiert werden. Die Inhalte orientieren sich an klassischen Betrugsmaschen wie Enkeltrick oder CEO-Betrug. Plötzlich wird greifbar, wie glaubwürdig solche Angriffe sind – und wie schwer es ist, sie allein anhand der Stimme zu erkennen.

Das Gespräch mit der KI – und die eigene Reaktion

Noch direkter wird die Erfahrung beim KI-automatisierten Social Engineering. Hier werden die Teilnehmenden von einer KI angerufen, die typische Betrugsszenarien durchspielt – etwa als vermeintlicher Bankmitarbeiter, als angeblicher Lotteriegewinn oder mit dringenden Anweisungen im Namen der Geschäftsführung. Die Teilnehmenden können frei reagieren, Fragen stellen, zweifeln oder sich überzeugen lassen. Erst im Anschluss erfolgt eine Analyse des Gesprächs, die aufzeigt, wo Risiken bestanden und wie Angreifende psychologisch vorgehen. Der Lerneffekt entsteht nicht durch richtige Antworten – sondern durch eigene Erfahrung.

Vom Erlebnis zur Handlungssicherheit

Der Rundgang endet nicht bei dem Bedrohungserlebnis, sondern inspiriert die Besucher zu konkretem Handeln: In anschließenden Lern- und Trainingsformaten werden die Erlebnisse reflektiert, eingeordnet und auf konkrete berufliche Situationen übertragen.

Dazu gehören der sichere Umgang mit Phishing, Ransomware und Social Engineering, das Erkennen von Finanzbetrug im Zeitalter von KI sowie der souveräne Umgang mit manipulativen Situationen im Arbeitsalltag.

Fazit: Nachhaltiges Lernen beginnt mit Erleben

Was diesen Rundgang auszeichnet, ist die konsequente Abkehr vom Belehren und Besserwissen. Cybersicherheit wird nicht gepredigt, sondern erfahrbar gemacht. Die Teilnehmenden erleben Angriffsdruck, Täuschung und Unsicherheit in einem geschützten Raum – und entwickeln genau dort Handlungssicherheit, wo sie im Ernstfall gebraucht wird.

Denn nachhaltige Cybersicherheit entsteht durch Menschen, die im entscheidenden Moment richtig handeln.

Leselinks:

Christian Schunck

Autorenprofil - Website - LinkedIn



Kategorien: Künstliche Intelligenz
Tags: , ,