Mehr als sechs Jahre nach Inkrafttreten der Datenschutz-Grundverordnung (GDPR) verfügen viele Organisationen über ausgereifte Compliance-Programme. Mitarbeitende absolvieren Security-Awareness-Trainings, Richtlinien sind dokumentiert und bestätigt, und Datenschutzbeauftragte überwachen die Compliance regelmäßig. Dennoch gehen Datenschutzverstöße weiter auf dieselbe grundlegende Herausforderung zurück: menschliches Risiko. Ob durch kompromittierte Zugangsdaten, zu weitreichende Zugriffsrechte oder riskantes Nutzerverhalten – Menschen bleiben eine der größten Quellen von Cyberrisiko für eine Organisation.

Die GDPR war nie als Dokumentationsübung gedacht. Trainings, Richtlinien, Audits und Compliance-Nachweise sind wesentliche Bestandteile eines Programms, doch die Verordnung verlangt von Organisationen auch, die Risiken jener Personen zu erkennen, zu bewerten und zu reduzieren, die personenbezogene Daten abrufen und verarbeiten. Compliance sollte nicht nur belegen, dass Sicherheitskontrollen existieren, sondern auch, dass sie das Risiko tatsächlich senken.

Genau dieses Problem soll Human Risk Intelligence (HRI) lösen. Mit einer fortlaufenden, datenbasierten Sicht auf menschliches Risiko können Organisationen Nutzende mit hohem Risiko identifizieren, Remediation priorisieren und Risiko proaktiv senken, bevor daraus ein Sicherheitsvorfall wird.

In diesem Beitrag zeigen wir, wie HRI Erkenntnisse aus Security-Awareness-Trainings, Phishing-Simulationen, Richtlinienmanagement und Dark-Web-Monitoring zusammenführt – und Organisationen hilft, über Häkchen-Compliance hinaus einen proaktiveren, risikoorientierten Ansatz für die GDPR aufzubauen.

‍

Warum Compliance-Aktivitäten allein nicht genügen

Aktuelle Cyberangriffe zeigen, dass dokumentierte Compliance allein Sicherheitsvorfälle nicht verhindert.

• Im Oktober 2023 gab ein Unternehmen für Gentests bekannt, dass Angreifende rund 6,9 Millionen Nutzerkonten über einen Credential-Stuffing-Angriff kompromittiert hatten. Statt eine Firewall zu überwinden oder eine Zero-Day-Schwachstelle auszunutzen, verwendeten die Angreifenden Zugangsdaten aus früheren Datenlecks, um auf Konten mit wiederverwendeten Passwörtern zuzugreifen. Multi-Faktor-Authentifizierung (MFA) war nicht durchgängig erzwungen, und es gab keinen fortlaufenden Prozess, um bereits auf kriminellen Marktplätzen exponierte Zugangsdaten von Mitarbeitenden oder Kunden zu erkennen, bevor Angreifende sie nutzten.
  
  Trotz eines Datenschutzprogramms und eines eigenen Security-Teams sah sich das Unternehmen regulatorischen Untersuchungen in Großbritannien und Kanada sowie einem Vergleich von mehr als 30 Millionen US-Dollar in den USA gegenüber.
• Ein ähnliches Muster zeigte sich im Jahr davor bei Angriffen gegen zwei große Casino- und Resortbetreiber in Las Vegas. Dort mussten die Angreifenden kein Passwort stehlen. Sie kontaktierten den internen Helpdesk, gaben sich überzeugend als Mitarbeitende aus und brachten einen Helpdesk-Mitarbeitenden dazu, MFA auf einem privilegierten Konto zurückzusetzen. Eine der Organisationen erlitt dadurch Berichten zufolge Verluste von mehr als 100 Millionen US-Dollar.

In beiden Fällen war die Ursache weder ein ungepatchtes System noch ein hochentwickelter technischer Exploit. Es war menschliches Risiko, das nicht erkannt, priorisiert oder behoben worden war, bevor Angreifende diese Schwächen ausnutzten. Diese Vorfälle machen eine wichtige Realität deutlich: Organisationen können auf dem Papier starke Compliance nachweisen und in der Praxis dennoch angreifbar bleiben. Ohne fortlaufende Sichtbarkeit auf menschliches Risiko übersehen sie leicht genau jene Personen und Verhaltensweisen, die am ehesten zum nächsten Vorfall beitragen.

Was Human Risk Intelligence tatsächlich misst

HRI gibt Organisationen eine fortlaufende, datenbasierte Sicht auf menschliches Risiko. Statt Trainingsabschlüsse, Passworthygiene, Kontoaktivität und Zugriffsebenen als getrennte Berichte in getrennten Tools zu führen, verknüpft HRI diese Signale zu einem einzigen, fortlaufend aktualisierten Expositionsprofil für jede Person in der Organisation. Dieses Profil ist typischerweise um vier Säulen organisiert.

‍

Keine einzelne Säule ist per se gefährlich. Eine Führungskraft mit weitreichenden Zugriffsrechten ist nichts Ungewöhnliches. Die meisten Mitarbeitenden fallen irgendwann auf eine Phishing-Simulation herein, und überfällige Passwortwechsel sind in großen Organisationen verbreitet. Einzeln betrachtet verdienen diese Faktoren Aufmerksamkeit, deuten aber nicht zwangsläufig auf erhöhtes Risiko hin.

Risiko wird deutlich bedeutsamer, wenn mehrere Indikatoren bei derselben Person zusammentreffen. Eine Person mit privilegiertem Zugriff, schlechter Passworthygiene, wiederholten Phishing-Fehlern und veraltetem Sicherheitstraining trägt ein wesentlich höheres Risiko, als jeder dieser Faktoren einzeln vermuten ließe.

Risiko als Kombination mehrerer verhaltensbezogener und technischer Faktoren zu verstehen, unterscheidet eine proaktive Strategie zur Risikoreduktion von einem klassischen Compliance-Programm. Wie die folgenden Abschnitte zeigen, liegt dieses Prinzip mehreren zentralen GDPR-Anforderungen zugrunde und verdeutlicht, warum fortlaufende Sichtbarkeit auf menschliches Risiko für wirksame Compliance unverzichtbar ist.

Human Risk Intelligence · Artikel 32 & Erwägungsgrund 83

Artikel 32 ist eine der GDPR-Bestimmungen, auf die bei Untersuchungen von Datenschutzverstößen am häufigsten Bezug genommen wird. Er verlangt technische und organisatorische Maßnahmen, die dem jeweiligen Risikoniveau angemessen sind. Bei der Beurteilung der Angemessenheit müssen Organisationen Faktoren wie den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Kontext und Zwecke der Verarbeitung berücksichtigen.

Erwägungsgrund 83 verstärkt diese Anforderung: Organisationen sollen die mit der Verarbeitung personenbezogener Daten verbundenen Risiken fortlaufend bewerten und Maßnahmen zu deren Minderung umsetzen. Zusammen machen diese Bestimmungen eines klar: Die GDPR schreibt keinen statischen Satz an Sicherheitskontrollen vor. Sie erwartet, dass Organisationen ihr Risiko fortlaufend bewerten und ihre Maßnahmen anpassen, wenn sich dieses Risiko verändert.

Aktuelle Vorfälle zeigen, welche Folgen es hat, wenn das nicht geschieht.

• Mitte 2024 traf eine Serie von Cyberangriffen mehr als 100 Organisationen, die eine gemeinsam genutzte Cloud-Datenplattform einsetzten, darunter ein großer Telekommunikationsanbieter und ein globaler Ticketingdienst. Die Plattform selbst wurde nicht kompromittiert. Die Angreifenden verschafften sich Zugang mit Zugangsdaten aus unabhängigen Datenlecks über Kundenkonten, bei denen MFA nicht erzwungen war. Die meisten betroffenen Organisationen hatten wahrscheinlich dokumentierte Sicherheitsrichtlinien. Deutlich weniger pflegten eine fortlaufende Übersicht darüber, welche Konten ohne MFA gleichzeitig Zugriff auf sensible Systeme oder Daten hatten. Genau diese Art laufender Risikotransparenz erwartet Erwägungsgrund 83.
  ‍
• Ein weiteres Beispiel folgte im Januar 2024, als eine staatlich unterstützte Angreifergruppe mit Verbindungen zum russischen Nachrichtendienst Unternehmens-E-Mail-Konten bei einem großen Technologiekonzern kompromittierte, darunter Konten von Führungskräften. Der Erstzugang erfolgte über ein altes Testkonto mit schwachen Sicherheitskontrollen, bevor zu weitreichende OAuth-Berechtigungen für dauerhaften Zugriff ausgenutzt wurden. Der Vorfall zeigt, dass angemessene Sicherheitsmaßnahmen über Produktivsysteme hinausreichen müssen. Inaktive Konten, vergessene Testumgebungen, Legacy-Identitäten und zu weitreichende Anwendungsberechtigungen können erhebliches Risiko schaffen, wenn sie nicht fortlaufend überwacht und verwaltet werden.

Der vielleicht am häufigsten übersehene Aspekt von Artikel 32 ist, dass das Erkennen von Risiko nur der Anfang ist. Ein Risikoscore allein erfüllt die GDPR nicht. Organisationen belegen Compliance, wenn erkannte Risiken konkrete, messbare Maßnahmen auslösen – etwa MFA für Nutzende mit hohem Risiko zu erzwingen, inaktive Konten zu deaktivieren, unnötige OAuth-Berechtigungen zu entfernen oder zu weitreichende Zugriffsrechte zu reduzieren.

Ebenso wichtig ist die Fähigkeit nachzuweisen, dass diese Maßnahmen umgesetzt wurden und das zugehörige Risiko gesunken ist. Dieser fortlaufende Zyklus – Risiko erkennen, Remediation priorisieren, messbare Risikoreduktion belegen – macht aus HRI mehr als ein Reporting-Dashboard: einen Nachweis wirksamer GDPR-Compliance.

Security-Awareness-Trainings & Phishing-Simulationen · Artikel 39

Security-Awareness-Training ist ein Grundbaustein wirksamen Datenschutzes in der GDPR. Artikel 39(1)(b) nennt Sensibilisierung und Schulung der Mitarbeitenden als eine der Kernaufgaben des Datenschutzbeauftragten, neben der Überwachung der GDPR-Compliance und der Durchführung zugehöriger Audits. Das bekräftigt ein wichtiges Prinzip: Der Schutz personenbezogener Daten hängt nicht nur von Technologie ab, sondern auch davon, dass Mitarbeitende Sicherheitsrisiken erkennen und richtig darauf reagieren.

Trotz dieser Anforderung setzen viele Organisationen weiterhin auf einen Einheitsansatz bei Awareness-Trainings. Jährliche Schulungen für alle Mitarbeitenden, unabhängig von Rolle oder Risikoniveau, erfüllen vielleicht eine Compliance-Checkliste, bewirken aber selten dauerhafte Verhaltensänderungen. Entscheidend ist nicht, ob Training existiert, sondern ob es relevant, zeitnah und häufig genug wiederholt wird, um Verhalten zu beeinflussen. Ebenso wichtig ist, die Wirksamkeit über realistische Phishing-Simulationen zu messen und nicht allein über Wissensquiz.

Nicht alle Mitarbeitenden stehen denselben Bedrohungen gegenüber. Eine Person in der Finanzabteilung, die mit Business Email Compromise (BEC) und Rechnungsbetrug angegriffen wird, braucht andere Hinweise als eine neue Marketing-Kraft oder ein IT-Administrator mit privilegiertem Zugriff. Artikel 39(1)(b) schreibt keine bestimmte Trainingsmethode vor, erwartet aber klar den Nachweis, dass Mitarbeitende über die Zeit sicherheitsbewusster werden.

HRI macht aus Security-Awareness-Training statt einer Compliance-Aktivität eine messbare Strategie zur Risikoreduktion. Es bewertet, ob Training Verhalten verändert, indem es Ergebnisse aus Phishing-Simulationen, Awareness-Leistung und weitere Risikoindikatoren im Gesamtrisikoprofil einer Person zusammenführt. Training gilt nicht als erfolgreich, wenn es abgeschlossen ist, sondern wenn es zu einer messbaren Risikoreduktion führt.

Richtlinienmanagement · Artikel 24 & Erwägungsgrund 78

Artikel 24 legt die Verantwortung für den Datenschutz klar beim Verantwortlichen. Er verlangt technische und organisatorische Maßnahmen, die den Risiken der Verarbeitungstätigkeiten angemessen sind, unter Berücksichtigung von Art, Umfang, Kontext und Zwecken der Verarbeitung. Wichtig: Diese Maßnahmen müssen angemessene Datenschutzrichtlinien umfassen.

Erwägungsgrund 78 ergänzt dies, indem er Organisationen ermutigt, interne Richtlinien zu etablieren, die Datenschutz durch Technikgestaltung und durch Voreinstellungen unterstützen. Zusammen machen diese Bestimmungen eines klar: Die GDPR ist nicht durch das bloße Dokumentieren von Richtlinien erfüllt. Organisationen müssen belegen können, dass Richtlinien im Tagesgeschäft verankert sind und sich mit den Risiken weiterentwickeln.

Genau hier stoßen viele Tools für Richtlinienmanagement an ihre Grenzen. Richtlinien werden veröffentlicht, Mitarbeitende bestätigen sie, und diese Bestätigungen werden protokolliert. Das belegt, dass eine Richtlinie existiert, aber nicht, dass sie eingehalten wird oder angemessen bleibt, wenn sich die Risikolage ändert. Artikel 24 erwartet, dass Richtlinien die Risikoreduktion aktiv unterstützen.

HRI macht aus Richtlinienmanagement statt einer statischen Compliance-Übung eine operative Sicherheitskontrolle. Statt Bestätigungen als isolierte Datensätze zu behandeln, verknüpft HRI sie mit weiteren Indikatoren menschlichen Risikos: Zugriffsrechten, Awareness-Leistung, Passworthygiene und Nutzerverhalten. So erkennen Security- und Compliance-Teams nicht nur, wer kritische Richtlinien bestätigt hat, sondern auch, ob Personen mit hohem Risiko dies nicht getan haben.

Richtlinien werden dadurch dynamisch statt statisch. Sie können überprüft und erneut vermittelt werden, wenn eine Person die Rolle wechselt, erweiterte Rechte erhält, neue Kategorien personenbezogener Daten verarbeitet oder Verhalten zeigt, das das Risiko erhöht. So werden Richtlinien zu lebenden Kontrollen, die sich mit der Organisation weiterentwickeln. Dieser Unterschied zwischen dem Dokumentieren einer Richtlinie und dem Nachweis, dass sie Verhalten beeinflusst, ist der Kern der Absicht von Artikel 24 und Erwägungsgrund 78.

Dark-Web-Monitoring · Artikel 33 & 34

Frühe Erkennung ist entscheidend, um die 72-Stunden-Meldefrist der GDPR einzuhalten. Artikel 33 und 34 formulieren klare Erwartungen an die Meldung von Verstößen. Artikel 33 verlangt, die Aufsichtsbehörde unverzüglich und, sofern möglich, binnen 72 Stunden nach Kenntniserlangung über eine Verletzung des Schutzes personenbezogener Daten zu informieren. Artikel 34 verlangt, betroffene Personen unverzüglich zu informieren, wenn ein hohes Risiko für ihre Rechte und Freiheiten wahrscheinlich ist.

Beide Pflichten hängen von einem entscheidenden Faktor ab: rechtzeitiger Erkennung. Die 72-Stunden-Frist beginnt nicht mit dem Vorfall, sondern mit dem Zeitpunkt, an dem die Organisation davon Kenntnis erlangt. Für viele liegt darin die größte Hürde. Häufig erfahren Organisationen von kompromittierten Konten über externe Quellen: Strafverfolgungsbehörden, Sicherheitsforschende oder Kunden, die auffallende Aktivitäten melden.

Fortlaufendes Dark-Web-Monitoring schließt diese Sichtbarkeitslücke, indem es frühzeitig warnt, wenn Unternehmenszugangsdaten in bekannten Leak-Datenbanken oder auf kriminellen Marktplätzen auftauchen. Statt darauf zu warten, dass Angreifende exponierte Zugangsdaten nutzen, können Organisationen betroffene Konten identifizieren, die Exposition untersuchen und gegensteuern, bevor das Risiko eskaliert.

Dieser proaktive Ansatz unterstützt GDPR-Compliance in zwei wichtigen Punkten. Erstens lassen sich potenzielle Vorfälle deutlich früher erkennen, was die Fähigkeit stärkt, dem Sinn der 72-Stunden-Frist aus Artikel 33 zu entsprechen. Zweitens können Organisationen exponierte Zugangsdaten oft bereinigen, bevor daraus eine meldepflichtige Verletzung nach Artikel 34 entsteht.

Letztlich verschafft Dark-Web-Monitoring Organisationen frühere Sichtbarkeit auf exponierte Zugangsdaten, ermöglicht schnellere Reaktion, senkt das Risiko und stärkt die Fähigkeit, die GDPR-Anforderungen an Erkennung und Meldung zu erfüllen.

GDPR-Anforderungen durch Human Risk Intelligence zusammenführen

Auch wenn Artikel 24, 32, 33, 34 und 39 unterschiedliche Aspekte der GDPR behandeln, dienen sie alle demselben Ziel: Organisationen dabei zu helfen, Risiko fortlaufend zu erkennen, zu steuern und zu reduzieren.

Statt einmalige Compliance-Aktivitäten in den Vordergrund zu stellen, fördern diese Bestimmungen einen laufenden, evidenzbasierten Ansatz zum Schutz personenbezogener Daten. Artikel 24 verlangt, dass Richtlinien im Tagesgeschäft gelebt werden. Artikel 32 verlangt fortlaufende Bewertung und Minderung von Sicherheitsrisiken. Artikel 33 und 34 verlangen schnelles Erkennen und Reagieren. Artikel 39 verlangt den Nachweis, dass Awareness-Maßnahmen das Verhalten verbessern.

Diese Anforderungen zu erfüllen hängt von einer gemeinsamen Fähigkeit ab: einer fortlaufenden, einheitlichen Sicht auf menschliches Risiko in der gesamten Organisation. HRI liefert genau das, indem es Awareness, Phishing-Leistung, Identitäts- und Zugriffsdaten, Passworthygiene, Richtlinien-Compliance und weitere Verhaltensindikatoren in einer einzigen, fortlaufend aktualisierten Sicht zusammenführt. Statt auf unverbundene Berichte aus mehreren Security-Tools angewiesen zu sein, gewinnen Organisationen die Transparenz, um Remediation zu priorisieren, Verbesserungen zu messen und zu belegen, dass ihr Sicherheitsprogramm Risiko aktiv senkt statt nur Compliance zu dokumentieren.

Human Risk Intelligence: die fehlende Ebene der GDPR-Compliance

Die GDPR sollte nie einen festen Satz an Sicherheitskontrollen vorschreiben. Sie wurde so gestaltet, dass sie relevant bleibt, während Technologie und Cyberbedrohungen sich weiterentwickeln. Mehr als sechs Jahre Vollzugspraxis haben ihre Absicht immer deutlicher gemacht: Organisationen sollen ihr Risiko fortlaufend verstehen, ihre Sicherheitsmaßnahmen entsprechend anpassen und dieses Risiko senken, bevor daraus ein Sicherheitsvorfall wird.

HRI liefert die operative Fähigkeit, dieser Erwartung zu entsprechen. Es verknüpft fortlaufend Signale aus Security-Awareness-Trainings, Phishing-Simulationen, Richtlinienmanagement, Identitäts- und Zugriffskontrollen, Passworthygiene und exponierten Zugangsdaten zu einer einheitlichen Sicht auf menschliches Risiko. Wichtiger noch: Es verwandelt diese Erkenntnisse in messbare Maßnahmen und ermöglicht es, Nutzende mit hohem Risiko zu identifizieren, Interventionen zu priorisieren und nachzuweisen, dass Risiko über die Zeit gesunken ist.

Letztlich schließt Human Risk Intelligence die Lücke zwischen regulatorischer Compliance und operativer Sicherheit – und macht aus der GDPR statt eines Rahmens zum Nachweis von Compliance einen Rahmen zur fortlaufenden Risikoreduktion.

Bereit, menschliches Risiko zu senken?

Wenn Ihre Organisation über Häkchen-Compliance hinausgehen und einen proaktiveren GDPR-Ansatz aufbauen will, kann Human Risk Intelligence helfen. Erfahren Sie, wie fortlaufende Sichtbarkeit auf menschliches Risiko es ermöglicht, Nutzende mit hohem Risiko zu identifizieren, Remediation zu priorisieren und messbare Risikoreduktion in der gesamten Organisation nachzuweisen.

Erfahren Sie mehr über Human Risk Intelligence oder buchen Sie eine Demo, um zu sehen, wie es Ihre GDPR-Compliance-Strategie stärkt.

‍