Die vier Säulen der Human Risk Intelligence: Target Value, Awareness, Hygiene und Access

Fragen Sie Security-Teams nach dem riskantesten Nutzer im Unternehmen, fällt die Antwort meist auf denjenigen, der die meisten Phishing-Tests nicht besteht.

Das klingt logisch. Doch es erzählt nur einen Teil der Geschichte.

Eine hohe Klickrate sagt etwas über eine Person zu einem bestimmten Zeitpunkt aus. Sie sagt nichts darüber, wie wertvoll diese Identität für Angreifer ist, ob die Zugangsdaten bereits offengelegt wurden oder worauf ein Angreifer bei einer erfolgreichen Kompromittierung zugreifen könnte.

Menschliches Risiko ist kein einzelnes Signal. Es ergibt sich aus mehreren Faktoren, die erst im Zusammenspiel ein aussagekräftiges Bild ergeben.

Genau hier setzt Human Risk Intelligence (HRI) an.

Security Awareness Training und Human Risk Management liefern die entscheidenden Signale: wer geschult wurde, wer geklickt hat, wer gemeldet hat, wo Zugangsdaten offengelegt sind und wo Kontrollen Schwächen aufweisen. HRI ergänzt den Kontext, der nötig ist, um zu verstehen, wie diese Signale zusammenhängen und worauf die Aufmerksamkeit gerichtet werden sollte.

Bei usecure gliedern wir diesen Kontext in vier Säulen: Target Value, Awareness, Hygiene und Access.

Warum ein einzelnes Signal nie das vollständige Bild zeigt

Jedes Signal zum menschlichen Risiko hat einen blinden Fleck, wenn es isoliert betrachtet wird.

Phishing-Ergebnisse zeigen, wie jemand auf eine bestimmte Simulation reagiert hat. Eine abgeschlossene Schulung zeigt, dass ein Kurs absolviert wurde. Eine Credential Exposure zeigt, dass Identitätsdaten in einem Datenleck aufgetaucht sind.

Jedes dieser Signale ist nützlich. Keines zeigt für sich genommen das vollständige Risikobild.

Offengelegte Zugangsdaten bedeuten etwas völlig anderes, wenn sie zu einem durch starke Kontrollen geschützten Konto gehören, als wenn sie zu einem privilegierten Nutzer ohne MFA gehören.

Ebenso hat ein nicht bestandener Phishing-Test eine ganz andere Bedeutung – je nachdem, welche Identität dahintersteht und worauf diese Person zugreifen kann.

Die vier Säulen helfen dabei, diese Signale in den richtigen Kontext zu setzen.

Jede beantwortet eine andere Frage:

Wie wertvoll ist diese Identität für einen Angreifer? Wie wahrscheinlich ist es, dass die Person sicher auf eine Bedrohung reagiert? Wie gut ist die Identität selbst abgesichert? Und worauf könnte ein Angreifer im Falle einer Kompromittierung zugreifen?

1. Target Value: Warum würde ein Angreifer ausgerechnet diese Person wählen?

Manche Identitäten sind für Angreifer von Natur aus attraktiver.

Eine freigabeberechtigte Person in der Finanzabteilung, Geschäftsführer, IT-Administratoren oder nach außen sichtbare Führungskräfte können aufgrund ihrer Berechtigungen, Sichtbarkeit, ihres Einflusses oder ihrer Freigabebefugnis für sensible Vorgänge besonders wertvoll sein.

Target Value stellt die Frage:

Warum würde ein Angreifer genau diese Identität ins Visier nehmen?

Target Value ist jedoch nicht gleichbedeutend mit dem Gesamtrisiko.

Eine exponierte Führungskraft kann für Angreifer äußerst attraktiv und zugleich schwer zu kompromittieren sein, weil wirksame Schutzmaßnahmen greifen.

Target Value zeigt, wie attraktiv eine Identität ist. Die Priorität ergibt sich daraus allein jedoch nicht.

2. Awareness: Wie wahrscheinlich ist es, dass eine Bedrohung erkannt und richtig behandelt wird?

Awareness ist die Dimension, die in den meisten Security-Programmen bereits etabliert ist.

Sie umfasst Signale wie das Verhalten bei Phishing-Simulationen, Meldeverhalten, absolvierte Security-Schulungen, Wissensstand und die Entwicklung dieser Verhaltensweisen im Zeitverlauf.

Diese Signale sind wichtig.

Der Fehler besteht darin, sie mit dem vollständigen Bild des menschlichen Risikos gleichzusetzen.

Ein Nutzer, der gelegentlich auf eine Phishing-Simulation hereinfällt, stellt nicht automatisch das größte Risiko dar. Die aufschlussreichere Frage lautet:

Was passiert, wenn diese Person unsicher reagiert – unter Berücksichtigung all dessen, was wir sonst über sie wissen?

Awareness ist unverzichtbar. Sie ist jedoch nur ein Teil eines umfassenderen Risikobildes.

3. Hygiene: Wie leicht lässt sich die Identität kompromittieren?

Awareness sagt etwas über Verhalten aus.

Hygiene sagt etwas über den Zustand der Identität selbst aus.

Dazu zählen Signale wie offengelegte Zugangsdaten, Schwachstellen bei Passwörtern, fehlende MFA sowie inaktive oder vergessene Konten.

Diese Unterscheidung ist entscheidend, denn Mitarbeitende können in Security-Trainings sehr gut abschneiden, während ihre Identität an anderer Stelle weiterhin exponiert ist.

Ein Angreifer muss nicht zwangsläufig jemanden täuschen, wenn er bereits über die Zugangsdaten verfügt, um einen Zugriff zu versuchen.

Hygiene bringt diese dauerhaft bestehende Exposition in das Bild des menschlichen Risikos ein.

4. Access: Welche Folgen hätte eine Kompromittierung?

Access zeigt die potenzielle Tragweite.

Dazu gehören Berechtigungen, Systeme, Anwendungen und sensible Informationen, die mit einer Identität verknüpft sind.

Mit anderen Worten:

Worauf könnte ein Angreifer zugreifen, wenn er erst einmal drin ist?

Zwei Nutzer können sich in einer Phishing-Simulation identisch verhalten und trotzdem ein völlig unterschiedliches Risiko darstellen.

Der eine hat eingeschränkte Berechtigungen. Der andere verfügt über administrative Rechte oder Befugnisse für sensible Systeme und Prozesse.

Access verändert die Bedeutung aller anderen Signale, weil es hilft, die mögliche Auswirkung einer Kompromittierung zu bestimmen.

Der schwächste Nutzer ist nicht zwangsläufig der riskanteste

Führt man die vier Säulen zusammen, gerät eine verbreitete Annahme ins Wanken.

Die Person, die am häufigsten klickt, stellt nicht automatisch das größte Risiko dar.

Nehmen wir zwei Nutzer.

Der eine tut sich regelmäßig schwer mit Phishing-Simulationen, verfügt aber über starke Identitätskontrollen und nur eingeschränkten Zugriff.

Der andere besteht Trainings nahezu immer, hat jedoch offengelegte Zugangsdaten, keine MFA und Zugriff auf ein sensibles System.

Betrachtet man ausschließlich Awareness, fällt der Verdacht auf den ersten Nutzer.

Der Blick auf den größeren Kontext erzählt möglicherweise eine ganz andere Geschichte.

Genau deshalb kann sich Human Risk Intelligence nicht auf isolierte Signale stützen.

Der eigentliche Mehrwert entsteht dort, wo sich mehrere Faktoren rund um dieselbe Identität überlagern.

Wie die vier Säulen zusammenwirken

Einzeln betrachtet beschreibt jede Säule einen anderen Aspekt des menschlichen Risikos.

Gemeinsam zeigen sie, wie Risiko tatsächlich entsteht.

Ein hoher Target Value in Kombination mit schwacher Awareness kann eine attraktive Identität leichter angreifbar machen.

Mangelhafte Hygiene in Kombination mit umfangreichem Access bedeutet, dass eine Identität sowohl leichter zu kompromittieren ist als auch größeren Schaden verursachen kann.

Und wenn mehrere Faktoren bei derselben Person zusammentreffen, können scheinbar moderate Einzelsignale ein erheblich größeres Risiko ergeben.

An diesem Punkt führen die vier Säulen zur nächsten Ebene der Human Risk Intelligence: Toxic Combinations.

Toxic Combinations zeigen, wo sich Signale aus Target Value, Awareness, Hygiene und Access rund um eine Identität überschneiden und ein Risikomuster ergeben, das aussagekräftiger ist als jedes Einzelsignal für sich.

Auf dieser Basis lassen sich potenzielle Angriffspfade über den Faktor Mensch sichtbar machen – und Security-Teams erkennen, wo Untersuchung und Behebung Priorität haben sollten.

‍

Von Daten zum Faktor Mensch zu Human Risk Intelligence

Nichts davon ersetzt Security Awareness Training oder Human Risk Management.

Beides bleibt das Fundament und liefert die Verhaltens-, Identitäts- und Sicherheitssignale, die nötig sind, um menschliche Risiken zu verstehen.

Human Risk Intelligence ergänzt die Kontextebene.

Sie verknüpft diese Signale rund um einzelne Identitäten, macht nachvollziehbar, warum sie in Kombination relevant sind, und gibt Security-Teams eine klarere Entscheidungsgrundlage für ihre Prioritäten.

Genau diese Weiterentwicklung treibt usecure mit uHealth voran.

uHealth führt Signale aus Target Value, Awareness, Hygiene und Access in einer Ansicht zusammen, verknüpft sie mit den jeweiligen Identitäten und zeigt auf, welche Risikokombinationen genauer betrachtet werden sollten.

Welche Maßnahme daraus folgt, entscheiden IT- und Security-Teams selbst: eine Identität näher untersuchen, Kontrollen verschärfen, Zugangsdaten zurücksetzen, Berechtigungen anpassen oder eine Awareness-Lücke schließen.

Die Intelligence zeigt, wo Handlungsbedarf besteht. Wie reagiert wird, entscheidet das Security-Team.

Das vollständige Bild menschlicher Risiken

Wenn Ihr Blick auf menschliche Risiken bei Schulungsabschlüssen und Phishing-Ergebnissen endet, sehen Sie nur einen Ausschnitt.

Target Value, Awareness, Hygiene und Access liefern den Kontext, um zu verstehen, warum eine Identität mehr Aufmerksamkeit erfordert als eine andere – und wo einzelne Risikosignale zusammenwirken.

Erfahren Sie, wie usecure die vier Säulen mit uHealth zusammenführt.