Cyberangriffe sind eine immer stärker werdende Bedrohung für kleine und mittelständische Unternehmen (KMU). Jüngste Studien zeigen, dass die Mehrheit der erfolgreich durchgeführten Cyberangriffe eine Interaktion der Mitarbeiterinnen und Mitarbeiter erfordern, was den kritischen Faktor Mensch in der Cybersicherheit unterstreicht. Das Paper »Exploring the Human Factor in IT-security: A mobile lab for Investigating User Behavior« stellt die Methode »IT-Sicherheitslabor« vor, um den Faktor Mensch bei Cyberangriffen zu untersuchen. Unsere Fachleute Nadja Menz und Richard Huber haben gemeinsam mit Nicolas Fähnrich, Fraunhofer-Institut für Arbeitswirtschaft und Organisation (IAO) sowie Kevin Köster, Universität Hamburg und Patrick Renkel, Hochschule Darmstadt am Paper mitgewirkt.

Mobiles Labor macht authentische Cyberangriffe immersiv erlebbar

Das mobile, skalierbare IT-Sicherheitslabor, ermöglicht es Studienteilnehmerinnen und -teilnehmern aus KMU, realistische Cyberangriffe in einer typischen Arbeitsumgebung am PC im Büro immersiv zu erleben. Teilnehmerinnen und Teilnehmer werden auf Veranstaltungen angesprochen und in das mobile Labor eingeladen

Das Labor ist darauf ausgelegt, die Abläufe verschiedener Angriffsvektoren mit menschlicher Interaktion des angegriffenen Unternehmens authentisch und praxisnah zu vermitteln. Mehrere Demonstratoren zeigen immersiv die relevantesten Cyberangriffe im Unternehmen wie Spear-Phishing, bösartige E-Mail Anhänge, Drive-by-Downloads, Ransomware-Angriffe, USB-Keystroke-Injection, Man-in-the-Middle-Angriffe und WIFI-Angriffe. Im Training in der simulierten Arbeitsumgebung zeigt sich, wie es um das IT-Sicherheitsbewusstsein eines Unternehmens bestellt ist und wie die Mitarbeitenden selbst Einfluss nehmen können auf die IT-Sicherheit. Nach aktuellem Kenntnisstand ist das mobile IT-Sicherheitslabor das erste seiner Art, das mit authentischen Szenarien aufbereitet wurde.

Authentische Wahrnehmung von Cyberangriffen: bisherige Erkenntnisse

Das mobile IT-Sicherheitslabor war erstmalig auf der Hannover Messe 2022 vertreten. Hier führte das Projektteam Interviews mit den Teilnehmerinnen und Teilnehmern durch. Sie empfanden die Cyberattacken der entwickelten Demonstratoren als realistisch und bestätigten, dass das mobile Labor dafür geeignet sei, das IT-Sicherheitsbewusstsein zu erhöhen.

Zum anderen zeigt sich, dass sich die Teilnehmerinnen und Teilnehmer in Bezug auf IT-Sicherheit häufig überschätzen und dass ein Bedarf besteht, Maßnahmen zu entwickeln, die das IT-Sicherheitsbewusstsein steigern. Mit seinen Erkenntnissen liefert das Paper einen aktuellen und relevanten Beitrag, um die IT-Sicherheit in kleinen und mittelständischen Unternehmen zu verbessern.