Wie lässt sich das IT-Sicherheitsbewusstsein steigern?

Cyberangriffe auf IT-Infrastrukturen werden immer häufiger. „Ob solche Attacken Erfolg haben, hängt oft nicht nur von technischen Schutzmaßnahmen ab, sondern auch vom Faktor Mensch“, sagt Prof. Dr. Michael Meier von der Arbeitsgruppe IT-Sicherheit am Institut für Informatik IV der Universität Bonn.

Das IT-Sicherheitsbewusstsein der Nutzer ist zum Beispiel bei Phishing-Versuchen gefragt. Dabei ahmen Betrüger vertrauenswürdige elektronische Nachrichten etwa von Banken oder Versandhäusern nach. Die Nutzer werden dann auf gefälschte Seiten gelockt und unter einem Vorwand sensible Daten abgefragt, die etwa erlauben, das Konto zu plündern oder einen Trojaner zu installieren.

„Solche Phishing-Kampagnen und andere Cyberangriffe lassen sich teilweise recht simpel erkennen“, sagt Arnold Sykosch, wissenschaftlicher Mitarbeiter von Prof. Meier. Meist sei die Anrede in solchen E-Mails allgemein gehalten, der Name des Adressaten kommt nicht vor. Darüber hinaus zeige häufig ein Blick auf die Internetadresse der gefälschten Seite, dass sie nicht von der vorgegebenen Institution stammen kann. Ein weiterer Hinweis sei, wenn man ohne konkreten Anlass elektronische Post mit der Aufforderung bekommt, sie zu bearbeiten.

Es liegen kaum empirische Daten zum IT-Sicherheitsbewusstsein vor

Wie man den Faktor Mensch besser in die IT-Sicherheitsstrategie einbeziehen und für Cyberangriffe sensibilisieren kann, wird in den nächsten drei Jahren im Verbundprojekt „IT-Security Awareness Penetration Testing (ITS.APT)“ erforscht, das vom Bundesministerium für Bildung und Forschung (BMBF) gefördert wird. Das Gesamtprojektvolumen beträgt 2,24 Millionen Euro, davon fließen 734.000 Euro an die Universität Bonn. „Es liegen bislang kaum empirische Daten dazu vor, in welchem Maße das IT-Sicherheitsbewusstsein von Benutzern relevante Vorfälle beeinflussen kann“, sagt Prof. Meier von der Universität Bonn, der das Vorhaben koordiniert.

Cyberangriffe sollen realitätsnah simuliert werden

Das interdisziplinär aufgestellte Forscherteam der AG IT-Sicherheit der Universität Bonn, des Fachbereichs Allgemeine Psychologie: Kognition der Universität Duisburg-Essen, des Instituts für Informations-, Telekommunikations- und Medienrecht der Universität Münster, des Unabhängigen Landeszentrums für Datenschutz Schleswig-Holstein, der Enno Rey Netzwerke GmbH und des Universitätsklinikums Schleswig-Holstein plant deshalb, mit verschiedenen Probanden realitätsnahe Szenarien durchzuführen und zu beobachten, wie sie sich bei einem simulierten Cyberangriff verhalten. Daraus versuchen die Wissenschaftler, einfach zu messende Kennzahlen herauszufiltern, mit denen sich das IT-Sicherheitsbewusstsein von Personen an ihren Arbeitsplätzen erfassen und beschreiben lässt.

Die Forscher betreten mit dem Vorhaben Neuland. „Solche Tests hat es in dieser Form bislang in Deutschland noch nicht gegeben“, sagt Prof. Meier von der Universität Bonn. Das Team versucht, aus den gewonnenen Daten auch Anhaltspunkte dafür zu bekommen, wie sich das IT-Sicherheitsbewusstsein von Mitarbeitern steigern lässt. Diese Erkenntnisse sollen dann in spezielle Trainings für Nutzer einfließen. „Eine abschließende Validierung wird schließlich zeigen, ob das entwickelte Instrumentarium tatsächlich zu einer Verbesserung des IT-Sicherheitsniveaus führt“, sagt Sykosch.

Kontakt für die Medien:

Prof. Dr. Michael Meier
Institut für Informatik IV
Universität Bonn
Tel. 0228/7354249
E-Mail: mm@cs.uni-bonn.de

Arnold Sykosch
Institut für Informatik IV
Universität Bonn
Tel. 0228/7354247
E-Mail: sykosch@cs.uni-bonn.de

https://itsec.cs.uni-bonn.de/itsapt Informationen zum Projekt