// HEISE ONLINE — CYBERSECURITY
c’t-Podcast: „Nutzer sind nicht der Feind“
Awareness-Trainings sind billig, aber nicht wirksam. Angela Sasse fordert seit Jahrzehnten, die Technik den Menschen anzupassen und nicht umgekehrt.
Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden.
Damit können personenbezogene Daten an Drittplattformen (Podigee GmbH) übermittelt werden.
Mehr dazu in unserer
Datenschutzerklärung.
Der Angreifer benötigte kein Deepfake oder eine KI. Ein Anruf auf Niederländisch genügte: Ein angeblicher IT-Kollege brachte Anfang 2026 eine Mitarbeiterin im Callcenter des Mobilfunkanbieters Odido dazu, sich auf einer nachgebauten Login-Seite anzumelden – inklusive zweitem Faktor. Am Ende waren nach Angaben des Unternehmens die Daten von mehr als sechs Millionen Kundinnen und Kunden abgeflossen. Hinter dem Angriff wird die kriminelle Gruppe ShinyHunters vermutet. Die niederländische Polizei spielte die Stimme des Anrufers später im Fernsehen ab.
Wer solche Fälle als menschliches Versagen abtut, macht es sich zu einfach, sagt Angela Sasse im c't-Podcast "They Talk Tech" mit Svea Eckert und Eva Wolfangel. Die Psychologin und promovierte Informatikerin forschte fast 30 Jahre am University College London und ist seit 2018 Professorin für Human-Centred Security an der Ruhr-Universität Bochum. 1999 veröffentlichte sie mit Anne Adams den Aufsatz "Users Are Not the Enemy", bis heute einer der meistzitierten Texte des Fachs. Darin untersuchte sie, wieso Menschen IT-Sicherheit häufig missachten, indem sie zum Beispiel statt komplexer alphanumerischer Zeichenketten leicht zu erratenden Passwörter nutzen.
"Schon damals war klar, dass die klassischen Sicherheitsmaßnahmen der Informatik nicht funktionieren, weil sie nicht auf den Menschen abgestimmt sind", sagt Sasse. Anstatt daraus die logischen Konsequenzen zu ziehen und Sicherheitsmechanismen zu entwickeln, die Menschen auch gut umsetzen zu können, betrachteten viele Fachleute in der IT-Sicherheit die Anwender als das Problem.
Bis heute untersucht Sasse, wie etwa Beschäftigte in Unternehmen mit Sicherheitsanforderungen umgehen – seien es Passwörter oder auch die aktuell beliebten Awareness-Trainings und Test-Phishing-Emails. Das Ergebnis: Die Regeln überfordern das menschliche Gedächtnis, sie werden umgangen und kosten viel Arbeitszeit. "Man hat also große Kosten, unzufriedene Nutzer und keine Sicherheit", fasst Sasse zusammen. Nur: Diese Kosten werden häufig nicht gesehen. Angela Sasses einfachste Leitlinie lautet seither: Wer eine Sicherheitsregel aufstellt, muss feststellen, wer wie viel Zeit aufwenden muss, um sie einzuhalten. "Das passiert bis heute in schätzungsweise 90 Prozent der Unternehmen nicht."
Mit Ihrer Zustimmung wird hier ein externer Podcast (Podigee GmbH) geladen.
Ich bin damit einverstanden, dass mir externe Inhalte angezeigt werden.
Damit können personenbezogene Daten an Drittplattformen (Podigee GmbH) übermittelt werden.
Mehr dazu in unserer
Datenschutzerklärung.
Passwörter hält sie für ein Relikt aus den 1960er-Jahren, als wenige Fachleute je einen Zugang zu einem Rechner hatten. Heute haben viele Menschen Hunderte Konten. Mit Passkeys sieht Sasse einen der großen Fortschritte der vergangenen Jahre: Statt Passwörtern werden kryptografische Schlüssel ausgetauscht, die sich nicht auf einer gefälschten Login-Seite abgreifen lassen.