Fehleinschätzungen, Phishing und riskante KI-Nutzung:Der Mensch bleibt das größte Sicherheitsrisiko

Fast zwei Drittel der IT-Führungskräfte klicken auf Phishing-Links, während 60 Prozent vertrauliche Daten in KI-Tools eingeben. Der Human Risk Report 2025 zeigt eine gefährliche Diskrepanz zwischen Selbstbild und Realität.

Der „Faktor Mensch“ bleibt eine der größten Schwachstellen in der Cyber-Sicherheitsstrategie von Unternehmen weltweit. Zu diesem Ergebnis kommt der Human Risk Report 2025 von Arctic Wolf. Die zum zweiten Mal durchgeführte Studie legt offen, wie Fehleinschätzungen, riskantes Verhalten und mangelnde Awareness die Angriffsfläche von Organisationen massiv erweitern.

Mit zunehmender Bedrohungsaktivität und wachsender Verankerung generativer KI im Arbeitsalltag wird der Faktor Mensch zu einer der unberechenbarsten Variablen in der Cyber-Sicherheit. Eine übersteigerte Selbstsicherheit seitens mancher Führungskräfte – kombiniert mit Mitarbeitenden, die grundlegende Sicherheitsmaßnahmen umgehen oder falsch anwenden – vergrößert die Lücke zwischen der wahrgenommenen Widerstandsfähigkeit und der tatsächlichen Angriffsfläche.

Zu den zentralen Ergebnissen des Human Risk Reports 2025 zählen die folgenden Punkte:

• Phishing – Übermut statt Vorsicht: Laut Report gaben 68 Prozent der IT-Leitenden an, dass ihr Unternehmen im vergangenen Jahr mindestens einen Sicherheitsvorfall erlebt hat – ein Anstieg um 8 Prozent gegenüber 2024. Besonders alarmierend: Jeder zweite Mitarbeitende und zwei Drittel der IT-Verantwortlichen haben bereits auf potenziell schädliche Links geklickt. Dennoch glauben drei Viertel der Führungskräfte, ihre Organisation sei ausreichend gegen Phishing-Angriffe gewappnet. Diese Selbstüberschätzung öffnet Angreifern Tür und Tor – vor allem, wenn Sicherheitskultur und Meldebereitschaft fehlen. Fast ein Fünftel der Befragten, die auf verdächtige Links klickten, meldeten den Vorfall nicht. Außerdem sind vor allem Führungsetagen im Visier: 39 Prozent waren von Phishing-Angriffen betroffen, 35 Prozent von Malware-Infektionen, die besonders sensible Konten gefährden.
• Trugschluss – Schulungen als Allheilmittel: Am sichersten fühlen sich diejenigen, deren Unternehmen wöchentlich Security Awareness Trainings durchführen. Und tatsächlich zeigt die Studie, dass Organisationen, die auf entsprechende Schulungen setzen, das Risiko erfolgreicher Angriffe um 88 Prozent reduzieren können. Jedoch: Auch wenn Trainings helfen, als alleinige Maßnahme reichen sie nicht aus. Security Awareness Trainings sind elementare Bestandteile der Cyber-Sicherheit. Jedoch ist die Sicherheit, in der sich Führungskräfte durch kontinuierlich stattfindende Schulungen wiegen, trügerisch. Cyber-Angriffe per E-Mail waren früher oft an ihrer holperigen Sprache klar als solche erkennbar. Heute ist es eine Mail vom vermeintlichen Vorgesetzten, der mit Kenntnissen über private Sachverhalte Vertrauen schafft und so Geldtransfers und ähnliche Aktionen veranlasst. Dies gelingt vor allem durch den Einsatz von KI-Technologien. Neben regelmäßigen Trainings werden daher unter anderem regelmäßiges Monitoring, umfangreiche reaktive und präventive Maßnahmen sowie ein detaillierter Incident-Response-Plan benötigt.

KI als neue Risikoquelle

Auch durch die wachsende Verbreitung von generativer KI entstehen zusätzliche Gefahren für Datenschutz und Informationssicherheit: 80 Prozent der IT-Leitenden und 63 Prozent der Mitarbeitenden nutzen laut Report KI-Tools wie ChatGPT im Arbeitsalltag – und 60 Prozent bzw. 41 Prozent geben dabei vertrauliche Informationen ein, teilweise ohne die Unternehmensrichtlinien zum sicheren Umgang mit KI zu kennen.

Hier herrscht deutlicher Nachholbedarf: Bei frei zugänglichen KI-Tools können eingegebene firmeninterne Informationen in das Trainingsmaterial einfließen – und dadurch künftig als Modellantworten für andere Nutzende sichtbar werden.

77 Prozent der IT-Leitenden weltweit würden Mitarbeitende entlassen, wenn diese Opfer eines Social-Engineering-Angriffs werden – ein deutlicher Anstieg gegenüber dem Vorjahr (66 Prozent). Doch eine solche Vorgehensweise führt zu Angst unter Mitarbeitenden, Vorfälle zu melden, und wirkt einem umfassenden Cyber-Schutz entgegen.

Technische Grundlagen oft unzureichend

Auch bei der Umsetzung technischer Schutzmaßnahmen zeigen sich Defizite: Nur 54 Prozent der befragten Organisationen setzen Multi-Faktor-Authentifizierung (MFA) für alle Benutzerkonten ein. Viele Unternehmen beschränken MFA auf privilegierte Accounts – und ermöglichen damit erfolgreiche Kompromittierungen in unteren Zugriffsebenen.

Wenn Verantwortliche ihre Sicherheitslage überschätzen und gleichzeitig unterschätzen, wie Mitarbeitende tatsächlich mit Technologie umgehen, entsteht das perfekte Umfeld für menschliche Fehler – und somit für erfolgreiche Angriffe. Gerade im deutschsprachigen Raum, wo Fachkräftemangel und hybride Arbeitsmodelle Alltag sind, braucht es eine Sicherheitskultur, die auf Förderung, Lernen und kontinuierliche Sensibilisierung setzt. (rhh)

Zum vollständigen Human Risk Report 2025