Human Risk Report 2025 Security Awareness: Menschen bleiben größtes Sicherheitsrisiko

Anbieter zum Thema

Arctic Wolf Networks Germany GmbH

d.velop AG

Esker Software Entwicklungs-und Vertrieb

Wie der neue Human Risk Report 2025 von Arctic Wolf zeigt, klicken fast zwei Drittel der IT-Führungskräfte auf Phishing-Links. Und 60 Prozent geben vertrauliche Daten in KI-Tools ein. Dies zeigt die gefährliche Diskrepanz zwischen Selbstbild und Realität und den Mangel an Security Awareness.

Der aktuelle "Human Risk Report 2025" von Arctic Wolf, einem Anbieter von Security Operations, zeigt deutlich: Der „Faktor Mensch“ bleibt eine der größten Schwachstellen in der Cybersicherheitsstrategie von Unternehmen weltweit. Die zum zweiten Mal durchgeführte Studie legt offen, wie Fehleinschätzungen, riskantes Verhalten und mangelnde Security Awareness die Angriffsfläche von Organisationen massiv erweitern.

Mit zunehmender Bedrohungsaktivität und wachsender Verankerung generativer KI im Arbeitsalltag wird der Faktor Mensch zu einer der unberechenbarsten Variablen in der Cybersicherheit. Eine übersteigerte Selbstsicherheit seitens mancher Führungskräfte – kombiniert mit Mitarbeitenden, die grundlegende Sicherheitsmaßnahmen umgehen oder falsch anwenden – vergrößert die Lücke zwischen der wahrgenommenen Widerstandsfähigkeit und der tatsächlichen Angriffsfläche. Der Arctic Wolf Human Risk Report 2025 soll dazu dienen, Führungskräften und Sicherheitsexpertinnen und -experten dabei zu helfen, diese Herausforderungen zu erkennen und die menschengemachten Risiken anzugehen, die in jeder Organisation bestehen.

Security Awareness: Zu wenig Vorsicht bei Phishing

Laut Report gaben 68 Prozent der IT-Leitenden an, dass ihr Unternehmen im vergangenen Jahr mindestens einen Sicherheitsvorfall erlebt hat – ein Anstieg um 8 Prozent gegenüber 2024. Besonders alarmierend: Jeder zweite Mitarbeiter und zwei Drittel der IT-Verantwortlichen haben bereits auf potenziell schädliche Links geklickt. Dennoch glauben drei Viertel der Führungskräfte, ihre Organisation sei ausreichend gegen Phishing-Angriffe gewappnet.

Diese Selbstüberschätzung öffnet Angreifern Tür und Tor – vor allem, wenn Sicherheitskultur und Meldebereitschaft fehlen. Fast ein Fünftel der Befragten, die auf verdächtige Links klickten, meldeten den Vorfall nicht. Außerdem sind vor allem Führungsetagen im Visier: 39 Prozent waren von Phishing-Angriffen betroffen, 35 Prozent von Malware-Infektionen, die besonders sensible Konten gefährden.

Trugschluss: Schulungen als AllheilmittelAm sichersten fühlen sich diejenigen, deren Unternehmen wöchentlich Trainings zu Security Awareness durchführen. Und tatsächlich zeigt die Studie, dass Organisationen, die auf entsprechende Schulungen setzen, das Risiko erfolgreicher Angriffe um 88 Prozent reduzieren können. Jedoch: Auch wenn Trainings helfen, als alleinige Maßnahme reichen sie nicht aus.

„Security-Awareness-Trainings sind elementare Bestandteile der Cybersicherheit. Jedoch ist die Sicherheit, in der sich Führungskräfte durch kontinuierlich stattfindende Schulungen wiegen, trügerisch. Cyberangriffe per E-Mail waren früher oft an ihrer holperigen Sprache klar als solche erkennbar“, sagt Dr. Sebastian Schmerl, Regional Vice President Security Services EMEA bei Arctic Wolf.„Heute ist es eine Mail vom vermeintlichen Vorgesetzten, der mit Kenntnissen über private Sachverhalte Vertrauen schafft und so Geldtransfers und ähnliche Aktionen veranlasst. Dies gelingt vor allem durch den Einsatz von KI-Technologien. Neben regelmäßigen Trainings werden daher unter anderem regelmäßiges Monitoring, umfangreiche reaktive und präventive Maßnahmen sowie ein detaillierter Incident-Response-Plan benötigt.“

Security Awareness: KI als neue Risikoquelle

Auch durch die wachsende Verbreitung von generativer KI entstehen zusätzliche Gefahren für Datenschutz und Informationssicherheit: 80 Prozent der IT-Leitenden und 63 Prozent der Mitarbeitenden nutzen laut Report KI-Tools wie ChatGPT im Arbeitsalltag – und 60 Prozent bzw. 41 Prozent geben dabei vertrauliche Informationen ein, teilweise ohne die Unternehmensrichtlinien zum sicheren Umgang mit KI zu kennen. Hier herrscht deutlicher Nachholbedarf: Bei frei zugänglichen KI-Tools können eingegebene firmeninterne Informationen in das Trainingsmaterial einfließen – und dadurch künftig als Modellantworten für andere Nutzende sichtbar werden.

Sicherheitskultur: Strafen statt Lernen

77 Prozent der IT-Leitenden weltweit würden Mitarbeitende entlassen, wenn diese Opfer eines Social-Engineering-Angriffs werden – ein deutlicher Anstieg gegenüber dem Vorjahr (66 Prozent). Doch eine solche Vorgehensweise führt zu Angst unter Mitarbeitenden, Vorfälle zu melden, und wirkt einem umfassenden Cyberschutz entgegen.

Security Awareness: Technische Grundlagen oft unzureichend

Auch bei der Umsetzung technischer Schutzmaßnahmen zur Verbesserung der Security Awareness zeigen sich Defizite: Nur 54 Prozent der befragten Organisationen setzen Multi-Faktor-Authentifizierung (MFA) für alle Benutzerkonten ein. Viele Unternehmen beschränken MFA auf privilegierte Accounts – und ermöglichen damit erfolgreiche Kompromittierungen in unteren Zugriffsebenen.

„Wenn Verantwortliche ihre Sicherheitslage überschätzen und gleichzeitig unterschätzen, wie Mitarbeitende tatsächlich mit Technologie umgehen, entsteht das perfekte Umfeld für menschliche Fehler – und somit für erfolgreiche Angriffe. Gerade im deutschsprachigen Raum, wo Fachkräftemangel und hybride Arbeitsmodelle Alltag sind, braucht es eine Sicherheitskultur, die auf Förderung, Lernen und kontinuierliche Sensibilisierung setzt”, so Dr. Schmerl.

KI-Einsatz

Security Operations: KI wird Standard in der Cybersicherheit

Zur Methodik der Studie: Für den Human Risk Report 2025 wurden zwei Umfragen unter je 855 IT- und Sicherheitsverantwortlichen aus den Bereichen C-Level Executive und Director/VP sowie 855 Endanwendern aus dem mittleren und gehobenen Management von Abteilungen wie Finanzen, Personalwesen, Marketing, Betrieb und Beschaffung durchgeführt. Die Teilnehmer stammten aus Organisationen mit mehr als 50 Mitarbeitern bis hin zu Großunternehmen und kamen aus 17 Ländern: Vereinigte Staaten, Kanada, Australien, Neuseeland, Vereinigtes Königreich, Irland, Deutschland, Niederlande, Belgien, Schweiz, Österreich, Finnland, Dänemark, Norwegen, Schweden, Japan und Singapur.
Die Interviews wurden von Sapio Research im Juli 2025 per E-Mail-Einladung und Online-Umfrage durchgeführt. Arctic Wolf ist Anbieter von Security Operation Services und liefert mit Aurora eine Cloud-native Security-Operations-Plattform mit dem Ziel, Cyberrisiken zu beenden.