Cybersicherheit und menschliches Verhalten: Die Rolle der Psychologie im Zeitalter der KI-gestützten Systeme

Cybersicherheit ist heute nicht mehr nur ein technisches Problem, sondern vielmehr eine interdisziplinäre Herausforderung, bei der der Mensch eine zentrale Rolle spielt. Mit der zunehmenden Integration von KI-gestützten Cybersicherheitssystemen in den Schutz sensibler Daten und Infrastrukturen wird die Schnittstelle zwischen menschlichem Verhalten und Technologie immer wichtiger. Während KI in der Lage ist, Bedrohungen zu erkennen und abzuwehren, bleibt der Mensch oft das schwächste Glied in der Sicherheitskette. Dieser Artikel untersucht das Zusammenspiel zwischen menschlichem Verhalten und KI-gestützten Cybersicherheitssystemen und analysiert kognitive und sozialpsychologische Phänomene, die die Cybersicherheit beeinflussen. Aus psychologischer Sicht werden Lösungsansätze aufgezeigt, die dazu beitragen, sicherere Systeme zu entwickeln.

Kognitive Verzerrungen und Cybersicherheit

Eine der größten Herausforderungen im Bereich der Cybersicherheit sind kognitive Verzerrungen, die das Verhalten von Individuen in sicherheitskritischen Situationen beeinflussen. Zwei wichtige Verzerrungen, die hierbei eine Rolle spielen, sind der Optimismus-Bias und der Verfügbarkeitsheuristik.

1. Optimismus-Bias: Menschen neigen dazu, die Wahrscheinlichkeit, selbst Opfer eines Cyberangriffs zu werden, zu unterschätzen. Sie glauben, dass Bedrohungen eher andere treffen werden als sie selbst. Dieser Optimismus kann dazu führen, dass Mitarbeitende weniger aufmerksam sind und Sicherheitsvorkehrungen wie das Ändern von Passwörtern oder das Erkennen von Phishing-Mails vernachlässigen.

2. Verfügbarkeitsheuristik: Menschen neigen dazu, ihre Entscheidungen auf Informationen zu stützen, die ihnen am leichtesten in den Sinn kommen. Wenn sie von einem spektakulären Cyberangriff hören, messen sie dieser Bedrohung eine höhere Wahrscheinlichkeit zu, während weniger auffällige, aber häufigere Bedrohungen wie Phishing ignoriert werden. Dies führt zu einer Verzerrung in der Risikowahrnehmung und zu Fehlentscheidungen in sicherheitsrelevanten Kontexten.

Soziale Dynamiken und Gruppendenken

Neben den kognitiven Verzerrungen beeinflussen auch soziale Dynamiken das Verhalten in Cybersicherheitssituationen. Ein besonders problematisches Phänomen ist das sogenannte Gruppendenken. In Organisationen kann es vorkommen, dass Sicherheitsbedenken nicht ausreichend hinterfragt werden, weil der Konsens in der Gruppe als wichtiger erachtet wird als kritische Stimmen. Dieses Phänomen führt dazu, dass potenzielle Sicherheitslücken nicht erkannt oder unterschätzt werden, da Einzelpersonen ihre Bedenken nicht äußern, um den Zusammenhalt der Gruppe nicht zu gefährden.

Gruppendynamiken beeinflussen auch die Art und Weise, wie Informationen über Sicherheitsbedrohungen verbreitet und aufgenommen werden. Wenn Führungskräfte Cybersicherheit nicht priorisieren oder sich nicht klar darüber äußern, wie wichtig sie ist, folgen Mitarbeitende oft dieser unbewussten Führung und verhalten sich entsprechend. So entsteht ein kollektiver Mangel an Sicherheitsbewusstsein.

Verhaltensökonomie und Risikowahrnehmung

Die Risikowahrnehmung spielt eine zentrale Rolle im Verhalten von Individuen, wenn es um Cybersicherheit geht. Viele Menschen sind nicht in der Lage, das Ausmaß einer Bedrohung korrekt einzuschätzen, weil sie die Komplexität der Technologie nicht vollständig verstehen oder weil Risiken abstrakt und weit entfernt erscheinen. Diese Distanz zu den Konsequenzen führt dazu, dass Sicherheitsmaßnahmen oft vernachlässigt werden. Ein weiteres Problem ist die Hyperbolische Diskontierung, ein psychologisches Phänomen, bei dem kurzfristige Vorteile über langfristige Sicherheit gestellt werden. Mitarbeitende könnten beispielsweise einfache, aber unsichere Passwörter wählen, um Zeit zu sparen, obwohl dies langfristig das Risiko eines Angriffs erhöht.

KI-gestützte Systeme und Vertrauen

Die Integration von KI in Cybersicherheitssysteme bringt erhebliche Vorteile, aber auch Herausforderungen mit sich, insbesondere in Bezug auf das Vertrauen der Nutzer in diese Technologien. KI-Systeme sind oft intransparent und schwer nachvollziehbar, was zu einem Phänomen führt, das als Algorithmus-Aversion bekannt ist. Menschen neigen dazu, automatisierten Systemen weniger zu vertrauen, insbesondere wenn diese Entscheidungen treffen, die sie selbst nicht nachvollziehen können. Dieses mangelnde Vertrauen kann dazu führen, dass Mitarbeitende Empfehlungen von KI-gestützten Sicherheitssystemen ignorieren oder umgehen.

Um diese Herausforderung zu bewältigen, ist es notwendig, Systeme zu entwickeln, die sowohl transparent als auch nachvollziehbar sind. Erklärbare KI-Modelle können dazu beitragen, das Vertrauen der Nutzer zu stärken und ihre Akzeptanz gegenüber automatisierten Sicherheitsmaßnahmen zu erhöhen.

Lösungsansätze aus psychologischer Sicht

Aus psychologischer Sicht gibt es mehrere Lösungsansätze, um das Zusammenspiel zwischen menschlichem Verhalten und KI-gestützten Cybersicherheitssystemen zu verbessern:

1. Schulung und Sensibilisierung: Regelmäßige Schulungen zur Risikowahrnehmung und zu den häufigsten kognitiven Verzerrungen können das Bewusstsein der Mitarbeitenden für Cybersicherheitsrisiken schärfen. Insbesondere sollten Trainingsprogramme auf das Erkennen von Phishing-Angriffen und anderen häufigen Bedrohungen abzielen.

2. Nudging und Verhaltensökonomie: Durch den Einsatz von „Nudges“, also kleinen Anreizen oder Erinnerungen, können Mitarbeitende dazu ermutigt werden, sicherheitsrelevante Verhaltensweisen zu übernehmen. Dies könnte beispielsweise durch regelmäßige Erinnerungen zum Passwortwechsel oder durch die Einführung von Zwei-Faktor-Authentifizierung geschehen.

3. Erklärbare KI: Der Einsatz von transparenten, erklärbaren KI-Modellen kann dazu beitragen, das Vertrauen der Nutzer in KI-gestützte Sicherheitssysteme zu erhöhen. Systeme, die ihre Entscheidungen verständlich kommunizieren, sind eher akzeptiert und werden in kritischen Situationen zuverlässiger genutzt.

4. Förderung einer Sicherheitskultur: Führungskräfte sollten aktiv eine Kultur der Cybersicherheit fördern, in der Mitarbeitende ermutigt werden, Sicherheitsbedenken offen zu äußern und sich proaktiv an Sicherheitsmaßnahmen zu beteiligen. Dies kann durch regelmäßige Kommunikation und eine klare Priorisierung von Sicherheitszielen erreicht werden.

Schlussfolgerung

Das Zusammenspiel von menschlichem Verhalten und KI-gestützten Cybersicherheitssystemen ist komplex und erfordert ein tiefes Verständnis der kognitiven und sozialen Mechanismen, die das Verhalten in sicherheitskritischen Situationen beeinflussen. Psychologische Lösungsansätze können helfen, Systeme so zu gestalten, dass sie menschliche Schwächen berücksichtigen und die Sicherheit insgesamt verbessern. Durch Schulungen, den Einsatz von Nudges und die Entwicklung von erklärbaren KI-Modellen kann die Cybersicherheit in Organisationen nachhaltig gestärkt werden.

Im Rahmen des IABG Akademie Morning Pints wurden folgende Thesen diskutiert:

1. Angreifer-Perspektive: Psychologische Manipulation durch KI

   Individuelle Ebene (psychologisch):
   Mitarbeitende sollten regelmäßig in den psychologischen Taktiken geschult werden, die von Angreifern verwendet werden, wie z. B. Social Engineering. Ein besseres Bewusstsein für kognitive Verzerrungen und emotionale Manipulation kann ihre Resilienz gegenüber solchen Angriffen erhöhen. Neben der Schulung im Erkennen von Social Engineering sollten Mitarbeitende sichere Verhaltensroutinen entwickeln, wie z. B. das routinemäßige Überprüfen von Absendern, Links und Dateianhängen in E-Mails, bevor sie darauf reagieren. Automatisierte Abläufe, wie das regelmäßige Ändern von Passwörtern oder die Verwendung von Passwort-Managern, können das Sicherheitsniveau erhöhen und das Risiko menschlicher Fehler reduzieren.

   Technische Ebene:
   Der Einsatz von KI zur Automatisierung der Erkennung von Social-Engineering-Angriffen, z. B. durch KI-gestützte Systeme, die Phishing-Mails in Echtzeit analysieren und blockieren, bevor sie den Nutzern zugestellt werden, kann die Bedrohung minimieren.

   Organisatorische Ebene:
   Organisationen sollten regelmäßige Sicherheitstrainings und Simulationen von Phishing-Angriffen implementieren, um Mitarbeitende kontinuierlich zu sensibilisieren. Zudem sollte eine Sicherheitskultur gefördert werden, die offene Kommunikation über potenzielle Angriffe erlaubt und die Meldebereitschaft steigert.

2. Verteidiger-Perspektive: Vertrauen und Akzeptanz von KI

   Individuelle Ebene (psychologisch):
   Mitarbeitende sollten in die Funktionsweise von KI-gestützten Sicherheitssystemen eingewiesen werden, um Vertrauen aufzubauen. Durch Erklärungen, wie die KI Bedrohungen erkennt, können Unsicherheiten abgebaut und die Akzeptanz gesteigert werden. Um das Vertrauen in KI-gestützte Systeme zu stärken, sollten Mitarbeitende Routinen im Umgang mit diesen Technologien entwickeln. Dazu gehört das regelmäßige Überprüfen und Interpretieren von KI-generierten Sicherheitswarnungen. Die Etablierung von Automatismen, wie die standardmäßige Überprüfung von verdächtigen Aktivitäten, kann die Effizienz steigern und das Vertrauen in die Zuverlässigkeit der KI erhöhen.

   Technische Ebene:
   Entwicklung von erklärbaren KI-Modellen (Explainable AI), die den Nutzern transparent machen, warum und wie eine Entscheidung getroffen wurde. Dies stärkt das Vertrauen in die KI und fördert deren Nutzung.

   Organisatorische Ebene:
   Organisationen sollten KI als unterstützendes Werkzeug und nicht als Ersatz für menschliche Entscheidungen positionieren. Ein hybrider Ansatz, der sowohl auf menschliches Urteilsvermögen als auch auf KI setzt, kann die Akzeptanz erhöhen. Außerdem sollten klare Richtlinien zur Nutzung und Überwachung von KI-Sicherheitssystemen etabliert werden.

3. Angst und Überforderung durch komplexe KI-Systeme

   Individuelle Ebene (psychologisch):
   Es sollte ein Fokus auf Stressbewältigungsstrategien und Resilienzförderung für IT-Sicherheitskräfte gelegt werden, um Überforderung und Entscheidungsfehler unter Druck zu verringern. Psychologische Unterstützung durch Coaching oder Beratung kann in stressintensiven Phasen helfen. Um Überforderung zu vermeiden, sollten Mitarbeitende Routinen und Automatismen entwickeln, die den Umgang mit KI-Systemen vereinfachen. Regelmäßige, routinierte Überwachungsaufgaben und automatisierte Abläufe, wie das tägliche oder wöchentliche Durchführen von Systemsicherheitschecks, können helfen, Unsicherheiten zu reduzieren und das Gefühl der Kontrolle über komplexe Systeme zu fördern.

   Technische Ebene:
   Die Entwicklung intuitiver, nutzerfreundlicher Schnittstellen für KI-Sicherheitssysteme kann die kognitive Last der Mitarbeitenden reduzieren. Automatisierte Funktionen sollten flexibel konfigurierbar sein, um individuell anpassbare Unterstützung zu bieten.

   Organisatorische Ebene:
   Es sollte ein organisatorisches Umfeld geschaffen werden, in dem Fehlentscheidungen nicht sanktioniert, sondern als Lernmöglichkeiten genutzt werden. Außerdem sollten klar definierte Eskalationsprozesse implementiert werden, damit Mitarbeitende bei Überlastung schnell Unterstützung erhalten.

---

Referenzen:

• Kahneman, D. (2011). Thinking, fast and slow. Farrar, Straus and Giroux.
• Sunstein, C. R., & Thaler, R. H. (2008). Nudge: Improving decisions about health, wealth, and happiness. Yale University Press.
• Tversky, A., & Kahneman, D. (1974). Judgment under uncertainty: Heuristics and biases. Science, 185(4157), 1124-1131