Schon bevor es digitale Netzwerke oder erste moderne Computer überhaupt gab, war klar, dass Cybersicherheit nicht allein eine technische Angelegenheit ist, sondern auch den Menschen miteinbezieht. Das zeigt sich bereits in den sechs Prinzipen zur Konstruktion eines sicheren Verschlüsselungsverfahrens, die der niederländische Kryptologe August Kerckhoffs 1883 formulierte. Drei davon beziehen sich explizit oder indirekt auf den menschlichen Faktor:
3. Das System muss leicht übermittelbar sein und man muss sich die Schlüssel ohne schriftliche Aufzeichnung merken können
5. Das System muss transportabel sein und die Bedienung darf nicht mehr als eine Person erfordern
6. Das System muss einfach anwendbar sein1
Kerckhoffs erkannte damit früh, dass selbst das beste technische System scheitert, wenn es für den Menschen zu komplex ist.

Trotzdem legte die Cybersicherheit ihren Fokus lange Zeit vor allem auf technische Aspekte wie Firewalls oder Verschlüsselungen. Der Mensch erschien dabei höchstens als Variable, die durch Richtlinien und Verhaltensvorschriften kontrollierbar ist.2
«While companies may spend millions keeping their systems secure and software up-to-date to plug known vulnerabilities, hackers can turn to this form of attack to target, often, the weakest link – humans.» The Guardian3
Letztlich ist der Mensch aber nicht nur Teilkomponente, sondern steht im Zentrum jedes Systems. Er entwickelt, verwaltet und verwendet Technologien, ist immer mehr darauf angewiesen und macht sich dadurch gleichzeitig angreifbar. Die Angriffsfläche entsteht oft durch alltägliche Situationen, sei es ein unüberlegter Klick auf einen vermeintlich Link oder ein wiederverwendetes Passwort. Es braucht somit wenig, um Angreifern ausversehen Zugang zu sensiblen Daten zu gewähren.
Diese soziale Dimension der digitalen Sicherheit betonte auch Martin Ritzmann in seinem Vortrag «Zwischen Cuckoo’s Egg und Ransomware: Soziotechniken der Cybersicherheit», der im Rahmen der Ringvorlesung Digitale Sicherheit auf dem Prüfstand: Was Cyberkriminalität tatsächlich anrichtet, stattfand.
Ritzmanns zentrale Frage lautete, ob öffentliche Institutionen heute tatsächlich sicherer sind als früher. Im historischen Vergleich zwischen den 1980er-Jahren und der Gegenwart kam er zum Schluss, dass der Cyberspace gefährlicher geworden ist. Das mag auf den ersten Blick als logische Folge des technologischen Fortschritts erscheinen, schliesslich entwickelten sich Sicherheitslücken und Schutzmassnahmen seit den Anfängen des Internets miteinander weiter. Weshalb wurde das Internet trotz paralleler Entwicklung also gefährlicher und warum bleibt der Mensch trotz technischer Fortschritte und täglichem Nutzen das schwächste Glied in der Cybersicherheit? Ist diese Zuschreibung berechtigt und wie ist damit umzugehen?
Der Dorn im Auge der Cybersicherheit
Technische Systeme folgen logischen Mustern, Menschen allerdings nicht. Sie handeln widersprüchlich oder emotional, vor allem unter Zeitdruck. Auch seine Unberechenbarkeit macht Menschen zu einem dauerhaften Risikofaktor. Wiederverwendete Passwörter, ignorierte Sicherheitswarnungen oder fehlende Multi-Factor-Authentifizierungen sind nach wie vor Hauptursachen für Sicherheitsvorfälle.4

Zudem sind auch Systeme selbst nur so sicher wie die Menschen, die sie entwickeln. Bereits in den 1990ern argumentierten Soziologen wie Steve Woolgar, dass die Technologie ein Spiegelbild des Menschen ist.5 In diesem Sinn lässt sich die Technik nie isoliert betrachten. Maschinen funktionieren nicht unabhängig vom kulturellen und sozialen Umfeld, in dem sie eingesetzt werden. Sie entfalten sich erst im Zusammenspiel mit dem Endnutzer.6 Der Mensch ist nebst Risikofaktor somit auch ein unzertrennbarer Bestandteil der technologischen Praxis.
Wo menschliches Handeln Teil des Systems ist, kann menschliches Versagen zu einem entscheidenden Schwachpunkt werden. Laut dem Cybersicherheitsunternehmen SentinelOne gehen 82% aller Cloud-Fehlkonfigurationen auf menschliche Fehler zurück. Seit der COVID-Pandemie hat die Digitalisierung von Organisationsprozessen über Cloud-Dienste oder Remote-Server stark zugenommen. Diese Systeme erleichtern und vereinfachen zwar Arbeitsprozesse, sie schaffen durch zusätzliche Vernetzungspunkte allerdings auch neue Einfallstore für Cyberkriminelle.7 Diese zusätzlichen, potenziellen Angriffspunkte können anschliessend die Daten einer ganze Nutzerschaft eines Dienstes oder einer Organisation in Gefahr bringen, wie etwa der British Library Fall ersichtlich machte.
Auch privat wächst die Verwundbarkeit: Je mehr Zeit wir online verbringen, desto grösser wird unser digitaler Fussabdruck und damit das Angriffspotenzial etwa durch Social Engineering. Moderne Angriffe verbinden dessen psychologische Manipulation mit neuen Möglichkeiten der künstlichen Intelligenz.8 Voice-Phishing (Vishing) etwa verwendet Deepfake-Technologien um die menschliche Vertrauensbereitschaft auszunutzen. Angreifende erstellen täuschend echte Stimmen von Bekannten, Verwandten oder Mitarbeitenden und nutzen diese in Betrugsanrufen. Solche Angriffsformen wären vor zwanzig Jahren kaum vorstellbar gewesen. Sie zeigen, wie neue Technologien völlig unerwartete Angriffsmöglichkeiten schaffen und wie schnell sich Bedrohungen verändern.9
Auch grosse Organisationen sind auf menschliche Fehler und Social Engineering anfällig. Das zeigte der Cyberangriff auf die australische Fluggesellschaft Qantas im Sommer 2025. Ein einziger Social Engineering-Anruf reichte aus, um Mitarbeitende in einem Callcenter des Unternehmens zu täuschen. Dadurch konnten sich die Angreifenden den Zugang zu Millionen Kundendaten verschaffen. Der Vorfall verdeutlicht, dass technologische Schutzmechanismen heute noch so stark sein können, sie scheitern oft an der Schnittstelle zwischen Mensch und System.10
Ein Mangel an Transparenz
Ritzmann bezeichnete die 1980er-Jahre als «age of innocence»: Damals war tiefgreifendes technisches Wissen Voraussetzung für die Arbeit mit Computern. Heute ist Technik allgegenwärtig und benutzerfreundlich. Zugleich halten grosse Tech-Unternehmen zentrale Informationen zu Betriebssystemen oder Softwares vor ihren Endnutzern geheim. Durch diese fehlende Transparenz scheinen wir Technik zunehmend weniger zu verstehen. So macht auch die wachsende Kluft zwischen Verwendung und Verständnis den Menschen zu einem Risiko.
Diese Kluft machte auch jüngere Forschung deutlich. Hein und Diefenbach zeigten in ihrer Studie «Towards a Comprehensive View on Technology Transparency», dass mangelnde Transparenz in technischen Systemen das Vertrauen der Nutzerschaft verringert und die wahrgenommene Kontrolle schwächt. Je intransparenter und komplizierter eine Technologie ist, desto weniger hinterfragen wir deren wirkliche Funktionsweise und desto eher verlassen wir uns blind darauf. So können schliesslich auch Sicherheitswarnungen gänzlich ignoriert werden, einfach weil wir deren Bedeutung nicht mehr einschätzen können.11
Damit werden indirekt auch Kerckhoff’s Grundprinzipen verletzt. Nach ihm darf Sicherheit nicht auf Geheimhaltung des Systems beruhen, sondern muss auch für den Menschen leicht verständlich und überprüfbar bleiben. Wenn diese Verständlichkeit aber verloren geht, wird der Mensch einmal mehr zum potenziellen Sicherheitsrisiko.
Diskurswandel: Den Menschen neu denken
«Perfect humans don’t exist – and neither does perfect technology. Effective cybersecurity, therefore, requires the creation of sociotechnical systems where human capabilities complement technological controls.» Crystal Fausett12
Neuere Forschungen plädieren dafür, den Menschen nicht länger als Störfaktor aus Cybersicherheitsfragen auszuschliessen, sondern ihn als Sicherheitsressource zu begreifen. Laut Glorin und Phanindra hängt der Schutz der Organisation weniger von der Technik als von ihrer Sicherheitsstruktur und Prozessen ab.13
«It is time to stop seeing people as the weakest link and to start seeing them as a valuable security factor.» Verena Zimmermann14
Zu den wichtigen Stimmen dieses Perspektivenwechsels gehört auch Verena Zimmermann. Sie ist Assistant Professor für Security, Privacy and Society an der ETH Zürich. Ihre Forschung im Bereich der «Usable Security» betont, dass Menschen durch ihre Kreativität und Anpassungsfähigkeit selbst zum Sicherheitsfaktor werden können. Eine starke Sicherheitskultur fördert Sensibilisierung und vertraut dem Menschen Risiken selbst zu erkennen, bevor Algorithmen es tun.15
Damit wandelt sich der Diskurs: Nicht der Mensch muss aus der Gleichung entfernt werden, sondern besser in sie eingebunden sein. «Human-Centered Cybersecurity» fordert eine Kultur, in der technisches Design, Schulung und soziale Praxis zusammenspielen und transparent sind.16 Dass dieser Ansatz Wirkung zeigt, belegen auch die Resultate der Studie von Glorin und Phanindra. In ihren Untersuchungen zeigte sich deutlich, dass geschulte Mitarbeitende Risiken schneller erkannten, sicherere Entscheidungen trafen und insgesamt souveräner mit Bedrohungen im Cyberspace umgingen.

Damit wird der Mensch nicht länger als «weakest link», sondern als entscheidendes Glied der Sicherheit verstanden und hat gleichzeitig die Möglichkeit digitale Strukturen besser zu verstehen.
Fazit und Ausblick
Die zunehmende Digitalisierung und Technisierung der Welt durchdringen heute jeden Lebensbereich. Damit wächst auch die menschliche Abhängigkeit von digitalen Systemen, wodurch bereits bestehende Angriffsflächen sich vergrössern und gleichzeitig neue entstehen. Der Mensch bleibt trotz besser Technik verwundbar und gerade deshalb ein entscheidender Faktor in der Cybersicherheit.
Die Zukunft der digitalen Sicherheit hängt weniger davon ab, wie perfekt unsere Systeme sind, sondern wie wir diese nutzen und für die Endnutzerschaft verständlich machen. Transparenz und Sensibilisierung sind somit keine Nebenschauplätze der Cybersicherheit, sondern ihr Fundament. Nur wenn wir diese Prinzipen, auf die Kerckhoffs vor über hundert Jahren bereit hingewiesen hatte, ins digitale Zeitalter übertragen können, können wir verhindern, dass der Mensch in der Komplexität seiner eigenen Systeme untergeht. Vielleicht ist die zentrale Frage für die Zukunft also weniger, wie wir Technik sicherer machen, sondern wie wir den Menschen befähigen, sie besser zu verstehen und dadurch sicherer zu nutzen.
Literatur
- August Kerckhoffs, „La Cryptographie Militaire (première partie)“, Journal des sciences militaires 9 (Januar 1883): 12. ↩︎
- European Union Agency for Network and Information Security., Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity. (Publications Office, 2018), 6, https://data.europa.eu/doi/10.2824/324042. ↩︎
- Josh Taylor, „Qantas Attack Reveals One Phone Call Is All It Takes to Crack Cybersecurity’s Weakest Link: Humans“, Business, The Guardian, 5. Juli 2025, https://www.theguardian.com/business/2025/jul/06/qantas-attack-reveals-one-phone-call-is-all-it-takes-to-crack-cybersecuritys-weakest-link-humans. ↩︎
- Josh Davies, „Why Humans Are the Weakest Link in Cybersecurity“, Alert Logic, 5. Juli 2023, https://www.alertlogic.com/blog/why-humans-weakest-link-cybersecurity/. ↩︎
- Steve Woolgar, „Reconstructing Man and Machine: A Note on Sociological Critiques of Cognitivism.“, in The Social Construction of Technological Systems: New Directions in the Sociology and History of Technology, 4. Aufl. (MIT Press, 1993), 312–13. ↩︎
- Harry Collins, „Expert Systems and the Science of Knowledge“, in The Social Construction of Technological Systems: New Directions in the Sociology and History of Technology, 4. Aufl. (MIT Press, 1993), 348. ↩︎
- SentinelOne, „50+ Cloud Security Statistics in 2024“, SentinelOne, 19. November 2024, https://www.sentinelone.com/cybersecurity-101/cloud-security/cloud-security-statistics/. ↩︎
- Michael Sikorski, „Social Engineering on the Rise — New Unit 42 Report“, Palo Alto Networks Blog, 30. Juli 2025, https://www.paloaltonetworks.com/blog/2025/07/social-engineering-rise-new-unit-42-report/. ↩︎
- Anna Bulakh, Voice Cloning and Cybersecurity: Safeguarding Against Vishing Attacks, 27. März 2024, https://www.respeecher.com/blog/voice-cloning-cybersecurity-safeguarding-against-vishing-attacks. ↩︎
- Taylor, „Qantas Attack Reveals One Phone Call Is All It Takes to Crack Cybersecurity’s Weakest Link“. ↩︎
- Ilka Hein und Sarah Diefenbach, „Towards a Comprehensive View on Technology Transparency: A Cross-Technology Investigation of Psychological and Design Factors Around Users’ Transparency Need and Perception“, International Journal of Human–Computer Interaction, 3. Juni 2025, 8–10, https://doi.org/10.1080/10447318.2025.2502983. ↩︎
- Crystal Fausett, „Human-Centered Cybersecurity: Rethinking the “Weakest Link” Narrative“, CIRI Blog: Information Access and Use, 16. März 2025, https://ischool.sjsu.edu/ciri-blog/human-centered-cybersecurity-rethinking-weakest-link-narrative. ↩︎
- Sebastian Glorin und Kolluru Phanindra, „Rethinking the Weakest Link in the Cybersecurity Chain“, ISACA Journal 2021, Nr. 5 (August 2021), https://www.isaca.org/resources/isaca-journal/issues/2021/volume-5/rethinking-the-weakest-link-in-the-cybersecurity-chain. ↩︎
- Verena Zimmermann, „From Weakest Link to Security Factor“, Zukunftsblog, 2. Dezember 2024, https://ethz.ch/en/news-and-events/eth-news/news/2024/12/blog-from-weakest-link-to-security-factor.html. ↩︎
- Ebd. ↩︎
- Fausett, „Human-Centered Cybersecurity“. ↩︎
Abbildungsverzeichnis
Abbildung 1: https://volapuk.temerov.org/Volap%C3%BCkanef/vol/lautan.php?nem=Kerckhoffs_A&rigapad=liseds%2Ftidals.php
Abbildung 2: https://www.deutsche-glasfaser.de/blog/welche-gefahren-lauern-im-internet/
OpenEdition schlägt Ihnen vor, diesen Beitrag wie folgt zu zitieren:
svenzwahlen (2. Dezember 2025). Cybersicherheit ist auch menschlich. Einblicke in die Digital Humanities. Abgerufen am 13. Februar 2026 von https://doi.org/10.58079/159ak

4 Antworten auf „Cybersicherheit ist auch menschlich“
Ein umfassender Beitrag – insbesondere in Bezug auf die Prinzipien von Kerckhoff – erinnert auch in der Kryptologie daran, dass der Mensch unabsichtlich als auch absichtlich ein Risikofaktor sein kann. In der Geschichte treten immer wieder Fälle von Verrat aus unterschiedlichen Gründen auf. So übergab am 8. November 1931 Hans-Thilo Schmidt (1888–1943) aus Frust gegenüber der deutschen Armee dem französischen Geheimdienst Dokumente des Verschlüsselungssystems der Enigma. Dadurch war es möglich, ein Duplikat dieses Enigma-Modells herzustellen, die Nachrichten selbst konnten jedoch zunächst noch nicht entschlüsselt werden. Die Informationen und weitere Dokumente von Schmidt, die auf Umwegen nach Polen und später nach England gelangten, halfen jedoch dabei, die Nachrichten zu entschlüsseln (Simon Singh, Geheime Botschaften, 11. Aufl., München 2012, S. 179–188).
In der Gegenwart ist der Fall Brian Patrick Regan (1962–) bekannt, der im Jahr 2000 versuchte, US-Militärgeheimnisse an Libyen, den Irak und China zu verkaufen. Durch einen Spitzel, der wiederum für die USA arbeitete, bekam auch das FBI über Umwege von diesem Verrat Kenntnis und konnte den Verdächtigen schnell identifizieren. Vor allem orthographische Fehler in seinen Schreiben führten dazu, dass Regan rasch ins Visier der Ermittler geriet. Auf dem Weg zum Flughafen, von wo er nach Zürich fliegen wollte, wurde er am 23. August 2001 verhaftet (Klaus Schmeh, Codeknacker gegen Codemacher, 4. Aufl., Wiesbaden 2022, S. 167–170).
Der Mensch bleibt – bewusst oder unbewusst – stets ein potenzieller Risikofaktor.
Ein sehr gelungener Beitrag, der ein wichtiges und oft unterschätztes Thema der Cybersicherheit beleuchtet. Besonders interessant finde ich den Einstieg mit den Prinzipien von Kerckhoffs. Es ist bemerkenswert, wie diese über 100 Jahre alten Grundsätze auch heute noch hochaktuell sind.
Die Argumentation, den Menschen nicht länger als “weakest link” zu betrachten, sondern als wertvolle Sicherheitsressource zu begreifen, ist sehr überzeugend dargelegt. Gerade die Beispiele wie der Qantas-Vorfall oder die Voice-Phishing-Problematik machen deutlich, wie wichtig dieser Perspektivenwechsel ist. Statt den Menschen aus der Gleichung zu entfernen, sollte er durch Transparenz, Schulung und eine starke Sicherheitskultur zum aktiven Teil der Lösung werden.
Dieser Beitrag beleuchtet die Rolle des Menschen in der Cybersicherheit sehr überzeugend. Die Zusammenhänge werden klar und nachvollziehbar dargestellt. Besonders spannend finde ich den Ansatz, den Menschen nicht länger als Problem, sondern als Chance zu «reframen». Damit trägt der Beitrag meines Erachtens bereits wesentlich zu einem notwendigen Diskurswandel bei.
Eine weiterführende Frage, die sich mir im Anschluss stellt, betrifft den intergenerationellen Kompetenzunterschied im Bereich der Cybersicherheit. Während mit dem Lehrplan 21 in der Schweiz ein grundlegendes Verständnis für Technologien und den Cyberspace vermittelt wird, haben ältere Generationen keinen vergleichbaren Zugang. Bis zu meinem Abschluss der Matur im Jahr 2016 wurde ich beispielsweise im schulischen Kontext nie mit Fragen der Cybersicherheit konfrontiert. Die Integration des Moduls «Medien und Informatik» ist für kommende Generationen ein wichtiger Fortschritt, doch ältere Generationen bleiben in vieler Hinsicht zurück.
Ich schliesse mich daher dem Beitrag an und sehe im Bereich der Kompetenzaneignung ein grosses Potenzial. Um dieses auszuschöpfen, erscheinen mir insbesondere Produzent:innen digitaler Dienste und staatliche Behörden als zentrale Akteure: Sie können Räume schaffen, in denen Menschen aller Altersgruppen Zugang zu den notwendigen Kompetenzen erhalten, um sich sicher und souverän im digitalen Raum zu bewegen.
Dein Beitrag ist sehr durchdacht, weil du Cybersicherheit konsequent als soziotechnisches Problem rahmst und das historisch sauber mit Kerckhoffs Prinzipien verankerst, statt nur bei aktuellen Schlagworten zu bleiben. Besonders überzeugend ist, wie du den Vortrag von Ritzmann und den «weakest link»-Narrativ zusammenführst und dann plausibel zum Diskurswandel Richtung Human-Centered/Usable Security überleitest: Der Mensch erscheint nicht als Störfaktor, sondern als zentraler Teil des Systems. Auch der Abschnitt zur Transparenzlücke ist stark, weil er den Zusammenhang zwischen «Benutzung ohne Verständnis», Vertrauen, Kontrolle und dem Ignorieren von Warnungen nachvollziehbar macht. Wenn Transparenz und Sensibilisierung das Fundament sind, wo siehst du in öffentlichen Institutionen die wirksamsten Hebel (Design der Systeme vs. Schulung/Prozesse), und wie würdest du den Zielkonflikt zwischen Transparenz und dem klassischen Sicherheitsargument «nicht alles offenlegen» begründen?