Cybersecurity Awareness Month 2026: Machen Sie Sicherheit für Ihre Mitarbeitenden einfach

In diesem Cybersecurity Awareness Month sollte die sichere Entscheidung die einfachste sein.

Der Cybersecurity Awareness Month erinnert daran, dass Sicherheit auch von den Entscheidungen abhängt, die Menschen jeden Tag treffen. Für Beschäftigte in operativen Bereichen ist die sichere Entscheidung jedoch nicht immer die einfachste. Wiederholte Authentifizierungsprozesse können ihre Arbeit unterbrechen. Eine medizinische Fachkraft meldet sich an, um eine Patientenakte aufzurufen. Ein Beschäftigter in der Fertigung authentifiziert sich an einem Produktionssystem. Ein Polizeibeamter greift auf sensible Informationen aus dem Bereich der Strafverfolgung zu.

Jeder dieser Vorgänge dauert vielleicht nur wenige Sekunden. Doch wenn für den sicheren Zugriff immer wieder Passwörter eingegeben, Anmeldedaten bereitgestellt oder zusätzliche Aufforderungen bestätigt werden müssen, summieren sich die Unterbrechungen. In manchen Branchen verbringen Beschäftigte täglich bis zu 45 Minuten allein mit Anmeldevorgängen. Diese Zeit fehlt für die eigentliche geschäftskritische Arbeit.

Umständliche Authentifizierungsprozesse können auch Sicherheitsrisiken schaffen. Ist der vorgesehene Zugriffsweg langsamer oder komplizierter als eine Umgehungslösung, steigt der Anreiz, einen schnelleren Weg zu suchen. Gemeinsam genutzte Zugangsdaten, unbeaufsichtigte Sitzungen und andere Abkürzungen können die Sicherheitsmaßnahmen untergraben, die eine Organisation schützen sollen.

Wenn Beschäftigte den sicheren Weg wählen sollen, muss dieser Weg einfach sein. Bei der Authentifizierung lässt sich damit gut beginnen. Passwortlose Verfahren können die wiederholte Eingabe von Passwörtern durch schnellere und intuitivere Methoden ersetzen. So lassen sich unnötige Unterbrechungen verringern, ohne Abstriche beim Schutz zu machen.

Herkömmliche Passwörter aus Arbeitsabläufen entfernen

Passwörter übertragen einen Teil der Sicherheitsarbeit auf die Beschäftigten, die ihre eigentlichen Aufgaben erledigen müssen. Sie müssen Passwörter erstellen, sich merken, korrekt eingeben, regelmäßig ändern und sicher aufbewahren. Zugleich werden Passwörter zunehmend durch längere und komplexere Passphrasen ersetzt, die oft mehr als 16 Zeichen umfassen. Wird ein Passwort zu oft falsch eingegeben, kann das Konto gesperrt werden. Beschäftigte müssen sich dann an den IT-Helpdesk wenden und ihr Passwort zurücksetzen lassen, bevor sie weiterarbeiten können.

Über verschiedene Anwendungen und wiederkehrende Anmeldungen hinweg werden Passwörter so zu einer dauerhaften Belastung. Das kann Umgehungslösungen begünstigen, etwa das Teilen oder Ausleihen von Zugangsdaten.

Passwortlose Authentifizierung verändert diese Abläufe. Beschäftigte können sich zum Beispiel mit biometrischen Merkmalen, Mitarbeiterausweisen, Passkeys, PINs oder anderen zum Arbeitsablauf passenden Verfahren authentifizieren. Phishing-resistente Verfahren wie FIDO-basierte Passkeys können zudem den Nutzen gestohlener oder durch Phishing erbeuteter Zugangsdaten für Angreifer verringern.

Entscheidend ist, dass sich die sichere Handlung wie ein natürlicher Teil der Arbeit anfühlt. Können sich Beschäftigte mit einem Ausweis, einem biometrischen Merkmal oder einem Passkey authentifizieren, müssen sie ihre Arbeit nicht für die Eingabe eines Passworts unterbrechen. Sicherheit konkurriert dann nicht mehr mit dem schnelleren Weg. Der schnelle Weg kann zugleich der sichere sein.

Authentifizierungsmethoden an den Arbeitsablauf ausrichten

Passwortlose Authentifizierung bedeutet nicht, eine einzige Methode auszuwählen und überall einzusetzen. Welche Methode passt, hängt von den Beschäftigten, den Geräten, der Arbeitsumgebung und der jeweiligen Aufgabe ab.

Eine medizinische Fachkraft, die regelmäßig zwischen gemeinsam genutzten Arbeitsstationen wechselt, kann von einer schnellen Authentifizierung per Mitarbeiterausweis oder biometrischem Merkmal profitieren. Für Beschäftigte in der Fertigung, die ein persönliches Gerät nutzen, kann ein Passkey besser geeignet sein. In anderen Umgebungen kommen möglicherweise andere Verfahren infrage, je nachdem, welche Geräte verfügbar sind und unter welchen Bedingungen die Arbeit stattfindet.

Diese Flexibilität ist wichtig, denn die technische Ausstattung in operativen Bereichen folgt selten dem einfachen Modell „eine Person, ein Gerät“. Gemeinsam genutzte Arbeitsstationen und mobile Geräte werden oft parallel zu persönlichen Endgeräten und spezialisierten Systemen verwendet. Die Authentifizierung muss zu dieser Realität passen.

Bevor Verantwortliche aus IT und Sicherheit eine Authentifizierungsmethode auswählen, sollten sie die Arbeitsabläufe genau betrachten und folgende Fragen stellen:

• Wie häufig müssen sich Beschäftigte authentifizieren?
• Wird das Gerät von mehreren Personen genutzt?
• Wie schnell müssen Beschäftigte zwischen Benutzerkonten wechseln können?
• Tragen sie Handschuhe, Masken oder andere Schutzausrüstung, die bestimmte Authentifizierungsmethoden erschweren?
• Welche Schritte führen zu Verzögerungen, Kontosperrungen oder Anfragen beim IT-Helpdesk?
• Wo greifen Beschäftigte bereits auf Umgehungslösungen zurück?

Die Antworten zeigen, an welchen Stellen passwortlose Authentifizierung Abläufe spürbar vereinfachen kann, statt lediglich eine Authentifizierungsmethode durch eine andere zu ersetzen.

Identität bei Bedarf zusätzlich absichern

Passwörter aus alltäglichen Zugriffsvorgängen zu entfernen, bedeutet nicht, die Sicherheit zu verringern. Organisationen müssen weiterhin sicherstellen, dass eine Person tatsächlich diejenige ist, für die sie sich ausgibt, und dass der angeforderte Zugriff in der jeweiligen Situation angemessen ist. Das erforderliche Maß an Gewissheit wird häufig als Identity Assurance bezeichnet.

Nicht jeder Zugriff erfordert dasselbe Maß an Sicherheit. Greift eine beschäftigte Person während einer regulären Schicht mit einem bekannten Gerät auf eine vertraute Anwendung zu, ist die Situation anders zu bewerten als bei der Registrierung neuer Anmeldedaten, der Wiederherstellung eines Kontos oder dem Zugriff auf sensible Informationen.

In Situationen mit erhöhtem Risiko können zusätzliche Nachweise erforderlich sein, bevor Zugriff gewährt wird. Eine Identitätsverifizierung kann dazu beitragen zu bestätigen, dass die Person, die Anmeldedaten erhält, zurücksetzt oder wiederherstellt, tatsächlich zu deren Nutzung berechtigt ist. Schaffen Organisationen an diesen wichtigen Punkten im Identitätslebenszyklus ein höheres Maß an Sicherheit, müssen sie Beschäftigte bei alltäglichen Zugriffsvorgängen nicht wiederholt mit denselben zusätzlichen Anforderungen belasten.

Adaptive Authentifizierung kann dasselbe Prinzip auf laufende Zugriffsvorgänge anwenden. Faktoren wie das verwendete Gerät, der Standort, das Nutzerverhalten oder die Sensibilität der angeforderten Ressource können dabei helfen zu entscheiden, ob die bestehende Authentifizierung ausreicht oder ein zusätzlicher Schritt erforderlich ist.

So können Sicherheitsteams die Identität bei veränderten Risiken gezielt stärker absichern, ohne von allen Beschäftigten bei jedem Zugriff den strengstmöglichen Authentifizierungsprozess zu verlangen.

Bestehende Hürden beseitigen, bevor weitere Zugriffskontrollen hinzukommen

Im Cybersecurity Awareness Month geht es oft darum, was Einzelne für mehr Sicherheit tun können. Der Monat bietet auch Verantwortlichen für Sicherheit die Gelegenheit zu prüfen, welche Anforderungen ihre Prozesse an die Beschäftigten stellen. Erfordert sicheres Verhalten wiederholte Unterbrechungen oder Abläufe, die nicht zur tatsächlichen Arbeit passen, lässt sich das Problem nicht allein durch mehr Sicherheitsbewusstsein lösen.

Setzen Sie dort an, wo Authentifizierung die Arbeit unterbricht. Prüfen Sie wiederholte Passworteingaben, häufige Zurücksetzungen und Kontosperrungen, gemeinsam genutzte Zugangsdaten, unbeaufsichtigte Sitzungen und die Zahl der Anfragen beim IT-Helpdesk. Diese Faktoren können zeigen, wo die Authentifizierung nicht zu den Arbeitsabläufen passt. Fragen Sie anschließend, ob passwortlose Authentifizierung den sicheren Zugriff erleichtern könnte. Bei Vorgängen mit erhöhtem Risiko können Identitätsverifizierung oder adaptive Authentifizierung zusätzliche Sicherheit schaffen, ohne allen Beschäftigten weitere Schritte aufzuerlegen.

Sicherheit zur einfachsten Wahl zu machen bedeutet, Schutzmaßnahmen an den tatsächlichen Arbeitsabläufen auszurichten. Für Beschäftigte in operativen Bereichen beginnt das mit einer Authentifizierung, die schneller und natürlicher ist als eine Umgehungslösung.

Die Authentifizierung ist jedoch erst der Anfang. Im nächsten Beitrag unserer Blogreihe zum Cybersecurity Awareness Month geht es darum, was passiert, wenn sich Risikostufen verändern und warum stärkere Sicherheit nicht zwangsläufig mehr Aufwand für alle Beschäftigten bedeuten muss.