Die Bedrohungslage durch Internetangriffe ist so hoch wie nie. Ungeachtet dieser Gegebenheit sind bloß die wenigsten Unternehmen umfassend gegen äußere und innere Gefahren gewappnet. Ein häufig unterschätzter Grund ist, dass etliche Firmen die Risiken sowie Konsequenzen von Internetangriffen und Sicherheitslücken unterschätzen und deshalb keinen ausreichenden Anreiz sehen, in eine umfängliche IT-Sicherheitsstrategie einzuzahlen. Diese kognitive Verzerrung wird in der Psychologie auch als Dunning-Kruger-Effekt bezeichnet. Was sich hinter diesem Begriff verbirgt, welche Auswirkungen er auf die IT-Sicherheit hat und wie Firmen diesen umgehen beziehungsweise minimieren können, lesen Sie im nachfolgenden Beitrag.

Der steigende Gebrauch digitaler Technologien bewirkt seit Jahren eine gewaltige Veränderung der Businesswelt. Binnen kürzester Zeit wurden bis dato bewährte und erfolgversprechende Geschäftsmodelle wie auch Geschäftsstrategien abgewertet, neue Geschäftsanforderungen formuliert und der geschäftliche Triumph in etlichen Gebieten ausgeweitet. Zeitgleich hat der Umbruch zu einer Entgrenzung der Kriminalitätsrate geleitet. Durch die steigende Diversität netzfähiger Endpunkte, digitaler Plattformen und neuer Technologien eröffnen sich bösartigen Akteuren mittlerweile eine Reihe neuartiger Modi Operandi mit gigantischen Schadenspotenzialen.

Obwohl inzwischen 84 % der Unternehmen in Deutschland von Internetkriminalität berührt sind, stocken an vielen Orten die Aufwendungen für die IT-Sicherheit. Der Auslöser: Viele Unternehmen haben eine falsche Perzeption des eigenen IT-Schutzes. So werden die hausinternen IT-Sicherheitsfähigkeiten der Firma wegen bereits implementierter IT-Sicherheitsmaßnahmen häufig überbewertet und die wirklichen Risiken des individuellen Unternehmens übersehen oder unterschätzt.

In der Psychologie spricht man in diesem Fall auch von einem sogenannten Dunning-Kruger-Effekt.

Was besagt der Dunning-Kruger-Effekt?

Kurz zusammengefasst, handelt es sich beim Dunning-Kruger-Effekt um ein Mysterium, bei dem Menschen eine übermäßige Selbstüberschätzung ihrer Fähigkeiten haben, insbesondere in Bezug auf ihr Know-how sowie ihre Kompetenzen in einem bestimmten Gebiet. Das Resultat ist, dass sich diese Menschen fälschlicherweise für fähiger halten als sie in der Tat sind und unter anderem Schwierigkeiten haben, sich objektiv zu bewerten und Fehler verüben, welche sich negativ auf ihre Leistungen auswirken können.

Der Dunning-Kruger-Effekt ist auf die Ergebnisse der beiden Psychologen David Dunning sowie Justin Kruger zurückzuleiten. Diese führten 1999 Studien bezüglich der Selbstüberschätzung und Außendarstellung von Personen mit einem erhöhten Selbstwertgefühl durch. Die beiden Wissenschaftler kamen zu dem Schluss, dass Menschen mit geringem Wissen sowie fehlender Qualifikation häufig dazu neigen, sich selbst überzubewerten. Diesen mangelt es an ausreichender Selbstreflexion, um ihre Position sachlich einschätzen zu können und zu erkennen, dass andere ihnen geistig voraus sind.

Dunning-Kruger-Effekt: Beispiele!

Dem Dunning-Kruger-Effekt läuft man nahezu überall über den Weg.
Das wohl imposanteste Dunning-Kruger-Effekt-Exempel zeigt sich in der Kriminalgeschichte: Im Jahr 1995 raubte McArthur Wheeler am helllichten Tag zwei Banken aus. Hierbei verzichtete er auf jedwede Art von Vermummung, obwohl beide Banken kameraüberwacht waren. Als sich danach die Handschellen schlossen, war die eigene Verwunderung beachtlich. Anscheinend war er überzeugt davon, dass ihn Zitronensaft für eine Überwachungstechnik der Banken transparent machen würde. Nach dem gleichen Prinzip funktioniert schließlich auch eine „Zaubertinte“.
Ebenfalls bekannte Paradebeispiele für den Dunning-Kruger-Effekt sind

• Fußballfans, welche häufig glauben, mehr taktisches Verständnis und Ahnung vom Spiel zu haben als die professionellen Coaches
• Das Gros der Autofahrer, welche denken, deutlich richtiger zu fahren als der Standard.
• Wähler, welche besser wissen, was für deren Land das Richtige ist und dass sie das Land richtiger regieren könnten als die aktuelle Regierung

Die Folgen des Dunning-Kruger-Effekts für die IT-Sicherheit!

So eine Art der Fehleinschätzung kann hauptsächlich im Bereich der IT-Sicherheit eines Unternehmens schwere Konsequenzen haben:

• Erhöhtes Sicherheitsrisiko: Durch das Überbewerten der eigenen Fähigkeiten und Fachkenntnisse in Bezug auf IT-Risiken können Arbeitnehmer*innen leichter von Phishing-Angriffen getäuscht werden sowie unsichere Passwörter verwenden, was wiederum das Risiko von Sicherheitsverletzungen erhöhen kann.
• Mangelhafte Sicherheitskonfigurationen: Wenn Menschen ihre eigene Fähigkeit, Netzwerke mit Sicherheit zu konfigurieren, überschätzen, kann dies zu mangelhaften Sicherheitskonfigurationen führen, die die Gefahr von Angriffen steigern.
• Unsichere Software-Installationen: Wenn Menschen die eigene Kompetenz, sichere Software-Installationen durchzuführen, zu hoch bewerten, könnten sie schadende Software installieren oder Sicherheitsupdates ignorieren, was die Gefahr von Angriffsversuchen steigern kann.
• Unsichere Datenspeicherung: Wenn Menschen ihre eigene Fähigkeit, sichere Datenspeicherungspraktiken zu beachten, überschätzen, können selbige wichtige Daten ungeschützt sichern oder sie auf unsicheren Geräten speichern, was das Risiko von Datenverlust oder auch Datendiebstahl erhöhen kann.
• Mangelnde Wachsamkeit: Wenn Menschen ihre eigene Fähigkeit, Gefahren in der IT-Sicherheit zu erkennen, überschätzen, könnten sie Phishing-Angriffe oder sonstige Bedrohungen übersehen, was ein Risiko von Angriffsversuchen erhöhen kann.
• Mangelhafte Compliance: Arbeitnehmer könnten sich nicht der Compliance-Regeln bewusst sein oder sie ignorieren, weil sie glauben, dass sie jene nicht einhalten müssen oder nicht wissen, wie sie jene befolgen sollen. Das könnte zu schwerwiegenden Nachwirkungen führen, wenn das Unternehmen gegen Gesetzmäßigkeiten oder Vorschriften verstößt.

Wie kann man den Dunning-Kruger-Effekt verhindern?

Um den Dunning-Kruger-Effekt in der IT-Sicherheit zu meiden, gibt es etliche Maßnahmen, die ergriffen werden könnten:

1. Regelmäßige Aufklärung und Sensibilisierung: Es ist wichtig, dass Menschen über den Dunning-Kruger-Effekt und dessen Konsequenzen informiert werden, damit diese ihre eigenen Fähigkeiten realistisch beurteilen können.
2. Realistische Einschätzung der eigenen Fähigkeiten: Es ist wichtig, dass Menschen eine reelle Einschätzung der persönlichen Fähigkeiten haben und nicht versuchen, Aufgaben zu erledigen, welche sie nicht bewältigen können.
3. Einhaltung von Sicherheitsrichtlinien und -verfahren: Es ist wichtig, dass man sich an festgelegte Sicherheitsrichtlinien wie auch -verfahren hält, um das Risiko von Sicherheitsverletzungen zu minimieren.
4. Kommunikation und Zusammenarbeit: In der IT-Sicherheit ist es bedeutend, dass Menschen miteinander kommunizieren und zusammenarbeiten, um Risiken zu verkleinern und die Sicherheit zu maximieren. Hierzu gehört ebenso, dass man sich gegenseitig anerkennt und unterstützt.
5. Risikomanagement: Ein entscheidender Teil der IT-Sicherheit ist ein Risikomanagement, bei welchem Risiken analysiert und Mittel ergriffen werden, um jene Risiken zu minimieren oder zu beseitigen. Hierzu zählt ebenso, dass man die Kenntnisse und Fähigkeiten der einzelnen Teammitglieder beachtet sowie entsprechende Maßnahmen ergreift.

Fazit: Halbwissen ist nicht nur gefährlich, sondern ganz gefährlich!

Grundsätzlich lässt sich sagen, dass der Dunning-Kruger-Effekt im Bereich der IT-Sicherheit ein ernstzunehmendes Problem ist, das es zu vermeiden gilt. Durch regelmäßige IT-Sicherheitsschulungen können Firmen das Know-how sowie die Fähigkeiten ihrer IT-Teams und Arbeitnehmerinnen im Hinblick auf IT-Sicherheit otimieren und sicherstellen, dass sie auf dem neuesten Niveau sind. Auf diese Weise können sie sicherstellen, dass ihre IT-Teams und Mitarbeiterinnen gut gerüstet sind, um potenziellen externen sowie internen Gefahren entgegenzuwirken sowie die Sicherheit ihrer IT-Systeme zu versichern.

Möchten auch Sie den Dunning-Kruger-Effekt bei sich im Unternehmen umgehen? Oder haben Sie noch Fragen zum Thema? Rufen oder schreiben Sie uns an.