Menschliche Fehler in der Cybersicherheit: Was die Daten zeigen und wie du das Risiko senkst

Was sind menschliche Fehler in der Cybersicherheit?

Menschliche Fehler in der Cybersicherheit sind Fehlentscheidungen oder manipulierte Handlungen von Personen, etwa der Klick auf einen Phishing-Link, ein wiederverwendetes Passwort oder ein falsch konfigurierter Cloud-Dienst, durch die Angreifer Zugang erhalten oder Daten offenliegen. Angreifer nutzen gezielt Verhaltensmuster wie Zeitdruck und Vertrauen aus. Wie groß der Schaden eines einzelnen Fehlers wird, hängt vom Unternehmen ab: von Schulung, Prozessen und technischen Kontrollen.

Dieser Artikel trennt belegte Zahlen von solchen, die ohne Quelle kursieren, und zeigt, welche Kontrollen den Schaden begrenzen.

Wie groß ist das Risiko durch menschliche Fehler?

Laut Verizon Data Breach Investigations Report (DBIR) 2026 war bei 62 % der Datenpannen ein menschliches Element beteiligt, im Vorjahr waren es 60 %. Die Zahl beschreibt, wie oft Menschen an einer Datenpanne beteiligt sind, nicht, wer schuld ist. Social Engineering war das dritthäufigste Angriffsmuster (16 % aller Datenpannen), wie die Executive Summary des DBIR 2026 angibt.

Welche Zahlen zu menschlichen Fehlern und Datenpannen sind belegt?

Hier stehen nur Zahlen mit zugänglicher Primärquelle; Werte, die online ohne solche Quelle kursieren, lassen wir weg. Berichte nutzen unterschiedliche Stichproben und Definitionen, vergleiche Werte deshalb nur innerhalb desselben Berichts.

Welche Fehler führen am häufigsten zu Datenpannen?

Verizon nennt 2026 die Ausnutzung von Schwachstellen als häufigsten Einstiegsweg (31 %), vor gestohlenen Zugangsdaten (13 %); Phishing blieb bei 16 %. Auf der menschlichen Seite sind das die typischen Einfallstore:

Phishing & Social Engineering

Phishing-Angriffe zählen zu den am weitesten verbreiteten und effektivsten Methoden von Cyberkriminellen. Dabei setzen sie auf gefälschte E-Mails oder Nachrichten, die legitime Absender vortäuschen. Ziel ist es, Mitarbeitende dazu zu bringen, sensible Daten preiszugeben oder auf schädliche Links zu klicken. Auch Voice Phishing ist verbreitet, wie die ShinyHunters-Angriffe auf Google und Salesforce zeigen; KI-generierte Stimmen machen es schwerer erkennbar (Deepfake-Phishing). Mehr dazu: Phishing bekämpfen.

Schwache oder wiederverwendete Passwörter

Ein weiteres Einfallstor für Angreifer sind Passwörter – insbesondere dann, wenn sie einfach, mehrfach verwendet oder gar öffentlich zugänglich sind. Trotz aller Empfehlungen zur Passworthygiene zeigt die Praxis: Viele Mitarbeitende setzen weiterhin unsichere Kennwörter ein.

Fehlkonfiguration und Datenfehler

Fehlende Verschlüsselung, unzureichende Rechtevergabe oder falsch konfigurierte Cloud-Dienste führen regelmäßig zu Datenpannen. Oft liegt der Fehler nicht in der Absicht, sondern in fehlendem Bewusstsein für die Konsequenzen.

Geräteverlust

Verlorene oder gestohlene Endgeräte wie Laptops und Smartphones stellen ein erhebliches Risiko dar, vor allem, wenn sie unverschlüsselt sind oder kein Remote-Löschzugriff besteht.

Beispiel: der Qantas-Vorfall

Am 30. Juni 2025 entdeckte Qantas ungewöhnliche Aktivitäten auf einer Drittanbieter-Plattform, die das Contact Center nutzt. Laut Help Net Security zielte ein Krimineller auf das Call Center und erhielt Zugriff auf eine Kundenservice-Plattform eines Drittanbieters; rund 5,7 Millionen Kund:innen waren betroffen. Qantas nannte keine konkrete Angriffstechnik; Silverfort sieht Merkmale der Gruppe Scattered Spider, die auf Social Engineering setzt.

Was kostet eine Datenpanne, und was sagen die Berichte?

Der IBM Cost of a Data Breach Report 2026 beziffert die durchschnittlichen Kosten einer Datenpanne weltweit auf 4,99 Mio. US-Dollar, ein Rekordwert und 12 % mehr als im Vorjahr. Die Ausgabe 2025 nannte weltweit 4,44 Mio. US-Dollar und für Deutschland 3,87 Mio. Euro; dort war Phishing der zweithäufigste Einstiegsweg (14 %, durchschnittlicher Schaden 4,15 Mio. Euro). Das sind Durchschnittswerte über sehr unterschiedliche Vorfälle; vergleiche sie nur innerhalb eines Berichts. Für kleinere Unternehmen: Cyberangriffe auf Unternehmen und KMU-Schutz.

Warum reicht Training allein nicht aus?

Training senkt die Wahrscheinlichkeit eines Fehlers, kann sie aber nicht auf null bringen, deshalb müssen technische Kontrollen den Schaden begrenzen, wenn doch jemand klickt. Im DBIR 2026 blieb Phishing bei 16 % als Einstiegsweg, und die mittlere Klickrate bei simulierten Angriffen per Sprach- und Textnachricht lag um 40 % höher als bei E-Mail.

Viele Unternehmen setzen auf jährliche Schulungen oder verpflichtende Onboarding-Module. Solche Formate sind oft unregelmäßig, wenig praxisnah und nicht zielgruppenspezifisch. Ein häufiger Fehler: Die Schulung wird als Pflichtaufgabe betrachtet, nicht als kontinuierlicher Prozess. Der Effekt ist entsprechend gering. Es braucht daher neue Formate und Lernansätze, die Sicherheit erlebbar machen und nachhaltig verankern, zum Beispiel Compliance-Schulungen.

Welche Kontrollen verringern die Auswirkungen?

Kontrollen, die auch dann wirken, wenn jemand einen Fehler macht: phishing-resistente Multi-Faktor-Authentifizierung, eingeschränkte Zugriffsrechte, Verschlüsselung und ein getesteter Incident-Response-Plan.

Kultureller Wandel

Cybersicherheit muss als integraler Bestandteil der Unternehmenskultur verstanden werden. Führungskräfte spielen hierbei eine entscheidende Rolle – sie müssen das Thema sichtbar machen, vorleben und kontinuierlich adressieren.

Regelmäßige und personalisierte Trainings

Nicht jede:r Mitarbeitende benötigt die gleichen Inhalte. IT-Teams haben andere Risiken als HR oder Sales. Effektiv sind Micro-Learning-Formate, monatliche Impulse, Rollenspiele und Phishing-Simulationen.

Technische Ergänzungen

Maßnahmen wie Multi-Faktor-Authentifizierung (MFA), Passwortmanager oder Endpoint-Verschlüsselung helfen, die Folgen menschlicher Fehler zu minimieren. Zugriffsrechte sollten regelmäßig überprüft und angepasst werden. Zertifizierungen wie zum Beispiel ISO 27001 können zusätzlich dabei helfen, technische Schwachstellen systematisch zu erkennen und gezielt zu beheben, ein Zertifikat allein verhindert Angriffe aber nicht (warum zertifizierte Unternehmen trotzdem gehackt werden).

KI-gestützte Erkennung

Moderne KI-Lösungen können verdächtiges Verhalten in Echtzeit erkennen – z. B. ungewöhnliche Login-Zeiten oder abweichende E-Mail-Kommunikation.

Was verlangen DSGVO und NIS2?

Die DSGVO verlangt geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO) und, nach einer Verletzung des Schutzes personenbezogener Daten, die Meldung an die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden (Art. 33 Abs. 1 DSGVO). Ob im Einzelfall gemeldet werden muss, hängt vom Risiko für die Betroffenen ab. Relevant für das Risiko Mensch:

• Art. 32 Abs. 4 DSGVO: Unterstellte Personen verarbeiten personenbezogene Daten nur auf Anweisung des Verantwortlichen oder Auftragsverarbeiters.
• Art. 39 Abs. 1 Buchst. b DSGVO: Wurde ein Datenschutzbeauftragter benannt, gehören Sensibilisierung und Schulung der Mitarbeitenden zu seinen Aufgaben.
• Art. 28 Abs. 3 DSGVO: Die Verarbeitung durch einen Auftragsverarbeiter erfolgt auf Grundlage eines Vertrags, des AVV.
• Art. 30 Abs. 1 DSGVO: Verantwortliche führen ein Verzeichnis von Verarbeitungstätigkeiten.

Laut Europäischer Kommission verlangt NIS2 von mittleren und großen Einrichtungen in kritischen Sektoren angemessene Risikomanagementmaßnahmen für die Cybersicherheit und führt eine Verantwortlichkeit der Unternehmensleitung ein. Ob dein Unternehmen betroffen ist, hängt von Sektor und Größe ab: NIS2-Übersicht.

Was sollten Unternehmen zuerst tun?

Beginne mit Kontrollen, die auch bei Fehlern wirken, und baue darauf regelmäßige, rollenspezifische Schulungen auf. Oft wird angenommen, dass Mitarbeitende schuld sind, wenn es zu einem Sicherheitsvorfall kommt. Dabei steckt meist ein ganz anderes Problem dahinter: fehlende Schulungen, unklare Regeln oder technische Lücken. Klar, der Klick auf einen Link kann der Auslöser sein, aber die Verantwortung liegt bei der Organisation. Es ist Aufgabe des Unternehmens, dafür zu sorgen, dass Mitarbeitende sicher arbeiten können. Mit klaren Abläufen, guter Technik und verständlicher Kommunikation.

Kurzfristige Maßnahmen:

• Phishing-Sensibilisierung durchführen und auswerten
• Schulungen für alle Mitarbeitenden einführen oder aktualisieren
• Passwort- und Zugriffsrichtlinien überarbeiten
• heyData zur AVV-Verwaltung und Dokumentation einführen
• Incident-Response-Plan erstellen und testen

Langfristige Maßnahmen:

• Sicherheitsbewusstsein zur Führungsaufgabe machen
• Cybersicherheit in Zielsysteme und interne Kommunikation integrieren
• Prozesse regelmäßig mit Tools wie heyData überprüfen
• Personal gezielt weiterbilden und befähigen
• Technische und organisatorische Maßnahmen verzahnen

Fazit: Cybersicherheit beginnt beim Menschen und wird durch Systeme gestützt

Die digitale Bedrohungslage ist dynamisch, doch ein Faktor bleibt konstant: Der Mensch ist häufig das Einfallstor. Organisationen müssen deshalb konsequent in Schulung, Kultur und Compliance investieren. Tools wie heyData helfen dabei, gesetzliche Anforderungen zu erfüllen, Transparenz zu schaffen und Mitarbeitende handlungsfähig zu machen.

Denn echte Sicherheit entsteht nicht durch Technik allein, sondern durch das Zusammenspiel von Menschen, Prozessen und digitalen Werkzeugen.

heyData: Compliance trifft auf Usability

In dieser komplexen Gemengelage unterstützt heyData Unternehmen mit einer pragmatischen, digitalen Lösung. Die Plattform fokussiert sich auf die operative Umsetzung datenschutzrechtlicher Anforderungen, einfach, automatisiert und schnell.

heyData bietet unter anderem:

• Automatisierte Erstellung und Pflege von Datenschutzdokumentationen (z. B. Verarbeitungsverzeichnisse, Datenschutzrichtlinien)
• Strukturierte Verwaltung von Auftragsverarbeitungsverträgen (AVVs)
• DSGVO-konforme Schulungsmodule für Mitarbeitende
• Management von Betroffenenanfragen (z. B. Auskunft, Löschung)
• Aktuelle rechtliche Hinweise bei Gesetzesänderungen wie NIS2 oder DORA

Durch die einfache Integration in Unternehmensprozesse wird Datenschutz zur Routine – nicht zur Belastung.

Wichtig: heyData ersetzt keine technischen Schutzmaßnahmen wie Firewalls oder SIEM-Systeme. Aber es bietet eine zentrale Plattform, um organisatorische Pflichten zu verwalten, ein Baustein im Schutz vor menschlichem Fehlverhalten.