Human Risk Score: So messen Sie das Sicherheitsrisiko durch Beschäftigte

Sicherheitsteams kennen ihre Patch-Zeiten, ihre EDR-Abdeckung und den CVSS-Wert jeder offenen Schwachstelle. Fragt man sie aber, wie hoch das Risiko ist, das in der Buchhaltung in der vierten Reihe sitzt, haben die meisten keine Zahl. Dabei ordnet der Verizon Data Breach Investigations Report 2026 62 % der Datenschutzverletzungen dem menschlichen Faktor zu.

Ein Human Risk Score soll genau dieses Ungleichgewicht beheben: eine einzige, laufend aktualisierte Zahl, die für Menschen leistet, was CVSS für Software leistet. Er macht Risiko vergleichbar, verfolgbar und handhabbar. Dieser Leitfaden zeigt, was in einen solchen Score gehört, wie Sie einen Score bauen, der dem Praxiskontakt standhält, und welche Fehler eine nützliche Kennzahl in Dekoration verwandeln.

Warum menschliches Risiko eine Zahl braucht

Es gibt drei Gründe, nach Bedeutung geordnet.

Priorisierung. Kein Sicherheitsteam kann alle einzeln betreuen. Die auf dem IEEE S&P 2025 veröffentlichte Studie mit mehr als 19.500 Beschäftigten fand keinen signifikanten Zusammenhang zwischen der jährlichen Pflichtschulung für alle und dem Verhalten in Phishing-Simulationen. Was wirkt, sind gezielte, rechtzeitige Eingriffe. Um gezielt eingreifen zu können, müssen Sie wissen, bei wem – das sagt Ihnen der Score.

Kommunikation. Der Vorstand liest keine Klickberichte, er liest Trendlinien. Ein Score, der in zwei Quartalen von 68 auf 41 fällt, ist eine Geschichte, die der CISO mit einer Folie erzählen kann. Er macht Awareness-Arbeit von einem Kostenposten zu einem gemessenen Risikominderungsprogramm. Das ist auch das Hauptargument unserer Analyse zum ROI von Security-Awareness-Schulungen.

Strategie. Gartner sagt voraus, dass bis 2027 die Hälfte der CISOs großer Unternehmen Praktiken für menschenzentriertes Sicherheitsdesign einführen wird. NIST SP 800-50r1 beschreibt Awareness nicht als jährliche Veranstaltung, sondern als fortlaufendes, gemessenes Programm. Beide Entwicklungen setzen Messung voraus. Ein menschenzentriertes Programm lässt sich nicht nach Gefühl steuern.

Ein Human Risk Score ist keine Note für Beschäftigte. Er ist ein Priorisierungssystem für Ihr Sicherheitsteam.

Was in den Score gehört

Ein belastbarer Score verbindet zwei Dimensionen: Verhalten (was Menschen tatsächlich tun) und Exposition (was passiert, wenn sie etwas falsch machen). Wer auf jeden Köder klickt, aber auf nichts Sensibles zugreifen kann, ist ein kleineres Problem als ein Domain-Administrator, der gelegentlich klickt.

Zwei Gestaltungshinweise zu dieser Tabelle. Erstens: Schwierigkeit zählt. Ein Klick auf einen plumpen Köder und ein Klick auf eine perfekt vorbereitete Spear-Phishing-Mail sind nicht dasselbe Signal. Die NIST Phish Scale wurde genau dafür entwickelt, die Erkennbarkeit jeder Phishing-Mail einzustufen; gewichten Sie Fehler (und Meldungen) nach dieser Stufe. Zweitens: Melden ist ein positives Signal und sollte das Risiko sichtbar senken. Ein Team, das gelegentlich klickt, aber binnen Minuten meldet, ist operativ sicherer als eines, das nie klickt und nie meldet – denn erst die Meldung gibt Ihrem Sicherheitsteam die Chance, Nachrichten zu stoppen, die den Filter überwunden haben.

Einen Score in fünf Schritten aufbauen

1. Einheit und Skala festlegen. Bewerten Sie Personen, aber handeln Sie aggregiert: Team, Abteilung, Standort. Eine Skala von 0 bis 100 mit benannten Stufen ist leichter zu erklären als rohe Wahrscheinlichkeiten. Legen Sie von Anfang an fest, ob ein hoher Wert riskanter bedeutet, und ändern Sie das nie wieder.

2. Mit den vorhandenen Signalen beginnen. Die meisten Unternehmen können die erste Version allein aus Ergebnissen der Phishing-Simulation, Schulungsnachweisen, MFA-Registrierung und Leak-Monitoring berechnen. Warten Sie nicht auf perfekte Telemetrie. Ein Score aus vier ehrlichen Signalen ist besser als eine Roadmap-Folie, die vierzehn verspricht.

3. Verhalten vor Einstellung, Aktuelles vor Vergangenem gewichten. Beobachtete Handlungen (geklickt, gemeldet, Passwort wiederverwendet) sollten Umfrageantworten überwiegen. Nutzen Sie eine zeitlich abklingende Gewichtung: Schulungseffekte lassen innerhalb weniger Monate nach, daher sollte ein Fehler von letzter Woche deutlich schwerer wiegen als einer vom letzten Jahr. Verbesserungen müssen ebenso schnell sichtbar werden, damit Beschäftigte spüren, dass sich ihre Mühe im Score niederschlägt.

4. An der Realität kalibrieren. Der Score ist eine Vorhersage; testen Sie ihn wie eine. Entsprechen hohe Werte tatsächlich mehr Vorfällen, mehr Malware-Funden, mehr echten Phishing-Versuchen gegen diese Personen? Erklärt das oberste Segment nach einigen Quartalen keinen überproportionalen Anteil echter Vorfälle, überarbeiten Sie die Gewichte. Das unterscheidet ein Risikomodell von einer Schaufensterkennzahl.

5. Den Score an Maßnahmen knüpfen, nicht an Sanktionen. Das Ergebnis des Scores sollte eine Handlung sein: Personen mit steigendem Risiko erhalten automatisch häufigere und schwierigere Simulationen sowie kurze, gezielte Schulungen; für Personen in der kritischen Stufe mit privilegiertem Zugang werden Conditional-Access-Richtlinien verschärft. Was der Score nie auslösen darf, sind Disziplinarmaßnahmen. Sobald er zum Bestrafen dient, hören Beschäftigte auf zu melden, Ihre Datenqualität bricht ein und der Score beginnt, Sie zu belügen.

Eine veröffentlichte Methodik: die Gewichtung von NOUSEC

Eine Methode zu beschreiben ist leicht; Gewichte offenzulegen erfordert Mut. Deshalb veröffentlichen wir die Berechnung unseres eigenen Scores. Der NOUSEC Human Risk Score reicht von 0 bis 100 und besteht aus sieben Komponenten:

Die Stufen lauten: Champion 0–25, Lernend 26–50, Gefährdet 51–74, Kritisch 75–100. Beide Prinzipien von oben werden hier konkret: Melden senkt den Score, und Leak-Daten werden auch dann nicht als persönliches Versagen verbucht.

Fehler, an denen Score-Programme scheitern

Die Ein-Signal-Falle: Ein Score, der nur auf der Klickrate beruht, kann wegen einer einzigen glücklichen oder unglücklichen Vorlage um 30 Punkte schwanken. Die Blackbox-Falle: Ein Score, den niemand erklären kann, bricht beim ersten Widerspruch zusammen; jeder Score, den eine Person sieht, muss sich auf Nachfrage in seine Komponenten zerlegen lassen. Die Ranglisten-Falle: Eine Liste der „riskantesten Beschäftigten“ zu veröffentlichen, macht aus einem Sicherheitswerkzeug ein Moralproblem. Teilen Sie Teamtrends breit und Einzeldetails nur in einem engen Kreis.

Datenschutz ist kein Nachtrag, sondern Teil des Designs. Für Unternehmen in der EU bedeutet das unter der DSGVO: Beschäftigte transparent darüber informieren, was zu welchem Zweck gemessen wird, die Daten auf diesen Zweck beschränken und Rechtsabteilung, Datenschutzbeauftragten und – wo vorhanden – den Betriebsrat von Anfang an einbeziehen. Die am besten vertretbare Haltung deckt sich mit der Regel oben: Der Score führt zu Unterstützung, nicht zu Sanktionen.

So präsentieren Sie den Score dem Vorstand

Der Vorstand stellt in jeder Sitzung dieselben drei Fragen, und ein gut gebauter Score beantwortet alle drei auf einer Seite.

„Wo stehen wir heute?“ Ein aktueller Gesamtscore für das Unternehmen und eine Aufschlüsselung nach Abteilungen, die zeigt, wo sich das Risiko konzentriert. In den meisten Unternehmen liegt die Konzentration an vorhersehbaren Stellen: Finanzteams mit Zahlungsbefugnis, Assistenzen der Geschäftsleitung, neue Beschäftigte. Die Zahl allein reicht nicht; zeigen Sie auch, welche Komponente sie treibt.

„Werden wir besser?“ Eine Trendlinie von Monat zu Monat. Entscheidend ist, Ergebnisse statt Aktivitäten zu berichten. „In diesem Quartal wurden 4.000 Schulungen abgeschlossen“ ist ein Aktivitätssatz; „die Finanzabteilung ist von der Stufe Gefährdet in die Stufe Lernend gewechselt“ ist ein Ergebnissatz. Der Vorstand fragt nach dem zweiten.

„Wie stehen wir im Vergleich?“ Ein Branchenvergleich. Nutzen Sie hier nur Vergleichsdaten mit benannter Quelle, Ausgabe und Jahr; ein „Branchendurchschnitt“ ohne nachweisbare Quelle kostet Sie bei der ersten Nachfrage Ihre Glaubwürdigkeit.

Ein letzter Rat: Verknüpfen Sie jede Veränderung des Scores mit einer Maßnahme. „Der Score ist gestiegen, diesem Team wurden diese Simulation und diese Schulung zugewiesen, zwei Monate später lag er hier“ – dieser Satz zeigt menschliches Risiko als steuerbare Risikoposition.

Vom Score zum Programm

Der Human Risk Score ist das Bindegewebe eines Programms für Human Risk Management: Daten aus Simulationen und dem Echtbetrieb speisen den Score, der Score steuert adaptive Schulung und Kontrollen, und die daraus folgende Verhaltensänderung fließt wieder in den Score ein. Läuft dieser Kreislauf kontinuierlich, erhalten Sie, was statische Awareness-Programme nie liefern: eine vorstandstaugliche, überprüfbare Antwort auf die Frage „Sinkt unser menschliches Risiko?“

Wenn Sie Simulationsverhalten, Zugangsdatenhygiene und Schulungssignale in einem laufend berechneten Score sehen möchten: Genau dafür ist der NOUSEC Human Risk Score gebaut.