Was ist Human Risk Management? Ein Praxisleitfaden für Sicherheitsteams

Firewalls, EDR-Lösungen und E-Mail-Gateways werden jedes Jahr besser. Angreifer haben darauf reagiert, indem sie um sie herumgehen. Der Verizon Data Breach Investigations Report 2026 ordnet 62 % der Datenschutzverletzungen dem menschlichen Faktor zu: Jemand hat geklickt, jemand wurde getäuscht, jemand hat ein Passwort wiederverwendet. Das löst Technik allein nicht – und ein einmal im Jahr abgespieltes Compliance-Video auch nicht.

Human Risk Management (HRM), auf Deutsch auch Management des menschlichen Risikos, ist die Disziplin, die den Ansatz, den Sicherheitsteams längst auf ihre Infrastruktur anwenden, auf Menschen überträgt: Beschäftigte werden als Angriffsfläche behandelt, die sich datenbasiert und laufend messen, bewerten und stärken lässt.

Das Problem mit klassischer Awareness

Die meisten Unternehmen betreiben Security Awareness noch so wie vor zehn Jahren: ein Schulungsmodul im Jahr, ein Phishing-Test im Quartal und ein Abschlussbericht für den Prüfer. Drei strukturelle Schwächen machen dieses Modell wirkungslos:

1. Es misst Aktivität, nicht Ergebnis. Eine Abschlussquote sagt, wer ein Video angesehen hat. Sie sagt nicht, wer morgen einem Betrüger eine Überweisung schickt.
2. Es testet einen einzigen Kanal. Angreifer sind längst auf Anrufe, SMS, QR-Codes und Deepfake-Stimmen umgestiegen. Laut CrowdStrike Global Threat Report 2025 stieg Telefon-Phishing (Vishing) vom ersten zum zweiten Halbjahr 2024 um 442 %. Ein Programm, das nur E-Mail testet, sieht den größten Teil der heutigen Angriffsfläche nicht.
3. Es erzeugt kein Risikosignal. Eine Klickrate nach dem Bestanden/Nicht-bestanden-Prinzip lässt sich weder zwischen Abteilungen vergleichen noch über die Zeit verfolgen noch neben anderen Risikokennzahlen im Vorstand berichten.

Hinzu kommt ein inhaltliches Problem: Die Forschung zeigt, dass jährliche Pflichtschulungen allein das Verhalten nicht ändern. Eine achtmonatige Studie mit mehr als 19.500 Beschäftigten bei UC San Diego Health, veröffentlicht auf dem IEEE Symposium on Security & Privacy 2025 (Ho et al.), fand keinen signifikanten Zusammenhang zwischen einer kürzlich absolvierten Jahresschulung und dem Scheitern in einer Phishing-Simulation. Wie oft Schulung stattfinden sollte, behandeln wir in einem eigenen Beitrag zur Schulungsfrequenz.

Was Human Risk Management tatsächlich bedeutet

Human Risk Management schließt diese Lücke mit einem fortlaufenden Kreislauf. Es ist derselbe Kreislauf, den Ihr Schwachstellenmanagement bereits nutzt – nur auf Menschen angewendet:

1. Echte Angriffe auf jedem Kanal simulieren

Statt einer Vorlagen-E-Mail an alle laufen realistische, zufällig getaktete Simulationen über die Kanäle, die Angreifer tatsächlich nutzen: E-Mail-Phishing, SMS-Phishing, Telefon-Phishing, Deepfake-Anrufe, WhatsApp-Köder, QR-Codes, USB-Baiting und Rückruf-Betrug. Die Threat-Landscape-Berichte der ENISA zählen Social Engineering zu den wichtigsten Bedrohungen in Europa – weil es schneller den Kanal wechselt, als die Abwehr folgen kann.

2. Messen, wie Menschen sich tatsächlich verhalten

Jede Simulation erzeugt Verhaltensdaten: Wer hat interagiert, wer hat ignoriert, wer hat gemeldet? Die wichtigste Kennzahl ist die Meldung. Beschäftigte, die verdächtige Kontakte schnell melden, sind keine Schwachstelle mehr, sondern werden zu einem Erkennungsnetz für Ihr Unternehmen.

3. Das Risiko in einem einzigen Score beziffern

Die Daten fließen in einen Human Risk Score – pro Person, Abteilung und Unternehmen. Diese eine Zahl macht menschliches Risiko steuerbar: Sie lässt sich über die Zeit verfolgen, vergleichen und der Leitung neben Patch-Compliance und Endpoint-Abdeckung berichten. NOUSEC veröffentlicht die Methodik dieses Scores: sieben Komponenten, die Gewichtung jeder einzelnen und die Meldung als einzige Komponente, die den Score senkt.

4. Schulung nur dort, wo die Daten sie verlangen

Adaptive Mikroschulungen gehen an die Person, die sie braucht, auf dem Kanal, auf dem sie Schwierigkeiten hat, und im Moment des Fehlers – nicht nach einem beliebigen Kalender an das ganze Unternehmen. So bleibt die Schulungszeit gering und die Verhaltensänderung hoch.

Der Wandel in einem Satz: Awareness-Programme zählen, wer die Schulung abgeschlossen hat; Human Risk Management misst, wer auf den nächsten echten Angriff hereinfällt – und behebt das.

Um zu sehen, ob ein Programm wirkt, helfen veröffentlichte Werte. Der Phishing by Industry Benchmarking Report 2026 von KnowBe4 (42 Millionen Simulationen bei 14,8 Millionen Nutzern in 64.000 Organisationen) berichtet, dass ungeschulte Organisationen mit einer Phish-Prone-Quote von 33,2 % starten, die nach 90 Tagen kombinierter Schulung und Simulation auf 20,1 % und nach zwölf Monaten auf 4,2 % sinkt. Das sind Kundendaten eines Anbieters; sie zeigen aber die richtige Frage: Ob sich etwas verbessert, das Sie nicht messen, können Sie nicht wissen.

Awareness-Schulung und Human Risk Management im Vergleich

Die beiden sind keine Konkurrenten; Human Risk Management bettet die Awareness-Schulung in einen Datenkreislauf ein. Am deutlichsten wird der Unterschied an der Frage, die jede beantwortet:

Die wichtigste Zeile ist die Leitfrage. Eine Abschlussquote kann bei hundert Prozent liegen, und das Unternehmen ist trotzdem nicht auf den nächsten Vishing-Anruf vorbereitet. Human Risk Management macht den Abstand zwischen beidem messbar: welche Abteilung auf welchem Kanal Schwierigkeiten hat, ob sich die Meldegewohnheit festigt und ob die erteilte Schulung das Verhalten tatsächlich verändert.

Diese Messung macht auch die Schulung selbst ehrlich. Wenn Sie sehen, ob ein Modul die Klickrate senkt, können Sie Inhalte ohne Wirkung streichen und Ressourcen dorthin lenken, wo sie wirken. Ein Programm, das nur „Schulung erfolgt“ melden kann, kann diese Unterscheidung nicht treffen.

Warum das 2026 wichtiger ist

Generative KI hat die letzte Reibung im Social Engineering beseitigt. Verizon stellt im Bericht 2026 fest, dass der mittlere Bedrohungsakteur KI inzwischen in 15 dokumentierten Angriffstechniken einsetzt. Deloitte prognostiziert, dass Verluste durch Deepfake-gestützten Betrug bis 2027 auf 40 Milliarden US-Dollar steigen – eine Projektion, keine Messung. Fehlerfrei formulierte Köder in jeder Sprache, geklonte Stimmen der Geschäftsführung und automatisierte Mehrkanalkampagnen bedeuten: Die Zeit, in der man Phishing an Rechtschreibfehlern erkannte, ist vorbei – auch auf Deutsch.

Auch die Regulierung legt die Latte höher. ISO/IEC 27001 behandelt Bewusstsein und Schulung (Abschnitt 7.3 und Anhang A 6.3) als Teil des Managementsystems. NIS2 macht mit Art. 21 Abs. 2 Buchst. g Cyberhygiene und Schulungen zur Cybersicherheit zur verpflichtenden Mindestmaßnahme für wesentliche und wichtige Einrichtungen. Für Finanzunternehmen geht DORA mit Art. 13 Abs. 6 noch weiter und nennt Awareness-Programme ausdrücklich als Pflichtmodul für alle Beschäftigten und die Geschäftsleitung; Details stehen in unserem Beitrag zu menschlichem Risiko im Finanzsektor. Rahmenwerke wie NIST SP 800-50r1 lenken Organisationen ebenfalls auf messbare Programmergebnisse. Und „risikobasiert“ ist genau das, was ein Abschlusszertifikat nicht zeigen kann.

Ein Hinweis zum Datenschutz: Simulations- und Score-Daten sind Beschäftigtendaten. Klären Sie bei der Gestaltung des Programms Transparenz gegenüber den Beschäftigten, Verhältnismäßigkeit und Zugriffsbeschränkungen mit Ihrer Rechtsabteilung und Ihrem Datenschutzbeauftragten, und beziehen Sie – wo vorhanden – den Betriebsrat frühzeitig ein.

So starten Sie ein Human-Risk-Management-Programm

Sie müssen nicht alles auf einmal tun. Ein praktischer Einstieg sieht so aus:

1. Messen Sie den Ausgangszustand ohne Ankündigung. Führen Sie die erste Mehrkanal-Simulationswelle ohne Vorwarnung durch, um einen ehrlichen Ausgangsscore zu erhalten.
2. Bewerten und gruppieren Sie. Ermitteln Sie die Abteilungen und Rollen mit dem höchsten Risiko. Finanzteams und Assistenzen der Geschäftsleitung stehen bei Pretexting und Deepfake-Versuchen meist ganz oben.
3. Verbessern Sie zuerst das Melden. Machen Sie „Melden“ zu einer Ein-Klick-Aktion und würdigen Sie Meldende sichtbar. Die Melderate verbessert sich schneller als die Klickrate und zahlt sich bei echten Vorfällen aus. Unser Beitrag zur Meldekultur vertieft diesen Schritt.
4. Automatisieren Sie den Kreislauf. Wechseln Sie von Kampagnen zu kontinuierlichen Stichproben, damit der Human Risk Score zu einer stabilen Monatskennzahl wird.
5. Berichten Sie nach oben. Stellen Sie den Score auf dasselbe Dashboard wie Ihre anderen Risikokennzahlen. Sieht der Vorstand das menschliche Risiko sinken, verteidigt das Programm sein Budget selbst.

Wo NOUSEC ansetzt

NOUSEC ist genau für diesen Kreislauf gebaut: Es führt Phishing-Simulationen über 8 Kanäle durch, Deepfake-Stimmen eingeschlossen, misst das tatsächliche Verhalten der Beschäftigten, weist denjenigen, die einen Test nicht bestehen, adaptive Security-Awareness-Schulungen zu und führt die Ergebnisse in einem einzigen Human Risk Score zusammen, den Ihr Vorstand lesen kann. Wenn Sie sehen möchten, wie der Score Ihres Unternehmens aussieht, fordern Sie eine Demo an.