HR und Cybersicherheit: Schwachstelle oder Teil der menschlichen Firewall?

Phishing, Passwortdiebstahl, Malware oder Identitätsdiebstahl – Cyberangriffe haben viele Formen. Die IT-Systeme der Unternehmen enthalten eine Fülle sensibler Daten von Kundinnen und Kunden sowie Mitarbeitenden: Kontaktdaten, Lohn- und Bankdaten, Leistungsbeurteilungen etc. Diese sind ein besonders attraktives Angriffsziel, und Datenschutzverletzungen können Folgen für das Unternehmen wie für die Betroffenen haben.

Auch wenn Cyberangriffe rein technische Schwachstellen ausnutzen, liegt die Ursache oft in menschlichem Verhalten. Ein schädlicher Link geöffnet, ein kompromittiertes Passwort wiederverwendet, ein vertrauliches Dokument an die falsche Person gesendet – und schon ist eine Sicherheitslücke entstanden. Ein weitverbreitetes Klischee verortet das Hauptproblem der IT (und der Cybersicherheit) «zwischen Tastatur und Stuhl». Dabei geht es nicht darum, den Mitarbeitenden die Schuld zuzuweisen; der Leitsatz soll vielmehr daran erinnern, dass Cybersicherheit nicht nur IT-Fachleute angeht, sondern direkt betrifft, wie Mitarbeitende arbeiten, kommunizieren und digitale Tools einsetzen.

Schutz von Personaldaten

Die wichtigste Aufgabe ist, die Daten der Mitarbeitenden zu schützen. Neben der Einhaltung gesetzlicher Vorschriften stel-len sich im Datenmanagement viel spezifischere Fragen zur bewährten Praxis: Welche Informationen sollen bei der Rekru-tierung erfasst werden? Wer soll Zugriff auf die Personaldossiers haben? Die Digitalisierung von HR macht diese Abwägun-gen noch heikler. Tools erweitern zwar die Möglichkeiten der Datenerfassung und -verarbeitung, erhöhen aber zwangsläu-fig den Bedarf an präzisen Prozessen für Zugriffsrechte sowie für die Aktualisierung und Löschung von Daten. Ein Datenleck kann das Vertrauen der Mitarbeitenden in HR erheblich beeinträchtigen und damit Legitimität und Glaubwürdigkeit der da-für verantwortlichen Personalabteilung infrage stellen.

Mitarbeitende in Cybersicherheit schulen

Eine weitere Aufgabe von HR ist, die Kompetenzen der Mitarbeitenden in Cybersicherheit zu fördern. Viele Unternehmen führen Schulungen zur Cybersicherheit aus Compliance-Gründen durch: Sie müssen nachweisen, dass die Schulungen statt-gefunden haben, die Regeln vermittelt und somit die gesetzlichen Pflichten eingehalten wurden. Diese – wenn auch not-wendigen – Vorschriften bergen das Risiko, dass Cybersicherheit zur reinen Formalität verkommt, bei der man vor allem Kästchen ankreuzt, statt Verfahren tatsächlich zu ändern. Wichtig ist also, mit praxisorientierten Schulungen, regelmässigen Auffrischungen und Rollenspielen Vorgehensweisen für reale Arbeitssituationen zu entwickeln. Dabei soll das Verantwor-tungsbewusstsein gefördert werden, ohne Schuldgefühle zu wecken: Zeitdruck, zu viele Tools oder ungeeignete Verfahren können Fehler begünstigen. Zudem ist es entscheidend, mit den sich ständig weiterentwickelnden Kompetenzen in der Cy-bersicherheit Schritt zu halten, denn was gestern noch als bewährte Praxis galt, kann heute bereits überholt und damit un-zureichend sein. Generative künstliche Intelligenz erleichtert es deutlich, Cyberangriffe zu entwickeln, die glaubwürdiger, stärker personalisiert und schwerer zu erkennen sind. Deshalb dürfen sich weder Mitarbeitende noch Unternehmen auf ihren Lorbeeren ausruhen. Verhaltensweisen und Verfahren sind regelmässig zu überprüfen, damit sie den Bedrohungen für das Unternehmen angemessen bleiben.

Für HR sind beide Aspekte eng verknüpft: Ob eine Personalabteilung Mitarbeitende für Cybersicherheit sensibilisieren und ihnen Verantwortung übertragen kann, hängt massgeblich davon ab, wie zuverlässig sie die ihr anvertrauten Daten schützen kann.