Human Vulnerability Assessment in Cybersecurity: A Systematic Literature Review of Methods, Models, and Instruments
Diese systematische Literaturübersicht analysiert Methoden, Modelle und Instrumente zur Bewertung menschlicher Verwundbarkeiten in der Cybersicherheit von 2017 bis 2025 und zeigt auf, dass die aktuellen Ansätze weiterhin fragmentiert und statisch sind, wodurch die dringende Notwendigkeit dynamischer, ganzheitlicher Rahmenwerke unterstrichen wird, die sowohl unbeabsichtigte als auch absichtliche menschliche Faktoren adressieren.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich Cybersicherheit als eine riesige, hochtechnologische Burg vor. Seit Jahren sind die Wachen (die Sicherheitsexperten) besessen davon, die Mauern, die Schlösser und die Gräben zu überprüfen. Sie stellen sicher, dass die digitalen Tore stark und die Software unzerbrechlich sind. Doch dieses Papier argumentiert, dass die Burg dennoch überrannt wird, nicht weil die Mauern schwach sind, sondern weil die Menschen, die darin leben, getäuscht, erschöpft oder manipuliert werden.
Diese Forschung ist ein „systematisches Literaturreview", was wie ein superorganisierter Bibliothekar ist, der jedes Buch, jeden Artikel und jede Studie, die zwischen 2017 und 2025 veröffentlicht wurde, durchgesehen hat, um eine große Frage zu beantworten: „Wie messen wir derzeit die Schwächen des menschlichen Geistes in der Cybersicherheit, und reicht das aus?"
Hier ist die Aufschlüsselung ihrer Erkenntnisse, unter Verwendung einfacher Analogien:
1. Das Problem: Wir überprüfen nur die „Türen", nicht die „Menschen"
Die Autoren stellten fest, dass die meisten aktuellen Sicherheitsprüfungen sich darauf konzentrieren, was Menschen tun (wie das Klicken auf einen schädlichen Link oder die Verwendung eines schwachen Passworts). Sie nennen dies „Verhaltensfaktoren".
- Die Analogie: Stellen Sie sich einen Arzt vor, der nur prüft, ob ein Patient hustet (das Verhalten), aber niemals fragt, warum er hustet. Sind sie allergisch? Sind sie gestresst? Sind sie krank?
- Die Realität: Das Papier besagt, dass wir hervorragend darin sind, das „Husten" (die riskante Handlung) zu erkennen, aber schrecklich darin, die „Krankheit" (die Müdigkeit, der Stress, die Persönlichkeitsmerkmale oder der soziale Druck, der das Husten überhaupt erst verursacht hat) zu verstehen.
2. Die neue Karte: Eine „Human-Factor-Taxonomie"
Um diese Verwirrung zu beheben, erstellten die Autoren eine neue „Karte" (eine Taxonomie), um alle verschiedenen Arten von menschlicher Verwundbarkeit zu organisieren. Sie unterteilten diese Schwächen in vier Hauptviertel:
- Das psychologische Viertel (Das „Wer Sie sind"): Dies umfasst Ihre Persönlichkeit, Ihre Emotionen und Ihre Ethik. Sind Sie von Natur aus vertrauensvoll? Sind Sie gestresst? Haben Sie eine „schlechte Apfels"-Persönlichkeit, die Dinge absichtlich stehlen möchte?
- Das kognitive Viertel (Das „Wie Sie denken"): Dies betrifft die Verarbeitung Ihres Gehirns. Werden Sie leicht müde? Vertrauen Sie KI zu sehr? Haben Sie mentale Abkürzungen, die dazu führen, dass Sie auf Betrügereien hereinfallen?
- Das verhaltensbezogene Viertel (Das „Was Sie tun"): Dies ist die tatsächliche Handlung. Haben Sie auf den Link geklickt? Haben Sie Ihr Passwort geteilt? Dies ist das, was die meisten aktuellen Tools messen.
- Das Leistungsstatus-Viertel (Das „Wie Sie sich gerade fühlen"): Dies ist vorübergehend. Eilen Sie? Werden Sie unterbrochen? Multitasken Sie? Eine müde, gehetzte Person ist verwundbarer als eine ausgeruhte, selbst wenn es dieselbe Person ist.
Die Wendung: Die Karte enthält auch „Wetterbedingungen" (Moderatoren). Dazu gehören Dinge wie Ihr Alter, Ihr Beruf, wie viel Schulung Sie erhalten haben oder die Kultur Ihres Büros. Diese verursachen die Schwäche nicht direkt, aber sie verändern, wie stark oder schwach Sie sind.
3. Die große Entdeckung: Wir verpassen das „ganze Bild"
Die Forscher untersuchten 54 verschiedene Studien und stellten einige erhebliche Lücken fest:
- Wir konzentrieren uns zu sehr auf das „Husten": Die meisten Studien betrachten nur Verhalten und Denken. Sie schauen selten tief in die Persönlichkeit oder vorübergehende Zustände (wie Müdigkeit) hinein.
- Wir behandeln „Unfälle" und „Verbrechen" als unterschiedlich: Die meisten Tools prüfen auf versehentliche Fehler (wie das Klicken auf eine Phishing-E-Mail) ODER vorsätzliche Verbrechen (wie ein Mitarbeiter, der Daten stiehlt). Sehr wenige Tools versuchen, beides gleichzeitig zu verstehen. Das Papier argumentiert, dass dieselben menschlichen Merkmale (wie Stress oder schlechte Ethik) sowohl zu Unfällen als auch zu Verbrechen führen können, aber wir untersuchen sie getrennt.
- Wir sind „statisch", wenn wir „dynamisch" sein sollten: Stellen Sie sich vor, Sie machen ein Foto einer Person und sagen: „Das ist ihr Sicherheitsniveau für immer." Das ist es, was die meisten Tools tun. Aber Menschen verändern sich! Wenn Sie heute müde sind, sind Sie verwundbar. Wenn Sie morgen gut ausgeruht sind, sind Sie vielleicht sicher. Das Papier sagt, wir brauchen Video, keine Fotos. Wir brauchen Tools, die beobachten, wie sich die Verwundbarkeit im Laufe der Zeit verändert.
- Wir ignorieren die „KI-Falle": Das Papier stellt fest, dass fast niemand untersucht, wie Menschen durch Künstliche Intelligenz getäuscht werden. Wir vertrauen KI zu sehr, und unser Gehirn wird faul (ein Phänomen, das als „kognitive Entlastung" bezeichnet wird), aber unsere Sicherheitstools haben mit dieser neuen Gefahr nicht Schritt gehalten.
4. Die Schlussfolgerung: Wir brauchen ein „intelligentes, lebendes System"
Das Papier kommt zu dem Schluss, dass wir derzeit einen „fragmentierten" Ansatz verfolgen. Es ist wie ein Team von Spezialisten, bei dem einer Ihre Augen prüft, ein anderer Ihre Füße und ein dritter Ihre Ohren, aber niemand miteinander spricht, um zu sehen, wie es dem ganzen Körper geht.
Die endgültige Botschaft der Autoren:
Um unsere digitale Welt wirklich zu sichern, müssen wir aufhören, nur auf die „schlechten Klicks" zu schauen, und beginnen, ein System zu entwickeln, das den ganzen Menschen versteht. Wir brauchen Tools, die:
- Persönlichkeit, Denken, Handlungen und vorübergehende Zustände gleichzeitig betrachten.
- Beobachten, wie sich die Verwundbarkeit von Tag zu Tag verändert (dynamisch).
- Verstehen, wie die Schwäche einer Person sich auf andere ausbreiten kann (Propagation).
- Der Tatsache Rechnung tragen, dass Menschen Fehler machen ODER böswillig sein können, und dass die Ursachen sich oft überschneiden.
Kurz gesagt: Wir bauen bessere Schlösser für die Burg, aber wir müssen anfangen, die Menschen, die darin leben, viel besser zu verstehen.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.