The Hybrid Security Paradox: A Human-Centred Study of How Cyber Risk Perception and Protective Behaviour Diverge Between Home and Office

In der modernen Arbeitswelt ist die Grenze zwischen Büro und Zuhause verschwommen. Für die meisten Wissensarbeiter stellt sich nicht mehr die Frage, ob sie remote arbeiten werden, sondern wie oft. Dieser Wandel hat eine neue Landschaft für die Cybersicherheit geschaffen – ein Feld, das sich dem Schutz digitaler Informationen vor Diebstahl und Schäden widmet. Jahrzehntelang wurden Sicherheitssysteme mit einer spezifischen Annahme entwickelt: dass Mitarbeiter in einer kontrollierten Büroumgebung arbeiten, unter Verwendung von Firmencomputern in Firmennetzwerken, unter dem wachsamen Auge des IT-Personals. Doch während die Arbeit in Wohnzimmer und Home-Offices wandert, bleiben die von Organisationen bereitgestellten Werkzeuge und Schulungen oft in der Vergangenheit stecken, immer noch zugeschnitten auf einen Schreibtisch, der für viele nicht mehr existiert. Dies schafft eine Lücke zwischen dem, was Menschen als sicher empfinden, und dem, wovor sie tatsächlich geschützt sind. Um dies zu verstehen, untersuchen Forscher, wie Menschen Risiken wahrnehmen – ihr Bauchgefühl darüber, wie wahrscheinlich ein Cyberangriff ist – und wie dieses Gefühl in Handlungen umschlägt. Wenn eine Person sich unsicher fühlt, sollte sie logischerweise mehr Vorsichtsmaßnahmen ergreifen. Aber menschliches Verhalten ist selten so einfach; manchmal führt das Gefühl der Verletzlichkeit ohne eine klare Möglichkeit zur Besserung zu Untätigkeit oder sogar Vermeidung statt zu Schutzmaßnahmen.

Eine neue Studie von James Carlopio von der University of Queensland untersucht diesen Bruch in der Ära des hybriden Arbeitens. Die Forschung konzentriert sich auf eine große Gruppe von Mitarbeitern aus neunzehn verschiedenen australischen Organisationen, die von Banken und Krankenhäusern bis hin zu Regierungsbehörden und gemeinnützigen Einrichtungen reichen. Die Studie befragte 588 Arbeitnehmer, um ihre täglichen Gewohnheiten, ihre Sicherheitsgefühle und ihre Interaktion mit Sicherheitsregeln zu verstehen. Die zentrale Frage war simpel: Fühlen sich Menschen im Büro sicherer als zu Hause, und verändert dieses Gefühl ihr Verhalten? Die Ergebnisse offenbaren ein überraschendes Paradoxon. Während die Mehrheit der Mitarbeiter sich bei der Arbeit von zu Hause aus deutlich weniger sicher fühlt als im Büro, führt dieses gesteigerte Gefahrenbewusstsein nicht dazu, dass sie Sicherheitsregeln sorgfältiger befolgen. Tatsächlich deuten die Daten auf das Gegenteil hin: Diejenigen, die sich zu Hause am meisten gefährdet fühlen, erinnern sich tatsächlich seltener an Sicherheitsrichtlinien und nutzen etwas häufiger dieselben Passwörter für verschiedene Websites.

Die Studie begann mit der Kartierung der Realität der modernen Belegschaft. Sie stellte fest, dass hybrides Arbeiten kein vorübergehender Ersatz für eine Krise mehr ist, sondern eine gefestigte Lebensweise. Unter denjenigen, die angaben, wie viel Zeit sie von zu Hause aus arbeiten, tun dies fast alle in gewissem Maße. Im Durchschnitt arbeiten diese Mitarbeiter etwa drei Tage von einer Standardarbeitswoche mit fünf Tagen aus dem Homeoffice. Dies ist keine kleine Minderheit von Remote-Arbeitern; es ist die Mehrheit. Dennoch scheinen die bereitgestellten Unterstützungssysteme davon auszugehen, dass alle noch im Büro sind. Auf einer Skala von eins bis zehn bewerteten die Mitarbeiter ihre Sicherheit in der häuslichen Umgebung mit einem Durchschnittswert von 7,94, während das Büro einen höheren Wert von 8,64 erhielt. Mehr als die Hälfte der Befragten gab explizit an, dass sie glauben, dass ein Cyberangriff bei der Arbeit von zu Hause aus wahrscheinlicher ist. Diese Angst ist angesichts der Realität begründet; Heimnetzwerke sind oft weniger sicher und persönliche Geräte werden nicht immer vom Unternehmen verwaltet.

Die Reaktion der Organisationen auf diese Angst scheint jedoch am Ziel vorbeizuschießen. Die Studie ergab, dass Mitarbeiter die Häufigkeit von Sicherheitsgesprächen mit ihren Vorgesetzten als recht gering bewerteten, mit einem Durchschnitt von knapp unter vier von zehn. Die Effektivität der Schulungen wurde als moderat bewertet, es gab jedoch keinen Hinweis darauf, dass sich diese Schulungen für Homeoffice-Arbeiter von denen für Büroarbeiter unterschieden. Die entscheidende Entdeckung war, dass das Gefühl der Unsicherheit zu Hause die Menschen nicht dazu motivierte, vorsichtiger zu sein. Stattdessen zeigten die Daten eine negative Verbindung: Je unsicherer sich ein Mitarbeiter zu Hause fühlte, desto geringer war die Wahrscheinlichkeit, dass er sich an die Details der Sicherheitsrichtlinien des Unternehmens erinnerte. Dieses Muster deutet darauf hin, dass Menschen, wenn sie einer Bedrohung gegenüberstehen, aber nicht über spezifische, praktische Werkzeuge oder Anleitungen verfügen, um damit umzugehen, nicht über sich hinauswachsen. Stattdessen ziehen sie sich zurück oder ignorieren das Problem einfach – eine Reaktion, die eintritt, wenn die wahrgenommene Gefahr hoch, die Fähigkeit zur Bewältigung jedoch niedrig ist.

Die Forschung untersuchte auch, ob die Menge der Zeit, die man zu Hause verbringt, diese Gefühle verändert. Man könnte annehmen, dass jemand, der mehr Zeit zu Hause verbringt, sich unsicherer fühlt, was zu einer stetigen Zunahme der Angst führt. Die Studie fand das Gegenteil. Die größte Lücke in der wahrgenommenen Sicherheit zwischen dem Büro und dem Zuhause wurde tatsächlich bei den Mitarbeitern gefunden, die nur gelegentlich von zu Hause aus arbeiteten. Diejenigen, die jeden Tag von zu Hause aus arbeiteten, verspürten eine geringere Sicherheitslücke als diejenigen, die zwischen den Orten wechselten. Dies deutet darauf an, dass Menschen, die regelmäßig von zu Hause aus arbeiten, sich an ihre Umgebung angepasst haben; sie haben Gewohnheiten und Routinen aufgebaut, die ihnen ein größeres Sicherheitsgefühl vermitteln, selbst wenn die Risiken technisch gesehen dieselben sind. Die Menschen, die am meisten verunsichert sind, sind diejenigen, die unregelmäßig zwischen den Standorten wechseln, vielleicht weil ihr Homeoffice-Setup und die Unterstützung, die sie erhalten, sich nicht an ihre spezifischen Bedürfnisse angepasst haben.

Ein wesentlicher Teil der Studie untersuchte, ob Manager dieses Problem lösen könnten. Die Forscher testeten, ob eine häufige Kommunikation durch einen Vorgesetzten über Sicherheit die Ängste derjenigen lindern könnte, die sich unsicher fühlten, und ihnen helfen könnte, die Regeln besser zu befolgen. Die Ergebnisse zeigten, dass die Kommunikation durch Vorgesetzte zwar half, aber nicht auf die Weise, wie viele es hoffen würden. Das Gespräch über Sicherheit führte dazu, dass sich die Menschen besser an Richtlinien erinnerten, unabhängig davon, wie riskant sie sich fühlten. Diese Kommunikation wirkte jedoch nicht als spezieller Schutzschild, der den negativen Effekt des Gefühls der Unsicherheit zu Hause aufhob. Mit anderen Worten: Es ist hilfreich, wenn ein Vorgesetzter über Sicherheit spricht, aber es hebt die Verwirrung, die durch das Gefühl der Verletzlichkeit zu Hause entsteht, nicht auf. Die beiden Faktoren arbeiten unabhängig voneinander: Man benötigt sowohl einen Vorgesetzten, der über Sicherheit spricht, als auch eine spezifische Unterstützung für das häusliche Umfeld, um die besten Ergebnisse zu erzielen. Eines kann das andere nicht einfach ersetzen.

Die Studie beinhaltete auch Interviews, in denen Mitarbeiter gefragt wurden, was die Organisation tun könnte, um sie besser zu schützen. Ohne explizit zum Thema „Zuhause“ aufgefordert zu werden, brachten eine beträchtliche Anzahl von Arbeitern das Thema von sich aus zur Sprache. Sie erwähnten den Bedarf an besserer Anleitung für das heimische WLAN, zuverlässigeren VPN-Verbindungen und Schulungen, die auf ihr häusliches Umfeld zugeschnitten sind, statt auf generische Büroszenarien. Einige fragten sogar nach Passwort-Managern – einem Werkzeug, das Menschen hilft, für jede Website einzigartige Passwörter zu verwenden, ohne sich alle merken zu müssen. Diese spontanen Kommentare bestätigten die statistischen Befunde: Die Mitarbeiter haben das Gefühl, dass die aktuellen Sicherheitsmaßnahmen für ein Büro konzipiert sind, das sie nicht mehr in Vollzeit besetzen. Sie verlangen nach einem System, das zu ihrem tatsächlichen Leben passt, und nicht nach einem System, das davon ausgeht, dass sie an einem Firmen-Schreibtisch sitzen.

Die Implikationen dieser Ergebnisse sind klar für die Frage, wie Organisationen Sicherheit in einer hybriden Welt angehen sollten. Der traditionelle Ansatz, den Mitarbeitern zu sagen, sie sollen „vorsichtig sein“, oder jährliche Schulungen basierend auf Büroszenarien durchzuführen, reicht nicht mehr aus. Die Studie legt nahe, dass Sicherheitsprogramme von Grund auf neu gestaltet werden müssen, um zu der Person und dem Ort zu passen, an dem sie tatsächlich arbeiten. Dies bedeutet, anzuerkennen, dass das Zuhause eine eigenständige Umgebung mit eigenen Risiken ist und dass auch gelegentliche Remote-Arbeiter ebenso eine spezifische Unterstützung benötigen wie das Vollzeit-Homeoffice-Personal. Es bedeutet auch, dass Führungskräfte Gespräche führen müssen, die spezifisch auf die Herausforderungen der Arbeit von zu Hause zugeschnitten sind, anstatt lediglich bürobasierte Regeln zu wiederholen. Das Ziel ist es, von einem System, das einen einzelnen, idealen Arbeiter voraussetzt, zu einem System zu gelangen, das die vielfältige Realität der modernen Belegschaft unterstützt.

Letztlich verdeutlicht diese Forschung, dass Cybersicherheit nicht nur ein technisches Problem von Firewalls und Software-Updates ist, sondern ein menschliches Problem des Designs und der Kommunikation. Wenn sich Mitarbeiter exponiert fühlen, ihnen aber Werkzeuge gegeben werden, die nicht zu ihrer Realität passen, werden sie nicht wachsamer. Sie werden weniger engagiert. Der Weg nach vorn liegt in der Erkenntnis, dass sich die Art und Weise, wie Menschen arbeiten, dauerhaft verändert hat und dass die Systeme, die sie schützen sollen, sich mit ihr ändern müssen. Indem die Sicherheitsunterstützung mit den tatsächlichen Erfahrungen der Mitarbeiter in Einklang gebracht wird, können Organisationen die Lücke zwischen dem Gefühl der Sicherheit und der tatsächlichen Sicherheit schließen und sicherstellen, dass der Schutz dem Arbeitnehmer folgt, egal ob er sich in einem Firmenbüro oder in einem Wohnzimmer befindet.