homo carens securitate – der Mensch, der am Mangel an Sicherheit leidet
Wirtschaftswissenschaftler gehen in ihren Modellen davon aus, dass jeder Mensch richtig denkt und entscheidet – eine Sichtweise, die sich in der Figur des homo oeconomicus manifestiert. Dieser trifft seine Entscheidungen auf Grundlage von
- Maximierung des eigenen Gewinns,
- vollkommener Voraussicht und
- unendlich schneller Reaktionsfähigkeit.
Ein homo oeconomicus hat es nur mit Partnern zu tun, die über die gleichen Fähigkeiten verfügen. Betrachten wir als Beispiel folgende Situation: Jeff ist Chemiker in der Forschungsabteilung eines Pharma-Unternehmens und bekommt per Mail eine PDF-Datei zugeschickt. Der Betreff lautet: „Forschung in die Ecke gedrängt: Veröffentlichungspflichten für Medikamentenstudien weiter verschärft“. Da Jeff ein homo oeconomicus ist, will er
- seinen Gewinn maximieren und ist daher am Inhalt der PDF-Datei interessiert.
- Durch seine vollkommene Voraussicht weiß Jeff, dass die Datei so manipuliert wurde, dass sie einem russischen Hacker Administrator-Rechte auf Jeffs PC verschafft.
- Aufgrund der unendlich schnellen Reaktionsfähigkeit aller Beteiligten wird der russische Hacker nach Information der russischen Polizei unmittelbar nach Empfang der Mail an seinem Wohnort in Novosibirsk verhaftet.
Wir wissen, dass die Anwendung dieses Modells einen vielleicht zum Wirtschaftswissenschaftler macht, nicht jedoch zum Sicherheitsanalysten. Wir müssen leider (oder besser glücklicherweise) von fehlerbehafteten, echten Menschen ausgehen. Im Manuskript zu meinem Buch, dass im Vieweg+Teubner Verlag erscheinen wird, beschreibe ich diese “echten Menschen” als homo carens securitate:
“Echte Menschen öffnen manchmal mit unendlicher Ignoranz, drei Tage nach der Sicherheitsschulung, gegen besseres Wissen, unter Vernichtung des Quartalsgewinns der gesamten Firma eine PDF-Datei, in der nur für Potenzpillen geworben wird. Das die Reaktionsfähigkeit der Ermittlungsbehörden bei weltweiten Straftaten nicht die beste ist, ist auch kein Geheimnis. Die Menschen mit denen IT-Sicherheitsbeauftragte, Datenschützer und Co. zu tun haben, entsprechen eher einem homo carens securitate. Dieser trifft seine Entscheidungen auf Grundlage von
- hoher Risikobereitschaft bis hin zur Gefährdung des eigenen Gewinns und des Gewinns anderer,
- mangelhafter oder fehlender Voraussicht und
- einer Reaktionsfähigkeit, die weit unter der Reaktionsfähigkeit von Hackern, Crackern und Bot-Nets liegt.”
