Security: Der Phish stinkt vom Kopf her

Was geschehen ist – die Kernmeldung ausführlich

Am 14. August 2026 veröffentlichte das Nachrichtenportal Golem einen Kommentar von R. Zehl, der sich kritisch mit der aktuellen Praxis der IT-Sicherheit in Unternehmen auseinandersetzt. Der Autor, der auf über 40 Jahre Berufserfahrung im Bereich Security zurückblickt, stellt die Wirksamkeit von Anti-Phishing-Kampagnen grundlegend infrage. Diese Kampagnen zielen darauf ab, IT-Laien in Firmen durch Schulungen und Tests fit gegen Angriffe zu machen. Zehl bezeichnet diesen Ansatz als vollkommen falsch und ineffektiv. Seiner Ansicht nach wird die Verantwortung für die Sicherheit der gesamten IT-Infrastruktur fälschlicherweise auf die Schultern der Anwender geladen. Wenn ein Mitarbeiter auf einen Phishing-Köder hereinfällt, wird dies oft als individuelles Versagen des Nutzers gewertet. Zehl widerspricht dieser Sichtweise vehement und argumentiert, dass ein solcher Vorfall primär ein Versagen der IT-Sicherheitsarchitektur darstellt. Die Debatte entzündete sich an einer vorangegangenen Golem-Meldung, deren Einschätzung der Autor als fachlich inkorrekt und als schlechtes Vorbild für die Branche kritisiert. Der Kern der Kritik liegt in der Annahme, dass Laien der zentrale Eckpfeiler der IT-Sicherheit sein sollten, was Zehl als lächerlich und unprofessionell einstuft.

Die Einzelheiten – Zahlen, Namen und Hintergründe

Der Autor R. Zehl stützt seine Argumentation auf eine langjährige berufliche Laufbahn, die mehr als vier Jahrzehnte umfasst. Er bezieht sich dabei auf historische Vergleiche, etwa die Anfänge der Dampfmaschinen im 19. Jahrhundert. Er zitiert Werner von Siemens, der bereits im Jahr 1880 betonte, dass die Unfallverhütung keine Frage gesetzlicher Vorschriften sei, sondern ein Gebot unternehmerischer Verantwortung und wirtschaftlicher Vernunft. Zehl verdeutlicht sein Anliegen mit drastischen Beispielen aus der physischen Welt: Es wäre absolut inakzeptabel, wenn die einfache Fehlbedienung eines Gasboilers regelmäßig zur Sprengung von Wohnhäusern führen würde oder ein kleiner Fehler beim Tankvorgang eine Tankstelle explodieren ließe. Solche Szenarien werden in anderen technischen Bereichen durch Sicherheitsvorkehrungen verhindert, die sicherstellen, dass Laienfehler keine katastrophalen Folgen haben. In der IT-Welt hingegen wird es als unvermeidlich akzeptiert, dass ein einzelner Anwender durch eine Unachtsamkeit die gesamte IT-Infrastruktur einer Institution gefährdet. Dies bedroht laut Zehl nicht nur Arbeitsplätze und Unternehmen, sondern auch die Sicherheit der Personen, deren Daten in den Systemen verarbeitet werden, was er als Passagiere der IT-Systeme bezeichnet.

Hintergrund – Die Entwicklung der IT-Sicherheit

Die aktuelle Situation in der IT-Sicherheit ist laut Zehl das Ergebnis einer Fehlentwicklung in der Gestaltung der Risikolandschaft. Während andere Technologien über Jahrzehnte hinweg ausgereift sind und so gestaltet wurden, dass sie Fehlbedienungen verzeihen, scheint dies für die moderne IT nicht zu gelten. Der Autor stellt die provokante Frage, ob IT-Systeme nach wie vor als experimentell oder unausgereift betrachtet werden müssen, da sie offenbar eines ständigen Welpenschutzes durch fehlerfreie Anwender bedürfen. Sollte dies der Fall sein, so argumentiert Zehl, müsse sich die Gesellschaft die Frage stellen, warum sie sich in so hohem Maße von einer derart unsicheren Technologie abhängig macht. Die bisherige Praxis, Anwender durch Kampagnen zu trainieren, ist laut Zehl ein Versuch, die technischen Mängel der Systeme durch menschliches Verhalten zu kompensieren. Er sieht darin eine Umkehrung der Verantwortung. Die Annahme, dass Menschen in einer stressigen Arbeitsumgebung – etwa im Gesundheitswesen, wo andere Prioritäten gelten als die IT-Sicherheit – keine Fehler machen dürfen, ist für ihn eine Illusion, die den realen Anforderungen an moderne Arbeitsprozesse nicht gerecht wird.

Die Beteiligten – Wer entscheidet und wer ist betroffen

Von der aktuellen Sicherheitsstrategie sind primär die IT-Laien in Unternehmen betroffen. Diese Mitarbeiter gehen einer anspruchsvollen Arbeit nach, bei der die IT lediglich ein Werkzeug darstellt, nicht jedoch ihr primäres Arbeitsfeld. Insbesondere im Gesundheitswesen, wo die Versorgung von Patienten an erster Stelle steht, ist die Erwartung, dass sich Mitarbeiter permanent auf Phishing-Gefahren konzentrieren, laut Zehl realitätsfern. Auf der anderen Seite stehen die IT-Sicherheitsabteilungen und die Verantwortlichen für die IT-Strategie, die durch den Fokus auf Anti-Phishing-Kampagnen eine Strategie verfolgen, die der Autor als fachlich falsch ablehnt. Auch das Nachrichtenportal Golem und dessen Redaktion sind in die Debatte involviert, da der Autor explizit auf eine dort veröffentlichte Meldung und die dazugehörigen Foren-Kommentare reagiert. Zehl kritisiert dabei die Haltung, die den Anwender als zentrales Sicherheitsrisiko definiert, anstatt die technische Architektur in die Pflicht zu nehmen. Er sieht sich selbst als Mahner, der aus einer langen Erfahrung heraus die aktuelle, aus seiner Sicht unprofessionelle Praxis der IT-Sicherheit anprangert.

Einordnung – Was das bedeutet

Einzuordnen ist die Kritik von R. Zehl als ein Plädoyer für eine grundlegende Neuausrichtung der IT-Sicherheitsphilosophie. Den Berichten zufolge ist die derzeitige Praxis, die auf die Fehlervermeidung durch den Menschen setzt, zum Scheitern verurteilt, da menschliches Fehlverhalten unter Stress oder Zeitdruck eine anthropologische Konstante darstellt. Die Einordnung der IT als ausgereifte Technologie bedeutet in diesem Kontext, dass sie dieselben Sicherheitsstandards erfüllen muss wie andere kritische Infrastrukturen. Wenn ein System so gestaltet ist, dass ein einzelner Klick auf einen Link die gesamte IT-Infrastruktur kompromittieren kann, dann liegt der Fehler nicht beim Nutzer, sondern im Design des Systems. Die Bewertung des Autors ist eindeutig: Die Verlagerung der Verantwortung auf den Anwender dient lediglich dazu, technische Unzulänglichkeiten zu kaschieren. Ein professioneller Ansatz müsste demnach sicherstellen, dass Sicherheitsmechanismen auch dann greifen, wenn der Nutzer einen Fehler begeht. Die aktuelle Strategie ist laut Zehl nicht nur ineffektiv, sondern verschleiert die eigentlichen Ursachen für Sicherheitsvorfälle.

Offene Fragen – Was der Quelltext nicht beantwortet

Der Quelltext lässt einige Fragen offen, die für eine praktische Umsetzung der geforderten Änderungen relevant wären. So bleibt unklar, wie genau die technische Architektur aussehen müsste, um den von Zehl geforderten Schutz zu gewährleisten. Der Autor nennt keine konkreten technischen Lösungen oder Best Practices, die den Anwender von der Last der Sicherheitsverantwortung befreien könnten. Zudem wird nicht spezifiziert, welche konkreten IT-Systeme oder Branchen er als besonders gefährdet ansieht, abgesehen von einer allgemeinen Erwähnung des Gesundheitswesens. Es bleibt auch offen, wie Unternehmen den Übergang von einer nutzerzentrierten Sicherheitsstrategie hin zu einer rein architektonischen Absicherung finanzieren und organisieren sollen, ohne den laufenden Betrieb zu gefährden. Ebenso wenig wird diskutiert, welche Rolle regulatorische Anforderungen oder gesetzliche Vorgaben spielen, die Unternehmen möglicherweise dazu zwingen, Schulungen wie Anti-Phishing-Kampagnen durchzuführen. Die Frage, ob eine rein technische Absicherung überhaupt in der Lage ist, sämtliche Angriffsvektoren abzuwehren, bleibt ebenfalls unbeantwortet, ebenso wie die Rolle von KI-gestützten Angriffsmethoden in diesem Kontext.