"Awareness lässt sich pro Nutzer und Monat abrechnen"

Bei allen technischen Maßnahmen bleibt der Mensch ein wesentlicher kritischer Faktor für die Sicherheit von Unternehmen. Im Interview mit CRN erklärt Christian Ederer, Director Technical Services bei Infinigate, wie das Systemhäuser und Dienstleister zunehmend unter Druck setzt und wie sie diesen in neues Geschäft rund um das Human Risk Management ummünzen können.

Die Investitionsbereitschaft deutscher Unternehmen in die IT-Sicherheit ist hoch und steigt mit der wachsenden Bedrohungslage noch weiter: Seit Jahren fließen immer mehr Gelder in entsprechende Security-Produkte, -Dienste und -Maßnahmen wie Firewalls, Endpoint Protection und Identity Security. Dem Bitkom zufolge sollen die Ausgaben in diesem Jahr auf rund 12,2 Milliarden Euro steigen. Fakt ist jedoch auch: Die Schäden durch Cyberangriffe steigen trotzdem weiter. Eine wesentliche Rolle spielt dabei der Faktor Mensch. Über Phishing, Social Engineering, Business E-Mail Compromise und andere täuschungsbasierte Techniken, die zudem stark von KI profitieren, lassen sich menschliche Schwächen ausnutzen und damit selbst für sich genommen starke technische Schutzmaßnahmen umgehen und aushebeln. Deshalb bleiben die Mitarbeiter auch in Zeiten hochautomatisierter Schwachstellenanalyse das bevorzugte Ziel der Angreifer.

Mit zunehmender Geschwindigkeit und Raffinesse der Attacken, sowohl auf der technischen als auch der menschlichen Seite, wird es für Systemhäuser immer schwieriger, ihre Kunden effizient dabei zu unterstützen, dieser Gefahr entgegenzuwirken. Um das mit den eigenen Ressourcen stemmen und es zugleich auch entsprechend der steigenden regulatorischen Anforderungen nachweisen zu können, müssen auch MSPs, Systemhäuser und andere IT-Partner umdenken und neue tragfähige Konzepte für sich und die Kunden entwickeln, die auch die "menschliche Firewall" mitdenken. Wie diese aussehen können, welche Chancen und Herausforderungen das mit sich bringt und wie VADs ihre Partner dabei unterstützten können, wollte CRN von Christian Ederer wissen, der sich als Director Technical Services bei Infinigate täglich mit diesem Themenkomplex und seinen Auswirkungen auf die Partner auseinandersetzt.

CRN: Herr Ederer: Die Herausforderung, eine starke "menschliche Firewall" aufzubauen, ist nicht neu. Allerdings wird es für Mitarbeiter immer schwieriger, die Risiken zu erkennen und ihnen adäquat zu begegnen. Was bedeutet diese Entwicklung für den Channel?

Christian Ederer: Für Channel-Partner ist diese Entwicklung Herausforderung und Chance zugleich. Die Bedrohungslage ändert sich ständig, und allein das bindet beim Systemhaus laufend Ressourcen: Inhalte aktuell halten, Kampagnen regelmäßig neu aufsetzen, Reporting sauber nachhalten. Hinzu kommen regulatorischer Druck, strengere Prüfungen und die Anforderungen hybrider und mobiler Arbeitsformen. Was dabei häufig unterschätzt wird: Awareness funktioniert am besten, wenn es den Mitarbeitern auch Spaß macht. Wird es als lästige Pflichtübung abgehakt, verpufft die Wirkung, egal wie inhaltlich gut das Training ist. Genau diese Akzeptanz beim Enduser herzustellen und dauerhaft zu halten, ist die eigentliche Aufgabe, und die stemmt ein Systemhaus selten nebenbei im Tagesgeschäft.

CRN: Wo bieten sich hier Ansatzpunkte für Channel-Partner?

Ederer: Bei der Stärkung der Resilienz durch eine effektive menschliche Firewall geht es längst um mehr als jährliche Awareness-Trainings oder das Abhaken von Compliance-Vorgaben. Im Mittelpunkt steht der Aufbau einer Sicherheitskultur, in der alle Mitarbeiter ihre Rolle beim Schutz des Unternehmens kennen und in realen Situationen kritisch urteilen können. Für Systemhäuser heißt das: Sie müssen dafür nicht bei null anfangen. Wer einsteigen will, kann bei uns zwischen einer selbstverwalteten Plattform und einem von uns komplett betreuten Managed Service wählen, inklusive eigener Awareness-Koordinatoren, die die Kampagnen fahren. Und sobald ein Systemhaus im Thema die nötige Kundenmasse erreicht hat, bilden wir auf Wunsch sogar deren eigene Mitarbeiter zu zertifizierten Awareness-Koordinatoren aus, damit sie es fundiert selbst übernehmen können. Der Partner wächst so stufenweise in das Thema hinein, statt von Anfang an alles selbst liefern zu müssen. Cyberbedrohungen werden immer persönlicher, überzeugender und zunehmend KI-gestützt. Daher müssen sichere Verhaltensweisen fester Bestandteil des beruflichen Alltags werden.

CRN: Welchen Anteil hat die Künstliche Intelligenz an dieser Entwicklung?

Ederer: KI ist in vielen Geschäftsprozessen und Tools bereits fest verankert und hat demzufolge auch Auswirkungen auf die Cybersicherheit. Sie treibt eine neue Generation von Angriffen voran, die Kunden womöglich noch nicht erkennen können. Dabei hat sich Phishing vom Massen- zum Präzisionsgeschäft entwickelt, denn Angreifer können überzeugende und stark personalisierte Nachrichten in großem Umfang erzeugen. Außerdem verbessert KI die Qualität gefälschter Websites, Social-Engineering-Kampagnen sowie Deepfake-Audio und -Video. Den Erhebungen des Bitkom zufolge stieg der Anteil der Unternehmen, denen durch Deepfakes Schaden entstand, binnen eines Jahres von vier auf acht Prozent, bei automatisierten Robo Calls von drei auf 14 Prozent. Ähnlich verhält es sich mit Identitätstäuschungen, die gezielt Vertrauen ausnutzen und dafür keine technischen Schwachstellen brauchen.

CRN: Schlägt sich diese anhaltend kritische Bedrohungslage in der Nachfrage nach Security Awareness Trainings nieder?

Ederer: Ja, die Nachfrage steigt zunehmend. Gründe hierfür sind nicht nur die anhaltenden Schäden durch Ransomware und andere raffinierte Cyberangriffe oder die rasche Verbreitung von Phishing-Toolkits auf Basis generativer KI. Auch Versicherungsgesellschaften verlangen Nachweise, die adäquate Schulungen der Mitarbeiter belegen. Laut Hiscox Cyber Readiness Report 2026 investieren deutsche KMU zur Stärkung ihrer Cyberresilienz am häufigsten in aktualisierte Security-Trainings (65 Prozent), noch vor zusätzlichem Personal (59 Prozent) und Software (55 Prozent). Für Channel-Partner entsteht damit ein wachsendes Geschäft mit wiederkehrenden Umsätzen, das über den einmaligen Projektverkauf hinausgeht. Und anders als bei klassischer Security-Lizenzierung skaliert dieses Geschäft mit der Mitarbeiterzahl des Kunden, nicht mit der Anzahl an Geräten oder Standorten – für viele Partner ein deutlich größerer Hebel, als sie zunächst erwarten.

CRN: Allerdings entwickeln sich nicht nur die Angriffe, sondern auch die Schutzkonzepte weiter. Was bedeutet das für den Bereich Security Awareness?

Ederer: Das klassische Security Awareness Training wird heute zunehmend als Teil des Human Risk Managements (HRM) verstanden. Dieser umfassendere und messbare Ansatz verbindet simulierte Angriffe, Echtzeit-Coaching, Verhaltensanalysen und integrierte Sicherheitstechnologien. Channel-Partner erhalten damit eine stärkere Grundlage für ihre Beratung. Sie können Kunden helfen, Risiken zu verorten, Maßnahmen zu priorisieren und Fortschritte über die Zeit nachzuweisen.

CRN: Inwieweit verändert diese Betrachtung im größeren Kontext des Human Risk Management auch das Beratungsgespräch mit den Kunden?

Ederer: Human Risk Management ermöglicht es Channel-Partnern, Gespräche über Sicherheit über einzelne Produkte hinaus zu erweitern. Unternehmen prüfen ihre technischen Umgebungen mit Penetrationstests auf Schwachstellen. Gleichermaßen müssen sie menschliche Risiken verstehen und eindämmen. Channel-Partner können Kunden zu nutzerzentrierten Sicherheitstechnologien beraten, die eine zusätzliche Schutzschicht um die Mitarbeiter legen. Dazu gehören Multi-Faktor-Authentifizierung, Passwort-Manager, SASE und Mikrosegmentierung. Das verändert auch das Gespräch mit dem Kunden: Anstelle einmalig ein Training zu verkaufen, steht der fortlaufende Prozess mit messbaren Erfolgen im Fokus. Ein sichtbarer Fortschritt, wie etwas sinkende Klickraten bei simulierten Angriffen, öffnet die Tür für weiteres Cross-Selling.

CRN: Welches Geschäftsmodell ergibt sich daraus für MSPs, Reseller und Security-Partner?

Ederer: Aus wirtschaftlicher Sicht spricht viel für ein Managed-Service-Modell und zwar nicht nur aus Prinzip: Awareness lässt sich pro Nutzer und Monat abrechnen, planbar und wiederkehrend, statt einmalig pro Projekt. Da Schulungsinhalte schnell veralten, müssen sie kontinuierlich an aktuelle Risiken angepasst werden. Neue Mitarbeiter benötigen passgenaue, rollenspezifische Trainings, während die bestehende Belegschaft auf regelmäßige Auffrischungen angewiesen ist, um sichere Gewohnheiten nachhaltig zu verankern. Wer als Systemhaus den Managed Service anbietet, ist dabei sofort startklar, denn das Onboarding beim Kunden übernehmen wir im Rahmen des Kickoffs. Wer lieber selbst verwaltet, kann das genauso tun, braucht dafür aber etwas Vorlauf und eigenes Know-how. Das wiederkehrende Geschäft liegt am Ende klar im Managed-Modell.

CRN: Ihr Fazit für den Channel: Wo sind die Parallelen und Unterschiede von HRM zu klassischen Sicherheitsprodukten und warum sollten sich die Partner damit beschäftigen?

Ederer: Unternehmen installieren eine Firewall nicht einmal und vergessen sie danach. Dasselbe Prinzip gilt für den Menschen. Der Unterschied: Menschliches Risiko lässt sich messen, und wer das kontinuierlich tut, baut sich damit ein wiederkehrendes, gut planbares Geschäft auf – nicht nur ein gutes Gewissen. Für den Channel ist HRM deshalb keine Pflichtübung, sondern ein handfestes zusätzliches Standbein, das mit der Bedrohungslage mitwächst.

CRN-Newsletter beziehen und Archiv nutzen - kostenlos: Jetzt bei der CRN Community anmelden