Brain Security · Sensibilisierung für Cybersicherheit und KI
Katalog
Der voll anpassbare Cyber-Wettbewerb: maßgeschneiderter Ablauf, Boss Fights und öffentliche Rangliste.
Entdecken→
Automat
Der Arcade-Automat für Cyber-Sensibilisierung. Online konfigurierbar, schlüsselfertig geliefert.
Entdecken→
Spiel
Das Ventil für CISOs: ein einziger Handgriff, ~2 Minuten, und Schreien ins Mikro vervielfacht die Punkte.
Entdecken→
Wettbewerb
Der voll konfigurierbare Reflex-Wettbewerb: Minispiele auf Zeit, Thema Cyber, KI oder gemischt, Arcade-Modus.
Entdecken→
Erlebnis
Der Deepfake-Fotoautomat: Webcam freigeben, sich live von einer KI verwandeln lassen, und Bilder nie wieder mit denselben Augen sehen.
Entdecken→
Enzyklopädie
Die visuelle Cyber-Enzyklopädie, generiert von KI: Erkunden Sie jedes Thema grenzenlos.
Entdecken→
Bot
Der Bot, der in Ihrem Chat sensibilisiert: Mikro-Lektionen, die von selbst kommen, signiert von Jack.
Entdecken→
Schulung
Der Cyber-Lernpfad als Fortschrittskarte: kurze Kapitel und ein eingebettetes Arcade-Quiz, ohne Konto anzulegen.
Entdecken→
Simulation
Der Phishing-Simulator, der Ihre Teams auf reale Angriffe trainiert, von der gefälschten E-Mail bis zum präparierten QR-Code, in einem kontrollierten Rahmen, der niemals ein Passwort erfasst.
Entdecken→
Coming soon
Der Werkzeugkasten für CISOs, bald verfügbar.
Das narrative Spiel, das Cybersicherheit spielerisch beibringt: zehn Kapitel, eine Levelkarte, ohne etwas zu installieren.
Entdecken→
Warum 90-Tage-Wechselregeln schaden: BSI- und NIST-Standards für Passphrasen und Passkeys im Unternehmen praxistauglich etablieren.
Jeder CISO und IT-Sicherheitsverantwortliche kennt diesen Klassiker der operativen Praxis: Aus dem ursprünglichen "Herbst2024!" wird zum Quartalswechsel pünktlich "Winter2024!" und danach "Fruehling2025!". Über Jahre hinweg galt das erzwungene Ändern aller Zugangsdaten alle 90 Tage als Best Practice in den Richtlinien deutscher Unternehmen. Die reale Konsequenz im Arbeitsalltag? Massive Passwortmüdigkeit bei den Mitarbeitenden, Post-its unter der Tastatur und vorhersehbare Muster, die Angreifer innerhalb von Sekundenbruchteilen per Wörterbuchangriff knacken.
Moderne Informationssicherheit funktioniert nicht gegen die Belegschaft, sondern nur mit ihr. Die zentrale Aufgabe besteht heute darin, veraltete Vorgaben durch fundierte technische und verhaltensbezogene Sicherheitskultur zu ersetzen. Sowohl das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) als auch das US-amerikanische NIST empfehlen ausdrücklich die Abkehr von starren Wechselintervallen. Sicherheitsverantwortliche sollten stattdessen den unternehmensweiten Umstieg auf robuste Passphrasen, zentrale Passwortmanager und zukunftssichere Passkeys forcieren.
Kurz gesagt: Die Pflicht zum periodischen Passwortwechsel verleitet Mitarbeitende zu simplen Variationen statt starker Zugangsdaten. Das BSI und das NIST raten heute zu langen, einzigartigen Passwörtern ohne willkürlichen Wechsel, solange kein konkreter Verdacht auf einen Sicherheitsvorfall oder Kompromittierung vorliegt.
Zwei Jahrzehnte lang galt das vierteljährliche Ändern von Passwörtern als unumstößlicher IT-Standard. Belastbare Verhaltensanalysen und Telemetriedaten moderner Security-Teams zeigen jedoch das Gegenteil. Bei ständigen, rein zeitgesteuerten Aufforderungen wählt das menschliche Gehirn den Weg des geringsten Widerstands. Mitarbeitende hängen lediglich eine Ziffer an, passen die Jahreszeit an oder wechseln zwischen zwei festen Begriffen hin und her.
Die maßgeblichen Sicherheitsstandards wie die NIST-Richtlinie SP 800-63B und das BSI IT-Grundschutz-Kompendium ziehen daraus klare Schlüsse:
Zeitgemäße Sicherheitsrichtlinien verlangen einen Kennwortwechsel daher ausschließlich bei begründetem Verdacht auf Datenabfluss oder aktiven Missbrauch.
Kurz gesagt: Passphrasen ersetzen unlesbare Zeichenketten durch vier bis fünf zufällige Wörter. Sie sind für Menschen leicht merkbar und bieten gleichzeitig maximale Resistenz gegen automatisierte Brute-Force-Angriffe.
Für privilegierte Zugänge, bei denen manuelle Eingaben unverzichtbar bleiben (beispielsweise das Master-Passwort für den Notebook-Start oder den Tresor), ist ein Umdenken erforderlich. Starre Kriterien wie mindestens zwölf Zeichen mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen erzeugen Konstrukte wie "K7#m9Qz!". Solche Kombinationen vergisst man umgehend oder tippt sie permanent falsch ein.
Eine Passphrase aus unzusammenhängenden Begriffen (wie etwa "frosch-kaffeekanne-vulkan-kompass") erzeugt eine extrem hohe mathematische Entropie, bleibt aber intuitiv im Gedächtnis:
Damit Teams diese Methoden verinnerlichen und Vorbehalte abbauen, kommt es auf das Vermittlungsformat an. Mit der Cyber Cup, unserem interaktiven Team-Quizwettbewerb im Arcade-Stil mit kurzen Drei-Minuten-Runden, lassen sich Kennwortsicherheit und Phishing-Abwehr spielerisch und mit hoher Akzeptanz in der Belegschaft verankern.
| Ref. | Operational Control Point | Expected Outcome & Verification |
|---|---|---|
| CTRL-01 | Kognitive Überlastung und Umgehungstaktiken | Häufige Pflichtwechsel führen dazu, dass Zugangsdaten auf Zetteln notiert oder in unverschlüsselten Textdateien gespeichert werden. |
| CTRL-02 | Hohe Widerstandskraft | Jedes zusätzliche Zufallswort vervielfacht den Suchraum für Angreifer so stark, dass automatisierte Brute-Force-Werkzeuge scheitern. |
| CTRL-03 | Der öffentliche Schlüssel (Public Key) | Dieser liegt auf dem Server des Anbieters und besitzt für Angreifer keinen eigenständigen Wert, da sich daraus kein Login ableiten lässt. |
| CTRL-04 | Geringere kryptografische Entropie | Je kürzer die Wechselzyklen sind, desto einfacher und berechenbarer wählen Anwender ihre Passwörter. |
| CTRL-05 | Hohe Nutzbarkeit im Alltag | Eine Passphrase lässt sich flüssig und ohne ständiges Suchen nach Sonderzeichen auf der Tastatur eingeben. |
Das Ziel moderner IT-Sicherheitsstrategien geht über gute Passphrasen hinaus: Manuelle Passworteingaben sollten im Alltag weitgehend überflüssig werden. Ein unternehmensweit ausgerollter Passwortmanager markiert hierbei den ersten grundlegenden Schritt.
Indem der Manager für jeden Dienst kryptografisch starke, individuelle Zufallskennwörter generiert und speichert, verhindert er die riskante Mehrfachnutzung privater und geschäftlicher Passwörter. Zugleich fungiert der Manager als wirksamer Phishing-Schutz: Weicht die Domain einer gefälschten Website minimal vom Original ab, verweigert der digitale Tresor das automatische Ausfüllen der Loginfelder.
Passkeys basieren auf den offenen Standards FIDO2 und WebAuthn und verändern die Sicherheitsarchitektur grundlegend. Anstelle eines geteilten Geheimnisses setzt ein Passkey auf asymmetrische Kryptografie:
Passkeys neutralisieren Phishing-Angriffe auf mathematischer Ebene. Selbst wenn ein Mitarbeiter auf einen professionell gefälschten Link klickt, schlägt der kryptografische Handshake fehl, da der Browser die tatsächliche Identität der Gegenstelle prüft. Das Zusammenspiel aus gezielter Awareness, zentralen Managern und FIDO2-basierten Methoden schließt das größte Einfallstor für Cyberangriffe nachhaltig.
Nachhaltige Cybersicherheit verlässt veraltete Verbotskulturen und setzt auf aktive Einbindung der Teams. Wenn Sie Ihr Awareness-Programm praxisnah gestalten und messbare Verhaltensänderungen bei Ihren Mitarbeitenden erzielen möchten, sprechen Sie mit uns über Ihre Anforderungen und tauschen Sie sich direkt mit den Experten von Brain Security aus.
