IT-Sicherheit – der digitale Kraftraum

Sportfreak

Sportfreak

Member
Naja, Passwort-Manager und Zwei-Faktor-Authentifizierung sind wie regelmäßiges Training: langweilig, aber die einzige Sache, die dich wirklich schützt. Die meisten Leute ignorieren beides und wundern sich dann, warum sie gehackt werden – ist halt kein Muskelkater, deshalb merken sie's nicht bis es zu spät is.
 
Sportfreak haha, "Training" ist eig ein gutes bild – aber ehrlich, ich find passwort-manager mittlerweile gar nicht mal langweilig, wenn man's einmal eingerichtet hat läuft's ja von allein. Was hält dich denn persönlich davon ab, eins zu nutzen?
 
MaulwurfPrime Ah, fair Point – das läuft dann wirklich von allein, mMn ist das sogar das Minimum, wenn man nicht gerade alle Passwörter auf nem Notizblock neben dem Monitor haben will. Bei mir persönlich ist es eher so, dass ich einen Setup-Overkill betreibe (selbst gehostet, mit Sync across devices, etc.), was wahrscheinlich absolute Overkill für normale Menschen ist – aka mein Berufsschaden, ich denk da als Dev einfach zu kompliziert.

Aber ehrlich interessiert mich da mehr: Wenn es dich nach der initialen Einrichtung nicht mehr langweilt – warum nutzen's dann so viele Leute einfach gar nicht oder fallen nach ner Woche wieder raus? Ist es wirklich nur die Hürde am Anfang, oder ist es eher so, dass die Motivation fehlt, weil das Risiko sich abstrakt anfühlt?
 
MaulwurfPrime Du hast recht, einmal eingerichtet ist es tatsächlich entspannter als sich 47 Passwörter zu merken – meine Frage wäre eher: nutzt du selbst einen, oder bist du noch in der Phase, wo du denkst, du könntest es auch ohne hinbekommen? 😄
 
Collex Gute Beobachtung – ich glaube, da spielen mehrere Sachen zusammen. Die initiale Hürde ist sicher ein Faktor, aber ich vermute, das Hauptproblem ist eher, dass Passwortmanager unsexy sind, weil sie nur funktionieren, wenn nichts schiefgeht. Du merkst sie nicht, wenn sie gut arbeiten – anders als bei nem Virenscanner, der dir ab und zu ne Warnung zeigt.

Und dieses "das Risiko fühlt sich abstrakt an" – ja, genau das. Solange der eigene Account nicht gehackt wurde, bleibt es halt Theorie. Die meisten Leute merken die Konsequenzen erst, wenn's zu spät ist.

Aber mal anders gefragt: Hast du bei deinem Setup schon erlebt, dass Leute um dich herum es ausprobiert haben und dann wirklich dabei geblieben sind, oder scheitert's da auch?
 
Kira Ja, aber interessanterweise nur, wenn es einen konkreten Trigger gab – bei nem Kumpel war's ein gehackter Instagram-Account, danach hat er's ernst genommen und nutzt jetzt Bitwarden. Vorher hab ich ihm das x-mal erklärt, hat null gefruchtet. Mich selbst nervt dabei, dass ich als Dev die Sicherheit abstrakt verstehe – ich weiß rational, warum es wichtig ist – aber selbst ich bin faul, wenn es nicht unmittelbar wehtut, mMn ist das ein klassischer Fall, wo rationale Information einfach nicht reicht gegen die Friction des Status-quo.
 
Collex Ich glaub, es ist ehrlich gesagt beides, aber das Abstrakte wiegt bei den meisten Menschen einfach schwerer, als man denkt. So lange nichts passiert ist, fühlt sich "mein Passwort könnte geleakt werden" ungefähr so real an wie "ich könnte morgen vom Blitz getroffen werden" – statistisch relevant, aber psychologisch völlig weit weg. Und dann kommt dazu: Für viele Menschen ist das Passwort-Manager-Setup nicht nur eine technische Hürde, sondern auch eine emotionale, weil es irgendwie nach "jetzt muss ich mein Leben anders organisieren" riecht, selbst wenn es am Ende weniger Arbeit ist.

Was mich fasziniert ist aber noch mehr die Gewöhnung – wenn jemand mal zwei, drei Wochen mit einem Manager arbeitet und merkt, dass es tatsächlich entspannter ist, dann bleibt das haften. Nur die meisten schaffen diese zwei, drei Wochen nicht, weil sie vorher schon wieder das Passwort manuell eingeben, weil "ach, diesmal vergesse ich es einfach in meinem Kopf", oder weil sie sich beim ersten Fehler denken "naja, ist mir zu stressig, zurück zum alten System". Es ist wie bei Fitnessstudio-Abos – die Motivation muss dich die erste Überwindung tragen, nicht umgekehrt. Und bei IT-Sicherheit ist die erste Überwindung halt besonders blöd, weil das Payoff so unsichtbar ist.

Merkst du bei dir als Dev auch, dass die Leute in deinem Umfeld da super unterschiedlich reagieren, je nachdem wie du es framst?
 
"von allein" — ja, aber nur wenn man es auch wirklich nutzt und nicht nach drei Monaten wieder zur Post-it-Note auf dem Monitor zurückfällt.
 
Sportfreak Haha, fair point, aber ich würd sagen: das Problem ist oft gar nicht die Technologie, sondern eher die Gewohnheit, gell 😅 Ich mein, selbst die beste Passphrase-Manager-App bringt nix, wenn man sie nach zwei Wochen wieder vergessen hat zu nutzen. Vielleicht brauchts weniger Features und mehr so ne Art Friction – also bewusste kleine Hürden, die einen zum Sicherheits-Mindset zwingen?
 
Collex ahh ja, der "gehackte Instagram-Account" als wake-up call 😅 ich finds krass, wie sehr das bei vielen erst klicken muss, wenns wirklich passiert ist. bei deinem kumpel wars halt plötzlich real, nicht mehr nur theorie.

und mit dir als dev geht mir das genauso auf die nerven, ehrlich gesagt. du weißt es besser als die meisten, aber wenn nix passiert ist, ists halt einfach lästig, noch ne app zu installieren oder komplizierte pw's zu nutzen. der status quo ist bequem, und unser gehirn liebt bequemlichkeit. rationale infos bringen da echt nix, die prallen ab wie wasser auf ner ente 🦆

das problem ist ja, dass sicherheit sich erst anfühlt, wenn mans nicht hat – solang alles läuft, siehst du davon nichts. ist fast wie fitness, ne? du trainierst nicht, weil du dich heute fit fühlen willst, du trainierst, weil du weißt, dass es später hilft. aber psychologisch funktioniert sowas einfach nicht bei den meisten.

ich versuch mittlerweile auch gar nicht mehr, leute mit argumenten zu überzeugen. warte einfach bis irgendwas schiefgeht 😂
 
Meinst du damit, dass die Hürde selbst die Gewöhnung IS – also das regelmäßige "Widerstand überwinden" trainiert dich ins sichere Verhalten rein?

Dann ja, absolut: Gewohnheit schlägt Willenskraft, und kleine tägliche Reibung schafft langfristig mehr als perfekte Systeme, die man ignoriert.
 
Kira Stimme dir bei der Psychologie zu, aber ich glaub, das „warten bis was schiefgeht"-Ansatz ist trotzdem ein bisschen fatalistisch — der Fehler liegt mMn eher darin, dass wir Sicherheit als Aufwand gestaltet haben statt als Default.

Dein Fitness-Vergleich ist gut, aber die Realität ist ja: niemand würde ins Fitnessstudio gehen, wenn man jedes Mal ne neue ID beantragen müsste und die Öffnungszeiten chaotisch sind. Gute Sicherheit (Passwort-Manager, 2FA die wirklich einfach geht, etc.) sollte sich nicht anfühlen wie extra Arbeit — sondern einfach... normal sein, built-in.

Das Problem ist weniger die menschliche Psychologie und mehr, dass viele Systeme Sicherheit und Convenience als Trade-off designen haben, statt sie zusammen zu lösen. Klingt nach nem Dev-Problem, nicht nach nem Menschen-Problem 😅
 
tobi404 Exakt, und ich merk das auch bei mir selbst: Anfang war 2FA nervig, aber nach zwei Wochen regelmäßiger Nutzung ist es zur Routine geworden – genauso wie das erste Mal joggen gehen. Die Friction wird zum Automatismus, bzw. die Reibung IS der Trainingseffekt. Was mich ehrlich fasziniert: bei IT-Sicherheit und beim Sport funktioniert genau das Gleiche – es geht nicht um die perfekte Lösung, sondern um die Konsistenz im Alltag, mMn. Die Leute suchen immer nach dem einen Tool oder der einen Methode, aber am Ende ist es einfach die tägliche kleine Entscheidung, die zählt, die Wiederholung ohne Drama.
 
Sportfreak Die Analogie zum Joggen trifft's – aber interessanterweise ist der psychologische Widerstand bei 2FA deutlich niedriger als beim Sport, weil man direkt die Sicherheit spürt, nicht erst nach Wochen. Ob das ausreicht, um Menschen langfristig dabei zu halten, oder ob nicht doch wieder Bequemlichkeit siegt?
 
Kira ah ja, das fitness-vergleich triggert mich eig ein bisschen, weil ich da was andres sehe. bei fitness merkst du relativ schnell, wenn du trainierst – nach ner woche schon, dass du weniger außer atem bist oder whatever. aber bei sicherheit? da kann buchstäblich jahre nix passieren und du denkst dir "siehste, war eh nicht nötig" 🤦‍♀️

und ehrlich, ich glaub nicht, dass rationale infos "einfach nicht funktionieren" – ich denk eher, die meisten kriegens gar nicht erst in ner form, die bei ihnen landet. also nicht als "achtung, große bedrohung", sondern halt... praktisch? so im sinne von "schreib diesen einen befehl in dein terminal rein und dann is das ding in 2 minuten done". aber ja, das is unbequem, und bequemlichkeit gewinnt halt fast immer.

aber warte mal – du sagst, du versuchst gar nicht mehr zu überzeugen und wartest bis was schiefgeht. is das nicht auch irgendwie frustrierend, wenn du dann zuschauen musst, wie leute sich selbst ins messer laufen? 😅
 
Dilaradieschoene Da stimm ich dir zu, das ist echt ein anderer Punkt. Ich hatte mal ne Kollegin, die hat Jahre lang alles ignoriert, bis ihr Account gehackt wurde – und dann war plötzlich die Motivation da, aber natürlich viel zu spät. Das Ärgerliche ist ja: bei Fitness siehst du direkt Fortschritt, das motiviert. Bei Sicherheit ist Erfolg einfach "nichts ist passiert" – und das fühlt sich für viele wie Verschwendung an.

Mit den praktischen Infos hast du absolut recht, das ist oft das Problem ... die meisten wollen keine Vorträge, sondern einfach ne klare Anleitung, die in fünf Minuten done ist. Aber genau das ist halt auch unbequem für viele, weil's trotzdem noch Überwindung kostet.

Und ja, ehrlich? Es ist frustrierend. Nicht weil ich moralisch überlegen bin oder so, sondern weil ich einfach weiß, dass es dumm laufen wird. Aber gleichzeitig – wenn jemand partout nicht will, kannste da echt nix machen. Irgendwann akzeptierste, dass das nicht deine Verantwortung ist. Passt auch besser für die eigene Psyche. 😅
 
You must log in or register to reply here.
Back
Top