Gestern war einer dieser seltenen Tage, die mehr sind als nur eine Konferenz. Es war ein Eintauchen in die heutigen großen Herausforderungen, eine kuratierte intellektuelle Reise, die uns von den globalen Machtverschiebungen bis in die Tiefen der menschlichen Psychologie führte. Die #HuFiCon25 hat am ersten Tag nicht weniger als den Bauplan für eine neue Ära der Sicherheit skizziert – eine Ära, in der Technologie nicht mehr die alleinige Antwort ist, sondern der befähigte Mensch im Zentrum einer kollektiven Verteidigungsstrategie steht. Für alle, die nicht dabei sein konnten oder die Fülle an Informationen noch einmal geordnet aufnehmen wollen, hier mein Versuch einer ausführlichen Synthese. Dabei habe ich mir erlaubt, die Reihenfolge der Vorträge aus dramatischen Gründen anzupassen.
Teil 1: Die Weltkarte der Unsicherheit – Dr. Florence Gaubs Masterclass in strategischer Vorausschau als Fundament des Tages
Den Auftakt machte eine der scharfsinnigsten Denkerinnen unserer Zeit im Bereich der Geopolitik: Dr. Florence Gaub. Ihre Keynote „Foresight 2035“ war weit mehr als ein Blick in die Zukunft; es war eine Dekonstruktion unserer Wahrnehmung von Zukunft selbst. Sie begann mit einer direkten Interaktion, die sofort den Kern des Problems freilegte: das Paradoxon des „lokalen Optimismus versus nationalen Pessimismus“. Nahezu jeder im Raum war optimistisch für die eigene Zukunft, doch der Optimismus schwand dramatisch bei der Frage nach der Zukunft des Landes und der Welt.
Dr. Gaubs Analyse: Optimismus ist kein zuverlässiger Indikator für die Zukunft, sondern ein direktes Maß für die wahrgenommene Handlungsfähigkeit (Agency). Wir fühlen uns ohnmächtig gegenüber den globalen Kräften, und dieser Mangel an gefühlter Kontrolle führt zu Pessimismus.
Um uns aus dieser Lähmung zu befreien, demontierte sie systematisch die Illusion der einfachen Vorhersagbarkeit in der Geopolitik und identifizierte drei fundamentale Schwierigkeiten:
- Mangelhafte Datenqualität und -quantität: „Wir können eine Invasion der Ukraine nicht als Experiment wiederholen“, erklärte sie. Im Gegensatz zu den exakten Wissenschaften operiert die Politikwissenschaft im Reich des Einzigartigen, Anekdotischen und Geheimen.
- Allgegenwärtige kognitive Verzerrungen: Unsere mentalen „Abkürzungen“ (Biases) sind keine Krankheit, sondern normale Hirnfunktionen. Doch gerade bei existenziellen Themen wie Krieg und Politik, die von tiefen Ängsten und Werten geprägt sind, verzerren sie unsere Wahrnehmung massiv.
- Das Fehlen wiedererkennbarer Muster: Mit dem unvergesslichen Satz „Geopolitik ist eher wie die Liebe, nicht wie die Biologie“, entlarvte sie die populäre, aber falsche Annahme historischer Zyklen. Menschliche Emotionen, Entscheidungen und unvorhersehbare Wendungen sind der entscheidende Faktor.
Anstatt uns in dieser Unsicherheit zurückzulassen, bot sie uns das Handwerkszeug der Profis an: die Strategische Vorausschau (Strategic Foresight), wie sie bei der NATO angewandt wird. Dieser strukturierte Denkprozess zielt nicht darauf ab, die eine Zukunft zu erraten, sondern darauf, im Hier und Jetzt bessere und resilientere Entscheidungen zu treffen. Die Methode besteht aus drei Kernschritten:
- Erkennung schwacher Signale (Weak Signal Detection): Aufkeimende Veränderungen identifizieren, bevor sie zum Mainstream werden.
- Szenarienbildung (Scenario Building): Mehrere plausible Zukünfte in Form von narrativen Geschichten entwickeln, um die Bandbreite des Möglichen zu verstehen.
- Gegenwartsorientiertes Handeln (Present-Oriented Action): Den gesamten Prozess nutzen, um heute klügere Entscheidungen zu treffen.
Ihr Vortrag war der perfekte intellektuelle Rahmen für den gesamten Tag. Er war ein machtvolles Plädoyer, die Zukunft wieder als gestaltbar zu begreifen und eine positive Vision zu entwickeln, „für die es sich zu kämpfen lohnt.“
Teil 2: Die Mission im Fadenkreuz – Dr. Niklas Hellemanns Vision der „Collective Intelligence“ als Antwort auf die globale Lage
Wenn Dr. Gaub die globale Landkarte gezeichnet hat, so hat Dr. Niklas Hellemann, CEO & Co-Founder von SoSafe, in seiner Eröffnungs-Keynote den Kompass für unsere Branche geliefert. Seine Analyse war die direkte und nahtlose Übersetzung der globalen Megatrends in die tägliche Realität der Cybersicherheit. Die von Gaub beschriebenen geopolitischen und technologischen Umwälzungen manifestieren sich in einer Bedrohungslandschaft, die Hellemann in drei prägnanten Worten zusammenfasste: Angriffe sind schneller, breiter und tiefer.
- Schneller: Die Innovationszyklen der Angreifer haben sich durch KI-Automatisierung dramatisch verkürzt. Was früher Stunden dauerte, wird heute in Sekunden generiert.
- Breiter: Angriffe sind längst nicht mehr auf E-Mails beschränkt. Hellemann illustrierte dies mit dem realen Beispiel eines Multi-Chain-Angriffs, bei dem eine authentisch wirkende WhatsApp-Nachricht nur der Köder war, um eine Kette weiterer Schritte auszulösen.
- Tiefer: Angriffe sind mit deutlich mehr Kontext über die Zielperson oder Organisation angereichert, was sie persönlicher, überzeugender und ungleich gefährlicher macht.
Hellemanns zentrale Antwort auf diese neue Ära der Bedrohung ist nicht nur eine Technologie, sondern eine handlungsleitende Philosophie: Collective Intelligence. Er beschrieb die SoSafe-Community – bestehend aus über 6.000 Organisationen und mehr als fünf Millionen Endnutzern – nicht als passive Kundenbasis, sondern als eine lebende, lernende Gemeinschaft von „Cyber Heroes“. Diese Helden schützen nicht nur ihre Unternehmen, sondern tragen ihr Wissen aktiv in ihr privates Umfeld und stärken so die Resilienz der gesamten Gesellschaft.
Seine strategische Antwort auf die neue Bedrohungslage lautet Adaptivität. Diese ruht auf drei untrennbaren Säulen:
- Anpassung an Bedrohungen: Die Verteidigung muss schneller lernen. Erkenntnisse aus realen, abgewehrten Angriffen müssen umgehend in relevante Trainingserlebnisse übersetzt werden.
- Anpassung an den organisatorischen Kontext: Trainings müssen sich nahtlos in die jeweilige Tech-Landschaft (LMS, Security-Tools) und die einzigartige Unternehmenskultur (Branding, Sprache) einfügen.
- Anpassung an das Individuum: Jeder Mensch ist anders. Zukünftige Trainings müssen sich stärker an die jeweilige Rolle, den Wissensstand und die Lernpräferenzen anpassen, vom „Frontline Worker“ bis zum C-Level.
Dass dies keine leere Vision ist, belegte er mit beeindruckenden Zahlen, die die messbare Wirkung von Sicherheitskultur untermauern: Die Top 25% der Kunden konnten die Rate, mit der Mitarbeiter auf schädliche Inhalte klicken, innerhalb von 12 Monaten um 90% senken. Gleichzeitig wurde die Anzahl der Mitarbeiter, die aktiv verdächtige E-Mails melden, fast verdreifacht. Hier schloss sich der Kreis zu Dr. Gaub auf beeindruckende Weise: Eine Gemeinschaft, die ihre Handlungsfähigkeit („Agency“) durch effektive Werkzeuge und eine positive Kultur erkennt und nutzt, wird zu einer aktiven, optimistischen und messbar widerstandsfähigeren Kraft.
Teil 3: Der Bauplan zur menschlichen Firewall – Von der Psychologie zur gelebten Praxis
Wie genau kann diese anspruchsvolle Vision von „Collective Intelligence“ und „Adaptivität“ in der Unternehmensrealität verankert werden? Die folgenden Masterclasses lieferten den detaillierten Bauplan, das psychologische und strategische Rüstzeug.
Die Session von Andrew Rose und Dr. Tim Sattler über den Aufbau einer unternehmensweiten Sicherheitskultur war ein Meisterstück in der Übersetzung von Verhaltenswissenschaft in Unternehmensstrategie. Rose‘ A-B-C-Modell (Awareness, Behaviour, Culture) ist eine fundamentale Reifeskala, die jedes Unternehmen verstehen muss.
- Stufe A – Awareness (Bewusstsein): Die absolute Basis. Mitarbeiter wissen kognitiv, was ein Phishing-Angriff ist. Rose‘ Analogie: „Jeder Fahrer in Deutschland kennt das Tempolimit.“
- Stufe B – Behaviour (Verhalten): Der entscheidende zweite Schritt. Das Wissen beeinflusst aktiv das Handeln. Der Mitarbeiter meldet die Phishing-Mail. Aber: Dieses Verhalten ist oft noch eine bewusste, mühsame Anstrengung und anfällig für Stress oder Zeitdruck.
- Stufe C – Culture (Kultur): Die höchste Stufe. Sicheres Verhalten wird zur verinnerlichten, kollektiven Norm – zum „way we do things around here“. Es geschieht automatisch und unbewusst.
Der Sprung von A nach B gelingt nur, wenn zwei psychologische Hebel gleichzeitig betätigt werden: Motivation und Fähigkeit (Ability). Dr. Sattler übersetzte dies in die Praxis: Die Fähigkeit wird erhöht, indem Sicherheitsprozesse so einfach und reibungslos wie möglich gestaltet werden („Secure by Design“, Ein-Klick-Meldebutton). Die Motivation wird gestärkt, indem Sicherheit die Sprache des Business spricht, in Geschäftsprozesse integriert wird und durch verhaltenswissenschaftliche Werkzeuge wie „Nudging“ subtil gefördert wird. Ein Appell an soziale Normen („90 % Ihrer Kolleginnen und Kollegen nutzen bereits MFA“) erzeugt einen sanften sozialen Druck und ist oft wirksamer als jede Richtlinie.
Die Masterclass von Andrew Rose, Melina Chatah und Ant Davis lieferte „10 impactful ways to ignite cyber security awareness“. Hier wurden die psychologischen Hebel mit Leben gefüllt.
Besonders eindrücklich:
- Taktik 6: Mit Geschichten Verhalten nachhaltig fördern (Storytelling): Die Zahlen sind überwältigend. Die Behaltensquote von reinen Statistiken liegt bei 5-10%, die einer in eine Geschichte verpackten Statistik bei 65-75%. Ant Davis‘ emotionale und detaillierte Erzählung über seine Freundin „Lauren“, die durch ein simples Passwort auf Basis ihres Hochzeitsjahres den Zugang zu ihrem gesamten digitalen Leben und dem Facebook-Account ihres Unternehmens verlor, machte die abstrakte Gefahr von schwachen Passwörtern und fehlender MFA schmerzhaft greifbar und unvergesslich.
- Taktik 2: Den IKEA-Effekt für sich nutzen: Menschen entwickeln eine überproportional hohe Wertschätzung für Dinge, an deren Herstellung sie selbst beteiligt waren. Die Anwendung für Security: Beziehen Sie die Mitarbeiter aktiv in die Gestaltung Ihrer Awareness-Kampagne ein. Fragen Sie sie nach Themen, Formaten und Wünschen. Wenn Mitarbeiter ihre eigenen Ideen im finalen Programm wiedererkennen, steigt die emotionale Bindung und das Engagement massiv.
Teil 4: Der ungeschminkte Realitätscheck – Wenn Geopolitik auf die Vorstandsetage trifft
Die hochkarätige Podiumsdiskussion mit dem geopolitischen Journalisten Christoph von Marschall, dem Digitalexperten Achim Berg und dem Porsche CSO Florian Haacke (alle mit Dr. Niklas Hellemann im Gespräch) war der Moment, in dem die Makro-Ebene von Dr. Gaub mit voller Wucht in der Unternehmensrealität einschlug und die Dringlichkeit für die Thesen von Dr. Hellemann zementierte.
- Christoph von Marschall machte die Bedrohung existenziell greifbar. Sein Szenario eines hybriden russischen Angriffs auf NATO-Territorium würde Deutschland unmittelbar in den Kriegszustand versetzen. Die Folgen wären nicht primär „russische Panzer in Köln“, sondern massive Cyberangriffe auf die kritische Infrastruktur. Sein konkretes Bild vom landesweiten Chaos – Geldautomaten funktionieren nicht mehr, Kassensysteme in Supermärkten fallen aus, Zapfsäulen geben kein Benzin mehr ab – war eine kalte Dusche und ein dringender Appell für eine mentale „Zeitenwende“ in der gesamten Gesellschaft.
- Achim Berg, aus der Perspektive des Unternehmenslenkers / Aufsichtsratsmitglied, diagnostizierte die „Blindheit der Vorstände“. Er brachte die fatale Fehleinschätzung auf den Punkt: Die Kosten eines Angriffs werden zu 100% unterschätzt, während die eigene Abwehrbereitschaft zu 100% überschätzt wird. Sein eindringlicher Rat an alle Sicherheitsverantwortlichen: Konfrontieren Sie Ihren Vorstand mit einem realistischen Angriffsszenario, durchgeführt von einem externen Experten. Die Unfähigkeit, grundlegende Fragen zur Krisenreaktion zu beantworten, schaffe die nötige Dringlichkeit.
- Florian Haacke schlug die entscheidende Brücke zur Kultur und schloss damit direkt an Andrew Rose an. Seine brillante Formulierung: Der Unterschied zwischen „Awareness“ und „Culture“ ist der Unterschied zwischen „Ich weiß, dass ich die Tür abschließen muss, aber ich lasse sie trotzdem offen.“ Das Ziel müsse sein, bei jedem Mitarbeiter ein Gefühl der persönlichen Verantwortung („Ownership“) zu schaffen.
Teil 5: Das Arsenal für die neue Ära – Wie Technologie den Menschen befähigt
Wie kann Technologie diesen neuen, anspruchsvollen, menschenzentrierten Ansatz unterstützen und skalieren? Die Produkt-Keynotes gaben einen faszinierenden Einblick in die Werkzeuge der Zukunft.
- Rob Daly (CTO SoSafe) und Christine Siu (VP of Product) präsentierten die Vision einer wahrhaft adaptiven Verteidigungsplattform. Ihr demonstriertes Feature „Recreate Attack“ ist eine Revolution in der Trainings-Realitätsnähe: Ein Admin erhält eine Meldung über einen raffinierten Phishing-Angriff, macht einen Screenshot, lädt ihn hoch, und die KI rekonstruiert die E-Mail in Minuten als eine sichere, pixelgenaue und voll editierbare Simulationsvorlage. Dies ist die direkte technologische Antwort auf die von Hellemann geforderte Anpassung an Bedrohungen in Echtzeit. Ihr Konzept des „Human Security Index“ ist die logische Konsequenz des A-B-C-Modells: Er führt Daten aus Simulationen (Awareness), Systemen von Drittanbietern (Verhalten) und Umfragen (Kultur) zu einem einzigen, ganzheitlichen Risikowert pro Mitarbeiter zusammen.
- Jasmine Jalava und Gundula Zerbes, PhD vertieften die duale Natur der KI. Sie warnten nicht nur vor externen Angriffen durch hyperrealistische Deepfakes und geklonte Stimmen beim Vishing, sondern auch vor dem internen Risiko der „Schatten-KI“. Ihre entscheidende Botschaft: Ein reines Verbot von KI-Tools ist kontraproduktiv und führt zu Kontrollverlust. Stattdessen müssen Mitarbeiter das „Warum“ hinter den Datenschutzrichtlinien verstehen. Nur wer die Konsequenz (unwiederbringlicher Datenverlust) versteht, wird bewusst und sicher handeln. Parallel dazu müssen neue Grundfertigkeiten geschult werden: „effektives Prompting“ (die Kunst der Kommunikation mit der KI) und der kritische Umgang mit „KI-Halluzinationen“.
Synthese und Ausblick: Die Mission ist klar
Der rote Faden, der all diese Perspektiven zu einem kohärenten Ganzen verwob, war die unmissverständliche Erkenntnis: Wir befinden uns mitten in einem fundamentalen Paradigmenwechsel. Die Ära der reaktiven, siloartigen und rein technischen Cybersicherheit ist vorbei. Die Zukunft gehört einem proaktiven, integrierten und zutiefst menschenzentrierten Ansatz.
Es war super Tag, mit gut aufeinander abgestimmten Vorträgen: Dr. Gaub gab uns die Weltkarte der neuen Realität. Dr. Hellemann gab uns den Kompass und die Mission für unsere Branche. Die Diskussionsteilnehmer zeigten uns die Minenfelder auf dieser Karte. Die Masterclasses von Rose, Sattler, Chatah und Davis gaben uns den psychologischen und strategischen Bauplan für den Weg. Und die Visionen von Daly, Siu, Jalava und Zerbes rüsten uns mit dem adaptiven Fahrzeug für das Terrain von morgen aus.
Ich kann hier natürlich nur von den Vorträgen berichten, bei denen ich dabei war. Es gab noch viel mehr… bei allen kann man nicht sein, denn:
Zwischen den Sessions: Gespräche, die bleiben
Neben den Bühnenmomenten waren es die Gespräche im Foyer, und dank gutem Wetter auch draußen, – von konkreten Tool‑Fragen bis zu Governance‑Dilemmata –, die die Konferenz lebendig gemacht haben. Genau das ist der Mehrwert solcher Events: Die Community wird zu einer lernenden Organisation – spontan, vernetzt, offen. (Und ja: Viele neue Kontakte, aus denen sich sicher das eine oder andere noch ergeben wird. Ich freue mich drauf!)
Danke an SoSafe für die exzellente Organisation und die Einladung – vom inhaltlichen Fokus bis zur Liebe zum Detail war das ein mega-starker erster Tag. Ich freue mich auf Tag 2 – auf mehr Einsichten, mehr Austausch und weitere Bausteine für eine Sicherheitskultur, die lernt, vorausschaut und gemeinsam handelt.
Danke für’s Lesen!
#HuFiCon25
