Die Erfahrungen der Vergangenheit im Bereich Informationssicherheit und Privatsphäre haben uns gelehrt, dass es mehr braucht als technologische Innovation um effektive Sicherheits- und Privatsphäre-Mechanismen zu entwickeln: Viele Aspekte von Informationssicherheit und Privatsphäre hängen sowohl von technischen als auch von nutzerbezogenen Faktoren ab. Fokussieren wir uns zu sehr auf die technischen Faktoren, erleben wir als Ergebnis davon eine ständige Diskrepanz zwischen theoretischer Sicherheit und tatsächlicher Sicherheit in der realen Welt, eine Tatsache, die im Zeitalter der Digitalisierung ein wachsendes Problem darstellt. Diese Diskrepanz ist hauptsächlich eine Folge von zu starken und unrealistischen Annahmen in Bezug auf Wissen und Verhalten der Nutzer.

Human Factors adressieren im Forschungsbereich Informationssicherheit und Privatsphäre verschiedene Arten von Sicherheits- und Privatsphäre-Mechanismen, z.B. Authentifizierungsmechanismen (u.A. textbasierte und grafische Passwörter), Indikatoren für Sicherheit und Privatsphäre (u.A. Icons in den Adressleisten in aktuellen Webbrowsern) und Sicherheits- und Privatsphäre-Interventionen wie Warnmeldungen, Berechtigungsdialoge und Sicherheits- und Datenschutzrichtlinien sowie die dazu gehörigen Konfigurationsoberflächen. Neben Sicherheits- und Privatsphäre-Mechanismen behandeln Human Factors im Forschungsbereich Informationssicherheit und Privatsphäre auch die Sensibilisierung (Awareness) für Sicherheit und Privatsphärenschutz sowie diesbezügliche Schulungs- und Trainingsansätze.

Human Factors umfassen im Forschungsbereich Sicherheit und Privatsphäre:

• Die Identifikation mentaler Modelle, wobei verschiedene Techniken wie (semi-)strukturierte Interviews oder Fokusgruppen zum Einsatz kommen
• Die Evaluation existierender Ansätze bezüglich ihrer Effektivität bei der Unterstützung von Nutzern beim Treffen sicherer/informierter Entscheidungen im Privatpshärekontext, wobei Techniken wie der „Cognitive Walkthough“, Laborstudien mit Nutzern oder Feldstudien zum Einsatz kommen
• Die konzeptionelle Entwicklung verbesserter/neuer Ansätze sowie die Evaluation dieser in Hinblick auf ihre Effektivität unter Verwendung des sogenannten „Human centered security/privacy by design“-Ansatzes.

Diese Vorlesung und die dazugehörige Übung behandeln verschiedene Probleme aktuell existierender Sicherheits- und Privatsphäre-Mechanismen ebenso wie von Ansätzen zur Sensibilisierung bzgl. Sicherheit und Privatsphäre bzw. verschiedener Schulungs- und Trainingsmaßnahmen. Die Vorlesung adressiert dabei relevante psychologische und soziologische Aspekte, deren Verständnis eine wichtige Voraussetzung für die Entwicklung von benutzbaren Sicherheits- und Privatsphäre-Mechanismen ebenso wie von effektiven Lösungen zur Sensibilisierung sowie von Schulungs- und Trainingsansätzen darstellt. Des Weiteren wird der „Human centered security/privacy by design“-Ansatz vorgestellt. Darüber hinaus werden mehrere in diesem Bereich genutzte Methoden erklärt und ein Teil davon angewendet.

• Usable Security: History, Themes, and Challenges (Synthesis Lectures on Information Security, Privacy, and Trust): Simson Garfinkel und Heather Richter Lipford. 2014
• Security and Usability: Designing Secure Systems that People Can Use von Lorrie Faith Cranor und Simson Garfinkel. 2005
• Melanie Volkamer, Karen Renaud: Mental Models - General Introduction and Review of Their Application to Human-Centred Security. In Number Theory and Cryptography (2013): 255-280: https://link.springer.com/chapter/10.1007/978-3-642-42001-6_18
• Paul Gerber, Marco Ghiglierie, Birgit Henhapl, Oksana Kulyk, Karola Marky, Peter Mayer, Benjamin Reinheimer, Melanie Volkamer: Human Factors in Security. In: Reuter C. (eds) Sicherheitskritische Mensch-Computer-Interaktion. Springer (2018)  https://link.springer.com/chapter/10.1007/978-3-658-19523-6_5
• Bruce Schneier: Psychology of Security (2018): https://www.schneier.com/essays/archives/2008/01/the_psychology_of_se.html
• Ross Anderson: security /usability and psychology. In Security Engineering. http://www.cl.cam.ac.uk/~rja14/Papers/SEv2-c02.pdf
• Andrew Odlyzko: Economics, Psychology and Sociology of Security: http://www.dtc.umn.edu/~odlyzko/doc/econ.psych.security.pdf

Diese Vorlesung und die dazugehörige Übung behandeln verschiedene Probleme aktuell existierender Sicherheits- und Privatsphäre-Mechanismen ebenso wie von Ansätzen zur Sensibilisierung bzgl. Sicherheit und Privatsphäre bzw. verschiedener Schulungs- und Trainingsmaßnahmen. Die Vorlesung adressiert dabei relevante psychologische und soziologische Aspekte, deren Verständnis eine wichtige Voraussetzung für die Entwicklung von benutzbaren Sicherheits- und Privatsphäre-Mechanismen ebenso wie von effektiven Lösungen zur Sensibilisierung sowie von Schulungs- und Trainingsansätzen darstellt. Dis beinhaltet auch die Wichtigkeit mentaler Modelle. Des Weiteren wird der „Human centered security/privacy by design“-Ansatz vorgestellt. Darüber hinaus werden mehrere in diesem Bereich genutzte Methoden erklärt und ein Teil davon angewendet. Schließlich werden positive Beispiele, wie grafische Passwörter, vorgestellt und diskutiert.

Die Übung beinhaltet hauptsächlich die Replikation einer Interviewstudie. 

Studierende…

• wissen, warum viele existierende Sicherheits- und Privatsphäre-Mechanismen nicht benutzerfreundlich und viele Ansätze zur Sensibilisierung bzw. Schulungs- und Trainingslösungen nicht effektiv sind
• können in Bezug auf konkrete Beispiele erklären, wieso diese nicht benutzerfreundlich / nicht effektiv sind und wieso Nutzer entsprechend eine hohe Wahrscheinlichkeit haben, bei ihrer Verwendung auf Probleme zu stoßen
• können erklären was mentale Modelle sind, warum diese wichtig sind und wie sie identifiziert werden können
• wissen, wie ein „Cognitive Walkthrough“ durchgeführt wird um Probleme von existierenden Mechanismen und Ansätzen festzustellen
• wissen, wie semi-strukturierte Interviews geführt werden
• wissen, wie sich Nutzerstudien im Kontext Informationssicherheit von Nutzerstudien in anderen Bereichen unterscheiden
• können den Prozess des „Human centered security/privacy by design“-Ansatzes erklären
• kennen die Vor- und Nachteile verschiedener grafischer Passwortlösungen
• kennen Konzepte wie die „just in time and place“ Sicherheitsinterventionen