Usability und Sicherheit – zwei vermeintliche Gegensätze
Usability und Sicherheit werden in der IT oft als Gegensatzpaar wahrgenommen und behandelt: Erfordert doch alles, was der Sicherheit dient, zunächst zusätzliche Aktionen wie lästiges Eingeben von Benutzernamen oder Passwörtern.
Es gibt eine Reihe von Möglichkeiten, Benutzern Sicherheitsmaßnahmen zu vermitteln: Datenschutzrichtlinien, Pop-ups mit Warnhinweisen, farblich unterlegte URLs, offene oder geschlossene Schlösser etc. Allerdings sind die Bedeutung dieser Maßnahmen und ihre Auswirkung dem typischen Internet-Nutzer häufig nicht verständlich, da sie oft Expertenwissen voraussetzen. Daher verwendet er sie nicht oder nur unzureichend. So werden die Sicherheitsmechanismen selbst zum Kaufhemmnis oder Risiko, wie die folgenden Beispiele verdeutlichen:
- CAPTCHA mit zwei unleserlichen 10-buchstabigen Zeichenreihen, wo ein einziges Wort mit 4 Zeichen genügen würde. Folge: Der Benutzer bricht den Bestellvorgang frustriert ab und geht zur Konkurrenz.
- Wahl eines sicheren Passwortes mit Buchstaben und Sonderzeichen, das sich der Nutzer nicht merken kann. Folge: Er notiert sich das Passwort an einer leicht zugänglichen Stelle.
Anwender sind keine IT-Experten
Die Beispiele zeigen, dass Usability und Sicherheit zusammengehören, nicht nur, weil die beste Sicherheitstechnologie sinnlos ist, wenn die Anwender sie nicht verstehen und akzeptieren und sie daher nicht oder falsch anwenden. Schließlich sind Anwender gewöhnlich keine Techniker und gehen im Zweifelsfall den Weg des geringsten Widerstands. Gerade auch das Nichtverstehen oder Fehleinschätzen einer Situation oder der Auswirkungen des eigenen Handels kann großen Schaden anrichten. Daher ist es wichtig, die Awareness beim Nutzer zu schaffen, was es bedeutet, wenn er diesen oder jenen Weg wählt.
Sicherheit und Gebrauchstauglichkeit gehören zusammen, weil beide Qualitätsmerkmale einer Anwendung sind. Wenn die Sicherheit nicht intelligent in die Anwendung integriert ist, hat das negative Folgen für die Usability: Hindernisse in der Anwendung und im Gebrauch bis hin zu Missbrauch und Ausfällen. Und wenn auf der anderen Seite die Usability bei der Implementierung der Sicherheitsfunktionen nicht berücksichtigt wird, führen ihre Nichtanwendung oder ihr falscher Gebrauch zu gefährlichen Sicherheitslücken oder sogar Datenlecks, die materielle und Imageschäden nach sich ziehen können.
Mehr noch: Sicherheit und Usability sollten schon von Anfang an bei der Entwicklung einer Anwendung berücksichtigt werden. Das nachträgliche Hinzufügen von Security-Funktionen erfordert ein Vielfaches an Aufwand, und Usability lässt sich erst recht nicht hinterher implementieren.
Ein neues Konzept: Usable Security
Der relativ neue Begriff der Usable Security meint genau dies: Beide Aspekte schon konstruktiv bei der Konzeption zu berücksichtigen und dadurch die Voraussetzung dafür zu schaffen, dass der Nutzer weiß und versteht, welche Optionen er hat und welche Folgen sein Handeln haben kann. Am Ende ist das keine teure Zusatzoption, sondern kostenreduzierend, weil der Aufwand in der Entwicklung geringer ist als beim nachträglichen Einbau.
Die Qualitätsmerkmale Usability und Security – als Einheit betrachtet und bereits bei der Konzeption der Entwicklung einer Applikation berücksichtigt – erhöhen die Qualität der Anwendung. Hohe Servicequalität für den Anwender ist auch für den Webshop-Betreiber ein großer Wettbewerbsvorteil. Durch transparente Analysen und konkrete Maßnahmen zur Optimierung von Sicherheit und Usability in seiner Anwendung spart er bares Geld.
Der Mehrwert dieses neuen und innovativen Ansatzes der Usable Security wird von vielen Unternehmen erkannt, die seine Vorteile für sich und ihre Anwendungen nutzen möchten. Allerdings besteht bei manchen noch Unsicherheit bezüglich der Umsetzung. Für diese bieten Unternehmen wie TÜV Rheinland, die branchenübergreifende Erfahrung in Security und Usability haben, Beratung, Prüfdienstleistung und auch Zertifizierungen in beiden Bereichen an. Damit kann der Betreiber sein Shop- oder Portal-Angebot nicht nur öffentlichkeitswirksam vermarkten, sondern auch nachweisen, dass seine Anwendung Datenschutz- und Compliance-Vorschriften einhält. Den Kunden in puncto Usability in den Mittelpunkt zu stellen bedeutet, die Abbruchraten zu reduzieren und Kundenzufriedenheit und Umsatz zu erhöhen.
Usability: „Don‘t make me think!“
ISO 9241-11 definiert Usability als das Ausmaß, in dem ein Produkt durch bestimmte Benutzer in einem bestimmten Kontext genutzt werden kann, um bestimmte Ziele effektiv, effizient und zufriedenstellend zu erreichen. Somit bezeichnet der englische Begriff Usability beides: die Gebrauchstauglichkeit einer Anwendung und ihre Anwenderfreundlichkeit.
Usability zeigt uns den Weg zur Akzeptanz einer Anwendung und zu hoher Kundenzufriedenheit. Der Grad der Gebrauchstauglichkeit lässt sich an der Effektivität und Effizienz der Anwendung messen und das Maß der Anwenderfreundlichkeit an der Zufriedenheit des Nutzers. Gemäß dem Ausspruch „Don’t make me think“ unterstützt eine Anwendung den Benutzer optimal, wenn er nicht nachdenken muss und seine Ziele intuitiv und zufrieden erreicht.
Bei der Usability steht der Kunde im Mittelpunkt, denn er entscheidet, wo er kauft. Die Konkurrenz im Internet ist schließlich nur einen Mausklick entfernt. Durch Optimieren der Usability erzeugen wir zufriedene Kunden und erhöhen den Umsatz und die Produktivität von Portalen. Mit der Usability wird die Gewinnung von Interessenten und Neukunden verbessert. Intuitive Benutzerführung erhöht gleichzeitig die Akzeptanz, verbessert die Kundenbindung und senkt die Entwicklungskosten.
Aus diesem Blickwinkel erscheint es nur logisch, auch die Security aus Sicht des Anwenders zu betrachten und für ihn verständlich zu gestalten. Awareness und Verständnis des Nutzers sind die notwendigen Grundlagen, damit er sich aktiv und vor allem bewusst für eine Sicherheitsfunktion entscheidet – und zum Beispiel beim Transfer sensibler Daten eine sichere Verbindung wählt. Visualisierung kann helfen, ihm diese Entscheidung zu erleichtern beziehungsweise ihn dabei zu bestärken – etwa indem der Browser bei einer sicheren https-Verbindung gelb oder grün hinterlegt ist. So erhöht die Usability die Akzeptanz von Sicherheitsfunktionen und damit ihre Wirksamkeit.
Usability-Experten unterstützen alle Phasen der Softwareentwicklung durch Beratung, Prüfung und Zertifizierung.
Beratung: Weichen stellen
Usability-Experten beraten die Entwickler von E-Shop-Anwendungen bei der Einführung eines gebrauchstauglichen Software-Engineering-Prozesses im Sinne des User-Centered-Designs. Dabei kommt das DAkks-Prüfverfahren für den Usability-Engineering-Prozess auf der Grundlage der DIN EN ISO 9241-210 zum Einsatz. Dieses beginnt mit der Anforderungsspezifikation, gefolgt vom Design der Benutzerschnittstelle bis hin zur iterativen Usability-Prüfung.
Wie jedes andere Qualitätsmerkmal muss Usability von Anfang an im Entwicklungsprozess berücksichtigt werden. Zum Usability Engineering gehört deshalb auch, frühe Prototypen zu entwickeln und diese zu testen.
Eine strukturierte Qualitätssicherung bereits während der Entwicklungszeit zu implementieren, spart dreifach Kosten: Zum Ersten ist es kostengünstiger, sie direkt zu berücksichtigen als nachträglich aufzusetzen. Zum Zweiten beschleunigt es die Entwicklungszeit. Zum Dritten vermeidet es Folgefehler und deren teure Korrektur.
Prüfung: Vertrauen ist gut ...
Die Prüfung der Usability von Online-Anwendungen und Portalen umfasst mehrere methodische Schritte. Zunächst wird der Nutzungskontext erfasst, um daraus die Anforderungen abzuleiten. Im Rahmen der kontextabhängigen Inspektion wird geprüft, wie erfolgreich der „Dialog“ einer Anwendung (Software) mit dem Anwender ist. Nach ISO 9241-110 kann die Prüfung sich an den „Sieben Grundsätzen erfolgreichen Dialogs“ orientieren:
- Angemessenheit: Angemessen ist ein Dialog, wenn er alle Tätigkeiten sinnvoll unterstützt. Das bedeutet, es gibt keine überflüssigen Schritte und keine Informationen, die den Anwender auf eine falsche Fährte locken.
- Selbstbeschreibungsfähigkeit: Der Nutzer findet zu jedem Zeitpunkt alle Informationen vor, die er benötigt, und zwar einfach und offensichtlich.
- Erwartungskonformität: Die Anwendung soll konform zu den Erwartungen des Anwenders sein, also auf Benutzereingaben nicht unerwartet reagieren und nicht den „Ok-Button“ oben links verstecken, statt ihn da zu platzieren, wo der Anwender ihn erwartet.
- Lernförderung: Der Nutzer kann das System unverbindlich ausprobieren, ohne negative Konsequenzen.
- Steuerbarkeit: Der Anwender kann selbst entscheiden, welche Richtung er einschlägt, und alle erforderlichen Zielrichtungen sind möglich.
- Fehlertoleranz: Wenn der Nutzer einen Fehler gemacht hat, kann er ihn mit minimalem Aufwand beheben (und muss nicht wieder von vorn beginnen).
- Individualisierbarkeit: Dazu gehört etwa die Barrierefreiheit eines Systems, die auch physische Einschränkungen von Anwendern berücksichtigt.
Nur der erfolgreiche Dialog der Anwendung mit dem Nutzer erreicht eine effektive Kundenbindung. Neben der Prüfung der Dokumentation zeigt die teilnehmende Beobachtung mit „echten“ Benutzern auf, wo mögliche Schwachstellen liegen. Daraus folgen eine Erhärtungsprüfung und die Bewertung der Prüfergebnisse.
Zertifizierung: … Kontrolle ist besser
Wer hohen Qualitätsanforderungen genügen will, lässt seine Anwendung zertifizieren. TÜV Rheinland beispielsweise zertifiziert Usability nach dem DAkkS-Prüfverfahren auf Grundlage des Standards ISO 9241 mit dem Prüfsiegel „geprüfte Funktionalität und Ergonomie“. Mit diesem Gütesiegel können Softwarehersteller ihr hohen Qualitätsansprüche bezüglich Usability sichtbar machen und nach außen zu ihren Kunden transportieren.
Das Zertifikat ist auf 3 Jahre angelegt und wird durch jährliche Überwachungsaudits aufrechterhalten. Somit werden auch nachhaltig Aktualisierungen und Updateprozess berücksichtigt.
