Cybersicherheit: 4 Ideen, um Ihre Mitarbeitenden zu sensibilisieren
.svg)
- Vier Ideen, um Ihre Mitarbeitenden für Cybersicherheit zu sensibilisieren: sie ins Onboarding einbauen, in kontinuierliche Weiterbildung investieren, am Beispiel zeigen, was eine Sicherheitslücke kostet, und Angriffssimulationen organisieren.
- Acht konkrete Aktivitäten sind in einer Tabelle aufgeführt: simuliertes Phishing, Quiz „echte Mail oder gefälschte Mail“, Rollenspiel zum Überweisungsbetrug, Passwort-Workshop, Tabletop-Krisenübung, Escape Game, Erfahrungsbericht, Bürorundgang.
- Jede Aktivität dauert 15 Minuten bis 2 Stunden, und jede misst etwas anderes: Melderate, wiederverwendete Passwörter, Zeit bis zur Meldung eines Alarms.
- Der Rhythmus zählt mehr als das Format: Zwei oder drei Sitzungen pro Jahr, verankert am europäischen Monat der Cybersicherheit im Oktober, sind mehr wert als eine Jahresveranstaltung.
- Die Simulationen laufen ohne Vorwarnung der Mitarbeitenden, um die tatsächlichen Reflexe zu messen statt der Vorbereitung auf die Übung.
- Für Unternehmen, die unter NIS 2 fallen, gehört Sensibilisierung zu den Risikomanagementmaßnahmen, die die Geschäftsleitung verantwortet.
Als echte strategische Säule trägt die IT-Leitung (Chief Information Officer) zahlreiche Verantwortlichkeiten im Unternehmen, sowohl bei der digitalen Transformation als auch bei der IT-Sicherheit. Heute mehr denn je muss sie insbesondere den Schwerpunkt auf Prävention und Schutz vor Cyberrisiken legen, die sich in den vergangenen Jahren vervielfacht haben. Dafür braucht es zugleich eine solide Cybersicherheitsrichtlinie, vor allem aber die Sensibilisierung der Teams für Cybersicherheit.
Cybersicherheitsfragen stehen bei den Mitarbeitenden allerdings oft alles andere als weit oben. Hier sind daher 4 Ideen, um Ihre Mitarbeitenden für die Themen der Cybersicherheit zu sensibilisieren (ob das Thema sie nun interessiert oder nicht) und so die sensiblen Daten Ihres Unternehmens zu schützen.
Cybersicherheit in Ihren Onboarding-Prozess einbauen
Eine Schulung zur Cybersicherheit in Ihren Onboarding-Prozess einzubauen, ist ein hervorragendes Mittel, um sicherzustellen, dass jede neue Mitarbeiterin und jeder neue Mitarbeiter die im Unternehmen geltenden Best Practices der Cybersicherheit kennt. Durch diese Initiative wird Ihren Beschäftigten bewusst, dass Cybersicherheit für Sie Priorität hat und dass auch sie das Thema ernst nehmen sollten.
Beim Onboarding sollten Sie insbesondere erläutern:
- Ihre Cybersicherheitsrichtlinie und wie sie im Alltag angewendet wird,
- die wichtigsten Cyberbedrohungen, vor denen sich Mitarbeitende hüten müssen (zum Beispiel Malware, Ransomware, Phishing usw.),
- die Best Practices für sicheres Arbeiten, aus der Ferne wie im Büro (Sie können sie in Ihre IT-Richtlinie aufnehmen),
- die Sicherheitskriterien, die bei der Auswahl neuer digitaler Tools zu berücksichtigen sind.
end HubSpot Call-to-Action Code Je früher Sie das Thema ansprechen, desto schneller übernehmen Ihre Beschäftigten diese Best Practices der Cybersicherheit und desto geringer ist das Risiko, dass sie die Sicherheit der Unternehmensdaten gefährden. Warten Sie also nicht zu lange, um Cybersicherheit in Ihren Onboarding-Prozess einzubauen!
Lesen Sie auch: Hybrides Arbeiten: So sichern Sie die von Ihren Mitarbeitenden geteilten Daten ab ?
In kontinuierliche Weiterbildung investieren
Natürlich darf die Sensibilisierung für Cybersicherheit nicht beim Onboarding enden. Die Teams laufend zu schulen ist unverzichtbar, um die Sicherheit Ihres Netzwerks und Ihrer Daten zu gewährleisten.
Ideal ist eine Schulung zu den Grundlagen der Cybersicherheit für alle Mitarbeitenden, ob sie zum IT-Team gehören oder nicht. Das ist zugleich die Gelegenheit, ihnen beizubringen, wie sie:
- ihr WLAN zu Hause absichern,
- sicher auf Informationen, Dokumente und Tools des Unternehmens zugreifen,
- sichere Passwörter einrichten,
- jedes Sicherheitsproblem melden,
- usw.
Lesen Sie auch: [Expertenstimme] 6 Best Practices, um Ihre Arbeitsplatzrechner abzusichern
In manchen Fällen sollten Sie auch über gezieltere Schulungen nachdenken, zugeschnitten auf eine bestimmte Stelle und/oder Abteilung und auf die jeweiligen Bedrohungen, denen die Beschäftigten begegnen können. So können Sie Ihrem Buchhaltungsteam etwa eine Schulung dazu anbieten, wie sich Finanzbetrug erkennen lässt und welche Best Practices bei Verdacht auf eine Sicherheitslücke gelten, die zum Verlust oder Diebstahl von Finanzdaten führen kann.
Ihrem Team zeigen, was bei einem Vorfall passieren kann
Manchmal sagt ein Beispiel mehr als eine lange Rede. Neben der Sensibilisierung in Schulungen ist es ebenso wichtig, ihnen zu zeigen, was das Unternehmen riskiert, wenn sie Cybersicherheit nicht ernst nehmen.
Mit konkreten Beispielen (etwa um zu veranschaulichen, was bei einer Sicherheitslücke passieren kann) lässt sich den Mitarbeitenden das Warum Ihrer Cybersicherheitsrichtlinie vermitteln. Sie werden Ihre Empfehlungen dann eher befolgen und in Sachen Cybersicherheit vorbildlich handeln.
Wurde Ihr Unternehmen zum Beispiel bereits Opfer eines Cyberangriffs, erklären Sie Ihrem Team, wie es dazu kam, welche Folgen das für das Unternehmen hatte und wie viele Ressourcen in die Bewältigung des Vorfalls geflossen sind. Hatten Sie noch nie ein Sicherheitsproblem, können Sie auch Beispiele für Cyberangriffe vorstellen, die andere Unternehmen Ihrer Branche getroffen haben.
Dank dieser Beispiele sehen die Mitarbeitenden Cybersicherheit nicht mehr als bloßes Konzept, sondern als Realität mit ihren ganz eigenen Gefahren. Sie werden also umso wachsamer, um Cyberrisiken vorzubeugen.
Organisieren Sie Angriffssimulationen
Neben Schulungen und Beispielen empfehlen wir Ihnen, Übungen zu organisieren, die mögliche IT-Angriffe simulieren. Denn um die Bedeutung der Cybersicherheit wirklich zu begreifen, müssen Ihre Mitarbeitenden die verschiedenen Cyberbedrohungen auch selbst erleben können.
Mit diesen Übungen können Sie beurteilen, ob Ihre Schulungen Früchte getragen haben, und Ihre Sensibilisierungsstrategie an das anpassen, was hängen geblieben ist. Simulieren Sie etwa einen Phishing-Angriff in Ihrem Unternehmen und stellen fest, dass die Hälfte der Beschäftigten den Anhang der Phishing-Mail geöffnet hat, können Sie daraus schließen, dass sie zu diesem Thema eine gründlichere Schulung brauchen.
Wollen Sie ebenso beurteilen, wie gut Ihr IT-Team eine Sicherheitsbedrohung bewältigt, können Sie die häufigsten Bedrohungen simulieren (zum Beispiel den Anschluss eines nicht erfassten Geräts an das Netzwerk) und beobachten, wie Ihr Team reagiert.
Sie haben es verstanden: Eine der besten Arten zu lernen ist regelmäßiges Üben. Deshalb sind Simulationen von Cyberangriffen so wichtig, ohne die Mitarbeitenden zwingend vorab zu informieren. So entwickeln sie eher die richtigen Reflexe im Alltag, statt nur für die Übung zu büffeln.
8 Aktivitäten zur Sensibilisierung für Cybersicherheit im Unternehmen
Die vier Ideen oben geben die Richtung vor. Hier ist der Werkzeugkasten: Aktivitäten, die Sie wirklich in den Kalender eintragen können, kurz genug, um ein volles Quartal zu überstehen. Zwei oder drei gut geführte Sitzungen pro Jahr, im Wechsel, damit niemand zweimal dieselbe Übung macht, sind mehr wert als eine lange Jahresveranstaltung, die im November schon vergessen ist.
| Aktivität | Format | Zeitaufwand | Was die Übung offenlegt |
|---|---|---|---|
| AktivitätSimulierte Phishing-Kampagne | FormatEine Mail an das gesamte Unternehmen, mit Auswertung | Zeitaufwand15 Min. Vorbereitung, 2 Wochen Erhebung | Was die Übung offenlegtDie Klickrate und, noch nützlicher, die Melderate, Team für Team |
| AktivitätQuiz „echte Mail oder gefälschte Mail“ | FormatEchte und gefälschte Nachrichten nebeneinander, live entschieden | Zeitaufwand20 Min. | Was die Übung offenlegtDie Warnsignale, auf die Mitarbeitende wirklich achten |
| AktivitätRollenspiel zum Überweisungsbetrug | FormatKleine Gruppe, ein falscher Lieferant ändert seine Bankverbindung | Zeitaufwand30 Min. | Was die Übung offenlegtOb der Freigabeprozess hält, wenn jemand in Eile ist |
| AktivitätPasswort-Workshop | FormatPraktisch, Passwortmanager wird vor Ort installiert | Zeitaufwand45 Min. | Was die Übung offenlegtWie viele wiederverwendete Passwörter an einem Tag verschwinden |
| AktivitätTabletop-Krisenübung | FormatIT und Geschäftsführung um ein Szenario herum, ohne Tastatur | Zeitaufwand1 bis 2 Stunden | Was die Übung offenlegtWer wen anruft, in welcher Reihenfolge und in welcher Zeit |
| AktivitätCyber-Escape-Game | FormatTeamaktivität, externes Kit oder intern aufgebaut | Zeitaufwand1 Stunde | Was die Übung offenlegtDie blinden Flecken der Sensibilisierung, ohne Klassenzimmereffekt |
| AktivitätErfahrungsbericht zu einem Vorfall | FormatLunch-Debatte über einen echten Angriff aus der Branche | Zeitaufwand30 Min. | Was die Übung offenlegtOb das Risiko endlich greifbar wird |
| AktivitätBürorundgang „Bildschirm gesperrt“ | FormatUnangekündigter Gang durch die Räume oder Kontrolle per Video | Zeitaufwand15 Min. | Was die Übung offenlegtDie körperlichen Gewohnheiten, die keine Schulung anspricht |
Der Rhythmus zählt mehr als die Aktivität selbst. Der Oktober ist der European Cybersecurity Month, ein idealer Ankerpunkt für die aufwendigste Sitzung des Jahres, und das staatliche Angebot Cybermalveillance.gouv.fr stellt kostenlose Materialien bereit, die sich unverändert weiterverwenden lassen. Für Unternehmen, die unter die NIS-2-Richtlinie fallen, ist Sensibilisierung im Übrigen nicht mehr nur eine Best Practice: Cyberhygiene und Schulung gehören zu den Risikomanagementmaßnahmen, die die Geschäftsleitung verantworten muss.
Welche Aktivität Sie auch wählen: Halten Sie die Zahlen fest. Eine Klickrate bei einer Phishing-Simulation sagt für sich genommen nichts; ihren Sinn bekommt sie im Vergleich mit dem Vorquartal, ebenso wie die Zahl wiederverwendeter Passwörter oder die Zeit bis zur Meldung eines Alarms an das IT-Team. Diese Kennzahlen in einem sicheren Digital Workplace zu verfolgen, sichtbar für das ganze Team, bringt der Wachsamkeit mehr als eine Präsentationsunterlage, zumal wenn die Plattform selbst auf einer souveränen, SecNumCloud-qualifizierten Cloud gehostet wird.
Ihre Mitarbeitenden für Cybersicherheit zu sensibilisieren, ist unverzichtbar, um die Daten Ihres Unternehmens und Ihrer Kunden zu schützen. Mit diesen Best Practices haben Sie nun alle Schlüssel in der Hand, um Ihre Teams zu sensibilisieren und sich vor möglichen Sicherheitslücken zu schützen.
Suchen Sie weitere Wege, Ihre Mitarbeitenden für die Themen der Cybersicherheit zu sensibilisieren? Lesen Sie unser Whitepaper dazu und profitieren Sie von den Ratschlägen und Erfahrungsberichten von 10 IT-Verantwortlichen:
Zum Whitepaper
In unserem Whitepaper „Hybrides Arbeiten: die IT-Leitung vor neuen Herausforderungen“ erfahren Sie: die 3 größten Herausforderungen für IT-Verantwortliche im Zeitalter des hybriden Arbeitens; konkrete Ratschläge, um Ihre digitale Transformation zu beschleunigen, Ihre Arbeitsplatzrechner abzusichern und die Mitarbeitererfahrung zu verbessern, sowie die Erfahrungsberichte von 10 IT-Verantwortlichen aus Unternehmen, Behörden und Verbänden.
Ähnliche Artikel entdecken
Häufig gestellte Fragen.
Die IT-Leitung muss den Schwerpunkt auf Prävention und Schutz vor Cyberrisiken legen, die sich in den vergangenen Jahren vervielfacht haben. Das setzt eine solide Cybersicherheitsrichtlinie voraus, vor allem aber die Sensibilisierung der Teams für Cybersicherheit.
Die Cybersicherheitsrichtlinie und ihre Anwendung im Alltag, die wichtigsten Cyberbedrohungen, vor denen sich Mitarbeitende hüten müssen, etwa Malware, Ransomware oder Phishing, die Best Practices für sicheres Arbeiten aus der Ferne wie im Büro und die Sicherheitskriterien, die bei der Auswahl neuer digitaler Tools zu berücksichtigen sind.
Eine Schulung zu den Grundlagen der Cybersicherheit für alle Mitarbeitenden, ob sie zum IT-Team gehören oder nicht: das eigene WLAN zu Hause absichern, sicher auf Informationen, Dokumente und Tools des Unternehmens zugreifen, sichere Passwörter einrichten und jedes Sicherheitsproblem melden. Gezieltere Schulungen lassen sich anschließend auf eine Stelle oder eine Abteilung zuschneiden.
Weil sie den Mitarbeitenden das Warum der Cybersicherheitsrichtlinie vermitteln, sodass sie die Empfehlungen eher befolgen. Wurde das Unternehmen bereits Opfer eines Cyberangriffs, sollte man erklären, wie es dazu kam, welche Folgen er hatte und welche Ressourcen in seine Bewältigung geflossen sind; andernfalls lassen sich Fälle aus anderen Unternehmen der Branche vorstellen.
Sie misst die tatsächliche Wirkung der Schulungen. Im genannten Beispiel lässt sich daraus, dass die Hälfte der Beschäftigten den Anhang der Phishing-Mail geöffnet hat, schließen, dass sie zu diesem Thema eine gründlichere Schulung brauchen.
Nein. Der Artikel empfiehlt, diese Simulationen durchzuführen, ohne die Mitarbeitenden zwingend vorab zu informieren, damit sie im Alltag die richtigen Reflexe entwickeln, statt nur für die Übung zu büffeln.