Viele Angriffe beginnen nicht mit einer technischen Lücke, sondern mit einer Nachricht, einem Anruf oder einem Link, auf den ein Mensch reagieren soll. Security Awareness, auf Deutsch Sicherheitsbewusstsein, bezeichnet sowohl das Wissen und die Haltung, mit denen Mitarbeitende solche Situationen erkennen, als auch die Maßnahmen, mit denen Unternehmen dieses Bewusstsein aufbauen.
Ziel ist nicht, Menschen als Schwachstelle abzustempeln, sondern sie zu einem wirksamen Teil der Abwehr zu machen. Wer einen Angriffsversuch früh meldet, kann einen Vorfall verhindern oder seinen Schaden begrenzen. Auch die NIS2-Richtlinie zählt Schulungen zur Cybersicherheit ausdrücklich zu den Maßnahmen des Risikomanagements.
Wie funktioniert Security Awareness?
Wirksame Programme setzen auf Wiederholung statt auf eine einmalige Pflichtschulung. Typische Bausteine sind:
- Kurze, regelmäßige Lerneinheiten zu Phishing, Passwörtern, Multi-Faktor-Authentifizierung, dem Umgang mit vertraulichen Daten und dem Arbeiten unterwegs oder im Homeoffice.
- Phishing-Simulationen, die realistische, aber harmlose Testnachrichten verschicken und zeigen, wo Erklärungsbedarf besteht.
- Rollenspezifische Inhalte, etwa für die Buchhaltung zu Zahlungsbetrug, für die Personalabteilung zu Bewerbungen mit Anhängen oder für die IT-Administration zu privilegierten Konten.
- Klare Meldewege, zum Beispiel eine Melde-Schaltfläche im Mailprogramm oder eine feste Ansprechstelle.
- Hinweise aus aktuellem Anlass, wenn neue Betrugsmaschen kursieren.
Entscheidend ist eine Fehlerkultur, in der Meldungen erwünscht sind, auch wenn jemand bereits geklickt hat. Wer Sanktionen fürchtet, meldet spät oder gar nicht.
Typische Beispiele
- Eine angebliche Rechnung führt auf eine Anmeldeseite mit abweichender Adresse. Die Mitarbeiterin meldet die Nachricht, und die IT entfernt gleichartige E-Mails aus anderen Postfächern.
- Die Buchhaltung erhält eine dringende Zahlungsanweisung im Namen der Geschäftsführung und hält über eine bekannte Telefonnummer Rücksprache, siehe Business Email Compromise.
- Ein angeblicher IT-Support fragt am Telefon nach einem Bestätigungscode. Der Mitarbeiter gibt ihn nicht heraus und erkennt einen typischen Fall von Social Engineering.
- Ein gefundener USB-Stick wird nicht angesteckt, sondern bei der IT abgegeben.
Worauf Unternehmen achten sollten
- Awareness als laufenden Prozess planen, mit kurzen, regelmäßigen Formaten statt einer jährlichen Pflichtveranstaltung.
- Führungskräfte einbeziehen. Sie sind häufig Ziel von Angriffen und zugleich Vorbild.
- Phishing-Simulationen transparent gestalten, Ergebnisse nicht zur Bloßstellung einzelner Personen nutzen und Betriebsrat sowie Datenschutz früh einbinden.
- Die Wirkung nicht nur an Klickraten messen, sondern auch daran, wie viele Verdachtsfälle wie schnell gemeldet werden.
- Technische Schutzmaßnahmen nicht ersetzen: Awareness ergänzt Mail-Filter, Multi-Faktor-Authentifizierung und Updates.
Bezug zu TOMORIS
Awareness-Trainings und Lernpfade bietet TOMORIS UNIVERSITY an.
Awareness-Trainings kennenlernen