Security Awareness schaffen 5 Tipps für Security-Awareness-Trainings

Anbieter zum Thema

SEPPmail - Deutschland GmbH

IT-Seal GmbH Empowering Security Awareness

Ziel von Security-Awareness-Maßnahmen ist es, Mitarbeiter von Unternehmen bei der Abwehr von Cyber-Attacken zu unterstützen. Dies beinhaltet verschiedene Trainings- und Schulungsmaßnahmen, die darauf abzielen, die Anwender zu Themen rund um die Sicherheit der IT-Systeme zu sensibilisieren und Grundlagenwissen zu vermitteln.

Angreifer machen sich verstärkt die „Schwachstelle Mensch“ zunutze und zielen mit verschiedenen Manipulationstechniken darauf ab, Passwörter, Daten oder große Geldsummen zu erbeuten. Vor einigen Jahren noch waren die Angriffe der Cyberkriminellen ungezielt und unausgereift. Eine unspezifische Phishing-E-Mail, wie beispielsweise eine gefälschte Amazon-Rechnung, wurde mit einer generischen Ansprache an unzählige Empfänger versendet. Heutzutage machen sich die Angreifer jedoch eine Vielzahl von Informationen zunutze, die sie online über die Zielperson einsehen können. Diese Informationen gewinnen sie über soziale Medien wie XING, LinkedIn oder auch Facebook und können sie mit Leichtigkeit für gezielte Angriffe (Spear-Phishing) verwenden. Genau das macht diese Angriffe so schwer erkennbar.

Security Awareness: realitätsnah & regelmäßig schulen

Deshalb stellt sich die Frage, wie Anwender am besten auf gezielte und gut durchdachte Angriffe vorbereitet werden können. Häufig sind es im Alltag angewöhnte Automatismen, die zu gefährlichen Situationen führen. Zunächst einmal ist es daher wichtig zu verstehen, wie Anwender ihre Gewohnheiten dauerhaft ändern können. Philippa Lally und ihr Team vom University College London (Lally, van Jaarsveld, Potts & Wardle, 2010) zeigten, dass es ca. 20-66 Tage der Wiederholung benötigt, bis eine Gewohnheit automatisch abläuft, wobei komplexe Vorhaben mehr Zeit benötigen. Für die Teilnehmer wird es also erst nach einiger Zeit der Wiederholungen zum Alltag, E-Mails kritisch zu überprüfen und Auffälligkeiten festzustellen.

Mit welchen Methoden kann man Security Awareness trainieren?

Eine der klassischen Methoden zur Wissensvermittlung ist die Präsenzschulung, die den Vorteil hat, alle Teilnehmer direkt einbinden zu können. Klare Minuspunkte ergeben sich jedoch bei der Zeiteffizienz und der Skalierbarkeit. Weiterhin genügt die Frequentierung der Lerninhalte nicht, um eine Verhaltensänderung der Teilnehmer zu bewirken: Selbst bei einem packenden und informativem Training hat nach wenigen Wochen der Alltag wieder überhand gewonnen und die guten Vorsätze sind dahin.

Darüber hinaus bieten sich E-Learning-Module oder Webinare an, um für Grundwissen bei den Teilnehmern zu sorgen. Diese Maßnahme punktet deutlich bei der Skalierbarkeit und kann deshalb regelmäßig für einen „Stupser“ in die richtige Richtung bei den verschiedensten Themen sorgen. Jedoch erfährt das Unternehmen auch bei dieser Maßnahme nicht, wie die Mitarbeiter im Alltag mit Phishing-E-Mails umgehen – somit bleibt im Dunkeln, ob die durchgeführten Maßnahmen bereits ausreichen oder weitere Aktivitäten notwendig sind.

Die Möglichkeit der Phishing Simulation führt eine Wissensvermittlung und Verhaltensänderung der Teilnehmer herbei. Hierbei handelt es sich um regelmäßig wiederkehrende Herausforderungen im Arbeitsalltag und der Nutzung des „most teachable moments“. Zudem ermöglicht die Simulation die Messung der Awareness und ist somit ein Nachweis zur Wirksamkeit der Maßnahme und zum aktuellen Sicherheitsniveau. Der Nachteil, dass hier der Fokus nur auf Phishing-Angriffen liegt, kann ausgeglichen werden, indem diese Maßnahme mit Präsenzschulungen und/oder E-Learnings kombiniert wird.

Entscheidet man sich für Phishing-Simulationen als Trainingsmethode, ergeben sich 5 Must-haves, die für eine erfolgreiche Umsetzung zu beachten sind:

Die 5 Must-haves für Security Awareness Trainings

1. Realitätsnahe Simulationen durchführen: Spear-Phishing

Simulationen sollten für einen idealen Lerneffekt und einen sicheren Umgang so realitätsnah wie möglich umgesetzt werden. Simple Massen-E-Mails an alle zu versenden reicht heute nicht mehr aus: Wie es reale Angreifer tagtäglich tun, sollten die Angriffe auf ihr Unternehmen und einzelne Anwender zugeschnitten werden. Dazu können Informationen aus beruflichen und sozialen Netzwerken verwendet werden, um die Simulation realitätsnah zu personalisieren. Damit werden ständig aktuelle Angriffsvektoren und Maschen abgedeckt und die Teilnehmer werden in einem geschützten Rahmen optimal auf den Ernstfall vorbereitet.

2. Aussagekräftige Ergebnisse erzeugen

Klickraten allein sind keine gute Maßeinheit, um die Security Awareness einzuschätzen. Sie können sich von E-Mail zu E-Mail sehr unterscheiden – dies gilt vor allem, wenn interne Informationen eingesetzt werden. Leicht kann man eine Phishing-Mail erstellen, auf die 80 Prozent oder Eine auf die nur 2 Prozent klicken. Damit ist jedoch noch keine Aussage möglich, wie gut die Mitarbeiter wirklich sind sondern nur darüber, wie gut die Phishing-Mail vorbereitet war.

Daher sollte ein standardisiertes Messverfahren eingesetzt werden, bei dem viele unterschiedliche Phishing-Mails gesendet werden. So lässt sich die Security Awareness wirklich messen und bei Wiederholung Veränderungen nachweisen.

Das wissenschaftlich entwickelte Verfahren des Employee Security Indexes (ESI) kann hier helfen: Die Security Awareness der Teilnehmer kann dediziert ermittelt und mit Hilfe des ESI sichtbar gemacht werden. Diese Transparenz ermöglicht es, weitere Maßnahmen zielgerichtet für die unterschiedlich starken Gruppen zu planen und den Erfolg (Return on Security Invest - RoSI) von Trainingsmethoden zu überprüfen.

3. Anhaltenden Lerneffekt produzieren

Wie Philippa Lally (siehe oben) gezeigt hat, lernen Menschen nicht über Nacht: Antrainierte Verhaltensweisen zu ändern erfordert eine gewisse Hartnäckigkeit, Aus diesem Grund sollte ein automatisiertes Tool eingesetzt werden – durch skalierbare und anhaltende Trainings adaptieren alle Teilnehmer langfristig ein sicheres Verhalten.

Die Ergebnisse sprechen für sich: Unsere Kunden benötigen in der Regel mindestens 6 Monate um sicheres Verhalten Unternehmensweit zu erreichen.

4. Unternehmenskultur einbeziehen

Besonders wichtig ist es, die Akzeptanz bei den Mitarbeitern zu erreichen und ein gutes Gefühl zu geben. Unter allen Umständen sollte ein Gefühl der Überwachung vermieden werden – es darf nicht „die IT gegen die Mitarbeiter“ sondern „die IT für die Mitarbeiter“ heißen.

Daher sollte die Simulation vorher angekündigt werden und und den Mitarbeitern bewusst gemacht werden, dass IT-Sicherheit nicht von der Technik alleine geschaffen werden kann. Nur gemeinsam – Technik und Anwender – können aktuelle Angriffe abgewehrt werden. Jeder muss seinen Teil dazu beitragen.

Machen Sie darüber hinaus klar, dass es einen geschützten Rahmen gibt: Die Analysen sollten stets anonymisiert und gruppenbasiert stattfinden und keinen Rückschluss auf das Verhalten einzelner Personen zulassen. Die Mitarbeiter werden sich mit Freude beteiligen und das Thema Security Awareness in den Alltag, sowohl den beruflichen als auch privaten, aufnehmen.

5. Betriebs- bzw. Personalrat einbinden

Der Betriebs- oder Personalrat sollte frühzeitig informiert und seine Fragen eingebunden werden. Es ist seine Aufgabe, die Mitarbeiter zu schützen und daher nur natürlich, dass hier Fragen aufkommen.

Zum Umgang mit Betriebs- und Personalräten können wir folgende Punkte empfehlen:

• Fragen klären

• Frühzeitig und transparent kommunizieren gegenüber Gremien, wie z.B. BR, den Mitarbeitern und Vorgesetzten

• Den Trainingscharakter der Simulation in den Fokus rücken – auch der private Nutzen ist attraktiv

• Ergebnisse nur in anonymisierter Form kommunizieren

Wenn dies jedoch gut vorbereitet ist und die zuvor genannten Punkte respektiert wurden – vor allem den Mitarbeiterschutz durch Anonymisierung – haben wir sehr gute Erfahrungen gemacht. Die meisten Betriebsräte unterstützen die Maßnahme mit Freude, da sie den Mitarbeitern auch für das Privatleben wichtige Fähigkeiten vermittelt und dabei unterhaltsam bleibt.

Wenn Sie diese Tipps beachten, steht einer lehrreichen und erfolgreichen Simulation nichts mehr im Wege.

Über den Autor: David Kelm beschäftigt sich seit dem Jahr 2012 intensiv mit dem Thema Social Engineering und Mitarbeiter-Awareness. Seine Forschung an der TU-Darmstadt konzentrierte sich darauf, wie man das Sicherheitsniveau eines Unternehmens standardisiert messen kann. Nach verschiedenen Preisen und Förderungen mündete aus den Forschungsergebnissen 2016 die Gründung des Start-ups IT-Seal, das sich heute nicht nur auf das Messen sondern vor allem auch auf das effektive Trainieren von Mitarbeitern spezialisiert hat.

(ID:46384249)