Security Awareness als Grundlage für effektive Cyberabwehr Cybersecurity lebt vom Teamwork

Anbieter zum Thema

Mimecast Germany GmbH

Die Maschen der Hacker und Betrüger werden immer ausgeklügelter. Waren Phishing-E-Mails früher einmal leicht zu erkennen, so ist dem heute lange nicht mehr so. Irren ist menschlich – und die Gefahr, einen schwerwiegenden Sicherheitsfehler bei der Nutzung von Online-Kommunikation, wie E-Mails oder Collaboration-Tools, zu begehen, steigt entsprechend mit.

Security Awareness Training ist eines der effektivsten Mittel, um dieser Art von Fehlern entgegenzuwirken. Viele deutsche Unternehmen bieten bereits eine Form von Schulungen zur Sensibilisierung der Mitarbeitenden an. Nach dem aktuellen Lagebericht zur E-Mail-Sicherheit von Mimecast passiert dies allerdings erst bei 30 Prozent der befragten Organisationen auf einer kontinuierlichen Basis. Die Mehrheit der Befragten bietet solche Trainings nur einmal im Monat, vierteljährlich oder noch seltener an. Besonders beliebt sind hier Gruppentrainings mit dem eigenen IT- oder Sicherheitsteam.

Den Mehrwert von Trainings kommunizieren

Um den größtmöglichen Nutzen aus einem Security-Awareness-Programm zu ziehen, müssen die Trainings und ihr Kontext in der gesamten Organisation verankert werden. Security Awareness Training ist in vielen Unternehmen zu unverbindlich. Die Mitarbeitenden sehen es dann bestenfalls als eine Aufgabe zum Abhaken, als eine Übung zur Einhaltung von Vorschriften. Oft fehlt ihnen schlichtweg ein greifbarer Kontext, warum eine kontinuierliche Schulung in diesem Bereich wichtig ist. Die Kommunikation spielt dabei eine unglaublich zentrale Rolle. Wenn die Ergebnisse an die Angestellten weitergegeben werden, fördert dies unter anderem ein Umfeld offener bidirektionaler Kommunikation ohne Vorurteile. Mitarbeitende wissen dann nicht nur dass, sondern auch warum das Klicken auf einen potentiell schädlichen Link fatale Folgen haben kann. Gleichzeitig wird das Melden verdächtiger E-Mails gefördert. Angestellte brauchen sich nicht davor zu scheuen, eine potenziell bösartige E-Mail zu melden, unabhängig davon, ob es sich um einen Fehlalarm handelt.

Sicherheitsbewusstseins muss in die Unternehmenspolitik

Es ist von entscheidender Bedeutung, dass Unternehmen Schulungen zum Sicherheitsbewusstsein in ihre Personalpolitik integrieren. Fehler geschehen. Doch statt einer frustrierenden Fehler-Fixierung sei allen Unternehmen eine positive Kultur in Sachen IT-Verantwortlichkeit empfohlen. Eher sollten sie Mitarbeitenden Belohnungen in Aussicht stellen, wenn diese im Bereich des Sicherheitsbewusstseins gute Leistungen erbringen, als den einen oder anderen möglichen Fehlalarm anzuprangern. Das kann zum Beispiel die Vergabe von Anreizen für die regelmäßige Meldung verdächtiger E-Mails an die IT-Abteilung oder für die Teilnahme an Schulungsprogrammen sein. Cybersicheres Verhalten sollte außerdem ein regelmäßiger Bestandteil von Mitarbeitergesprächen sein.

Mitarbeitende ermutigen, Fehler zu melden

Jeder macht Fehler. Selbst gut ausgebildete Fachkräfte können versehentlich auf einen bösartigen Link klicken. Je früher sich die IT-Abteilung dessen bewusst ist, desto größer ist die Chance, dass der Schaden begrenzt werden kann. Daher ist eine offene Unternehmenskultur unabdingbar, in der die Angestellten keine Angst haben müssen, Fehler zu melden. Vielmehr sollten IT-Verantwortliche auf das proaktive Anzeigen eines Fehlers mit Anerkennung und schneller Hilfe reagieren.

Awareness Training als Anforderung für offene Stellen

Bereits die Stellenausschreibung sollte klarstellen, dass Security Awareness Trainings Teil der ausgeschriebenen Position sind und im Unternehmen ernst genommen werden – zum Autofahren benötigt man schließlich auch einen Führerschein. Daran angelehnt sollte für alle Mitarbeitenden ersichtlich sein, wie wichtig es ist, auch im Bereich Cyber-Security die nötigen Qualifikationen mitzubringen, um die jeweiligen Geschäftssysteme zu bedienen. Es ist also wie ein ‚Führerschein‘ für die Cybersicherheit. Und ist es als Arbeitgeber nicht ganz normal, bestimmte Anforderungen an potentielle neue Mitarbeitende zu stellen? Darüber hinaus ist sicheres Online-Verhalten eine Fähigkeit, die sich auf das Privatleben der Angestellten übertragen lässt, von der auch Familie und Freunde profitieren können, und die vom Arbeitgeber völlig kostenlos angeboten wird.

Cyber-Security ist Teamwork

Die Cyberabwehr eines Unternehmens ist nur dann voll funktionstüchtig, wenn alle Mitarbeitenden dazu beitragen. Es ist einfacher, neuen Angestellten von Anfang an bewusst zu machen, dass IT-Sicherheitstrainings zu ihrem Job gehören, als dienstältere Kolleginnen und Kollegen nachträglich in Sachen IT-Sicherheit mit an Bord zu holen. Auch hier muss klar kommuniziert werden, dass es das gesamte Team braucht, um das Unternehmen vor Cyberangriffen zu schützen. Schulungsprogramme werden automatisch wohlwollender angenommen, wenn Verantwortliche offen über deren positive Ergebnisse berichten und anschaulich darstellen, welche Fortschritte die Firma als Gesamtes durch den Einsatz jedes Einzelnen schon gemacht hat. Das können so einfache Dinge sein wie ein wöchentlich aktualisiertes Dashboard zur sinkenden Zahl ‚gefährlicher‘ Klicks und vermehrt gemeldeten E-Mails. Eine Art freundschaftlicher Wettbewerb zwischen den Abteilungen motiviert so Mitarbeitende zusätzlich.

Auf die Tonalität kommt es an

Wer sich immer als latent ‚verdächtig‘ fühlen muss, bei der täglichen Arbeit dem Unternehmen ungewollt eher zu schaden als zu nutzen, kann seine Kreativität und seine guten, impulsiven Ideen bald nicht mehr ausschöpfen. Folgen können das berüchtigte „Bore-Out“ oder auch innere Kündigung sein. Doch es geht anders: Freies Arbeiten im geschützten, gemanagten Rahmen – das sollte die Formel sein. Und sie lässt sich gut kommunizieren: Subtile Anpassungen im Sprachgebrauch zum Beispiel können Wunder wirken und sicherstellen, dass das Thema Sicherheitsbewusstsein im Unternehmen besser ankommt. Mitarbeitenden, die im Rahmen von Trainings nicht als „Endnutzer“, sondern als „Cyber-Bürger“ angesprochen werden, fällt es leichter, cybersicheres Verhalten als kontinuierlichen Lernprozess in ihrem Mindset zu verankern. Und das nicht nur als Angestellte im Büro, sondern überall und jederzeit.

Mitverantwortung für die Sicherheit

Security Awareness Training ist als kontinuierlicher Bestandteil einer mehrschichtigen Cyberabwehr genauso wichtig wie beispielsweise das Up-to-date-halten von Sicherheitssoftware. Immer mehr deutsche Unternehmen schulen ihre Angestellten entsprechend. Die besten Ergebnisse können nur erzielt werden, wenn jeder Mitarbeitende die Bedeutung von Sicherheitsschulungen versteht und verinnerlicht. Mit der richtigen Personalpolitik und den richtigen Programminitiativen können Unternehmen sicherstellen, dass die Verantwortung gleichermaßen bei allen liegt – ein großer Gewinn für jedes Unternehmen in Sachen Cyberresilienz.

Über den Autor: Duane Nicol ist Senior Product Manager Awareness Training bei Mimecast.

(ID:48972272)