Menschliche Firewalls Wie Security Awareness Trainings die IT-Sicherheit stärken

Anbieter zum Thema

Netzlink Informationstechnik GmbH

PresseBox - unn | UNITED NEWS NETWORK GmbH

SEPPmail - Deutschland GmbH

FTAPI Software GmbH

In der heutigen digitalen Welt sind Unternehmen ständig neuen Cyberbedrohungen ausgesetzt. Während technische Sicherheitsmaßnahmen wie Firewalls, Antivirensoftware und Multifaktor-Authentifizierung schon weitgehend zum Standard gehören, bleibt der menschliche Faktor oft die größte Schwachstelle in der IT-Sicherheitskette.

Security Awareness Trainings bieten eine effektive Lösung, um diese Lücke zu schließen und Cyberangriffen wirksam vorzubeugen. Indem sie Mitarbeitende über aktuelle Bedrohungen, Phishing-Attacken und sichere Verhaltensweisen im Umgang mit IT-Systemen aufklären, können Unternehmen ihre Verteidigungslinien erheblich stärken, menschliche Schwachstellen minimieren und die Wachsamkeit gegenüber potenziellen Bedrohungen nachhaltig verbessern. Wie gezielte Schulungen das Sicherheitsbewusstsein von Anwendern im Büro und externen Arbeitsumgebungen verbessern und Ihre gesamte IT-Infrastruktur ganzheitlich schützen können, erläutert Viviane Sturm, IT-Security Consultant bei dem Braunschweiger IT-Dienstleister Netzlink Informationstechnik GmbH.

Der gesamtwirtschaftliche Schaden durch Cyberangriffe lag laut Bitkom in 2023 mit rund 148 Mrd. Euro erneut auf sehr hohem Niveau. Laut dem aktuellen BSI Lagebericht zur IT-Sicherheit in Deutschland geht von Ransomware-Angriffen derzeit die größte Bedrohung für Unternehmen aus. Dabei stehen heute nicht mehr nur große und solvente Unternehmen im Fokus der Cyberkriminellen, sondern zunehmend auch kleine und mittlere Organisationen sowie staatliche Institutionen und Kommunen. Der vermehrt arbeitsteilige Angriff und der gezielte Einsatz von KI-Werkzeugen macht Ransomware-Angriffe so gefährlich wie nie. Allein in 2023 wurden täglich rund 250.000 neue Varianten von Schadprogrammen registriert, die auf durchschnittlich 70 neue Sicherheitslücken pro Tag treffen, von denen jede zweite als hoch oder kritisch eingestuft wird.

Neben Ransomware gelten vor allem Phishing E-Mails und Social Engineering, bei dem Cyberkriminelle versuchen, Sicherheitsfunktionen über Hilfsbereitschaft, Vertrauen oder Angst auszuhebeln und ihre Opfer zu bestimmten Handlungen auffordern, als weitere akute Bedrohungen. „Bei diesen drei Angriffsmethoden wird der Mensch als oftmals schwächstes Glied in der IT-Sicherheitskette gezielt ausgenutzt. Somit hat der „Faktor Mensch“ einen entscheidenden Anteil innerhalb eines nachhaltigen Informationssicherheitskonzeptes, da er für die meisten IT-Sicherheitsvorfälle im Unternehmen verantwortlich ist. Die Sicherheitskonzepte und Technologien können schließlich noch so ausgefeilt sein – wenn der Faktor Mensch in der Sicherheitsstrategie nicht berücksichtigt wird, verbleibt eine kritische Schwachstelle“, betont Viviane Sturm. „Darum sind Security Awareness Trainings für die Mitarbeitenden und Anwendende der IT-Systeme heute unerlässlich, um ein einheitliches Sicherheitsniveau über alle Einfallstore in der Organisation zu schaffen.“

Etablieren einer Sicherheitskultur: Verantwortung bei Geschäftsführung oder IT?

Die operative Verantwortung für die IT-Sicherheit im Unternehmen ist in der IT-Abteilung angesiedelt, allen voran bei der Rolle des Chief Information Security Officer (CISO) oder dem Informationssicherheitsbeauftragten (ISB). So sind die IT-Fachkräfte etwa dafür zuständig, Sicherheitsstrategien zu entwickeln, umzusetzen und kontinuierlich zu überwachen, um Bedrohungen abzuwehren, Sicherheitslücken zu schließen und sicherzustellen, dass Sicherheitsrichtlinien eingehalten und regelmäßig aktualisiert werden. Aber auch die Durchführung von Risikoanalysen, die Implementierung von Sicherheitsmaßnahmen und die Umsetzung von Security Awareness Trainings zählen zu ihren Aufgaben, um das Bewusstsein und die Kompetenz der Mitarbeitenden in Bezug auf IT-Sicherheit zu erhöhen.

„Die Gesamtverantwortung für die Förderung einer nachhaltigen Sicherheitskultur obliegt hingegen der Geschäftsleitung. Sie muss schließlich die strategischen Entscheidungen treffen und die erforderlichen Ressourcen zum Schutz der IT-Infrastruktur bereitstellen. Nicht zuletzt trägt aber auch jeder einzelne Mitarbeitende eine Selbstverantwortung, die bestehenden Sicherheitsrichtlinien im operativen Geschäftsbetrieb einzuhalten. Aufgabe der Security Awareness Trainings ist es, dieses Sicherheitsbewusstsein zu trainieren und Bedrohungsrisiken auf der Anwenderebene zu minimieren“, so Viviane Sturm weiter. „Während Maßnahmen zur Stärkung des Sicherheitsbewusstseins der Mitarbeiter bereits bei der Zertifizierung nach ISO 27001, für KRITIS-Organisationen (Einrichtungen mit wichtiger Bedeutung für das staatliche Gemeinwesen) oder von der NIS-2 Richtlinie betroffenen Unternehmen verpflichtend vorgesehen sind, zählen diese im klassischen Mittelstand noch zur Kür. Dies soll aber nicht darüber hinwegtäuschen, dass gerade dort ein Großteil der Sicherheitsvorfälle zutage tritt.“

Gegenstand und Ablauf der Security Awareness Trainings

Die Anwenderschulungen des Braunschweiger IT-Systemhauses Netzlink Informationstechnik werden sowohl als Vor-Ort- als auch als Online-Trainings angeboten. Üblicherweise werden die Security Awareness Trainings in kleineren Gruppen von ca. zehn Personen abgehalten und auf die betrieblichen Sicherheits- und Compliance-Anforderungen der spezifischen Abteilung ausgerichtet, um besser auf individuelle Trainingsbedarfe der Anwender einzugehen und diese auch mit in die Schulung einzubeziehen.

Die Trainings beinhalten verschiedene Themenblöcke, die den Anwenderinnen und Anwendern ein breites Spektrum an sicherheitsrelevanten Verhaltensweisen vermitteln. So umfassen sie unter anderem Module über die verschiedenen Bedrohungsarten, wie man Phishing E-Mails, gefälschte Links / Absender oder potenziell verseuchte Anhänge erkennt, den Umgang mit sicheren Passwörtern oder auch wie private oder mobile Geräte, USB-Sticks und Home-Office Umgebungen sicher verwendet werden. „Die Trainingsinhalte werden im Vorweg eng mit den Projektverantwortlichen im Unternehmen abgestimmt. So stellen wir sicher, dass alle Mitarbeitenden im Umgang mit den jeweils für sie relevanten Szenarien geschult und auf die aktuelle Bedrohungslage vorbereitet sind. Während etwa für Mitarbeitenden im Außendienst vor allem der Umgang mit mobilen Endgeräten und sicheren Netzwerkumgebungen im Fokus steht, müssen z. B. Anwender aus der Buchhaltung besonders auch zu potenziellen Bedrohungen wie den CEO-Fraud oder Social Engineering geschult werden“, führt Viviane Sturm aus. „Wir empfehlen, diese Schulungen in regelmäßigen Abständen (z. B. jährlich) zu wiederholen, um einen besseren Trainingseffekt zu erzielen und die Schulungen an die aktuelle Bedrohungslage und Angriffslösungen anzupassen.

Regelmäßige Austausch- und Feedbackrunden zum Thema IT-Sicherheit, Awareness-E-Mails oder Plakate unterstützen die Aufrechterhaltung des Sicherheitsbewusstseins und helfen, in den Dialog mit den Anwendern zu treten und einen fachlichen Diskurs zu pflegen. Insbesondere Führungskräfte nehmen hier eine wichtige Vorbildfunktion ein, um diesem wichtigen Thema den nötigen Raum zu geben und Anwender proaktiv als wesentlichen Bestandteil innerhalb der IT-Sicherheitskultur einzubeziehen.“

Über die Autorin: Alessa Wesener ist Head of Corporate Communications and Marketing bei Netzlink Informationstechnik GmbH.

(ID:50135849)