Human-Risc-Management Warum normale Schulungs­programme für die IT-Security nicht funktionieren

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Selbst wenn die beste Technologie und die effizientesten Sicherheitskontrollen zum Einsatz kommen, muss über den Faktor Mensch nachgedacht werden. Was tun, wenn Mitarbeiter nicht ausreichend für die Inhalte der IT-Security und die Umsetzung der Schulungsprogramme zielgerichtet sensibilisiert werden können?

Häufig fällt es Organisationen nicht leicht, ihre Mitarbeiter für IT-Security-Schulungen zu begeistern. Hinzu kommen veraltete Inhalte bis hin zu wenig inspirierenden Lehrmethoden. Viel kann dazu beitragen, dass solche Programme völlig an den Teilnehmern vorbeigehen. Die Lösung könnte darin bestehen, diese Programme neu zu konzipieren, sich auf häufigere, aber kürzere Schulungen zu konzentrieren, die Mitarbeiter zu belohnen und ihnen zu vermitteln, dass dieses Wissen ihnen nicht nur in ihrer aktuellen Beschäftigung, sondern auch zu Hause und in zukünftigen Jobs helfen wird.

Datendiebstahl und Ransomware-Attacken vorbeugen

Die besten Tools für Phishing-Simulationen

Hauptgründe für das Scheitern

Die wichtigsten Gründe für ein Scheitern der meisten Schulungsprogramme liegen in folgenden Bereichen:

Keine hinreichende Vorbereitung

Einer der Hauptgründe für ineffektive Schulungsprogramme ist eine mangelhafte Planung. Ohne den Aufbau eines soliden Rahmenwerks oder die Definition umsetzbarer Ziele und Meilensteine führt das Programm meist nur dazu, dass die Mitarbeiter kaum Interesse zeigen.

Fortwährende Schulungen

Das Bewusstsein für die IT-Security sollte ein kontinuierliches Anliegen sein. Ziel ist es, Menschen dabei zu helfen, Gewohnheiten zu entwickeln, die zu dauerhaften positiven Verhaltensänderungen führen. Dafür müssen regelmäßig Praktiken für die IT-Security kommuniziert werden.

Zu viel Fakten und Statistiken

Viele Unternehmen führen IT-Security-Schulungen ad hoc durch, ohne einen soliden Rahmen bzw. Plan. Nicht selten erhalten die Mitarbeiter dann viel zu viele Informationen, die kaum zielgerichtet verarbeitet und angewendet werden können. Fakten und Statistiken haben gewiss ihre Berechtigung, sollten aber nur wohldosiert vermittelt werden.

Faktoren für effektive Schulungsprogramme

In der Folge sind einige Ansätze skizziert, die das Sicherheitsbewusstsein der Mitarbeiter verbessern können:

Greifbare Szenarien ersetzen graue Theorie

Damit Schulungen für Mitarbeiter attraktiv, relevant und nachvollziehbar werden, sollten sie realistische Simulationen und die komplexe, sich schnell verändernde Welt der Hacker-Angriffe darstellen. Studien zufolge liefern insbesondere diese Simulationen einen höheren Return on Investment (ROI).

Mithilfe eines solchen Ansatzes können Teilnehmer die Auswirkungen eines Angriffs in Form gestohlener Daten und betrügerischer Transaktionen erkennen. Das bedeutet, dass aus theoretischen Problemstellungen greifbare Aufgabenstellungen werden.

Inhalte ansprechend vermitteln

IT-Security-Schulungen sollen nicht nur Spaß machen, sondern auch mundgerecht aufbereitet sein. Die Mitarbeiter verlieren schnell das Interesse, wenn sie das Gefühl haben, dass ihre Zeit verschwendet wird.

Es empfiehlt sich, die Programme möglichst auf das Risikoprofil des Einzelnen und nicht nur auf dessen Berufsbezeichnung oder Abteilung anzupassen. Dies erfordert ein individuelles Risikoprofil jedes Mitarbeiters sowie das Verständnis der Stärken und Schwächen gegenüber aktuellen Bedrohungen.

Da es sich bei der IT-Security um ein komplexes Thema mit vielen technischen Details handelt, führt ein Vortrag, der einmal im Jahr stattfindet, bestimmt nicht zu einer sichereren Organisation. Stattdessen wird durch regelmäßige (idealerweise monatliche) Schulungen die Notwendigkeit des Bewusstseins für eine IT-Sicherheit besser im Auge behalten.

Belohnungen und Gamification einbeziehen

Ungenügend beworbene Programme gewinnen selten an Bedeutung. Hinter der Initiative muss daher eine ansprechbare Person wie beispielsweise ein Abteilungsleiter stehen.

IT-Security-Spiele wie „Angriff und Verteidigung“ und „Rot gegen Blau“ erzielen durchweg höhere Beteiligungsquoten, was zu besseren Lernergebnissen und dem Erwerb von notwendigen Fertigkeiten führt. Ferner können Bestenlisten dazu beitragen, Lernprozesse zu fördern.

Gute Ergebnisse bei solchen Planspielen und Tests sollten gelobt und gewürdigt werden, während schlechte durch Training - ohne Vorwürfe oder Scham - behoben werden müssen.

Wenn jemand Fehler begeht, indem er auf eine simulierte Phishing-Nachricht der IT-Abteilung hereinfällt, setzen leider oftmals zu viele Programme auf Strafmaßnahmen oder die Vergabe einer negativen Bewertung. Es empfiehlt sich, positiv und nicht wertend zu bleiben. Es ist dann wahrscheinlicher, dass Mitarbeiter sich an einem Sensibilisierungs­training für die IT-Security beteiligen und einen positiven Beitrag dafür leisten wollen.

Vor allem dürfen IT-Security-Schulungen keine Anweisung von oben sein, sondern muss als gemeinsame Verantwortung aller präsentiert werden - vom CEO bis zum Hausmeister.

IT-Awards 2023

Die beliebtesten Anbieter von Security-Awareness-Trainings 2023

(ID:49948820)