Wie Security Culture bei Security Awareness hilft

Security Awareness ist in aller Munde, Trainings und Trainer werden ausgereifter und professioneller. Doch die gut gemeinte Absicht dahinter droht zu verpuffen. Deshalb müssen Unternehmen den nächsten Schritt gehen und eine Sicherheitskultur für IT-Sicherheit – also eine Security Culture – etablieren, um sich vor Social Engineering zu schützen.

Security Culture als Begriff meint die Schärfung des Sicherheitsbewusstseins der gesamten Belegschaft einer Organisation und wird unter der Unternehmenskultur subsumiert. Jelle Wieringa, Security Awareness Advocate beim Schulungs-Spezialisten KnowBe4, definiert Security Culture wie folgt: „Security Culture umfasst das Wissen, die Überzeugungen und das Verhalten der Personen in einem Unternehmen. Es sind diese drei Elemente, die grundsätzlich behandelt werden müssen.“ Jedes Jahr veröffentlicht KnowBe4 eine weltweit durchgeführte Studie zu diesem Thema, bei dem mehr als 320.000 Mitarbeiter in 1.872 Organisationen befragt werden. Die Ergebnisse der Ausgabe von 2021 zeigen, dass Unternehmen aus dem Banken- und Finanzdienstleistungssektor am besten und Unternehmen aus dem Bildungswesen und dem Baugewerbe am schlechtesten abschnitten, was den Stand ihrer Sicherheitskultur angeht. Generell besteht in vielen Organisationen branchenübergreifend Nachholbedarf beim Thema Sicherheitskultur. Dies liegt nicht zuletzt an der oftmals vernachlässigten Schulung der Mitarbeiter in Sachen Security Awareness. Letztlich haben Unternehmen viel Geld in Sicherheitstechnologien gesteckt, inwieweit diese Investitionen sich aber tatsächlich positiv auf die Resilienz der Organisation auswirkten, ist aufgrund der Erfolge der verschiedenen Ransomware-Gruppen zweifelhaft.

20 Prozent der in der Studie befragten Mitarbeiter geben an, nicht im erforderlichen Umfang über Informations- und IT-Sicherheit aufgeklärt zu werden. Dies beginnt bei geradezu trivialen Dingen wie der Passwortsicherheit. Durchschnittlich 24 Prozent aller Mitarbeiter nutzen nach wie vor kurze oder einfache Passwörter beim Login in den Firmen-Account. 25 Prozent nutzen immer wieder dasselbe Passwort für ihre Konten. Und mehr als drei Viertel (77 Prozent) haben ihre Passwörter nicht vor dem Zugriff Dritter gesichert. Dabei gibt es so einfache Möglichkeiten sein Passwort auf Sicherheit zu prüfen. Ein Bericht zeigt, dass Unternehmen mit einer schlechten Sicherheitskultur ein 52-mal höheres Risiko für die Weitergabe von Anmeldedaten durch Mitarbeiter haben.

BEC als Bedrohung

Ein besonders ärgerliches und kostspieliges Cyberrisiko-Szenario ist BEC, also Business E-Mail Compromise. Bei dieser Art von Social Engineering werden Mitarbeiter in der Regel über einen fiktiven Vorgesetzten dazu gebracht, Transaktionen durchzuführen, die über Social Engineering-Methoden ausgelöst wurden. Das Gelingen dieser Methode hängt mitunter auch von der jeweilig gelebten Unternehmenskultur ab, die wiederum die Sicherheitskultur beeinflusst. Wenn der Geschäftsführer bzw. der Vorstand keine offene Fehlerkultur pflegen und nicht die Selbstverantwortung ihrer Mitarbeiter fördern, steigt die Anfälligkeit. Der Schlüssel zum Erfolgt liegt darin, richtiges Verhalten zu belohnen, statt Fehler zu bestrafen. Mitarbeiter ändern ihr Verhalten, wenn sie für sichere Arbeitsweisen gelobt werden und wenn sie sich an Vorbildern orientieren können. Darüber hinaus liegt auch in der Wiederholung eine Chance. Wenn Mitarbeiter gewisse Tätigkeiten so oft wiederholen, bis sie zu einem Automatismus geworden sind, auch dann entsteht Sicherheit.

Um die Sicherheitskultur zu verbessern und die eigene Absicherung zu erhöhen, sollten Unternehmen in Security Awareness Trainings investieren, um ihre Mitarbeiter als Human Firewall zu schulen. Oftmals fehlt es jedoch an fähigen Trainern und Experten, die ihr Wissen im Bereich Cybersicherheit einfach und verständlich vermitteln können. Bei dieser Wissensvermittlung hilft der Aufbau von Security Awareness-Programmen, die schrittweise umgesetzt zum erstrebten Ziel führen. Doch auch hier stellt sich vielen die Frage, wie und wo sie beginnen sollen. Das Automated Security Awareness Program (ASAP) unterstützt beim Aufbau von entsprechenden Kampagnen. Zusätzlich helfen Mitarbeiter von Plattformanbietern bei der Zusammenstellung der Inhalte, die abwechslungsreich gestaltet werden müssen und im besten Fall aufeinander aufbauen sollen.

Teil eines solchen Programms sind auch immer wieder Phishing-E-Mails, die zu Testzwecken an die Mitarbeiter versendet werden und firmeninterne Aufhänger wie „Mitarbeitergespräch“, „Urlaubsregelungen“, „Firmenfeierlichkeiten“ oder aber auf externe Themen ausgerichtete Betreffzeilen wie „Rechnungsadresse anpassen“ oder „Auftragsbestätigung“ umfassen. Bei diesen Phishing Security Tests wird die Anfälligkeit verschiedener Mitarbeiter erfasst und über Feedback E-Mails mit den Betroffenen über weitere Fortbildungsmaßnahmen gesprochen.

Fazit

Security Awareness bildet die Basis für eine gute Sicherheitskultur, in der möglichst alle Mitarbeiter aufeinander, aber auch auf die IT-Sicherheit ihrer Organisation achten. Beide Begriffe greifen ähnlich Zahnrädern ineinander, können jedoch auch einzeln umgesetzt werden. Während sich das eine auf die Absicht konzentriert (Kultur), bietet das andere ein Werkzeug (Bewusstsein) an, um sie aufzubauen und zu erhalten. Je besser die Mitarbeiter geschult wurden und Cyberrisiken einschätzen können, desto weniger anfällig wird das Unternehmen als Ganzes sein. Die Geschäftsleitung lebt diese Kultur im besten Fall vor. Sie motiviert Mitarbeiter und fördert sowie unterstützt entsprechende Initiativen.

(ID:47515929)