ISX 2021 Security Conference Worauf es bei Security-Awareness-Schulungen jetzt ankommt

Anbieter zum Thema

Vogel IT-Akademie

SoSafe GmbH

Arvato Systems

SEPPmail - Deutschland GmbH

War es im vergangenen Jahr noch „Homeoffice”, so lautet der neue Begriff der Stunde „Hybrid Work“. Dass viele Mitarbeitende in Zukunft nicht mehr vollständig im Büro arbeiten werden, hat allerdings Auswirkungen auf die IT-Sicherheit – und damit auch auf die Art und Weise, wie Security Awareness trainiert werden sollte. Mit modernen IT-Sicherheitsschulungen, die den Fokus klar auf den Faktor Mensch legen, schützen sich Organisationen auch in der neuen Arbeitsrealität vor Cyberangriffen.

Der Begriff „hybrides Arbeiten” beschreibt die freie Aufteilung der Arbeitszeit zwischen Büro und „remote” Arbeitsplätzen – ob zuhause oder an einem anderen Ort der Wahl. Doch mit der Verlagerung vieler Arbeitsprozesse müssen längst nicht nur sicherheitstechnische Vorkehrungen getroffen werden. IT-Sicherheitsexpertinnen und -experten sollten auch die Schulung der Mitarbeitenden über konventionelle Awareness-Trainings überdenken. Denn in einer hybriden Arbeitswelt kommt es stärker als je zuvor auf die Menschen und ihre Bedürfnisse an – und damit auch auf flexible Lernmethoden, die dieser neuen Arbeitsrealität gerecht werden. Nur so schaffen es Organisationen, sich vor der zunehmenden Anzahl an Social-Engineering-Angriffen zu schützen.

Wie hybrides Arbeiten IT-Sicherheit auf die Probe stellt

Mit der Umstellung auf flexible Arbeitsmodelle hat sich die Art und Weise, wie wir unserer täglichen Arbeit nachgehen, nachhaltig verändert. Zur Veranschaulichung: Ein hybrid arbeitendes Team nutzt eine Vielzahl an Kollaborationstools, um sich auszutauschen und die Arbeit zu strukturieren. Dafür greifen die Mitglieder von verschiedensten Orten über diverse mobile Netze auf Inhalte zu. Selbst IT-Administratoren arbeiten häufig nicht mehr im Büro und können die genutzte Hard- und Software nur schwer überwachen. Gleichzeitig leisten technische Maßnahmen wie eine starke Endpoint Protection nur noch eingeschränkt Sicherheit, denn viele Cyberkriminelle setzen nun auf Social-Engineering-Taktiken. Und diese fruchten nun besonders: Wie der Human Risk Review 2021 zeigt, ist Phishing im “Remote Work” bis zu dreimal erfolgreicher als im Büro. Im Umkehrschluss bedeutet das, dass Mitarbeitende stärker denn je für den Schutz ihrer Geräte vor Cyberangriffen und Datenmissbrauch verantwortlich sind. Unumgänglich sind an dieser Stelle Awareness-Trainings, die ihnen dafür das notwendige Wissen an die Hand geben. Bislang verpassen die Trainings es allerdings oft, auf die neuen Gegebenheiten einzugehen.

Das Problem mit traditionellen Awareness-Schulungen

Im “New Normal” ist eine neue Art von IT-Sicherheitsschulungen notwendig. Veränderte Zeitabläufe sorgen so etwa dafür, dass Wissen nur noch in kleinen “Happen” aufgenommen werden kann. Verschiedene Studien deuten außerdem auf einen Zusammenhang zwischen hybrider Arbeit und erhöhtem Stress hin. Für Mitarbeitende, die von der neuen Arbeitsrealität überfordert oder verunsichert sind, wirken die Trainings somit als lästige und zeitintensive Pflicht, die sie von ihrer Arbeit abhält. Die ohnehin von vielen als trocken wahrgenommene Thematik IT-Sicherheit verliert damit im Zusammenspiel dieser Faktoren weiter an Anreiz und Aufmerksamkeit. Organisationen sollten deshalb unbedingt auf moderne und motivierende Awareness-Trainings setzen, die dieser Verdrossenheit entgegenwirken. Denn eine proaktive Einbindung ist nicht nur mit Blick auf die veränderte Arbeitsrealität, sondern auch hinsichtlich der jüngsten Entwicklungen im Cybercrime unumgänglich: Vermehrte Ransomware-Angriffe oder die Popularisierung von Deepfake-Technologien werden die Sicherheit von Organisationen in den kommenden Jahren auf die Probe stellen. Entsprechende Schulungen müssen diesen dynamischen Veränderungen standhalten - und den Fokus dabei stärker denn je auf die Menschen hinter den Bildschirmen legen.

SoSafe Report zur Cyber-Bedrohungslage 2021

Social Engineering in Krisenzeiten

Worauf es bei IT-Sicherheitsschulungen nun wirklich ankommt

Die Voraussetzung für eine positive Lernerfahrung ist zunächst einmal, dass das Training jederzeit erreichbar ist. Die meisten Online-Trainings ermöglichen das bereits. Aber selbst bei E-Learnings sollte die Effektivität klar hinterfragt werden: Schaffen sie es, das Verhalten im Umgang mit Cyberrisiken zu schärfen? Einige verhaltenspsychologische Erkenntnisse, die den Aufbau und die Gestaltung von Awareness-Schulungen maßgeblich verbessern:

• Inzidentelles Lernen und Nudging: In der Verhaltenspsychologie geht man davon aus, dass inzidentelles Lernen den Erfolg des Wissenserwerbs verbessert. Das heißt, dass Lernen am besten beiläufig und „am Ort des Geschehens” funktioniert. Neben immersiven und interaktiven Lernmodulen, die realitätsnahe Szenarien aufgreifen, bieten sich dazu Phishing-Simulationen an. So werden Mitarbeitende unabhängig von Zeit und Ort sensibilisiert. Stattdessen werden sie aus der Situation heraus auf die Thematik Cyber Security aufmerksam gemacht und lernen, wie sie sich im Ernstfall verhalten sollten – auch, wenn sie gerade nicht im Büro sitzen.

• Gamification und Abwechslung: Stumpf Regeln ablesen oder immer wieder ähnliche Übungen durchlaufen – solche Ansätze demotivieren Mitarbeitende. Stattdessen bieten sich abwechslungsreiche Zugänge zu den Inhalten an, die das Erlernte langfristig verankern. Dazu gehören etwa Videos, Storytelling sowie spielerische Einheiten, sogenannte Gamification-Elemente. Eine interaktive Vermittlung von Wissen und Verhaltensweisen sorgt dafür, dass die Mitarbeitenden Spaß am Lernen haben und erkennen, wie wichtig IT-Sicherheit in ihrem Alltag ist. So wird langfristig die Sicherheitskultur in der Organisation gestärkt.

• Micro Learning: Lange Pflichtschulungen setzen zwar Compliance-Häkchen. Effektiver ist es allerdings, kleinere Wissenshappen in den Alltag zu integrieren und immer wieder zu wiederholen. Zudem ist der Faktor Zeit entscheidend – auch, wenn es darum geht, ob Mitarbeitende sich überhaupt erst mit IT-Sicherheitsschulungen auseinandersetzen möchten. Deshalb sollten Awareness-Trainings gerade in einem hybriden Arbeitsmodell möglichst leicht verdaulich und kurz gehalten werden. So lassen sie sich auch in stressige oder zerstückelte Arbeitstage einbauen. Mitarbeitende können so selbst an eng getakteten Tagen freie Minuten für Lerneinheiten nutzen.

Argumentationsstrategien für CISOs und IT-Sicherheitsexperten

Vermitteln Sie den Wert von IT-Sicherheit!

Cyber Security Awareness muss mit der Zeit gehen

Die Ansprüche der Mitarbeitenden haben sich zuletzt schnell gewandelt: Sie möchten relevante Lerninhalte, die spannend aufbereitet sind und sich gut in den Arbeitsalltag integrieren lassen. IT-Sicherheitsverantwortliche sollten ihre Awareness-Schulungen deshalb genau unter die Lupe nehmen und evaluieren, ob sie dem gerecht werden. Gerade mit Blick auf die verschärfte Cyber-Bedrohungslage sollten sich die Trainings klar am Faktor Mensch und der neuen hybriden Arbeitsrealität orientieren. Auf diese Weise erfüllen sie ihren Zweck und schützen Organisationen umfassend vor Angriffen.

Über den Autor: Dr. Niklas Hellemann ist Diplom-Psychologe, langjähriger Unternehmensberater (Boston Consulting Group) und Geschäftsführer der Firma SoSafe Cyber Security Awareness. Als Experte für Social Engineering beschäftigt er sich mit innovativen Methoden der Mitarbeitersensibilisierung.

(ID:47622505)