gesponsertVon Sensibilisierungsmaßnahmen zur Sicherheitskultur Security Awareness mit Herz und Verstand

Gesponsert von

KnowBe4 Germany GmbH

Phishing, Phishing und nochmals Phishing: Kein Security Report, keine Ransomware-Meldung kommt ohne die Erwähnung der Social Engineering-Technik aus. Das Ziel ist immer der Mensch. Die eigentliche Schwachstelle steckt jedoch in der Technik, denn noch immer kommen zu viele Phishing-E-Mails durch, schaffen es zu viele anonyme Anrufe und bösartige Links durch die Sicherheitsschleusen.

Der Wettlauf zwischen Angriff und Verteidigung, zwischen Kreativität und Konformität hat in seiner Intensität nichts verloren. Am Ende ist es immer wieder nur ein Klick zu viel, egal ob in einer Stresssituation oder ob aus Neugierde in der Mittagspause. Das Problem dabei ist, dass dieser eine Klick am Anfang eines Sicherheitsvorfalls liegt, der mehrere Millionen Euro an Schaden verursachen kann.

Die Awareness als Grundlage für sicheres Verhalten verstehen

Schutz gegen Phishing kann und wird nicht durch Technologie allein erreicht werden. Zusätzlich müssen die Mitarbeitenden für die Gefahren, die von Social Engineering ausgehen, sensibilisiert werden. Hierfür müssen alle Abteilungen IT, Personal, Marketing, Compliance und die Rechtsabteilung zusammenarbeiten. Denn die zu erfüllende Aufgabe ist eine nachhaltige Steigerung der Cybersicherheit und Resilienz einer Organisation durch die Ermächtigung aller beteiligten Personen.

Die Befähigung ist der Weg dorthin. Es gilt das Herz und den Verstand der Mitarbeitenden von der Notwendigkeit der Maßnahme zu überzeugen. Wie Social Engineering erkannt und vereitelt werden kann, wird sodann durch Gamification-Ansätze und Informationskampagnen vermittelt. Zudem bieten Unternehmen ihren Mitarbeitenden die Möglichkeit das erlernte Verhalten in regelmäßige Phishing Simulationen zu vertiefen. Cybersicherheit soll als wesentlicher Bestandteil der Unternehmenskultur etabliert werden. Am Ende des Prozesses entsteht dann eine Sicherheitskultur.

Die wichtigsten Eckpunkte für ein erfolgreiches Security Awareness-Trainings (SAT) umfassen die folgenden sechs Punkte:

• Inhalte – Die Inhalte unterscheiden sich sowohl in der Darstellung und Art des Mediums als auch in den Themen. Darüber hinaus gibt es kulturelle Unterschiede in der Wissensvermittlung und -aneignung, die es zu beachten gilt. Die verschiedenen Inhalte sollten allerdings auch immer an die verschiedenen Rollen und Funktionen im Unternehmen angepasst werden.

• Unterstützung und Planung - Security Awareness-Trainern benötigen unterstützende Materialien, um den Mehrwert eines SAT-Programms gegenüber der Geschäftsführung zu beweisen und auch den Auditoren und Regulierungsbehörden zu zeigen, dass es an den richtigen Stellen ansetzt.

• Kampagnen – Ein erfolgreiches Programm sollte nicht einmalig sein, sondern als Kampagne betrachtet werden. Diese müssen zielgruppenspezifisch gestaltet und relevant für den jeweiligen Aufgabenbereich sein, sodass ein Engagement entsteht. Ziel muss es sein, dass die Mitarbeitenden sich den Zielen und dem „Warum“ des Programms persönlich verbunden fühlen. Es gilt, das Herz und den Verstand der Einzelnen für die gemeinsame Sache zu gewinnen.

• Regelmäßiges Training – In der Wiederholung und Abwechslung der Trainingsinhalte liegt der Erfolg. In weiterer Abfolge kann das Erlernte dann individuell vertieft werden. Nachhaltige Veränderungen des Verhaltens können nur durch einen gezielten Aufbau von Kompetenzen erreicht werden. Um alte Gewohnheiten zu durchbrechen, müssen Mitarbeiter als allererstes verstehen, warum ein Verhalten gefährlich ist. Sie entwickeln dann eine bewusste Kompetenz, die später zu einem routinemäßigen Verhalten ausgebaut werden kann.

• Metriken und Berichte – Security Awareness-Trainer müssen die Effektivität der Trainings nachweisen können. Anhand von Berichten können sie erfolgreich von weniger erfolgreichen Maßnahmen erkennen.

• Umfragen und Bewertungen – Dieses Feedback-Mittel funktioniert ebenfalls gut, um noch einmal von den Trainierten einen Überblick darüber zu bekommen, was bei weiteren Inhalten und Aktivitäten verbessert werden kann.

Die Sicherheitskultur aktiv zu gestalten ist eine notwendige Entscheidung

Die gelebten Werte, Normen und Gepflogenheiten ihrer Organisation sind starke Motivatoren für sicheres Verhalten. Eine Sicherheitskultur haben Organisationen aber auch ganz ohne gezieltes Training. Gepflogenheiten im Umgang mit Technologie haben sich über Jahre herausgebildet und zu ungeschriebenen Normen entwickelt. Nehmen Sie sich der Sicherheitskultur Ihrer Organisation nicht an, haben Sie keine Übersicht und keine Kontrolle darüber, ob die Verhaltensweisen der Cybersicherheit schaden oder zuträglich sind. Mit den richtigen Maßnahmen lässt sich das ändern. Eine nachhaltig gestaltete Sicherheitskultur ist der beste Schutz für Ihr Unternehmen.

Security-Awareness-Maßnahmen zahlen sich unmittelbar aus

Laut dem Benchmarking Report 2023 von KnowBe4 klickt wahrscheinlich ein Drittel der Mitarbeiter in den untersuchten Organisationen auf eine Phishing-E-Mail. 90 Tage nach der Durchführung erster Maßnahmen sinkt dieser Wert auf 20 und im Laufe eines Jahres auf gar sechs Prozent. Bemessen wird dies mit dem Phish-ProneTM Percentage (PPP), er gibt die Wahrscheinlichkeit an, mit der ein Nutzer einen infizierten Link in einer Phishing-E-Mail anklickt. Die Ergebnisse für die DACH-Region zeigen, dass 90 Tage nach der Durchführung von monatlichen oder häufigeren Security Awareness-Schulungen der durchschnittliche PPP-Wert auf 20 Prozent sank. Nach zwölf Monaten Training und simulierten Phishing-Sicherheitstests sank der durchschnittliche PPP-Wert sogar auf sechs Prozent.

Der Mehrwert von Mitarbeiterschulungen zeigt sich auch bei der Handhabung von Ransomware. Schnelle und angemessene Reaktion können den Schaden eindämmen und den finanziellen Schaden begrenzen. Der Mehrwert von Security Awareness-Training steht außer Frage.

Fazit

Awareness, Behavior und Culture sind drei Begriffe, die – richtig vermittelt und etabliert – den Unterschied zwischen einem fatalen Klick und einer richtig an die IT-Abteilung weitergeleiteten E-Mail machen. Für eine Organisation bedeutet dies nicht weniger als die Vermeidung von Reputationsschäden, Kosten im Falle einer Sicherheits- und Datenschutzverletzung sowie Stress und Ungewissheit für die Mitarbeiter.

(ID:49657293)