Security-Awareness-Training, das wirkt: kurz, regelmäßig und fair

Was macht Security-Awareness-Training wirksam?

Wirksames Awareness-Training verändert das Verhalten im Alltag, nicht nur das Wissen für einen Test. Das gelingt mit kurzen, regelmäßigen Einheiten, realistischen Beispielen, Inhalten passend zur jeweiligen Rolle und einer Kultur, in der Melden ausdrücklich erwünscht ist. Gemessen wird der Erfolg vor allem daran, wie viele Mitarbeitende verdächtige Nachrichten melden.

Eine jährliche Pflichtschulung mit einer Stunde Folien hakt zwar einen Punkt auf der Liste ab, bleibt aber selten hängen. Für Unternehmen im Anwendungsbereich von NIS2 sind Schulungen außerdem ausdrücklich Teil der Risikomanagementmaßnahmen, und auch die Geschäftsleitung muss selbst an Schulungen teilnehmen. Umso wichtiger ist, dass die investierte Zeit etwas bewirkt.

Kurz und regelmäßig statt einmal im Jahr

Was man nicht anwendet, vergisst man schnell. Kurze Impulse in regelmäßigen Abständen halten das Thema präsent, ohne den Arbeitsalltag zu stören. Bewährt haben sich zum Beispiel diese Formate:

• Kurze E-Learning-Einheiten von fünf bis zehn Minuten, etwa einmal im Monat
• Aktuelle, anonymisierte Beispiele aus dem eigenen Posteingang in Teambesprechungen
• Kurze Live-Termine zu einzelnen Schwerpunkten wie Rechnungsbetrug oder MFA
• Phishing-Simulationen in unregelmäßigen Abständen und mit wechselnden Themen
• Kurze Warnhinweise im Intranet oder Chat, wenn eine aktuelle Angriffswelle im Umlauf ist

Wichtig ist eine verständliche Sprache ohne Fachjargon. Außerdem sollte das Training auch Telefon, SMS und Chat abdecken, nicht nur E-Mail.

Phishing-Simulationen fair durchführen

Simulierte Phishing-Mails zeigen, ob das Gelernte im Alltag funktioniert. Schlecht gemacht zerstören sie aber Vertrauen: Wer sich vorgeführt fühlt, meldet beim nächsten Mal lieber nichts. Diese Grundregeln haben sich bewährt:

• Transparenz: Alle wissen, dass es Simulationen gibt, nur nicht wann und mit welchem Inhalt.
• Keine Bloßstellung: Ergebnisse werden zusammengefasst ausgewertet, ohne Namenslisten für Vorgesetzte.
• Lernen statt Strafe: Wer klickt, sieht sofort eine kurze Erklärung, an welchen Warnzeichen die Mail zu erkennen war.
• Fair bleiben: Keine Köder mit falschen Versprechen wie Bonuszahlungen oder Gehaltserhöhungen und keine Themen, die Menschen persönlich belasten.
• Datensparsamkeit: Die Plattform speichert keine eingegebenen Passwörter und nur so viele Daten wie nötig.

Rollenbezogene Inhalte: Wer wird wie angegriffen?

Angreifer wählen ihre Methode oft passend zur Rolle der Zielperson. Ein Grundmodul für alle ist sinnvoll, darauf aufbauend sollten einzelne Gruppen eigene Schwerpunkte erhalten:

• Finanzen und Buchhaltung: Rechnungsbetrug, geänderte Bankdaten und CEO-Fraud. Schwerpunkt: Rückruf über eine bekannte Nummer und Vier-Augen-Prinzip bei Überweisungen.
• Empfang und Office-Management: Anrufe unter falscher Identität, Besucher ohne Termin, Lieferungen und Personen, die einfach mit durch die Tür gehen (Tailgating). Schwerpunkt: Identität prüfen, Besucherprozess einhalten, niemanden unkontrolliert einlassen.
• IT und Administration: Gefälschte Anfragen zum Zurücksetzen von Passwörtern oder MFA und gezielte Angriffe auf Admin-Konten. Schwerpunkt: Identität bei Support-Anfragen prüfen, getrennte Admin-Konten und phishing-resistente MFA.
• Personal: Bewerbungen mit Schadanhang und angebliche Mitarbeitende, die ihr Gehaltskonto ändern wollen. Schwerpunkt: sichere Wege für Dokumente und Bankdatenänderungen.
• Geschäftsführung: gezielte Angriffe mit öffentlich verfügbaren Informationen und Missbrauch ihres Namens für CEO-Fraud. Schwerpunkt: klare Freigaberegeln, die auch für die Geschäftsführung selbst gelten.

Onboarding: Sicherheit ab dem ersten Arbeitstag

Neue Mitarbeitende kennen Abläufe, Ansprechpersonen und den üblichen Ton im Haus noch nicht. Das macht sie zu einem leichten Ziel, etwa für gefälschte Nachrichten der angeblichen Geschäftsführung kurz nach dem Start. Ein kurzer Sicherheitsteil im Onboarding beantwortet die wichtigsten Fragen:

• Wie und wo melde ich eine verdächtige Nachricht?
• Wie richte ich MFA und den Passwortmanager ein?
• Wer ist meine Ansprechperson in der IT, und wie erreiche ich sie?
• Wie laufen Zahlungen, Freigaben und Bankdatenänderungen bei uns ab?
• Welche Regeln gelten für Besucher, Ausweise und die Bildschirmsperre?

Meldekultur: Melden muss einfach und erwünscht sein

Eine Meldung ist der Moment, in dem ein einzelner Phishing-Versuch für das ganze Unternehmen entschärft werden kann. Dafür muss Melden mit einem Klick möglich sein, etwa über einen Melde-Button im Mailprogramm. Jede Meldung verdient eine kurze Rückmeldung, ob die Nachricht gefährlich oder harmlos war.

Genauso wichtig ist der Umgang mit Fehlern. Wer nach einem Klick sofort Bescheid gibt, hat richtig gehandelt und verdient Anerkennung statt Vorwürfe. Welche Warnzeichen Ihr Team kennen sollte, fasst unser Beitrag Phishing erkennen zusammen.

Erfolg messen: Melderate statt nur Klickrate

Viele Programme schauen nur auf die Klickrate bei Simulationen. Für sich allein sagt sie allerdings wenig aus, weil sie stark davon abhängt, wie schwierig die jeweilige Mail war. Aussagekräftiger ist eine Kombination mehrerer Kennzahlen, betrachtet als Trend über mehrere Monate:

So starten Sie in vier Schritten

1. Ziele, Rahmen und Kommunikation gemeinsam mit Geschäftsführung, Betriebsrat und Datenschutz festlegen.
2. Einen einfachen Meldeweg einrichten und allen bekannt machen.
3. Mit einer ersten Simulation als Ausgangswert und kurzen Grundmodulen beginnen.
4. Monatlich kleine Einheiten anbieten, die Kennzahlen quartalsweise auswerten und die Inhalte anpassen.

Wichtig ist, dass die Geschäftsführung sichtbar mitmacht, denn das Thema betrifft alle Ebenen. Q-entra unterstützt Sie im Bereich Cyber Security bei Konzept und Schulungen und auf Wunsch mit laufender Betreuung über Managed Security, damit Training und technischer Schutz zusammenpassen.