Mitarbeitertraining Cybersicherheit: So werden Ihre Mitarbeiter zum ‚Schutzwall Sicherheit‘

Eine E-Mail vom Chef mit der Bitte um eine dringende Überweisung. Ein Anruf vom vermeintlichen IT-Dienstleister, der schnell das Passwort benötigt. Oder eine Nachricht, die dazu auffordert, das eigene Benutzerkonto zu überprüfen.

In meinem letzten Beitrag der Serie Cybersicherheit ging es genau darum: Social Engineering, identitätsbasierte Angriffe im Zusammenhang mit Ransomware: Was ist heute die größte Cybergefahr für Unternehmen. Mit der Feststellung, dass heute nicht mehr die Technik die größte Gefahr ist, sondern der Faktor Mensch.

Das beste Gegenmittel? - Gewappnet sein. Bereiten Sie sich daher optimal vor. Mit regelmäßigen Mitarbeiterschulungen und steter Unterrichtung in verschiedenen internen Medien. So werden Sie und die Beschäftigten in Ihrem mittelständischen Unternehmen zum 'Schutzwall Sicherheit'.

• Praxisbezogen und zweckmäßig schulen.

• Unerlässliche Themen einbringen.

• Sinnvoll managen: Öfter, kurz, unterschiedlich Präsenzen.

• Preiswerte externe Unterstützung einholen.

Die Mitarbeiterschulung lebendig und fesselnd gestalten

Klarer Fall, Sie starten in das Mitarbeitertraining Cybersicherheit, indem Sie Ihre Beschäftigten über die Gefahren aufklären, das tut Not: Was ist Phishing, Social Engineering. Was kann an Schwerwiegendem bis hin zu Ransomware und Lösegeldforderung geschehen.

Doch halten Sie sich nicht mit weitschweifigen Erklärungen auf. Auch wenn Sie gerne Ihr neu gewonnenes Wissen vermitteln möchten. Doch Erläuterungen sind schnell wieder vergessen.

Miteinander Erfahrungen austauschen.

Nehmen Sie Szenarien aus dem Alltag

Gehen Sie mitten ins Geschehen: Denn Ihre Mitarbeiter sollen wachsam werden. Security Awareness bedeutet Gefahrensituationen erkennen: Das bisherige Verhalten bewusst machen, damit man es ändern kann. Um richtig zu reagieren.

Dabei betonen Sie: Lieber einmal überreagieren, als einen Verdacht abzutun.

Wie sieht der Arbeitsalltag in Ihrer Firma, Ihrer KMU aus? Einige Beispiele im Folgenden:

• Versicherung: Ein Mitarbeiter im Schadensmanagement erhält eine E-Mail mit einem Anhang. Der soll angeblich Fotos eines Autounfalls enthalten. Beim Öffnen installiert sich eine Ransomware.

• Handel: Der Einkauf bekommt die gefälschte Mail eines bekannten Lieferanten. Die informiert fälschlicherweise über eine ‚neue Bankverbindung für künftige Rechnungen‘.

• Produktion: Wartungstechniker erhalten die gefälschte Systemwarnung eines Maschinenherstellers. Sie werden aufgefordert, dringende Log-in-Daten auf einer gefälschten Website einzugeben.

Lassen Sie Ihre Mitarbeiter zu Wort kommen

Binden Sie Ihre Mitarbeiter aktiv ein. Vielleicht haben sie eigene Erfahrungen gesammelt, haben von weiteren Angriffsmöglichkeiten gehört. Vielleicht Situationen, in denen die Beschäftigten vorsichtig waren oder andersrum, hinterher dachten, das hätte schiefgehen können.

Weisen Sie immer wieder darauf hin: Wenn ein Mitarbeiter auf eine Phishing-Mail reingefallen ist, oder auf einen Anruf: Unbedingt der IT Sicherheit Bescheid geben. Betonen Sie, dass das jedem passieren kann.

E-Mail: Merkmale identifizieren und Vorsicht einüben

Woran lässt sich erkennen, dass etwas nicht stimmt? Das bleibt sich oft gleich in den jeweiligen Inszenierungen, und lässt sich zusammenfassen:

• Ist die Absenderadresse plausibel?

• Passt die Aufforderung zum üblichen Geschäftsablauf?

• Wird ungewöhnlicher Zeitdruck aufgebaut?

• Soll eine vertrauliche Information herausgegeben oder eine Sicherheitsregel umgangen werden?

Üben, üben, üben - am besten zu zweit

Lassen Sie Ihre Mitarbeiter selbst überlegen, wie sie reagieren würden. Keine theoretische Belehrung. Setzen Sie dazu simulierte Phishing-Mails ein, um die Merkmale zu erkennen und einzuüben.

Tipp von mir: Ich unterrichte neben meiner redaktionellen Tätigkeit als Sprach-Dozentin in der Erwachsenenbildung. Dabei lasse ich die Sprachschüler immer gerne in Zweiergruppen arbeiten. Da ist der Austausch intensiv, keiner muss Angst haben, sich zu blamieren. Auch die ewigen Wortführer werden gebremst.

Organisation der Trainings

• Kurze und regelmäßige Trainings statt einmal im Jahr drei Stunden. Kurze Einheiten (15 bis 30 Minuten) bleiben besser hängen. Vielleicht einmal im Monat in entspannter Atmosphäre. Vielleicht prägnante Beispiele aus der Praxis im Newsletter, der Mitarbeiterzeitschrift, dem Intranet.

• Verständliche Sprache. Meine Mission ist ja die Verständlichkeit. Wenn Sie vortragen, nicht mit Ihrem Wissen glänzen, sondern so erklären, dass es sowohl die Chefin als auch der Pförtner versteht, der Einkäufer und die Lageristin.

• Begleitmaterial. Eine einseitige Checkliste oder Merkkarte für den Arbeitsplatz.

• Einfacher Meldeprozess: Nicht zum Headset greifen müssen oder eine E-Mail formulieren, sondern ein Button ‚Verdächtiges melden‘ an die IT.

Die Agenda der Trainings

Arbeiten Sie die Themen nach und nach ab und greifen Sie sie immer wieder auf. Seien Sie versichert: Es werden ständig weitere hinzukommen.

Hier ein paar Anregungen: Passwörter und Mehrfaktor-Authentifizierung | Umgang mit Updates und Software | Mobiles Arbeiten, Homeoffice und eigene Geräte | Datenschutz und Umgang mit sensiblen Daten | Physische Sicherheit, etwa Clean Desk, Besucher, USB-Sticks, Bildschirm im Zug oder Café

Neu hinzugekommen und in vielen mittelständischen Unternehmen noch nicht geregelt: Der Umgang mit KI-Tools im Arbeitsalltag

Ergänzendes zum Schluss: Recht und Unterstützung für KMU

Rechtlicher Rahmen: Bestimmte Unternehmen sind nach NIS-2, also der Richtlinie der EU zur Cybersicherheit, verpflichtet Ihren Mitarbeitern Schulungen anzubieten. Das sind Betriebe etwa aus den Branchen Energie, Transport, Gesundheit, Finanzwesen, IT-Dienstleister, Wasser.

Insgesamt sind es 18, schauen Sie am besten nach, ob Sie dazugehören. 

Von der Unternehmensgröße sind mittlere und große Unternehmen ab 50 Mitarbeitern betroffen oder einem Jahresumsatz bzw. einer Bilanzsumme von über 10 Millionen Euro.

Wenn Sie sich hier nicht wiedergefunden haben, recherchieren Sie am besten beim BSI (Bundesamt für Sicherheit in der IT).

Kostengünstige Unterstützung für KMU: Bevor Sie einen teuren Dienstleister einschalten, gehen Sie zum Beispiel auf die Transferstelle Cybersicherheit. Lassen Sie sich beraten.

(ChatGPT, Gemini und Claude haben für mich recherchiert, mir SEO-Tipps gegeben. Ich habe den Text geschrieben und mit meinen Schulungserfahrungen angereichert.)