Der Monat der Cybersicherheit ist in Europa und den USA Teil einer breit angelegten Initiative, die dazu beitragen soll, dass Menschen im Internet sicher und geschützt bleiben. Die Initiative wurde 2004 in den USA und 2012 in Europa ins Leben gerufen. In diesem Jahr stand die US-Veranstaltung unter dem Motto „See Yourself in Cyber“. In Europa lag der Schwerpunkt der Initiative auf der Sensibilisierung für Phishing und Ransomware.
Wir unterstützen selbstverständlich alle Bemühungen zur Förderung des Bewusstseins für Cybersicherheit. Menschen sind das schwächste Glied in den Sicherheitsmaßnahmen eines Unternehmens. Es ist wichtig, ihnen einfache Maßnahmen zu vermitteln, mit denen sie sich online schützen können. Für einen Angreifer ist es nach wie vor weitaus einfacher, jemanden dazu zu verleiten, ein Passwort preiszugeben oder auf einen Link in einer E-Mail zu klicken, als in ein gut geschütztes Netzwerk einzudringen. Ein gutes Bewusstsein für Cybersicherheit kann Unternehmen vor finanziellen Verlusten, Strafen wegen Nichteinhaltung von Vorschriften und Reputationsschäden schützen.
Doch trotz jahrelanger Veranstaltungen im Rahmen eines jährlichen „Sensibilisierungsmonats“ ist die Ausnutzung mangelnder Cybersicherheitskenntnisse nach wie vor der Hauptangriffsvektor bei Datenschutzverletzungen.
Der „Verizon Data Breach Investigation Report 2022“ ergab, dass 82 % der Datenpannen im vergangenen Jahr auf Social Engineering zurückzuführen waren und die Klickraten bei Phishing-Angriffen weiter steigen. Sobald Angreifer Fuß gefasst haben, können sie Befehls- und Kontrollkanäle einrichten, sich lateral ausbreiten, um Zieldaten zu identifizieren, Daten für Ransomware-Forderungen verschlüsseln oder sensible Informationen stehlen.
„Monat“ der Sensibilisierung für Cybersicherheit?
Ja, wir unterstützen den Monat der Cybersicherheitsaufklärung. Er lenkt die dringend benötigte Aufmerksamkeit auf ein Problem, an dessen Lösung wir seit Jahren arbeiten. Er könnte einige Organisationen dazu veranlassen, erste Schritte zur Verbesserung des Sicherheitsbewusstseins ihrer Belegschaft zu unternehmen oder ihre bestehenden Programme zu stärken. Wir lehnen es lediglich ab, die Cybersicherheitsaufklärung als jährliches Ereignis zu behandeln.
Lernen ist kein einmaliger Vorgang. Man lernt weder eine neue Sprache noch das Spielen eines Musikinstruments, indem man sich nur einmal im Jahr mit dieser Aufgabe befasst. Das Gleiche gilt für das Erkennen und Vermeiden von Cybersicherheitsbedrohungen. Das Erlernen all dieser Fähigkeiten erfordert Zeit und Wiederholung.
Wenn Schulungen einmal oder zweimal pro Jahr stattfinden, um Compliance-Anforderungen zu erfüllen, behalten die Teilnehmer das Gelernte nicht bei. Die bekannte Ebbinghaus-Vergessenskurve zeigt, dass die Teilnehmer allein in der ersten Woche über 75 % des Lernstoffs vergessen. Nach einem Monat behalten die Teilnehmer nur noch 21 % des Lernstoffs bei.
Sensibilisierung der Mitarbeiter
Unterricht ist ein Prozess, kein einmaliges Ereignis. Dies gilt auch für die Vermittlung von Sensibilisierung für Cybersicherheit. Studien zeigen, dass der Abstieg entlang der Vergessenskurve durch regelmäßige Vertiefung des Lernstoffs verlangsamt werden kann. Diese Vertiefungen müssen nicht unbedingt alle Informationen aus der Unterrichtseinheit umfassen. Das Ziel besteht darin, die Lernenden dazu anzuregen, sich weiterhin mit dem Stoff auseinanderzusetzen und ihn in die Praxis umzusetzen.
Aufbau einer Kultur des Cyberbewusstseins
Ein „Monat“ zur Sensibilisierung für Cybersicherheit kann wie eine bloße Werbemaßnahme wirken. Ein wirksames Programm zur Sensibilisierung für Cybersicherheit muss das ganze Jahr über – 12 Monate lang – unter Einsatz einer Vielzahl von Instrumenten und Methoden umgesetzt werden.
E-Learning-Schulungen sind zweifellos Bestandteil jedes erfolgreichen Programms, doch sollten Teams die vermittelten Inhalte regelmäßig durch Erinnerungen, Phishing-Simulationen, Mikro-Schulungen, Bildschirmschoner und Plakate vertiefen. Die Schulungen sollten auf die verschiedenen Bedrohungen zugeschnitten sein, denen ein Unternehmen ausgesetzt ist.
Schulungen für Finanzteams sollten auf die spezifischen Bedrohungen innerhalb der Abteilung zugeschnitten sein. IT-Abteilungen müssen wachsam gegenüber dem Diebstahl privilegierter Zugangsdaten sein. Alle Mitarbeiter benötigen fortlaufende Schulungen zum Umgang mit Phishing- und Ransomware-Angriffen.
Ein Programm zur Sensibilisierung für Cybersicherheit ist ein wichtiger Bestandteil einer umfassenden Risikobewertung. Die für Sensibilisierungsprogramme Verantwortlichen müssen in der Lage sein, den Fortschritt anhand von Berichten zu verfolgen und Korrekturmaßnahmen einzuleiten, sofern in der Organisation weiterhin Risiken bestehen. Sollten Einzelpersonen oder Teams bei Schulungen schlechte Ergebnisse erzielen, sollten automatisch Nachschulungen angesetzt werden.
Vor allem erkennen Unternehmen, die sich für die Sensibilisierung im Bereich Cybersicherheit und für Online-Sicherheit einsetzen, die Notwendigkeit der Unterstützung durch die Führungsspitze an. Regelmäßige Mitteilungen direkt von der obersten Führungsebene über die Notwendigkeit von Cybersicherheitsmaßnahmen – und darüber, warum diese für das Unternehmen Priorität haben – tragen dazu bei, eine nachhaltige Sicherheitskultur aufzubauen.