Die richtige Botschaft zum richtigen Zeitpunkt: Warum der richtige Zeitpunkt bei der Sensibilisierung für Sicherheitsfragen entscheidend ist

Inhaltsverzeichnis

• • Warum mehr Schulung nicht immer weniger Risiko bedeutet
  • Das Beste aus dem Moment machen
  • Eine bessere Zielausrichtung hängt von besserer Sichtbarkeit ab
  • Eine klarere Verbindung zwischen Schulung und Verhalten herstellen
  • Das Sicherheitsbewusstsein weiterentwickeln, ohne von vorne anzufangen
  • Die richtige Botschaft. Der richtige Zeitpunkt. Echte Wirkung.
  • Entwickeln Sie einen reaktionsfähigeren Ansatz für menschliche Cyberrisiken
  • FAQs

Programme zur Sensibilisierung für Cybersicherheit folgen traditionell einem recht vorhersehbaren Zeitplan. Dazu gehören jährliche Schulungen zu den Grundlagen, Phishing-Simulationen in regelmäßigen Abständen sowie Kampagnen über das ganze Jahr hinweg, um wichtige Themen zu vertiefen oder die Mitarbeiter über neue Bedrohungen auf dem Laufenden zu halten.

Natürlich benötigen Mitarbeiter regelmäßige Erinnerungen, um das Thema Cybersicherheit stets im Blick zu behalten und das Gelernte aufzufrischen; eine zu starke Abhängigkeit von einem festen Zeitplan kann jedoch zu einer Lücke zwischen dem Zeitpunkt der Schulung und dem Zeitpunkt führen, zu dem die Mitarbeiter das Gelernte tatsächlich in die Praxis umsetzen müssen.

Cyberrisiken warten nicht auf das nächste Schulungsmodul, sondern tauchen mitten in einem hektischen Arbeitstag auf – etwa wenn jemand beim Versuch, sich durch einen überquellenden Posteingang zu arbeiten, eine überzeugend wirkende Phishing-E-Mail erhält. Es könnte sich um eine unerwartete Zahlungsaufforderung oder eine dringende Nachricht handeln, die scheinbar von einem leitenden Kollegen stammt. In solchen Momenten müssen Mitarbeiter das Risiko erkennen und die richtige Entscheidung treffen – oft innerhalb von Sekunden.

Möglicherweise wurde genau dieses Szenario bereits einige Monate zuvor in einer Schulung behandelt, doch wie viel davon wird den Teilnehmenden in den Sinn kommen, wenn sie beschäftigt, abgelenkt oder unter Druck stehen?

Für Sicherheitsverantwortliche ist daher der richtige Zeitpunkt ein wichtiger Aspekt bei der Diskussion über die Relevanz von Schulungen. Wir wissen bereits, dass Mitarbeiter sich eher auf Sicherheitsschulungen einlassen, wenn diese die Risiken widerspiegeln, denen sie in ihrer täglichen Arbeit ausgesetzt sind. Die nächste Frage lautet, ob wir diese Schulungen noch nützlicher gestalten können, indem wir sie zeitnah zum Zeitpunkt ihres tatsächlichen Bedarfs anbieten.

Unser Das Cyberrisiko durch Menschen neu betrachtet rUntersuchungen deuten darauf hin, dass CISOs hier eine echte Chance sehen. Drei Viertel geben an, dass Relevanz wichtiger ist als Häufigkeit, wenn es darum geht, durch Schulungen zur Sicherheitssensibilisierung sicheres Verhalten zu fördern, während 83 % der Meinung sind, dass sie das durch Menschen verursachte Cyberrisiko schneller reduzieren könnten, wenn sie über bessere Möglichkeiten verfügten, Prioritäten zu setzen, wer welche Maßnahmen wann benötigt.

Warum mehr Schulungen nicht immer ein geringeres Risiko bedeuten

Man könnte leicht annehmen, dass vermehrte Maßnahmen zur Sensibilisierung für Sicherheitsfragen zu einem besseren Sicherheitsverhalten führen. Mehr Schulungen, mehr Simulationen und mehr Kommunikation bedeuten, dass die Mitarbeiter mehr Sicherheitshinweise erhalten – also muss sich doch sicherlich ein Teil davon in einer Verringerung des Risikos niederschlagen?

Leider ist es nicht ganz so einfach. Unsere Untersuchung hat ergeben, dass Mitarbeiter mittlerweile durchschnittlich sechs- bis siebenmal im Monat Informationen zur Sensibilisierung für Sicherheitsfragen erhalten, doch 81 % der CISOs geben an, dass die Schulungen nach wie vor ins Leere laufen, da sie zu allgemein gehalten sind, um als persönlich relevant empfunden zu werden.

Wenn man über die verschiedenen Personen und Funktionen innerhalb einer Organisation nachdenkt, lässt sich leicht erkennen, wie dies geschieht. Jemand, der im Finanzbereich tätig ist, verbringt seinen Tag möglicherweise damit, Rechnungen, Zahlungsaufforderungen und E-Mails von Führungskräften zu bearbeiten, wodurch Identitätsdiebstahl und das Kompromittieren geschäftlicher E-Mail-Konten besonders relevant sind. Ein Mitarbeiter in der Personalabteilung geht mit sensiblen Mitarbeiterdaten um, während Entwickler und Mitarbeiter mit privilegiertem Zugriff wiederum mit ganz anderen Risiken konfrontiert sind.

Das individuelle Verhalten stellt eine weitere Ebene dar. Ein Mitarbeiter mag zwar sehr gut darin sein, verdächtige E-Mails zu erkennen, hat jedoch Schwierigkeiten in anderen Bereichen der Sicherheit, während ein anderer wiederholt auf dieselbe Art von Phishing-Technik hereinfallen könnte. Beiden Personen genau dieselbe Schulung zum exakt gleichen Zeitpunkt anzubieten, mag zwar praktisch sein, doch es besteht eine hohe Wahrscheinlichkeit, dass ein Teil dieser Schulung für keinen der beiden besonders nützlich erscheint.

Durch eine gezieltere Ausrichtung erhalten Sicherheitsteams die Möglichkeit, wesentlich selektiver vorzugehen. Wer benötigt tatsächlich Unterstützung? Wobei benötigen die Betroffenen Hilfe? Und wann wäre diese Unterstützung am sinnvollsten? Die Beantwortung dieser Fragen kann dazu beitragen, dass jede Schulungsmaßnahme eine größere Wirkung entfaltet, ohne die Arbeitsbelastung der Mitarbeiter durch ständig neue Inhalte weiter zu erhöhen.

Das Beste aus dem Moment machen

Nehmen wir als Beispiel eine Phishing-Simulation. Ein Mitarbeiter klickt auf einen Link, auf den er besser nicht geklickt hätte, und liefert dem Sicherheitsteam damit einen wertvollen Hinweis darauf, wo möglicherweise zusätzlicher Support erforderlich ist. Dies bietet eine äußerst wertvolle Lernmöglichkeit, da das Szenario dem Mitarbeiter noch frisch im Gedächtnis ist.

Wenn Sie diese Erfahrung kurz darauf durch eine entsprechende Schulung ergänzen, entsteht eine wesentlich stärkere Verbindung zwischen beiden. Der Mitarbeiter kann die Warnzeichen erkennen, die er zuvor übersehen hat, verstehen, warum die E-Mail verdächtig war, und lernen, was er beim nächsten Mal anders machen könnte. Durch diesen Zusammenhang kann das LernenLernprozess als weitaus nützlicher erscheinen lassen, als wenn dieselbe Phishing-Technik erst mehrere Monate später in einem allgemeinen Schulungsmodul behandelt wird.

An dieser Stelle kommen Maßnahmen im Arbeitsablauf ins Spiel. Verhaltens- und Risikosignale können Organisationen dabei helfen, Gelegenheiten zu erkennen, zusätzliche Unterstützung genau dann anzubieten, wenn sie am sinnvollsten ist, anstatt bis zur nächsten Aktion im Sensibilisierungskalender zu warten.

Ein Fehlschlag bei einer Phishing-Simulation könnte beispielsweise eine kurze Schulung zu der Technik auslösen, mit der der Mitarbeiter gerade konfrontiert wurde. Ein Team, das Ziel einer bestimmten Art von Angriff ist, könnte eine speziell auf diese Bedrohung zugeschnittene Schulung erhalten, während Mitarbeiter, die wiederholt riskante Verhaltensweisen zeigen, von zusätzlicher Unterstützung oder Nachhilfe profitieren könnten.

Natürlich möchte niemand, dass Mitarbeiter jedes Mal eine Schulungsbenachrichtigung erhalten, wenn sie etwas tun, das ein Risikosignal auslöst; das ist der schnellste Weg zu noch mehr Schulungsmüdigkeit. Der Mehrwert liegt darin, die Informationen, die Sie bereits über Ihre Mitarbeiter haben, zu nutzen, um fundiertere Entscheidungen darüber zu treffen, wann eine Maßnahme wirklich sinnvoll wäre und wie diese aussehen sollte.

Eine bessere Zielgruppenansprache hängt von einer besseren Sichtbarkeit ab

Damit all dies funktioniert, müssen Sicherheitsteams wissen, wo sich die durch menschliches Versagen bedingten Cyberrisiken im gesamten Unternehmen konzentrieren – und genau in diesem Bereich haben viele noch immer Schwierigkeiten.

Unsere Untersuchung ergab, dass 76 % der CISOs keinen klaren Überblick darüber haben, welche Maßnahmen für verschiedene Rollen oder Risikoprofile am besten geeignet sind. Dennoch stimmen 81 % zu, dass eine gezieltere Ausrichtung der Schlüssel zur Verbesserung des Sicherheitsbewusstseins ist, was eine erhebliche Lücke zwischen den Zielen der Unternehmen und dem derzeitigen Stand ihrer Transparenz verdeutlicht.

Um diese Transparenz zu schaffen, müssen die verschiedenen Signale berücksichtigt werden, die bereits von den Mitarbeitern und den Sicherheitsprogrammen generiert werden. Ergebnisse aus Phishing-Simulationen, Schulungsaktivitäten sowie weitergehende Verhaltens- oder Sicherheitssignale können dazu beitragen, ein klareres Bild davon zu gewinnen, wo Risiken bestehen, welche Gruppen möglicherweise mehr Unterstützung benötigen und wie sich dieses Bild im Laufe der Zeit verändert.

Sobald die Sicherheitsteams über dieses Verständnis verfügen, können sie die nächsten Schritte wesentlich gezielter planen. Eine Gruppe, die im Zusammenhang mit einer bestimmten Bedrohung ein erhöhtes Risiko aufweist, kann Schulungen erhalten, die direkt auf dieses Risiko eingehen, während Mitarbeiter, die durchweg ein vorbildliches Sicherheitsverhalten an den Tag legen, möglicherweise weniger Unterstützung benötigen.

Zudem bietet es Organisationen eine bessere Grundlage für die Beantwortung einer weitaus umfassenderen Frage: Verringert das Sensibilisierungsprogramm tatsächlich das Risiko?

Einen deutlicheren Zusammenhang zwischen Training und Verhalten herstellen

Den Sicherheitsteams mangelt es sicherlich nicht an Daten. Die Abschlussquoten von Schulungen, Klicks auf Phishing-Mails, gemeldete E-Mails und zahlreiche weitere Kennzahlen lassen sich alle erfassen und in ein Dashboard einbinden. Die größere Herausforderung besteht darin, herauszufinden, was diese Zahlen tatsächlich darüber aussagen, ob die Mitarbeiter ihr Verhalten tatsächlich ändern.

Diese Herausforderung kam in unserer Untersuchung deutlich zum Ausdruck. Fast drei Viertel (74 %) der CISOs geben an, dass ihnen die derzeitige Berichterstattung zu personellen Cyberrisiken zwar Dashboards liefert, diese jedoch kein ausreichend klares Verständnis vermitteln, um bessere Entscheidungen zu treffen. Noch auffälliger ist, dass 89 % nicht mit Sicherheit einen Zusammenhang zwischen Sensibilisierungsmaßnahmen und einem Rückgang von Vorfällen oder Beinaheunfällen herstellen können.

Rechtzeitige, gezielte Maßnahmen können dazu beitragen, diesen Zusammenhang deutlicher zu machen. Wenn ein bestimmtes Verhalten zu einer Intervention führt, können Sicherheitsteams anschließend untersuchen, was danach geschieht. Möglicherweise kann ein Mitarbeiter die Phishing-Technik, mit der er zuvor Schwierigkeiten hatte, nun besser erkennen, eine Risikogruppe verbessert sich im Laufe mehrerer Simulationen oder das Meldeverhalten beginnt sich nach gezielten Schulungen zu ändern.

Die Beobachtung dieser Muster im Zeitverlauf kann den Sicherheitsteams weitaus mehr Aufschluss darüber geben, ob eine Maßnahme erfolgreich war und wo sie gegebenenfalls ihren Ansatz anpassen müssen. Zudem wird es dadurch einfacher, Zeit und Budget auf die Aktivitäten zu konzentrieren, die die größte Wirkung erzielen.

Dies ist besonders wertvoll, wenn CISOs aufgefordert werden, ihre Ausgaben zu rechtfertigen. Unsere Untersuchung ergab, dass von 77 % erwartet wird, den ROI für Initiativen zur Minderung menschlicher Cyberrisiken strenger nachzuweisen als für technische Kontrollmaßnahmen. Die Fähigkeit, aufzuzeigen, wie eine Maßnahme das Verhalten beeinflusst hat, liefert Sicherheitsverantwortlichen ein wesentlich überzeugenderes Argument für den Vorstand als bloße Abschlussquoten allein.

Das Sicherheitsbewusstsein weiterentwickeln, ohne von vorne anzufangen

All dies mag nach einer großen Veränderung klingen, doch Unternehmen müssen ihre Programme zur Sensibilisierung für Sicherheitsfragen nicht von Grund auf neu aufbauen. Tatsächlich deuten unsere Untersuchungen darauf hin, dass die meisten CISOs es vorziehen würden, ihre bestehenden Programme durch Pilotprojekte und schrittweise Verbesserungen weiterzuentwickeln.

Phishing-Simulationen können einen praktischen Ausgangspunkt bieten. Unternehmen könnten zunächst die Ergebnisse der Simulationen mit entsprechenden Folgemaßnahmen verknüpfen und prüfen, ob sich das Verhalten der Mitarbeiter danach verbessert. Auf dieser Grundlage können sie dann rollenspezifischere Schulungen einführen, Risikobewertungen auf Gruppenebene nutzen, um Maßnahmen zu priorisieren, und im Zuge der Weiterentwicklung ihres Ansatzes ein breiteres Spektrum an Verhaltenssignalen einbeziehen.

Diese Veränderungen können schrittweise erfolgen und auf den bereits bestehenden Schulungs- und Sensibilisierungsmaßnahmen aufbauen. Im Laufe der Zeit passt sich das Programm zunehmend an die Erfahrungen der Mitarbeiter sowie an die Bereiche an, in denen innerhalb des Unternehmens Risiken auftreten.

Die richtige Botschaft. Der richtige Moment. Echte Wirkung.

Das Sicherheitsbewusstsein muss weiterhin konsequent gefördert werden. Die Mitarbeiter benötigen regelmäßige Gelegenheiten, um ihr Wissen aufzufrischen, sich über neue Bedrohungen zu informieren und das Thema Sicherheit stets im Blick zu behalten. Doch Organisationen können in der Zeit zwischen diesen geplanten Aktivitäten noch viel mehr tun.

Wenn jemand ein risikoreiches Verhalten an den Tag legt oder eine bestimmte Gruppe Anzeichen eines erhöhten Risikos zeigt, bietet sich die Gelegenheit, zu reagieren, solange diese Unterstützung noch sinnvoll ist. Dank besserer Transparenz können Sicherheitsteams erkennen, wo sich diese Gelegenheiten bieten, und wesentlich fundiertere Entscheidungen hinsichtlich der von ihnen angebotenen Schulungsmaßnahmen treffen.

Zudem entsteht dadurch eine wesentlich engere Verbindung zwischen Sensibilisierungsmaßnahmen und dem übergeordneten Management von Cyberrisiken im Personalbereich. Sicherheitsteams können erkennen, wo sich Risiken konzentrieren, entscheiden, worauf sie ihre Bemühungen ausrichten sollen, beobachten, wie sich das Verhalten verändert, und diese Ergebnisse nutzen, um die nächsten Schritte zu gestalten.

Letztendlich stehen jeder Organisation nur begrenzte Zeitressourcen, ein begrenztes Budget und die Aufmerksamkeit der Mitarbeiter zur Verfügung. Indem die Sicherheitsschulungen relevanter gestaltet und zeitlich besser abgestimmt werden, erhalten Sicherheitsteams die Möglichkeit, alle drei Ressourcen effektiver zu nutzen, während die Mitarbeiter gleichzeitig eine Unterstützung erhalten, die im Kontext ihres Arbeitsalltags sinnvoll ist.

Entwicklung eines reaktionsfähigeren Ansatzes für durch Menschen verursachte Cyberrisiken

MetaCompliance unterstützt Unternehmen dabei, Programme zur Sensibilisierung für Sicherheitsfragen zu entwickeln, die auf die Risiken zugeschnitten sind, denen ihre Mitarbeiter tatsächlich ausgesetzt sind. Maßgeschneiderte Schulungen zur Sensibilisierung für Sicherheitsfragen, fortgeschrittene Phishing-Simulationensowie Risikoanalysen sowie automatisierte Maßnahmen helfen Sicherheitsteams dabei, zu erkennen, wo Unterstützung benötigt wird, und relevante Schulungen auf der Grundlage der Risiken und des Verhaltens der Mitarbeiter anzubieten.

Dies verschafft Unternehmen einen besseren Einblick in die durch Menschen verursachten Cyberrisiken und mehr Kontrolle über ihre Reaktionsmaßnahmen. So können sie Verhaltenssignale besser nutzen, Maßnahmen gezielter einsetzen und messen, wie sich das Risiko im Laufe der Zeit verändert.

Dies ist nur ein Aspekt eines weitaus umfassenderen Wandels in der Art und Weise, wie Unternehmen über das durch Menschen verursachte Cyberrisiko denken. Unsere Untersuchung befasst sich mit den übergeordneten Herausforderungen, denen Sicherheitsverantwortliche gegenüberstehen – von der Verbesserung der Relevanz von Schulungen über das Verständnis dafür, welche Maßnahmen wirksam sind, bis hin zur Messung von Verhaltensänderungen und dem Nachweis des Nutzens von Sicherheitsbewusstsein auf Vorstandsebene.

Laden Sie unsere vollständige Bericht „Rethinking Human Cyber Risk“ , um alle Erkenntnisse von 200 CISOs aus Frankreich, Deutschland, Schweden und Großbritanniensowie praktische Leitlinien dazu, wie Unternehmen ihren Ansatz weiterentwickeln und eine gezieltere, messbare und effektivere Strategie zum Management menschlicher Risiken aufbauen können.