Hören Sie auf, Ihre Mitarbeiter mit E-Mails zu überhäufen: So gestalten Sie Schulungen zur Sicherheitssensibilisierung zielgerichteter

Inhaltsverzeichnis

• Warum mehr Schulungen zur Norm werden
• Die Kosten einer Überlastung der Mitarbeiter
• Warum mehr Aktivitäten nicht automatisch weniger Risiken bedeuten
• Wie gezielte Sicherheitssensibilisierung aussieht
• Sechs Möglichkeiten, Sicherheitsbewusstsein relevanter zu gestalten
• Wie MetaCompliance dazu beiträgt, Sicherheitsbewusstsein gezielter zu gestalten
• Häufig gestellte Fragen

Sicherheitsteams bemühen sich seit Jahren, ein schwieriges Problem zu lösen: Wie lässt sich sicherstellen, dass die Cybersicherheit stets im Vordergrund steht, wenn die Mitarbeiter bereits unzählige andere Prioritäten haben, die um ihre Aufmerksamkeit konkurrieren?

Für viele Organisationen liegt die Antwort in der Häufigkeit. Mehr Schulungen, mehr Erinnerungen, mehr Phishing-Simulationen und mehr Sensibilisierungskampagnen schaffen mehr Gelegenheiten, sicheres Verhalten zu festigen.

Unsere neueste Forschungsergebnisse deuten darauf hin, dass Unternehmen möglicherweise bereits an die Grenzen dieses Ansatzes stoßen. Die Mitarbeiter erhalten mittlerweile durchschnittlich sechs- bis siebenmal pro Monat Inhalte zur Sensibilisierung für Sicherheitsfragen, dennoch sind 75 % der CISOs nach wie vor der Ansicht, dass die Mitarbeiter ihre Rolle bei der Verhinderung von Sicherheitsvorfällen nicht vollständig verstehen. Gleichzeitig geben drei Viertel der CISOs an, dass Relevanz wichtiger ist als Häufigkeit, wenn es darum geht, durch Schulungen sicheres Verhalten zu fördern.

Wenn jeder Mitarbeiter unabhängig von seiner Rolle, seinem Verhalten oder seinem Risikograd im Großen und Ganzen die gleiche Schulung erhält, kann eine Ausweitung des Umfangs schnell kontraproduktiv werden. Die Mitarbeiter schalten ab, Sicherheitsteams verwenden Zeit auf Maßnahmen, die möglicherweise nur geringe Auswirkungen haben, und Unternehmen haben Schwierigkeiten zu erkennen, ob ihre Investitionen tatsächlich zur Risikominderung beitragen.

Bei einem ausgereiften Programm zur Sensibilisierung für Sicherheitsfragen geht es daher nicht darum, mehr Schulungen durchzuführen, sondern darum, die Schulungen besser auf die Menschen, Verhaltensweisen und Risiken abzustimmen, die am wichtigsten sind.

Warum mehr Schulungen zum Standard werden

Die meisten Sicherheitsteams haben nicht die Absicht, die Mitarbeiter zu überfordern. Programme mit hohem Arbeitsaufwand sind oft das Ergebnis vernünftiger Einzelentscheidungen, die sich nach und nach summieren.

Es taucht eine neue Bedrohung auf, also wird das Programm um eine weitere Schulung ergänzt. Eine Phishing-Kampagne deckt eine Schwachstelle auf, also wird eine weitere Simulation angesetzt. Eine behördliche Anforderung muss erfüllt werden, also kommt ein weiteres Pflichtmodul hinzu. Der Monat der Cybersicherheitsaufklärung steht bevor, und eine weitere Kampagne wird in den Kalender aufgenommen.

Jede Aktivität hat einen berechtigten Zweck, doch in ihrer Gesamtheit bilden sie ein Programm, dessen Schwerpunkt stark auf der Umsetzung liegt.

Unser Studie „Rethinking Human Cyber Risk“ ergab, dass zwar die Mitarbeiter sechs- bis siebenmal pro Monat Schulungsinhalte zur Sensibilisierung für Sicherheitsfragen erhielten, jedoch keine der befragten Organisationen angab, Inhalte dynamisch auf der Grundlage aktueller Bedrohungen oder Echtzeit-Risikosignale bereitzustellen. In vielen Fällen bleiben die Programme allgemein und unspezifisch und sind eher auf eine umfassende Abdeckung als auf individuelle Risiken ausgerichtet.

Dadurch lässt sich die Häufigkeit leicht als Hebel einsetzen. Ist eine Organisation nicht davon überzeugt, dass die Mitarbeiter ihr Verhalten ändern, vermittelt die Einführung einer weiteren Kampagne den Eindruck, dass Maßnahmen ergriffen werden. Das Problem besteht darin, dass ein Mitarbeiter, der durchweg sicheres Verhalten an den Tag legt, möglicherweise dieselbe Maßnahme erhält wie jemand, der wiederholt Anzeichen für ein erhöhtes Risiko zeigt.

Die Kosten einer Überqualifizierung von Mitarbeitern

Die offensichtlichste Folge einer übermäßigen Sicherheitskommunikation ist die „Schulungsmüdigkeit“. Die Aufmerksamkeit der Mitarbeiter ist begrenzt; wenn Sensibilisierungsmitteilungen wiederholt als allgemein gehalten oder für ihre Arbeit irrelevant empfunden werden, werden sie daher leichter ignoriert. Eine Schulungsbenachrichtigung wird zu einer weiteren Aufgabe, die erledigt werden muss, während eine Sicherheitsmitteilung zu einer weiteren E-Mail wird, die in einem ohnehin schon überfüllten Posteingang um Platz konkurriert.

Unsere Untersuchung liefert eine Erklärung dafür. 81 % der CISOs geben an, dass Schulungen zum Sicherheitsbewusstsein scheitern, weil sie zu allgemein gehalten sind, um als persönlich relevant empfunden zu werden.

Auch für das Unternehmen entstehen Kosten. Die Erstellung, Verwaltung und Durchführung von Sensibilisierungskampagnen erfordert finanzielle Mittel und Kapazitäten des Sicherheitsteams. Zudem geben 77 % der CISOs an, dass von ihnen erwartet wird, den ROI für Initiativen zur Minderung menschlicher Cyberrisiken strenger nachzuweisen als für technische Kontrollmaßnahmen. Dennoch fühlen sich nur 39 % vollkommen sicher, wenn es darum geht, dem Vorstand oder der Geschäftsleitung den Wert von Initiativen zur Sensibilisierung für Sicherheitsfragen zu erläutern.

Wenn Ressourcen dafür aufgewendet werden, Mitarbeiter mit geringem Risiko wiederholt gemeinsam mit jenen zu schulen, die tatsächlich eine Intervention benötigen, wird es schwieriger, den Nutzen dieser Maßnahmen aufzuzeigen. Ein gezielterer Ansatz bietet Sicherheitsverantwortlichen die Möglichkeit, sowohl die Aufmerksamkeit der Mitarbeiter als auch die Investitionen in die Sicherheit besser zu nutzen.

Warum mehr Aktivität nicht zwangsläufig ein geringeres Risiko bedeutet

Ein Grund dafür, dass das Schulungsvolumen unverändert bleibt, ist, dass Sensibilisierungsmaßnahmen relativ einfach zu messen sind. Anhand der Abschlussquoten lässt sich feststellen, dass 98 % der Mitarbeiter ein Modul abgeschlossen haben, Phishing-Simulationen liefern eine Klickrate, und Kampagnen-Dashboards zeigen, wie viele Personen eine Sensibilisierungsmitteilung erhalten haben.

Unsere Untersuchung ergab, dass 70 % der CISOs angeben, ihre Systeme stützten sich auf derartige Aktivitätskennzahlen. Allerdings geben 74 % an, dass ihre derzeitige manuelle Berichterstattung zu Cyberrisiken Dashboards liefert, die nicht genügend Einblicke bieten, um fundiertere Entscheidungen zu treffen, während 89 % nicht mit Sicherheit nachweisen können, dass ihre Sensibilisierungsmaßnahmen zu einer Verringerung von Vorfällen oder Beinahevorfällen geführt haben.

Dadurch entsteht ein Teufelskreis. Unternehmen können zwar feststellen, dass Schulungen stattgefunden haben, haben jedoch weniger Einblick darin, ob diese zu einer Verhaltensänderung geführt oder das Risiko verringert haben. Ohne diese Erkenntnisse kann die Intensivierung von Sensibilisierungsmaßnahmen zur Standardreaktion werden.

Um dies zu durchbrechen In diesem Zyklus müssen Sicherheitsteams über den Umfang der von ihnen angebotenen Schulungen hinausblicken und sich ein klareres Bild davon verschaffen, wo Maßnahmen die größte Wirkung erzielen.

So sieht gezielte Sicherheitssensibilisierung aus

Ein gezielterer Ansatz setzt damit an, dass man anerkennt, dass Mitarbeiter nicht alle das gleiche Ausmaß oder die gleiche Art von Cyberrisiko darstellen.

Betrachten Sie zwei Mitarbeiter. Der eine arbeitet in der Finanzabteilung, hat Zugriff auf Zahlungssysteme und ist kürzlich mit einer simulierten Phishing-E-Mail in Form einer Rechnung in Kontakt gekommen. Der andere ist in einer Position mit eingeschränktem Zugriff auf sensible Systeme tätig und meldet regelmäßig simulierte Phishing-Versuche.

Wenn Sie beiden Mitarbeitern erneut ein allgemeines Phishing-Modul zusenden, erfüllt dies zwar möglicherweise eine Schulungsanforderung, stellt jedoch keine besonders effiziente Nutzung der Zeit beider Mitarbeiter dar.

Entsprechende Maßnahmen könnten sehr unterschiedlich aussehen. Der Mitarbeiter aus der Finanzabteilung könnte von sofortigen Schulungen zum Thema Rechnungsbetrug profitieren, ergänzt durch Phishing-Simulationen, die die Zahlungsaufforderungen widerspiegeln, mit denen er regelmäßig konfrontiert ist. Der zweite Mitarbeiter benötigt möglicherweise kaum zusätzliche Maßnahmen über das zentrale Sensibilisierungsprogramm des Unternehmens hinaus.

Rolle, Abteilung, Zugriffsrechte, bisheriges Verhalten und andere Risikosignale können Unternehmen dabei helfen, diese Entscheidungen fundierter zu treffen.

Unsere Untersuchung ergab, dass 83 % der CISOs der Ansicht sind, sie könnten das durch menschliches Versagen bedingte Cyberrisiko schneller verringern, wenn sie über bessere Möglichkeiten verfügten, zu priorisieren, wer wann welche Maßnahmen benötigt. Dennoch geben 76 % an, dass derzeit unklar ist, welche Maßnahmen für verschiedene Rollen oder Risikoprofile am besten geeignet sind.

Die Herausforderung besteht also darin, dieses Prinzip in ein Programm zur Sensibilisierung für Sicherheitsfragen umzusetzen, das auf unterschiedliche Risikobedingungen reagieren kann, ohne den Sicherheitsteams zusätzlichen Arbeitsaufwand zu verursachen.

Sechs Möglichkeiten, das Sicherheitsbewusstsein relevanter zu gestalten

Die Abkehr von einem pauschalen Sicherheitsbewusstsein bedeutet nicht, dass regelmäßige Schulungen aufgegeben oder ein gesamtes Programm von Grund auf neu aufgebaut werden muss. Unternehmen benötigen nach wie vor grundlegende Sensibilisierungsmaßnahmen, um Richtlinien zu vermitteln, gesetzliche Anforderungen zu erfüllen und gemeinsame Sicherheitserwartungen zu etablieren.

Die Chance besteht darin, auf dieser Grundlage ein höheres Maß an Intelligenz und Relevanz zu schaffen.

1. Beginnen Sie mit der Funktion und dem Risiko: Die Risiken, denen ein Mitarbeiter ausgesetzt ist, hängen stark von seinen Aufgaben ab. Finanzteams können Ziel von Rechnungsbetrug und Business-E-Mail-Kompromittierung sein. IT-Administratoren verfügen möglicherweise über privilegierten Zugriff, wodurch kompromittierte Zugangsdaten besonders wertvoll sind, während Führungskräfte attraktive Ziele für Identitätsbetrug und ausgefeilte Social-Engineering-Angriffe darstellen. Sicherheitsschulungen können diese Unterschiede berücksichtigen. Anstatt jedem Mitarbeiter identische Szenarien zu präsentieren, können Unternehmen anhand von Rolle, Abteilung und Zugriffsrechten bestimmen, welche Bedrohungen mehr Aufmerksamkeit verdienen.

2. Nutzen Sie das Verhalten, um zu ermitteln, wer mehr Unterstützung benötigt: Die Rolle einer Person kann Sicherheitsteams zwar Aufschluss über deren Gefährdung geben, doch das Verhalten liefert eine weitere Ebene an Kontext. Ergebnisse aus Phishing-Simulationen, das Meldeverhalten, bisherige Schulungsaktivitäten und andere Risikoindikatoren können dabei helfen, zu erkennen, wo zusätzliche Maßnahmen sinnvoll sein könnten. Ein Mitarbeiter, der wiederholt auf simulierte Phishing-Versuche eingeht, benötigt möglicherweise andere Unterstützung als jemand, der diese konsequent erkennt und meldet. Dies hilft Unternehmen dabei, Schulungen gezielt dort einzusetzen, wo sie das größte Potenzial zur Risikominderung bieten, und gleichzeitig unnötige zusätzliche Schulungen für Mitarbeiter zu vermeiden, die bereits sicheres Verhalten an den Tag legen.

3. Phishing-Simulationen sollten reale Umgebungen widerspiegeln: Eine allgemeine Phishing-E-Mail kann zwar testen, ob ein Mitarbeiter bekannte Warnzeichen erkennt, doch die Relevanz wird deutlich größer, wenn eine Simulation die Anfragen widerspiegelt, die diese Person realistisch gesehen erhalten könnte. Für einen Mitarbeiter in der Finanzabteilung könnte dies eine Zahlungsaufforderung oder eine Rechnung bedeuten. Für die Personalabteilung könnte es sich um einen Lebenslauf oder eine Mitteilung zu Sozialleistungen handeln. Führungskräfte können mit Szenarien konfrontiert werden, die dringende Anfragen oder Identitätsbetrug beinhalten. Indem Simulationen realistische Situationen besser widerspiegeln, können Mitarbeiter das Treffen sicherer Entscheidungen in einem ihnen vertrauten Kontext üben, anstatt Phishing-Übungen als etwas zu betrachten, das nichts mit ihren täglichen Aufgaben zu tun hat.

4. Maßnahmen näher am Risikopunkt ergreifen: Der richtige Zeitpunkt kann ebenso wichtig sein wie der Inhalt. Wenn ein Mitarbeiter heute risikoreiches Verhalten an den Tag legt, kann das Warten auf die nächste geplante Sensibilisierungskampagne – die möglicherweise erst in einigen Wochen stattfindet – einen Großteil des Kontexts zunichte machen, der das Gelernte ursprünglich relevant gemacht hat. Wo immer möglich, können Unternehmen Verhaltens- und Risikosignale nutzen, um Schulungsmaßnahmen zeitnah zu dem Moment auszulösen, in dem sie benötigt werden. Das kann zusätzliche Unterstützung im Anschluss an eine Phishing-Simulation, gezielte Inhalte als Reaktion auf eine aufkommende Bedrohung oder eine Intervention beim Auftreten eines bestimmten Risikomusters bedeuten. Dies erleichtert es den Mitarbeitern, die Schulung mit der Situation in Verbindung zu bringen, auf die sie abzielt.

5. Behalten Sie die Grundausbildung bei und bauen Sie darauf gezielte Maßnahmen auf: Nicht jede Schulung muss individuell angepasst werden. Unternehmen benötigen nach wie vor ein Kernprogramm, das Richtlinien, grundlegende Sicherheitsverhaltensweisen, gesetzliche Anforderungen und Bedrohungen abdeckt, die die gesamte Belegschaft betreffen. Dies bildet eine Grundlage. Auf dieser Grundlage können gezielte Maßnahmen ansetzen, um Mitarbeiter, Funktionen oder Abteilungen zusätzlich zu unterstützen, bei denen Risikosignale darauf hindeuten, dass dies den größten Nutzen bringt. So entsteht ein ausgewogeneres Modell: Jeder erhält die Sicherheitsschulung, die er benötigt, ohne davon auszugehen, dass für alle dieselben Maßnahmen erforderlich sind.

6. Messen Sie das Verhalten, nicht nur die Aktivität: Unternehmen müssen erkennen, ob eine gezielte Ansprache tatsächlich etwas bewirkt. Abschlussquoten, die Reichweite von Kampagnen und die Klickrate bei Phishing-Angriffen sind zwar nützliche Kennzahlen, liefern jedoch nur einen Teil des Gesamtbildes. Sicherheitsteams müssen zudem wissen, wie sich das Verhalten im Laufe der Zeit verändert, wo sich Risiken konzentrieren und ob bestimmte Maßnahmen zu besseren Ergebnissen führen. Das bedeutet, Sensibilisierungsmaßnahmen mit Risikodaten zu verknüpfen, anstatt jede Kampagne isoliert zu betrachten. Der Wunsch nach diesem Wandel ist vorhanden. 81 % der CISOs stimmen zu, dass eine bessere Zielgruppenausrichtung die Lösung ist, während 80 % bereit wären, mehr in Sensibilisierungsinhalte zu investieren, die auf bestimmte Rollen und Risikoprofile zugeschnitten sind. Das Ziel besteht nicht unbedingt darin, den Mitarbeitern weniger Inhalte zur Sicherheitssensibilisierung zukommen zu lassen. Vielmehr geht es darum, sicherzustellen, dass die Maßnahmen, die sie erhalten, einen sinnvollen Grund haben.

Wie MetaCompliance dazu beiträgt, die Sicherheitssensibilisierung gezielter zu gestalten

Der Übergang zu einem gezielteren Ansatz erfordert mehr als nur die Erstellung zusätzlicher Varianten desselben Schulungsinhalts. Sicherheitsteams benötigen Einblick in menschliche Cyberrisiken, die Fähigkeit zu erkennen, wo sich diese Risiken konzentrieren, sowie praktische Möglichkeiten, darauf zu reagieren.

Unser Plattform für Human Risk Management Plattform vereint diese Funktionen und kombiniert adaptive sowie maßgeschneiderte Schulungen zum Thema Cybersicherheit, fortgeschrittene Phishing-Simulationen, Erkenntnisse zum Nutzerverhalten sowie Echtzeit-Risikoinformationen sowie automatisierte Maßnahmen. Dies hilft Unternehmen dabei, die am stärksten gefährdeten Personen zu identifizieren, die Gründe dafür zu verstehen und gezielte Unterstützung zu leisten, bevor riskantes Verhalten zu einem Vorfall führt.

Anstatt sich in erster Linie auf pauschale Kampagnen als Mittel zur Bewältigung menschlicher Risiken zu verlassen, können Sicherheitsteams Rollen- und Risikoinformationen nutzen, um Schulungen individuell anzupassen, relevantere Phishing-Simulationen durchzuführen und Maßnahmen auf der Grundlage der entscheidenden Verhaltensweisen zu automatisieren. Zudem können sie sich ein klareres Bild von den menschlichen Risiken im gesamten Unternehmen verschaffen, was ihnen dabei hilft, Ressourcen zu priorisieren und aufzuzeigen, wie sich ihr Programm im Laufe der Zeit weiterentwickelt.

Mit mehr als 20 Jahren Erfahrung im Bereich der Sensibilisierung für Cybersicherheit und über neun Millionen Nutzern weltweit unterstützen wir Unternehmen dabei, auf ihren bestehenden Sensibilisierungsprogrammen aufzubauen und einen gezielteren, messbaren Ansatz für das Risikomanagement im Zusammenhang mit menschlichen Faktoren zu entwickeln.

Möchten Sie erfahren, in welche Richtung sich Ihr derzeitiger Ansatz weiterentwickeln könnte? Laden Sie unseren Bericht „Rethinking Human Cyber Risk“ und erfahren Sie, was uns 200 CISOs aus Großbritannien, Frankreich, Deutschland und Schweden über die Zukunft des Sicherheitsbewusstseins und des menschlichen Risikomanagements berichtet haben.

Oder vereinbaren Sie eine Vorführung, um zu erfahren, wie personalisiertes Lernen, Phishing-Simulationen, Erkenntnisse zum Nutzerverhalten, Echtzeit-Risikoinformationen und automatisierte Maßnahmen Ihnen dabei helfen können, die richtigen Personen zum richtigen Zeitpunkt mit der richtigen Unterstützung anzusprechen.