Cyberangriffe sind so weit verbreitet, dass sie regelmäßig in den nationalen Nachrichten erscheinen. Es gibt viele Gründe, warum Betrugsversuche und Cyberkriminalität stark zugenommen haben. Dennoch sind die Manipulation und das Social Engineering unserer Mitarbeiter sowie der von ihnen genutzten Software ein typischer Ausgangspunkt für diese Angriffe.
Unternehmen weltweit arbeiten daran, eine Sicherheitskultur aufzubauen, um dem menschlichen Faktor bei Cyberangriffen entgegenzuwirken. Wenn Ihr Unternehmen jedoch diese „Sicherheit geht vor“-Denkweise erst noch entwickeln muss und Bedrohungen sowie Schwachstellen Ihr Unternehmen zunehmend gefährden, müssen Sie sich fragen: Kann eine gute Cybersicherheitsschulung eine schlechte Cybersicherheitskultur ändern?
Anzeichen für eine mangelhafte Cybersicherheitskultur und Möglichkeiten, diese zu beheben
Eine mangelhafte Cybersicherheitskultur weist eindeutige Warnzeichen auf, auf die Sie achten sollten. Im Folgenden finden Sie einige der offensichtlichsten Anzeichen sowie Maßnahmen, mit denen sich eine mangelhafte Cybersicherheitskultur mithilfe bewährter Schulungsmethoden verbessern lässt:
Viel Gerede, aber keine Taten
Eine Sicherheitskultur durchdringt das Unternehmen sowohl von oben nach unten als auch von unten nach oben. Jeder muss dazu ermutigt werden, Teil eines größeren Ganzen zu sein und auf ein gemeinsames Ziel hinzuarbeiten, bei dem Sicherheit ernst genommen wird. Jeder – von der Geschäftsleitung bis hin zu den Aushilfskräften – sollte verstehen, was es bedeutet, Sicherheit an erste Stelle zu setzen, und genau wissen, wie dies umgesetzt wird.
Es wird sich nichts ändern, wenn Ihr Unternehmen zwar über Sicherheit spricht, aber keine praktischen Maßnahmen zur Abwehr von Bedrohungen anbietet. Indem Sie Ihren Mitarbeitern erklären, wie sie sich sicher verhalten können, sind diese in der Lage, bei Cyberangriffen wie Phishing-E-Mails oder Social-Engineering-Vorfällen richtig zu reagieren.
So lassen sich Worte in Taten umsetzen: Um Worte in Taten umzusetzen, muss die Unternehmensleitung konkrete Maßnahmen ergreifen, um die Sicherheitsbemühungen zu unterstützen. Dies erfordert eine positive, kontinuierliche Sicherheitsschulung im gesamten Unternehmen, durch die den Mitarbeitern die notwendigen Mittel an die Hand gegeben werden, um die Sicherheitsbemühungen des Unternehmens zu unterstützen.
Eine Kultur der Schuldzuweisung statt der Sicherheit
Das „Schwarzer-Peter-Spiel“ ist eine toxische und schädliche Kultur, die bei Cyberangriffen schnell entstehen kann, insbesondere wenn diese wiederholt auftreten. Es ist leicht, mit dem Finger auf Mitarbeiter zu zeigen und ihnen die Schuld für Pannen zu geben, wie beispielsweise das Öffnen einer potenziell bösartigen E-Mail. Je häufiger jedoch mit dem Finger gezeigt wird, desto mehr verschlechtert sich die allgemeine Stimmung in Bezug auf das Sicherheitsverhalten.
Darüber hinaus ist dieses Schuldzuweisungsverhalten ebenso schädlich wie das Anklicken eines Phishing-Links, da es ein Klima des Misstrauens schafft und unsachgemäßes Sicherheitsverhalten fördert.
Beenden Sie das gegenseitige Schuldzuweisen durch offene Kommunikation: Sündenbockdenken und Schuldzuweisungen sind das Gegenteil einer guten Cybersicherheitskultur. Arbeiten Sie stattdessen daran, Vertrauen aufzubauen, sodass sich ein Mitarbeiter, der einen Fehler begeht, wohl dabei fühlt, dieses Missgeschick offenzulegen. Eine gute Sicherheitskultur erfordert gute Kommunikation. Wenn ein Mitarbeiter die IT-Abteilung über einen Sicherheitsfehler informiert, wie beispielsweise die versehentliche Offenlegung sensibler Daten, kann das Team schneller handeln, um die Gefährdung der Daten zu mindern.
Die Signale der Kennzahlen ignorieren
Wenn eine Sicherheitskultur aus dem Ruder läuft, zeigt sich das Problem in den Schwachstellenkennzahlen des Unternehmens: Der menschliche Faktor in der Cybersicherheit ist allgemein anerkannt, was durch erschreckende Statistiken wie die Tatsache belegt wird, dass 82 % aller Cyberangriffe eine menschliche Komponente beinhalten. Menschliches Versagen tritt auf, wenn Menschen sich nicht bewusst sind, wie ihre Handlungen zu Datenlecks führen oder ein Unternehmen gefährden können. Wenn Sie also einen Anstieg potenzieller oder tatsächlicher Sicherheitsverletzungen feststellen, lässt sich dies möglicherweise auf Mitarbeiter und andere Personen außerhalb des Unternehmens zurückführen.
Kennzahlen sind Ihr Verbündeter: Nutzen Sie die Kennzahlen aus Schulungsprogrammen zur Sensibilisierung für Sicherheitsfragen und aus simulierten Phishing-Programmen, um Problembereiche zu identifizieren. Anhand dieser Kennzahlen können Sie die Schulungen so anpassen, dass sie effektiver werden. Darüber hinaus lassen sich die Schulungen je nach Rolle anpassen, um den Fokus auf bestimmte Schwachstellen zu legen.
Mit einem Ohr rein, mit dem anderen wieder raus
Eine ineffektive Sicherheitskultur kann zu ineffizientem Lernen im Bereich Sicherheit führen. Langweilige, sich ständig wiederholende Schulungsinhalte im Stil von Frontalunterricht können Mitarbeiter abschrecken und Ihre Chancen auf den Aufbau einer robusten Sicherheitskultur beeinträchtigen.
Aktives Lernen findet statt, wenn Menschen sich engagieren und auf emotionaler Ebene eine Verbindung zum Lernstoff herstellen können. Wenn Sie beispielsweise keine bewährten Inhalte zur Sensibilisierung für Sicherheitsfragen bereitstellen, könnte es sein, dass die Informationen auf einem Ohr rein- und auf dem anderen wieder rausgehen, sodass die Mitarbeiter wichtige Lernerfahrungen vergessen und ihr unsachgemäßes Sicherheitsverhalten unverändert bleibt.
Anregendes Material wirkt Wunder: Stellen Sie anregende Lernmaterialien bereit, die bei Ihren Mitarbeitern Anklang finden. Setzen Sie bedarfsorientierte Schulungen ein, damit die Mitarbeiter während der Schulung lernen und dazu beitragen, unerwünschte Verhaltensweisen durch positive zu ersetzen. Ansprechendes Material bleibt den Mitarbeitern im Gedächtnis und fördert jene „Sicherheit geht vor“-Einstellung, die für die Festigung einer Sicherheitskultur erforderlich ist.
Die Ausbildung ist nicht praxisnah
Kulturen jeglicher Art basieren auf Vertrauen und Kommunikation. Eine schlechte Sicherheitskultur kann entstehen, wenn Mitarbeiter ihre Bedenken oder Probleme nicht mit ihren Vorgesetzten besprechen. Das Problem tritt auf, wenn sich eben diese Vorgesetzten von der Sicherheitskultur abgekoppelt fühlen. Dies kann passieren, wenn Schulungsprogramme die Führungsebene außer Acht lassen oder wenn die Schulungsunterlagen nicht auf bestimmte Abteilungen und Rollen zugeschnitten sind.
Verknüpfung von Rollen und Abteilungen:
- Bauen Sie Beziehungen auf und überwinden Sie Barrieren bei der Entwicklung von Sicherheitsschulungsprogrammen, indem Sie Kampagnen auf bestimmte Rollen zuschneiden.
- Beziehen Sie alle Mitarbeiter in die Schulungen ein; jeder in einer Organisation leistet seinen Beitrag zum Unternehmen, und jeder muss Teil der Sicherheitskultur sein.
- Setzen Sie Schulungsmaterialien ein, die durch gemeinsame Schulungsveranstaltungen – wie beispielsweise Spiele im Stil eines Escape Rooms – den Zusammenhalt zwischen der Unternehmensleitung und den Mitarbeitern stärken.
Mangelndes Engagement
Kulturen entfalten sich, wenn alle einbezogen werden. Menschen sind soziale Wesen, und prosoziales Verhalten trägt zum Aufbau solider und kooperativer Gemeinschaften bei. Wenn Sie nicht alle Mitarbeiter in Ihre Schulungen zur Sicherheitssensibilisierung einbeziehen, bilden sich Gruppen, deren Sicherheitsverhalten schlechter ist als das derjenigen, die die Schulung absolviert haben. Eine mangelnde Einbindung einiger Mitarbeiter beeinträchtigt die Entwicklung einer geschlossenen Sicherheitskultur und -gemeinschaft.
Zuhören und lernen: Wenn Sie Ihren Mitarbeitern zuhören, können Sie ein Gemeinschaftsgefühl und Vertrauen aufbauen. Verfolgen Sie eine Politik der offenen Tür, um Beziehungen zu knüpfen, was zu besseren Sicherheitsmaßnahmen führt. Hören Sie zu und lernen Sie dazu; beziehen Sie die Mitarbeiter mithilfe von Initiativen wie der jährlichen Woche zur Sensibilisierung für Cybersicherheit in Schulungen zur Sicherheitssensibilisierung ein. Gute Zuhörfähigkeiten sind eine hervorragende Strategie zur Mitarbeiterbindung. Sie tragen zudem dazu bei, einen Gemeinschaftsgeist zu entwickeln, der für den Aufbau einer robusten und effektiven Sicherheitskultur unerlässlich ist.
Es gibt ein Sprichwort, das Sie zweifellos schon einmal gehört haben: „Gemeinsam stehen wir, getrennt fallen wir.“ Dieser Spruch bringt die Bedeutung der Zusammenarbeit zur Erreichung eines gemeinsamen Ziels auf den Punkt; auf diese Weise wird „das Ganze größer als die Summe seiner Teile“. Schulungen zur Sicherheitssensibilisierung sollten die gesamte Unternehmensgemeinschaft einbeziehen und Brücken schlagen, die auf gemeinsamen Erfahrungen und Anliegen beruhen. Durch die Bereitstellung eines unterhaltsamen, ansprechenden und informativen Schulungsprogramms zur Sicherheitssensibilisierung kann Ihr Unternehmen jene schwer fassbare, aber unverzichtbare Sicherheitskultur schaffen.