Die meisten KMU, die ihre Teams schulen, tun dies einmal im Jahr, an einem halben Tag, mit einer externen Referentin oder einem externen Referenten und viel gutem Willen. Drei Monate später bleibt fast nichts übrig. Das ist kein Problem der Motivation oder der Qualität der Referentin oder des Referenten. Es ist ein Problem des Formats.
Ein wirksames Sensibilisierungsprogramm braucht weder eine Schulungsabteilung noch ein grosses Budget. Es braucht Regelmässigkeit, jeweils ein Thema, und eine ehrliche Art zu prüfen, ob es etwas bewirkt.
Warum funktioniert die einmalige Jahressitzung nicht?
Eine nur einmal erhaltene Information verblasst schnell. Das gilt für jede Art von Lernen, und besonders für Anweisungen, die nicht täglich angewendet werden. Einige Wochen nach der Sitzung erinnert sich die Mitarbeiterin oder der Mitarbeiter daran, dass man «auf seltsame E-Mails achten» soll, aber nicht mehr an die konkreten Signale, die eine legitime Nachricht von einem Phishing-Versuch unterscheiden.
Das Format selbst verschärft das Problem. Drei Stunden am Stück zu einem Dutzend Themen erzeugen eine Sättigung. Man erinnert sich an den Anfang, ein wenig an das Ende, und an nichts aus der Mitte.
Bei gleichem Gesamtaufwand erzeugen fünf über das Jahr verteilte Zwanzig-Minuten-Einheiten eine deutlich dauerhaftere Wirkung als eine einzige zweistündige Sitzung. Nicht die Menge der Information zählt, sondern wie oft das Thema wiederkehrt. Jede Erinnerung reaktiviert, was bereits zu verblassen begann.
Es gibt einen zweiten, strategischeren Grund. Die Angriffsmethoden entwickeln sich im Laufe des Jahres weiter. Eine jährliche Schulung beschreibt die Lage, wie sie vor elf Monaten war. Ein Programm, das regelmässig wiederkehrt, erlaubt es, einzubeziehen, was gerade aktuell im Umlauf ist, einschliesslich der Versuche, die Ihr eigenes Unternehmen erhalten hat.
Welches Format ist für ein KMU realistisch?
Das Format, das sich langfristig durchsetzt, ist bewusst bescheiden: fünfzehn bis dreissig Minuten, vier- bis sechsmal im Jahr, jeweils zu einem einzigen Thema.
Drei Grundsätze machen es ohne Schulungsabteilung umsetzbar.
Ein einziges Thema pro Einheit. Phishing und Passwörter am selben Tag zu behandeln verwässert beides. Eine Einheit, eine Botschaft, eine zu merkende Handlung.
Ein bereits bestehender Moment. Binden Sie die Einheit an eine Teamsitzung, einen monatlichen Rapport oder ein Briefing an. Einen neuen Termin im Kalender zu schaffen ist der sicherste Weg, ihn im ersten arbeits- reichen Quartal gestrichen zu sehen.
Beispiele aus dem eigenen Unternehmen. Die wirksamste Botschaft ist ein echter, vom Unternehmen erhaltener und anonymisierter Versuch, der an die Wand projiziert wird. Er trägt die Namen Ihrer Lieferanten, Ihr Vokabular, Ihre Beträge. Kein generisches Beispiel hat diese Kraft.
Planen Sie zudem eine Einführungseinheit für jede neue Person. Eine zehnminütige Sensibilisierung beim Eintritt ist mehr wert, als acht Monate auf die nächste gemeinsame Sitzung zu warten.
Ein einsatzbereites Jahresprogramm
Die Reihenfolge der Themen ist nicht beliebig. Man beginnt mit dem häufigsten Einfallstor, geht dann zu dem über, was Konten schützt, und schliesslich zu Angriffen, die direkt auf Geld zielen.
| Zeitraum | Thema | Zu vermittelnde Botschaft | Material |
|---|---|---|---|
| Januar | Phishing | Eine Nachricht erkennen, die zum Klicken unter Druck verleiten will | Echte, vom Unternehmen erhaltene Versuche |
| März | Passwörter und Zwei-Faktor-Authentifizierung | Ein einzigartiges Passwort pro Dienst, und ein zweiter Nachweis für sensible Zugänge | Vorführung des internen Passwort-Managers |
| Mai | CEO-Betrug | Jede Zahlungsanfrage oder Änderung von Kontoangaben wird über einen anderen Kanal überprüft | Szenario, das in der Sitzung laut durchgespielt wird |
| September | Personendaten | Was vertraulich ist, wo es gespeichert wird, was nicht per E-Mail verschickt werden darf | Beispiele interner Dokumente |
| November | Der Reflex des Zweifelns | Wen man informiert, wie, und weshalb eine Meldung nie sanktioniert wird | Erinnerung an das Vorgehen, auf einer A4-Seite |
Dieser Kalender ist ein Ausgangspunkt, keine Norm. Ein Unternehmen, das viele Zahlungen abwickelt, wird die Einheit zum CEO-Betrug vorziehen. Ein Unternehmen, das gerade einen Phishing-Versuch erlebt hat, behandelt das Thema in der folgenden Woche, solange es für alle noch konkret ist.
Jedes Thema entspricht einer Bedrohung, die anderswo auf dieser Website ausführlich behandelt wird, was Ihnen Material für die Vorbereitung der Einheit liefert: Phishing, CEO-Betrug und Social Engineering.
An die Tätigkeit anpassen, sonst geht die Hälfte der Wirkung verloren
Eine für das ganze Unternehmen identische Sitzung geht von einer löblichen Absicht aus und erzielt ein durchschnittliches Ergebnis. Mitarbeitende sind je nach ihrer Funktion nicht denselben Angriffen ausgesetzt.
Die Buchhaltung erhält dringende Zahlungsanfragen, Änderungen der Bankangaben von Lieferanten, veränderte Rechnungen. Sie ist die Funktion, die am direktesten von CEO-Betrug betroffen ist.
Verkaufspersonal und Geschäftsleitung legen ihre Adresse, ihre Funktion und ihre Reisetätigkeit öffentlich offen. Sie erhalten personalisierte Nachrichten, die auf echten, online gefundenen Informationen aufbauen.
Produktions- oder Werkstattteams nutzen oft gemeinsam genutzte Arbeitsplätze, Tablets auf der Baustelle, manchmal vernetzte Geräte. Ihr Risiko liegt eher bei gemeinsam genutzten Zugängen und USB-Sticks als bei gezielten E-Mails.
Typisches Szenario. Ein KMU mit zwanzig Personen behält seine fünf gemeinsamen Einheiten und fügt zwanzig Minuten hinzu, die der Buchhaltung vorbehalten sind: eine Übung, bei der die verantwortliche Person eine gefälschte Lieferanten-E-Mail laut vorliest, die eine neue IBAN-Nummer ankündigt. Das Team beschreibt, was es tun würde. Die daraus entstehende Regel passt in einen Satz, sie wird aufgeschrieben und ausgehängt: Jede Änderung von Bankangaben wird telefonisch bestätigt, unter der Nummer, die wir bereits hatten.
Was muss wirklich gemessen werden?
Hier irren sich die meisten Programme. Man misst die Anzahl geschulter Personen, weil sie leicht zu zählen ist. Diese Kennzahl sagt nichts aus: Sie misst Anwesenheit, nicht Verhalten.
Drei Kennzahlen sind deutlich aussagekräftiger.
Die Anzahl Meldungen, die steigen soll. Ein Anstieg intern gemeldeter verdächtiger Nachrichten ist ein gutes Zeichen, kein schlechtes. Er bedeutet, dass Mitarbeitende aufmerksam sind und es wagen, es zu sagen. Ein Unternehmen, in dem nie jemand etwas meldet, ist kein verschontes Unternehmen, sondern ein blindes.
Die Meldefrist. Zwischen dem Moment, in dem jemand klickt, und dem Moment, in dem er es sagt, vergehen Stunden oder Tage. Diese Frist bestimmt unmittelbar das Ausmass des Schadens. Sie von einer Woche auf eine Stunde zu verkürzen, ist mehr wert als jede Teilnahmequote.
Der Anteil falscher Alarme. Mitarbeitende, die manchmal völlig legitime Nachrichten melden, sind kein Problem, sondern ein Zeichen aktiver Wachsamkeit. Das Gegenteil verdient Aufmerksamkeit.
Um diese drei Kennzahlen zu erhalten, ohne auf einen echten Angriff zu warten, gibt es ein Instrument: Phishing-Simulationen, nützlich unter der Bedingung, dass man die Meldequote genauso misst wie die Klickquote, und niemals namentliche Ergebnisse veröffentlicht.
Eine einfache gemeinsam genutzte Tabelle mit Datum, Art der Nachricht und Frist zwischen Erhalt und Meldung reicht aus, um die Entwicklung über ein Jahr zu verfolgen. Es ist das kostengünstigste Messinstrument, das es gibt, und das einzige, das Ihnen sagt, ob Ihr Programm etwas verändert, statt nur, ob es befolgt wurde.
Welche kostenlosen Ressourcen sollten genutzt werden?
Sie müssen nicht alles selbst erstellen.
Die nationale Kampagne S-U-P-E-R, getragen von der Eidgenossenschaft und ihren Präventionspartnern, bietet französischsprachige Unterlagen an, die um vier Handlungen strukturiert sind: aktualisieren, sichern, Zugänge schützen und bei Nachrichten aufmerksam bleiben. Das Format ist kurz und direkt in einer Sitzung projizierbar.
Das KMU-Portal des Bundes bündelt für Unternehmen bestimmte Merkblätter, und das Nationale Zentrum für Cybersicherheit veröffentlicht regelmässig Beispiele laufender Angriffe in der Schweiz, die sich wegen ihrer Aktualität ausgezeichnet als Material für eine Einheit eignen. iBarry bietet Sensibilisierungsinhalte für die breite Öffentlichkeit, die sich unverändert weiterverwenden lassen.
Diese Unterlagen müssen trotzdem von jemandem zusammengestellt und vermittelt werden. Für Unternehmen, die einen bereits fertigen Kurs bevorzugen, bereiten wir Online-Schulungen für KMU der Romandie vor.
Ohne die Geschäftsleitung kommt die Botschaft nicht an
Das ist der Faktor, der den Unterschied macht zwischen einem Programm, das mitgetragen, und einem, das nur ertragen wird. Nimmt die Geschäftsführung nicht an den Einheiten teil, versteht jede und jeder, dass das Thema zweitrangig ist, und verhält sich entsprechend.
Die Teilnahme der Geschäftsleitung sendet drei Botschaften gleichzeitig: Das Thema zählt, die Regeln gelten für alle, und eine Fehlermeldung wird nicht sanktioniert. Dieser letzte Punkt ist entscheidend. CEO-Betrug funktioniert gerade deshalb, weil eine Mitarbeiterin oder ein Mitarbeiter sich nicht traut, einer Anfrage zu widersprechen, die von oben zu kommen scheint. Eine Geschäftsführung, die öffentlich sagt «wenn Sie eine dringende Anfrage von mir erhalten, überprüfen Sie sie, selbst wenn es wirklich ich bin», nimmt dem Angreifer den wesentlichen Hebel. Was diese Botschaft langfristig bewirkt, und welche Reflexe der Geschäftsleitung sie ungewollt zunichtemachen, erläutert unser Artikel zur Sicherheitskultur ohne Schuldzuweisung.
Sorgen Sie schliesslich dafür, dass die Geschäftsleitung das Programm zu Beginn des Jahres ankündigt und einmal jährlich die Meldekennzahlen kommuniziert. Ein Team, das sieht, dass seine Meldungen zu etwas dienen, meldet weiterhin.
Wo die Grenze dessen liegt, was Sie allein tun können
Alles Vorangehende liegt in Ihrer Reichweite, ohne Budget und ohne Schulungsabteilung. Ein so aufgebautes Programm schliesst bereits einen grossen Teil der automatisierten Versuche aus, und vor allem verwandelt es Ihre Mitarbeitenden in ein Erkennungssystem.
Zwei Grenzen bleiben bestehen. Die erste betrifft die Anpassung: zu wissen, welche Angriffe Ihr Unternehmen wirklich betreffen, setzt die Kenntnis Ihrer Zahlungsflüsse, Ihrer Dienstleister und Ihrer sensiblen Daten voraus, was kein generisches Programm erahnen kann. Die zweite betrifft die Messung: ehrlich zu beurteilen, ob ein Programm das Verhalten verändert, ist schwierig, wenn man es selbst entworfen hat, da man von sich aus das misst, was die eigenen Erwartungen bestätigt.
Dieses Programm bildet eine solide Grundlage. Es ersetzt keinen Aussenblick auf Ihre eigenen Risiken und die tatsächliche Wirkung Ihrer Einheiten. Um Ihr aktuelles Niveau einzuordnen, widmet der Cyber-Check-up mehrere Fragen der Schulung der Teams. Die weiteren Bereiche sind im Themenbereich Mitarbeitende schulen zusammengefasst, und die technischen Massnahmen, die die Sensibilisierung begleiten, in den 10 wesentlichen Massnahmen.