Beschäftigte sensibilisieren
Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am
Der häufigste Einstieg in ein Unternehmensnetz führt über einen Menschen, der etwas anklickt, das echt aussieht. Das ist kein Argument gegen Menschen, sondern eines für Vorbereitung. Angriffe per E-Mail und Telefon sind heute gut gemacht, sprachlich einwandfrei, oft mit Bezug auf echte Vorgänge und echte Namen aus dem Unternehmen.
Sensibilisierung wirkt, wenn sie konkret ist und wenn Melden einfacher ist als Schweigen. Sie wirkt nicht als jährliche Pflichtschulung mit Klickstrecke.
Woran Sie es merken
- Nach einem verdächtigen Klick meldet sich niemand, aus Sorge vor Konsequenzen.
- Schulung findet einmal jährlich statt und behandelt Beispiele, die nach Betrug aussehen.
- Es ist unklar, an wen ein Verdacht gemeldet werden soll und was dann passiert.
- Zahlungsanweisungen per E-Mail werden ohne Rückfrage bearbeitet, wenn der Absender bekannt wirkt.
Warum das passiert
Sicherheitsschulungen werden häufig als Pflichterfüllung gestaltet: einmal im Jahr, für alle gleich, mit allgemeinen Inhalten. Sie erzeugen ein Bewusstsein, das nach zwei Wochen verblasst, und vermitteln ein Bild von Angriffen, das mit der Realität wenig zu tun hat. Gleichzeitig verhindert eine Kultur, in der ein Fehler als Verfehlung gilt, genau das Verhalten, das im Ernstfall zählt: die sofortige Meldung. Zeit ist bei einem erfolgreichen Angriff die entscheidende Größe.
So gehen wir vor
- Reale Muster zeigen. Wir arbeiten mit Beispielen, die zu Ihrem Unternehmen passen: gefälschte Rechnungen Ihrer tatsächlichen Lieferanten, Anfragen im Namen Ihrer Geschäftsführung, Anrufe angeblicher Dienstleister. Diese Beispiele bleiben haften, allgemeine Warnungen nicht.
- Kurz und regelmäßig schulen. Wir setzen auf kurze Einheiten mehrmals im Jahr statt auf eine lange jährliche Schulung, ergänzt um gezielte Inhalte für besonders gefährdete Bereiche wie Buchhaltung, Einkauf, Vertrieb und Personal.
- Meldekultur aufbauen. Wir richten einen einfachen Meldeweg ein, sorgen für eine Rückmeldung an die meldende Person und stellen klar, dass eine Meldung nach einem Klick ausdrücklich erwünscht ist. Führungskräfte müssen das vorleben.
- Wirkung messen und nachsteuern. Wir messen, wie viele Meldungen eingehen und wie schnell, und nutzen Testkampagnen mit Augenmaß. Ziel ist eine steigende Melderate, nicht eine sinkende Klickrate um jeden Preis.
Was Sie davon haben
- Verdachtsfälle, die innerhalb von Minuten gemeldet werden statt gar nicht.
- Beschäftigte, die die Muster erkennen, die tatsächlich verwendet werden.
- Nachweise über durchgeführte Schulungen für Prüfungen und Kunden.
Aus unseren Projekten
Die wichtigste Kennzahl ist nicht, wie viele Personen auf eine Testmail klicken, sondern wie viele sie melden und wie schnell. Ein Unternehmen, in dem zehn Prozent klicken und die Hälfte davon innerhalb weniger Minuten meldet, ist besser aufgestellt als eines mit niedriger Klickrate und keiner einzigen Meldung. Wir richten deshalb zuerst den Meldeweg ein und schulen danach. Der zweite regelmäßige Befund: Testkampagnen ohne vorherige Ankündigung des Verfahrens beschädigen Vertrauen. Wir stimmen sie vorab mit der Geschäftsführung und, wo vorhanden, mit der Arbeitnehmervertretung ab und werten sie ausschließlich anonymisiert aus.
Gut zu wissen
Für Unternehmen im Anwendungsbereich des BSI-Gesetzes ist Schulung Teil der Pflichten, und die Mitglieder der Geschäftsleitung müssen selbst an Schulungen teilnehmen, um Risiken beurteilen zu können. Unabhängig davon verlangt die KI-Verordnung seit dem 2. Februar 2025 in Artikel 4, dass Beschäftigte, die KI-Systeme einsetzen, über ausreichende KI-Kompetenz verfügen. Beide Anforderungen lassen sich in einem Schulungskonzept zusammenführen. Wenn Testkampagnen personenbezogen ausgewertet werden, sind Datenschutz und Mitbestimmung zu beachten, weshalb eine anonymisierte Auswertung der Regelfall sein sollte.
Häufige Fragen
Wie oft sollten wir schulen?
Bewährt hat sich eine kurze Einheit im Quartal, ergänzt um anlassbezogene Hinweise, wenn eine neue Angriffswelle auftritt. Eine einzige lange Schulung pro Jahr erfüllt Dokumentationspflichten, verändert Verhalten aber kaum. Für neue Beschäftigte gehört eine Einheit in die Einarbeitung, und zwar in den ersten Tagen.
Was tun, wenn jemand auf eine Phishing-Mail hereingefallen ist?
Sofort melden lassen, Konto sperren oder Passwort zurücksetzen, betroffene Sitzungen beenden, Geräte prüfen und dokumentieren. Entscheidend ist der Umgang mit der Person: Wer eine Meldung mit Konsequenzen beantwortet, bekommt beim nächsten Mal keine Meldung mehr. Der Fehler ist der Klick, der Schaden entsteht durch die Zeit bis zur Reaktion.
Sprechen wir über Beschäftigte sensibilisieren
Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind.
Weiterführend
Zurück zum Feld Sicherheit und Resilienz