Inhalte
| Thema | Beispiel |
|---|---|
| Phishing | gefälschte Rechnungen, Paketmails, Microsoft-Anmeldeseiten erkennen |
| CEO-Fraud | Eilüberweisungen, geänderte Bankverbindungen prüfen |
| Telefonbetrug | angeblicher Support, angebliche Bank |
| Passwörter und MFA | Passwortmanager, keine Weitergabe, MFA-Anfragen nicht blind bestätigen |
| Umgang mit Daten | Freigaben, USB-Sticks, Ausdrucke |
| Mobil und Homeoffice | WLAN, Bildschirmsperre, Diensthandy |
| Meldeweg | wem melde ich was, ohne Angst vor Ärger |
Formate
| Format | Stärke |
|---|---|
| Kurze E-Learnings | regelmäßig, flexibel, messbar |
| Präsenzschulung | Fragen, Beispiele aus dem eigenen Betrieb |
| Phishing-Simulation | realistisches Üben, Fortschritt sichtbar |
| Kurzmeldungen | aktuelle Maschen zeitnah teilen |
Pflicht unter NIS2
Für Unternehmen unter NIS2 gehören grundlegende Schulungen und Sensibilisierungsmaßnahmen zur Informationssicherheit ausdrücklich zu den Pflichtmaßnahmen.[1] Die Geschäftsleitung muss zudem selbst regelmäßig an Schulungen teilnehmen.[2]
Was wirklich wirkt
- Regelmäßig statt einmal: kurze Einheiten über das Jahr verteilt.
- Eigene Beispiele: echte, entschärfte Fälle aus dem Unternehmen.
- Meldekultur: Melden wird gelobt, nicht bestraft, auch nach einem Klick.
- Messen: Melde- und Klickrate aus Simulationen verfolgen.
- Chefsache: Geschäftsführung nimmt sichtbar teil.
Beispiel aus der Praxis
Ein Großhandel startet mit einer Phishing-Simulation: 28 % der Mitarbeitenden klicken, nur 4 % melden die Mail. Nach einem Jahr mit monatlichen Fünf-Minuten-Lektionen und vierteljährlichen Simulationen klicken noch 6 %, und über die Hälfte meldet verdächtige Mails über den Melde-Knopf in Outlook. Eine echte Phishing-Welle wird dadurch innerhalb von Minuten erkannt und gestoppt.
Kurz gesagt
Security Awareness Training macht Mitarbeitende fit, Angriffe zu erkennen und richtig zu reagieren. Wirksam ist es regelmäßig, praxisnah und mit einer Kultur, in der Melden ausdrücklich erwünscht ist; unter NIS2 ist es Pflicht.
Weiterlesen: Mitarbeiter gegen Phishing sensibilisieren, Cyberangriff auf die Firma verhindern