Technische Massnahmen verhindern viel, aber nicht alles. Ein grosser Teil erfolgreicher Angriffe beginnt mit einer Handlung eines Menschen: ein Klick, eine Anmeldung, eine Zahlung. Security-Awareness setzt dort an, ohne Mitarbeitende zum Sicherheitsrisiko zu erklären.
Was wirkt
Kurze, regelmässige Einheiten wirken besser als eine lange Schulung pro Jahr. Inhalte sollten an den Alltag der jeweiligen Rolle anknüpfen: Die Buchhaltung braucht etwas anderes als die Entwicklung oder der Empfang. Konkrete Beispiele aus dem eigenen Unternehmen, etwa eine abgewehrte Phishing-Mail der letzten Woche, bleiben besser haften als allgemeine Warnungen.
Phishing-Simulationen
Simulierte Phishing-Mails zeigen, wie gut Mitarbeitende Angriffe erkennen. Sie sind sinnvoll, wenn sie fair eingesetzt werden: angekündigt als Teil des Programms, ohne Blossstellung einzelner Personen, mit sofortiger Erklärung beim Klick und mit Fokus darauf, wie viele Personen die Mail melden, nicht nur, wie viele klicken. Datenschutz und Mitarbeitervertretung sind früh einzubeziehen.
Melden belohnen
Die wichtigste Kennzahl ist nicht die Klickrate, sondern wie schnell verdächtige Nachrichten gemeldet werden. Wer einen Fehler sofort meldet, ermöglicht eine Reaktion, bevor Schaden entsteht. Das gelingt nur in einer Kultur, in der eine Meldung Dank auslöst und keine Rüge.
Einbettung
Awareness ergänzt technische Massnahmen wie MFA und Prozesse wie das Vier-Augen-Prinzip, ersetzt sie aber nicht. Für Organisationen unter der ISG-Meldepflicht gehört dazu, dass alle wissen, wem sie einen möglichen Angriff sofort melden. Die Übung des Ernstfalls ist Teil unseres Cyber-Readiness-Checks.