Schulung und Verhalten sind nicht dasselbe.
Mitarbeiter können die richtige Antwort in einem Lernmodul kennen und unter Zeitdruck trotzdem anders handeln. Deshalb sollte Awareness nicht nur Wissen vermitteln, sondern typische Entscheidungssituationen trainieren.
Dazu gehören verdächtige Anhänge, ungewöhnliche Login-Seiten, Zahlungsänderungen und Anfragen nach vertraulichen Informationen.
Kurze Einheiten sind leichter in den Alltag integrierbar.
Statt einer langen Jahresschulung können mehrere kurze Einheiten über das Jahr verteilt werden. Themen lassen sich an aktuelle interne Veränderungen anpassen, ohne Mitarbeiter mit allgemeinen Inhalten zu überladen.
Die Inhalte sollten für Büro, Verwaltung, Technik oder Führung jeweils relevant sein.
Phishing-Simulationen brauchen Auswertung.
Eine Simulation ist kein Selbstzweck und kein Mitarbeitertest. Sie soll zeigen, welche Angriffsmuster besonders überzeugend wirken und an welchen Stellen zusätzliche Unterstützung sinnvoll ist.
Wichtig ist deshalb die Auswertung auf Muster und Prozesse. Einzelne Mitarbeiter öffentlich bloßzustellen verschlechtert dagegen die Meldekultur.
Melden muss einfach sein.
Eine gute Security Awareness erklärt nicht nur, woran eine verdächtige Nachricht erkannt wird. Sie legt auch fest, wohin sie gemeldet wird und was danach passiert.
Je einfacher der Meldeweg ist, desto früher kann die IT ähnliche Nachrichten prüfen und gegebenenfalls weitere Empfänger warnen.
Zielgruppen unterscheiden.
Ein Administrator begegnet anderen Angriffsmustern als ein Mitarbeiter im Vertrieb oder in der Buchhaltung. Schulungen werden relevanter, wenn sie typische Arbeitsabläufe der jeweiligen Rolle aufgreifen.
Führungskräfte benötigen zusätzlich ein Verständnis dafür, welche organisatorischen Entscheidungen die Sicherheitskultur fördern oder behindern.
Erfolg nicht nur an Klickquoten messen.
Eine einzelne Klickquote aus einer Phishing-Simulation sagt wenig über die gesamte Sicherheitslage aus. Ebenso wichtig sind Melderate, Reaktionszeit und die Frage, ob Mitarbeiter den vorgesehenen Meldeweg kennen.
Mehrere Kennzahlen über längere Zeit zeigen besser, ob sich Verhalten und Prozesse tatsächlich verbessern.
Positive Rückmeldung stärkt die Meldekultur.
Wer eine verdächtige Nachricht korrekt meldet, sollte wissen, dass die Meldung angekommen und sinnvoll war. Eine kurze Rückmeldung fördert das gewünschte Verhalten stärker als reine Fehlerstatistiken.
Das Ziel ist eine Umgebung, in der Mitarbeiter früh melden, auch wenn sie sich nicht sicher sind.
Awareness mit technischen Maßnahmen verbinden.
Wenn in Übungen immer wieder derselbe Angriffstyp erfolgreich ist, sollte nicht ausschließlich mehr geschult werden. Möglicherweise lassen sich Mailfilter, Freigabeprozesse oder Benutzerrechte verbessern.
Awareness liefert damit Hinweise für technische und organisatorische Maßnahmen und ist nicht von ihnen getrennt zu betrachten.