Wie Sie das Cybersicherheitswissen Ihrer Mitarbeitenden mit Awareness-Schulungen steigern

2

5 zentrale Erkenntnisse aus der jüngsten Schulungskampagne von Scality für Mitarbeitende

Der Oktober ist der Cybersecurity Awareness Month – und die Lehren für Arbeitgeber, wie sie vertrauliche Daten und geistiges Eigentum vor Cyberkriminellen schützen, gehen uns alle an. Mitarbeitende darin zu schulen, verdächtiges Verhalten und Bedrohungen zu erkennen, ähnelt in gewisser Weise der Dynamik in einer Familie. Solange unsere Kinder klein sind, hoffen wir, ihnen schmerzhafte Lektionen zu ersparen – vor allem die gefährlichen. Als Erwachsene haben wir die Möglichkeit, uns Rat bei Experten und Gleichgesinnten zu holen, um Fehler zu vermeiden. 

Doch Cybersicherheit ist kein gewöhnliches Problem, das sich nebenbei lösen lässt. 2024 stiegen die durchschnittlichen Kosten einer Datenpanne auf 4,88 Mio. $ – ein deutlicher Anstieg um 10 %, getrieben durch Folgekosten der Behebung und Betriebsunterbrechungen¹. Autsch. Die Angreifer, die Unternehmen weiterhin schaden, finden ständig neue Wege, ihr Vorgehen zu verfeinern.

Wie das Sprichwort sagt: Angriff ist die beste Verteidigung

Ein wichtiger Baustein zur Stärkung der Abwehr eines Unternehmens ist die Vorbereitung auf die ISO-27001-Zertifizierung (auf Englisch), einen international anerkannten Standard für Informationssicherheits-Managementsysteme (ISMS). Bei Scality arbeiten wir aktiv auf die ISO-27001-Zertifizierung hin und konzentrieren uns dabei sowohl auf technische Sicherheitskontrollen als auch auf die Sensibilisierung unserer Mitarbeitenden für Cybersicherheit. 

Durch aktuelle Sensibilisierungs- und Schulungsinitiativen hat das Scality-Team wertvolle Erkenntnisse darüber gewonnen, wie sich das Cybersicherheitswissen und das Engagement der Mitarbeitenden im gesamten Unternehmen steigern lassen. 

In diesem Artikel teilen wir unsere Erkenntnisse – einschließlich der Schulungsergebnisse unserer Mitarbeitenden und der proaktiven nächsten Schritte, die wir unternehmen.

Die Rolle von ISO 27001 bei der Stärkung der Sicherheit

ISO 27001 bietet Unternehmen einen strukturierten Ansatz, um sensible Informationen durch eine Kombination aus Richtlinien, Verfahren und Sicherheitskontrollen zu verwalten und zu schützen. Weltweit sind über 58.000 Organisationen zertifiziert, und viele weitere – wie Scality – streben die Zertifizierung an, um ihr Engagement für Sicherheit zu belegen.

Durch die Einhaltung von ISO 27001 können Unternehmen:

• Risiken managen: Schwachstellen systematisch erkennen und Maßnahmen zum Schutz der Daten umsetzen.
• Das Vertrauen der Kunden stärken: Die Zertifizierung gibt Kunden und Partnern die Gewissheit, dass ihre Informationen sicher sind.
• Kosten von Datenpannen senken: ISO 27001 verbessert die Resilienz und verringert Wahrscheinlichkeit und Auswirkungen von Datenpannen.

Bei Scality ist die Vorbereitung auf ISO 27001 ein unternehmensweites Projekt, das Mitarbeiterschulungen mit umfassenderen Sicherheitskontrollen verbindet. Das Ziel? Eine sicherheitsbewusste Kultur schaffen, in der alle Mitarbeitenden aktiv zum Schutz der Unternehmensdaten beitragen.

Ergebnisse unserer jüngsten internen Schulung zur Cybersicherheit

Im Rahmen unserer Vorbereitung auf die ISO-27001-Zertifizierung hat Scality kürzlich eine Sensibilisierungskampagne durchgeführt, um Mitarbeitende zu verschiedenen kritischen Themen der Cybersicherheit zu schulen, darunter:

• Passwortverwaltung
• Social Engineering
• Ransomware und Phishing
• DSGVO
• Klassifizierung und Verwaltung von Informationen
• Sicherheitsupdates für Laptops
• Backup-Management
• Common Vulnerabilities and Exposures (CVEs)

Die Schulung umfasste eine Reihe kurzer Videos zu diesen Kernthemen, gefolgt von Quizfragen, um das Verständnis der Mitarbeitenden zu messen. Bei Scality haben bisher 90 % der Mitarbeitenden teilgenommen, und 86,5 % haben die Quizfragen mit mindestens 75 % bestanden.

Diese Ergebnisse zeigen eine deutliche Verbesserung bei der Fähigkeit der Mitarbeitenden, Phishing-Versuche und verdächtiges Verhalten zu erkennen und bewährte Sicherheitspraktiken zu befolgen. Vor allem aber erhält unser Sicherheitsteam so Einblicke, in welchen Bereichen Mitarbeitende zusätzliche Schulung und Unterstützung benötigen. 

Bei jeder Mitarbeiterschulung – ob zur Cybersicherheit oder zu anderen Themen – prüfen wir nicht nur die Ergebnisse, sondern achten auch auf Feedback und Hinweise darauf, wo wir den Schulungsprozess verbessern können. 

Die drei häufigsten Herausforderungen für die IT bei der Schulung von Mitarbeitenden

• Mangelndes Engagement der Mitarbeitenden: Mitarbeitende interessieren sich möglicherweise nicht für neue Technologien oder Sicherheitsverfahren und empfinden sie als zusätzliche Belastung zu ihrem ohnehin vollen Arbeitspensum. Das ist besonders schwierig, wenn die Schulung verpflichtend ist.
• Unterschiedliches technisches Fachwissen: Mitarbeitende haben unterschiedliche Kenntnisse und Erfahrungen. Manche kommen mit neuen Technologien sehr gut zurecht, andere brauchen mehr Unterstützung. Das erschwert die Entwicklung von Schulungsprogrammen, die für alle passen.
• Zeitmangel: Mitarbeitende sind oft stark eingebunden und haben möglicherweise keine Zeit für Schulungen oder Onlinekurse. Das kann ein großes Hindernis für eine wirksame IT-Schulung sein.

Um diese Herausforderungen anzugehen, hat unsere IT-Abteilung kürzlich zwei wesentliche Änderungen umgesetzt, um die Wirksamkeit unserer internen Schulungsprogramme zu verbessern:

• Schulungen kurz, relevant und ansprechend gestalten: Schulungen sollten auf die Aufgaben der Mitarbeitenden zugeschnitten und ansprechend sowie interaktiv vermittelt werden.
• Verschiedene Schulungsformate anbieten: Schulungen in unterschiedlichen Formaten anbieten, etwa als Onlinekurse, Präsenzveranstaltungen und praktische Labs.

Fünf zentrale Erkenntnisse, um das Cybersicherheitswissen der Mitarbeitenden zu steigern

Auf Basis unserer internen Maßnahmen und der Erkenntnisse aus der Vorbereitung auf ISO 27001 haben wir einige zentrale Erkenntnisse gewonnen, die auch für Ihr Unternehmen nützlich sein könnten.

1. Regelmäßige Phishing-Simulationen durchführen
   Cyberkriminelle setzen stark auf Phishing-E-Mails, um Mitarbeitende zur Preisgabe sensibler Informationen zu verleiten. Tatsächlich gilt Phishing als eine der häufigsten Methoden, mit denen Cyberkriminelle Datenpannen auslösen. Laut einem Bericht von Verizon aus dem Jahr 2022 (auf Englisch), waren 36 % aller Datenpannen mit Phishing verbunden. Bei Scality führen wir monatliche Phishing-Simulationen durch, um die Reaktionen der Mitarbeitenden in Echtzeit zu testen. Wer auf verdächtige Links klickt, wird zu einer zusätzlichen Schulung zur Cybersicherheit weitergeleitet – so lernen Mitarbeitende aus ihren Fehlern, ohne reale Folgen. 

• Drei Beispiele für Phishing-E-Mails, in denen Betrüger sich mit  vertrautem Branding und vertrauter Sprache als vertrauenswürdige Absender ausgeben, um Opfer zum Klicken auf schädliche Links zu verleiten. Das kann zur Installation von Malware oder zur Preisgabe sensibler Informationen führen.

3. KI-Tools für Schutz in Echtzeit nutzen
   Für regelmäßige Phishing-Simulationen arbeiten wir mit Mantra zusammen, einem Drittanbieter, der Phishing-E-Mails für Schulungen zur Cybersicherheit erstellt. Außerdem nutzen wir das KI-basierte Tool „Smart Banners“ von Mantra (auf Englisch), das Scality-Mitarbeitende in Echtzeit warnt, wenn in eingehenden E-Mails Bedrohungen erkannt werden (auf Basis einer Inhaltsanalyse). Smart Banners helfen Mitarbeitenden, potenziell schädliche E-Mails zu erkennen, bevor sie damit interagieren.

4. Den menschlichen Faktor in den Fokus rücken

Phishing-Bewusstsein: Da Phishing nach wie vor eines der häufigsten Einfallstore für Cyberangriffe ist, sollten Sie simulierte Phishing-Kampagnen nutzen, um Mitarbeitenden beizubringen, verdächtige E-Mails zu erkennen.

Passworthygiene: Betonen Sie die Bedeutung von MFA (Multi-Faktor-Authentifizierung) (auf Englisch) und Passwortmanagern. Machen Sie deutlich, dass schwache Zugangsdaten in Kombination mit einstufiger Anmeldung weiterhin eine der größten Schwachstellen sind.

5. Schulungen in überschaubare Abschnitte aufteilen
   Ein Schlüssel für erfolgreiche Mitarbeiterschulungen ist, die Inhalte kurz und fokussiert zu halten. Statt Mitarbeitende mit langen Sitzungen zu überfordern, bieten wir kurze Videomodule zu einzelnen Themen wie Ransomware, Phishing und Passwortverwaltung an. Nach jedem Modul absolvieren die Mitarbeitenden ein Quiz, um das Gelernte zu festigen. Neben Videoinhalten nutzen wir auch interne Sicherheitsdokumentation, in der Mitarbeitende die Antworten auf die Quizfragen finden. Das fördert die Vertrautheit mit einem breiteren Spektrum an Ressourcen für Mitarbeitende.

6. Eine Kultur der Überprüfung fördern
   Das IT- und Sicherheitsteam von Scality erinnert Mitarbeitende regelmäßig daran, ungewöhnliche oder sensible Anfragen zu überprüfen – ob per E-Mail oder Telefon. Mitarbeitende zu ermutigen, Anfragen doppelt zu prüfen – vor allem solche zu Finanztransaktionen oder zum Zugriff auf kritische Systeme –, hilft, Social-Engineering-Angriffe zu verhindern.

Vorbereitung auf ISO 27001: die nächsten Schritte 

Während sich Scality auf die ISO-27001-Zertifizierung bis Ende 2024 vorbereitet, haben wir gelernt, dass der Weg ebenso wichtig ist wie das Ziel. 

So bereiten wir uns vor:

• Integration von ISO-27001-Schulungen in unser laufendes Programm zur Sensibilisierung für Cybersicherheit.
• Entwicklung und Pflege eines Design-Manifests als Softwareentwicklungsunternehmen im Einklang mit ISO 27001. Unser Manifest berücksichtigt auch aktuelle Sicherheitsempfehlungen, Initiativen und Standards wie die EU-Richtlinie NIS 2 und die US Executive Order on Improving the Nation’s Cybersecurity.
• Festlegung klarer Richtlinien und Verfahren für den Umgang mit Sicherheitsvorfällen und potenziellen Datenpannen.
• Regelmäßige Mitarbeiterschulungen und Quizfragen, um das Wissen der Mitarbeitenden zu prüfen und zu verbessern.
• Schulungen mit simulierten Cyberbedrohungen mit Phishing- und KI-Tools, die Mitarbeitende darin schulen, Risiken in eingehenden E-Mails zu erkennen.
• Kontinuierliche Beobachtung neuer Cyberbedrohungen, Sicherheitstechnologien, Vorschriften und rechtlicher Anforderungen, um unsere Mitarbeitenden über wichtige Ereignisse, Änderungen und Entwicklungen zu informieren.

Mitarbeitende stärken: der Schlüssel zu mehr Cybersicherheit

Cybersicherheit liegt in der Verantwortung aller, nicht nur des IT-Teams. Indem Sie in Sensibilisierungsschulungen investieren, Simulationen durchführen und eine Kultur der Überprüfung fördern, können Sie die Abwehr Ihres Unternehmens deutlich stärken. Die Ergebnisse unserer jüngsten Schulung – 90 % Teilnahme und eine Bestehensquote von 86,5 % – zeigen, dass Mitarbeitende mit dem richtigen Ansatz tatsächlich zur ersten Verteidigungslinie gegen Cyberbedrohungen werden können.

Auf unserem Weg zur ISO-27001-Zertifizierung hat sich bestätigt: Der Schutz unserer Daten beginnt damit, Mitarbeitende zu befähigen. Die Abteilungen sind dadurch näher zusammengerückt und vereint im gemeinsamen Ziel, sensible Informationen zu schützen und globale Sicherheitsstandards zu erreichen.

Mit einer ähnlichen Strategie kann Ihr Unternehmen seine Resilienz gegen sich wandelnde Cyberbedrohungen stärken und besser auf alles vorbereitet sein, was die Zukunft bringt.

1 https://www.ibm.com/reports/data-breach