AFAS ist einer der größten Anbieter von Personalverwaltungs- und Lohnabrechnungssoftware in den Niederlanden, und das Thema Sicherheit wurde von dem Unternehmen schon immer sehr ernst genommen.
Die Art und Weise, wie AFAS und Guardey erstmals miteinander in Kontakt kamen, war jedoch etwas ungewöhnlich. Ein gemeinsamer Kunde führte mit Guardey eine Phishing-Simulation durch und verwendete dabei eine auf AFAS basierende Phishing-Vorlage. Einige Mitarbeiter, die die simulierte Phishing-E-Mail erhielten, meldeten dies nicht an ihre eigene IT- oder Sicherheitsabteilung. Stattdessen wandten sie sich direkt an AFAS, um das Unternehmen zu warnen, dass in dessen Namen verdächtige E-Mails versendet wurden.
Für AFAS sah das zunächst wie ein echter Sicherheitsvorfall aus.
Dies führte zu ersten Gesprächen zwischen AFAS und Guardey und schließlich zu einer Lösung für den Einsatz von AFAS in Phishing-Simulationen. Außerdem eröffnete es einen breiteren Dialog zum Thema Sicherheitsbewusstsein. Kurz darauf führte AFAS das Sicherheitsbewusstseinsprogramm von Guardey in der eigenen Organisation ein.
Heute richtet sich das Programm an alle 700 Mitarbeiter von AFAS, von den Entwicklern über die Kollegen in der Küche bis hin zum Reinigungspersonal. Doch wie Ignaece Bliekendaal, CISO bei AFAS, und Rik ten Wolde, der im Bereich Marketing und interne Kommunikation tätig ist, erklären, ist die Einführung eines Programms zur Sensibilisierung für Sicherheitsfragen nur der Anfang. Um die Mitarbeiter zur Teilnahme zu bewegen und ihnen einen Grund zu geben, dabei zu bleiben, bedarf es aktiver Aufmerksamkeit seitens des Unternehmens selbst.
Über die jährliche Sicherheitsschulung hinaus
Vor Guardey verfügte AFAS über ein System zur Sensibilisierung für Sicherheitsfragen, das vielen Unternehmen bekannt vorkommen dürfte: eine obligatorische Schulung oder ein Webinar etwa einmal im Jahr, ergänzt durch gelegentliche Aktualisierungen, wenn etwas Relevantes passiert war.
„Die Menschen beschäftigen sich nie wirklich aktiv mit diesem Thema“, erklärt Ignaece. „In dem Moment denken sie: Ja, Sicherheit ist wichtig, da hast du recht. Eine Woche später ist dieses Gefühl schon wieder verflogen, und im nächsten Jahr kann man fast schon wieder dieselbe Geschichte erzählen.“
Zu diesem Zeitpunkt investierte AFAS bereits in großem Umfang in digitale Resilienz. Das Unternehmen hatte mehrere technische Schutzebenen eingerichtet, um die Auswirkungen menschlicher Fehler zu begrenzen. So mussten die Mitarbeiter beispielsweise einen Passwort-Manager verwenden und konnten nur von AFAS verwalteten Systemen aus auf Unternehmensanwendungen zugreifen. Dem Thema Sicherheitsbewusstsein wurde jedoch noch nicht die gebührende Aufmerksamkeit geschenkt.
Mit dem Wachstum des Unternehmens begann sich diese Kalkulation zu ändern.
„Man wird zu einem größeren Ziel, gewinnt für bestimmte Gruppen an Bedeutung“, sagt Ignaece. „Wir müssen sogar die Möglichkeit in Betracht ziehen, dass staatliche Akteure Interesse an uns haben. Das verändert die Spielregeln und spricht dafür, die Mitarbeiter wirklich in die Cybersicherheit einzubeziehen.“
Das war es, was ihn an Guardeys Ansatz überzeugte: Anstatt sich auf eine einzige große jährliche Schulungsveranstaltung zu verlassen, werden die Mitarbeiter in kurzen Aufgaben immer wieder mit Sicherheitsthemen konfrontiert.
„Wenn man etwas zehntausend Mal macht, wird man in der Regel gut darin. Das gilt im Profisport, und ich glaube, das gilt auch hier. Wiederholung ist wirklich der einzige Weg, um eine Gewohnheit zu entwickeln.“
Wenn man etwas zehntausend Mal macht, wird man in der Regel gut darin. Das gilt im Profisport, und ich glaube, das gilt auch hier.
Eine Markteinführung, die darauf aufbaut, wie AFAS bereits kommuniziert
AFAS stellte Guardey nicht einfach per E-Mail vor, in der den Mitarbeitern mitgeteilt wurde, dass sie nun eine weitere Schulung absolvieren müssten. Stattdessen nutzte das Unternehmen seine „Culture Half Hour“, ein Online-Programm, das AFAS in einem eigenen Studio aufzeichnet und unternehmensweit verbreitet. Dieses bereits bestehende Format wurde zu einem der wichtigsten Kanäle für die Einführung von Guardey.
Anstatt mit einer Erklärung der Plattform zu beginnen, ging AFAS zunächst auf ein Ereignis ein, das sich tatsächlich zugetragen hatte. Ein neu eingestellter Entwickler war auf einen Phishing-Versuch hereingefallen. Obwohl er über fundierte technische Kenntnisse verfügte und davon ausgegangen war, so etwas zu erkennen, war es auch ihm passiert. Er erklärte sich bereit, während der „Culture Half Hour“ offen über diese Erfahrung zu sprechen.
Dadurch konnte AFAS das Programm auf eine viel anschaulichere Weise vorstellen. Phishing war nun kein abstraktes Sicherheitsszenario mehr. Es war etwas, das jedem im Unternehmen passieren konnte – auch jemandem mit technischem Wissen.
AFAS unterstützte die Einführung über sein Intranet und andere interne Kanäle. Die Idee war einfach: Damit das Sicherheitsbewusstsein Teil der täglichen Routine der Mitarbeiter werden konnte, mussten diese zunächst verstehen, warum es wichtig war.
Einen Anreiz finden, der den Mitarbeitern wirklich am Herzen lag
Die Kommunikation war nur ein Teil der Einführung. AFAS wollte außerdem den Wettbewerbsaspekt von Guardey nutzen, um den Mitarbeitern einen zusätzlichen Anreiz zur Teilnahme zu geben. Das warf eine Frage auf, die einfach klingt, aber für ihren Ansatz von zentraler Bedeutung wurde:Was würden die Mitarbeiter von AFAS eigentlich gerne gewinnen?
Das Team zog bekannte Anreize wie Geschenkgutscheine, AirPods und iPads in Betracht. Doch ein teurerer Preis ist nicht automatisch auch ein motivierenderer.
„Man weiß eigentlich gar nicht, ob die Leute darauf warten“, erklärt Rik. „Der Preis kann teuer sein, ohne dass es etwas ist, was die Leute wirklich wollen.“
Anstatt also mit einer Liste von Preisen zu beginnen, schaute sich AFAS an, worüber die Mitarbeiter im gesamten Unternehmen bereits sprachen. Zu diesem Zeitpunkt war das die bevorstehende jährliche Betriebsreise. Da AFAS für die Reise bereits ein ganzes Hotel gebucht hatte, waren einige Zimmer natürlich luxuriöser als andere. Eines der schöneren Zimmer, komplett mit Whirlpool, wurde zum Hauptpreis des Guardey-Wettbewerbs.
„Es hat uns nichts extra gekostet“, erklärt Rik. „Diese Zimmer waren bereits Teil des Hotels, das wir gebucht hatten. Wir mussten uns lediglich entscheiden, eines davon zum Preis zu machen, anstatt es nach dem Zufallsprinzip zu vergeben.“
Das Ergebnis war eine Teilnahmequote von fast 90 %. Die Erkenntnis für AFAS war nicht, dass jedes Programm zur Sensibilisierung für Sicherheitsfragen einen spektakulären Preis benötigt. Vielmehr zeigte sich, dass ein Anreiz am besten funktioniert, wenn er an etwas anknüpft, das den Mitarbeitern bereits am Herzen liegt.
Mehr Menschen einen Grund geben, dabei zu bleiben
Der erste Anreiz funktionierte gut, doch AFAS erkannte auch, warum man die Mitarbeiterbindung nicht einmalig gestalten und dann sich selbst überlassen kann. Nach etwa zehn Wochen ließ die Beteiligung nach. Da nur noch ein einziger großer Preis zu gewinnen war, hatten Mitarbeiter, die nicht mehr daran glaubten, die Spitze erreichen zu können, weniger Grund, weiter im Wettbewerb zu bleiben. Daher erweiterte AFAS die Möglichkeiten, wie Mitarbeiter belohnt werden konnten.
Anstatt sich nur auf denjenigen zu konzentrieren, der die höchste Punktzahl erzielt hatte, führten sie eine teamorientierte Belohnung ein: Die Gruppe mit dem besten Gesamtergebnis erhielt zusätzliches Freigepäck. Außerdem gab es Belohnungen für Beständigkeit und für den Mitarbeiter, der zwischen zwei Saisons die größte Verbesserung gezeigt hatte.
Diese letzte Kategorie war besonders wichtig.
„Wir suchen nicht unbedingt nach den Entwicklern, die bereits ganz oben in der Rangliste stehen, denn die kommen in der Regel ohnehin gut zurecht“, erklärt Ignaece. „Wir versuchen, auch die anderen Gruppen zu erreichen.“
Dazu gehören auch die Kollegen in der Küche und im Reinigungsteam von AFAS, die in ihrer täglichen Arbeit weitaus weniger mit Computern zu tun haben und nicht unbedingt Zugriff auf sensible Systeme besitzen. Das bedeutet jedoch nicht, dass das Sicherheitsbewusstsein für sie keine Rolle spielt.
„Es geht hier nicht nur um eure Arbeit“, sagt Ignaece zu den Mitarbeitern, die sich fragen, ob ein Thema für ihre Position relevant ist. „Es geht auch um euch als Menschen, um eure persönliche Situation und darum, euch bewusst zu machen, wie ihr mit bestimmten Dingen umgeht.“
Hier geht es nicht nur um deine Arbeit. Es geht auch um dich als Person, um deine persönliche Situation und darum, dir bewusst zu machen, wie du mit bestimmten Situationen umgehst.
Diese Philosophie war bereits vor Guardey Teil des Ansatzes von AFAS in Bezug auf digitale Resilienz. Von den Mitarbeitern wird beispielsweise nicht nur erwartet, dass sie einen Passwort-Manager beruflich nutzen, sondern sie erhalten auch die Möglichkeit, ihn in ihrem Privatleben einzusetzen. Sicherheit wird als etwas betrachtet, von dem die Mitarbeiter auch über den Arbeitsplatz hinaus profitieren können.
Das Guardey-Programm selbst ist verpflichtend, doch AFAS verzichtet bewusst darauf, die Teilnahme durch technische Einschränkungen wie die Sperrung des Zugriffs auf Systeme bis zum Abschluss der Schulung durchzusetzen.
„Das würde zwar funktionieren, passt aber nicht zu unserer Unternehmenskultur“, sagt Ignaece. „Wir möchten das lieber auf positive Weise erreichen.“
Die Schulung erkennbar als AFAS gestalten
Das gleiche Prinzip gilt auch für die Inhalte selbst. Guardey stellt vorgefertigte Herausforderungen, Kampagnen und Kommunikationsvorlagen zur Verfügung, doch AFAS rät anderen Organisationen, nicht einfach alles so zu übernehmen, wie es ist. Passen Sie es an Ihre Bedürfnisse an.
„Das ist es, wovon ich nach wie vor wirklich begeistert bin: die Möglichkeit, jede Schulung genau auf die eigene Organisation zuzuschneiden“, sagt Ignaece.
AFAS hat allgemeine Beispiele durch eigene Software ersetzt und Stockfotos durch eigene Aufnahmen ausgetauscht. Das sind zwar nur kleine Änderungen, doch dadurch wirken die Szenarien näher an der tatsächlichen Arbeitsumgebung der Mitarbeiter.
„Die Leute erkennen nicht immer, dass eine Schulung für sie tatsächlich relevant ist“, sagt Rik. „Sobald man ihr aber eine persönliche Note verleiht, wird ihnen das klar.“
AFAS möchte dies noch konsequenter umsetzen. Es war nicht immer einfach, intern Zeit für die individuelle Anpassung der Inhalte zu finden, doch sowohl Ignaece als auch Rik sehen darin eine wichtige Möglichkeit, die Aufklärungsarbeit relevant und nicht nur allgemein gehalten wirken zu lassen.
Das Gleiche gilt für die Kommunikationsvorlagen, Botschafterprogramme und Kampagnenideen von Guardey. Sie können zwar als Ausgangspunkt dienen, doch muss die Organisation selbst entscheiden, inwieweit diese Ideen zu ihrer eigenen Kultur passen.
„Nehmt die Ideen und die Vorlagen“, sagt Ignaece, „aber macht sie euch zu eigen. Wendet sie auf das an, was in eurem Unternehmen tatsächlich funktioniert, und nicht auf das, was bei uns funktioniert hat.“
Die Leute erkennen nicht immer, dass eine Schulung für sie tatsächlich relevant ist. Sobald man ihr eine persönliche Note verleiht, wird ihnen das klar.
Sicherheitsbewusstsein entsteht nicht von selbst
Nachdem die ersten Saisons hinter dem Unternehmen liegen, überlegt AFAS weiterhin, wie man das Engagement der Mitarbeiter auch in Zukunft aufrechterhalten kann. Der Betriebsausflug war ein starker Anreiz für den Start, war aber gerade deshalb so relevant, weil sich zu diesem Zeitpunkt innerhalb von AFAS bestimmte Entwicklungen vollzogen. Der nächste Anreiz muss möglicherweise ganz anders aussehen.
Und das ist vielleicht die wertvollste Erkenntnis aus den bisherigen Erfahrungen von AFAS. Gamification, Wettbewerbe und kurze, wiederkehrende Herausforderungen können Unternehmen die Mittel an die Hand geben, um das Sicherheitsbewusstsein auf ansprechendere Weise zu fördern. Vorlagen und vorgefertigte Kampagnen können die Umsetzung erleichtern. Doch nichts davon ersetzt die Notwendigkeit, die eigenen Mitarbeiter zu verstehen.
AFAS nutzte die Geschichte eines echten Mitarbeiters, weil dadurch das Risiko greifbar wurde. Das Programm wurde über Kanäle vorgestellt, denen die Menschen ohnehin bereits Aufmerksamkeit schenkten. Der Wettbewerb wurde mit etwas verknüpft, für das sich die Mitarbeiter ohnehin schon begeisterten. Und als eine bestimmte Art der Belohnung für die Teilnahme nicht mehr alle motivieren konnte, schuf das Unternehmen neue Wege, auf denen Einzelpersonen und Teams Erfolg haben konnten.
Es gibt keinen einzelnen Anreiz, keine Einführungsaktion und keine Kommunikationsvorlage, die jeden Mitarbeiter auf Dauer motivieren kann. Die Unternehmen, die den größten Nutzen aus der Sensibilisierung für Sicherheitsfragen ziehen, sind diejenigen, die immer wieder dieselbe Frage stellen wie AFAS:
Was wird unseren Mitarbeitern jetzt helfen?
Wir sind immer für Sie da, versprochen!
Jetzt kostenlos registrieren und nie wieder Stress mit Cyberkriminalität haben.
14 Tage gratis testen
