In 6 Schritten eine Cyber Security Awareness Kampagne einrichten

Jede Organisation mit digitaler Präsenz riskiert, Ziel von Cyberkriminellen zu werden. In den letzten Jahren ist die Zahl der Cyber-Angriffe auf kleine und große Unternehmen sprunghaft angestiegen.

Egal wie gut Sie Ihr Unternehmen mit der besten Technologie auf diese Angriffe vorbereiten, 95 % aller Hacks und Datenlecks sind auf menschliches Versagen zurückzuführen. Vom Klicken auf Phishing-Links bis zur Verwendung schwacher Passwörter – ein Mangel an Cybersecurity Awareness kann katastrophale Folgen haben.

Cyber security ist kein attraktives Thema. Deshalb fällt es vielen Organisationen schwer, die Cyber security awareness intern zu fördern. In diesem Artikel zeigen wir Ihnen, wie Sie eine Cyber security awareness Kampagne in 6 Schritten aufsetzen können.

1. Erstellen Sie eine Informationssicherheitsrichtlinie

Eine Informationssicherheitsrichtlinie ist entscheidend, um die Sicherheit sensibler Informationen und Ihrer digitalen Assets zu gewährleisten. Sie bildet die Grundlage, auf die sich jede Person in Ihrer Organisation in Bezug auf Informationssicherheit verlassen kann.

Ein grober Entwurf einer Informationssicherheitsrichtlinie sieht etwa so aus:

1. Umfang und Ziele

• Definieren Sie den Geltungsbereich der Richtlinie: Welche Systeme, Netzwerke und Daten sind abgedeckt?
• Ziele definieren: Welche Ziele verfolgt die Cybersecurity-Richtlinie? Dazu gehören der Schutz der Datenintegrität, die Gewährleistung der Vertraulichkeit und die Aufrechterhaltung der Verfügbarkeit.

2. Rollen und Verantwortlichkeiten

• Definieren Sie die Rollen und Verantwortlichkeiten von Personen innerhalb der Organisation bezüglich Cybersecurity.
• Identifizieren Sie, wer für die Implementierung und Durchsetzung der Richtlinie verantwortlich ist.

3. Risikobewertung

• Führen Sie eine Risikobewertung durch, um potenzielle Bedrohungen und Schwachstellen zu identifizieren.
• Die potenziellen Auswirkungen dieser Bedrohungen auf Ihre Organisation bewerten.

4. Sicherheitskontrollen

• Implementieren Sie Sicherheitskontrollen, um identifizierte Risiken zu mindern. Dies könnte umfassen:
  • Zugriffskontrollen: Begrenzung des Zugriffs auf sensible Informationen.
  • Verschlüsselung: Verschlüsselung von Daten sowohl während der Übertragung als auch im Ruhezustand.
  • Firewalls und Intrusion Detection/Prevention Systeme: Netzwerke vor unbefugtem Zugriff schützen.
  • Patch-Management: Sicherstellen, dass Systeme stets mit den neuesten Sicherheitspatches aktualisiert sind.
  • Incident Response: Etablierung von Verfahren zur Reaktion auf Sicherheitsvorfälle.

5. Datenschutz

• Definieren Sie, wie sensible Daten zu handhaben, zu speichern und zu übermitteln sind.
• Richtlinien für Datenverschlüsselung, Datensicherungen und Datenaufbewahrung festlegen.

6. Vorfallsreaktionsplan

• Entwickeln Sie einen Incident Response Plan, der die Schritte darlegt, die im Falle einer Sicherheitsverletzung oder eines Incidents zu ergreifen sind.
• Definieren Sie Rollen und Verantwortlichkeiten während eines Sicherheitsvorfalls.
• Kommunikationsprotokolle zur Benachrichtigung relevanter Stakeholder festlegen.

7. Compliance und Regularien

• Stellen Sie die Einhaltung relevanter Gesetze, Vorschriften und Industriestandards sicher (z. B. DSGVO, HIPAA, PCI DSS).
• Bleiben Sie über Änderungen in Vorschriften informiert und aktualisieren Sie die Cybersecurity-Richtlinie entsprechend.

8. Überwachung und Überprüfung

• Implementieren Sie Überwachungssysteme, um Sicherheitsbedrohungen in Echtzeit zu erkennen und darauf zu reagieren.
• Überprüfen und aktualisieren Sie die Cybersecurity-Richtlinie regelmäßig, um Änderungen in Technologie, Bedrohungen und Geschäftsprozessen widerzuspiegeln.

9. Prüfung und Bewertung

• • Testen Sie regelmäßig die Wirksamkeit von Sicherheitskontrollen durch Penetration Testing, Vulnerability Assessments und Tabletop-Übungen.
  • Die Cybersecurity-Richtlinie bewerten und bei Bedarf Anpassungen basierend auf den Testergebnissen und neuen Bedrohungen vornehmen.

2. Regelmäßige Kommunikation von Richtlinien und der Rolle jedes Mitarbeiters

Eine Richtlinie zu haben, ist der erste Schritt. Von nun an geht es darum, bei den Mitarbeitern das Bewusstsein dafür zu schaffen, dass die Richtlinie existiert und dass sie deren Inhalt verstehen sollten.

Zuerst sollten Sie Ihre Sicherheitsrichtlinie klar dokumentieren. Stellen Sie sicher, dass das Dokument gut strukturiert und leicht zu überfliegen ist. Versuchen Sie auch, komplexe Sprache zu vermeiden. Es ist leicht zu überschätzen, wie gut unsere Mitarbeiter mit bestimmten Fachbegriffen vertraut sind. Ziel ist es, dass Ihre Mitarbeiter jede Zeile verstehen.

Als Nächstes sollten Sie sicherstellen, dass die Sicherheitsrichtlinie für die gesamte Organisation leicht zugänglich ist. Ein bloßer Versand per E-Mail reicht nicht aus – sie würde schnell in der Flut anderer E-Mails untergehen. Versuchen Sie stattdessen, eine Wissensdatenbank wie Notion oder Tettra zu nutzen.

Danach dreht sich alles um Kommunikation, Kommunikation, Kommunikation. Seien wir ehrlich, ein großer Teil der Menschen in Ihrer Organisation wird viel Überzeugungsarbeit benötigen, bevor sie ein Dokument öffnen, das das Wort „Richtlinie“ im Titel trägt. Die meisten von uns wollen sich erst dann wirklich mit Cyber Security befassen, wenn es zu spät ist. Eine einmalige E-Mail oder Slack-Nachricht wird nicht ausreichen.

Ihre Organisation wird dies regelmäßig kommunizieren müssen. Der Schlüssel hier ist ‚Ihre Organisation‘. Stellen Sie sicher, dass Ihr CEO mit an Bord ist und Sicherheit regelmäßig in Unternehmenspräsentationen, E-Mails und so weiter erwähnt. Stellen Sie außerdem sicher, dass auch das Onboarding von Mitarbeitern das Thema Sicherheit behandelt.

Doch das Allerwichtigste, was Sie tun können, um die Bedeutung von Sicherheit zu kommunizieren, ist das Anbieten von Schulungen.

3. Regelmäßiges Security Awareness Training organisieren

Die meisten Mitarbeiter in Ihrer Organisation werden Ihre Sicherheitsrichtlinien nicht lesen. Und selbst wenn sie es tun, bringt das Lesen einer Richtlinie nur bedingt etwas. Das Lesen von Theorie ohne praktische Anwendung führt in der Regel zu geringer oder keiner Verhaltensänderung.

Hier setzt Security Awareness Training an. Durch regelmäßiges Training Ihrer Mitarbeiter mit kurzen, prägnanten Herausforderungen lernen sie, welche Cyber-Risiken existieren, wie man sie erkennt und wie man sie meldet.

Viele Informationssicherheitsstandards wie NIS2 und ISO 27001 führen Security Awareness Training als zwingende Anforderung auf. Das bedeutet, dass Sie Ihre ISO-Audit nicht bestehen werden, wenn kein Schulungsprogramm implementiert ist.

Es gibt verschiedene Arten von Security Awareness Training:

• • 1. Präsenzschulungen: Bei Präsenzschulungen kommt ein Trainer zu Ihnen vor Ort, um größere Gruppen zu schulen. Diese Art von Schulungen ist heute nicht mehr häufig anzutreffen. Insgesamt nehmen diese Schulungen in der Regel viel Zeit in Anspruch, und die Mitarbeiter sind oft nicht engagiert oder erscheinen gar nicht.
    2. Online-Kurse: Online-Kurse übertragen diese Präsenzschulungen ins Internet. In der Regel umfassen diese Kurse viel Lesestoff, das Durchblättern von PowerPoint-Präsentationen und das Ansehen langer Videos. Auch dies ist für die meisten Nutzer keine besonders fesselnde Methode, da die Zeit oft begrenzt ist.
    3. Micro-Training: Mit moderner Security Awareness Training Software erhalten Nutzer wöchentliche oder monatliche Micro-Challenges, deren Bearbeitung nur wenige Minuten dauert. Während dieser Challenges lernen sie moderne Cyber-Bedrohungen wie Deepfakes, Spear Phishing und Malware kennen.

Der neueste Trend im Security Awareness Training ist Gamification. Tools wie Guardey binden Nutzer mit kurzen Herausforderungen, einer fesselnden Storyline, Belohnungen und sogar einer unternehmensweiten Bestenliste ein, um ein spielerisches Wettbewerbselement hinzuzufügen. Dies erleichtert die Verbesserung der Teilnahme und die Einhaltung von Sicherheitsstandards wie ISO 27001 und NIS 2.

→ Erfahren Sie mehr über Gamification im Security Awareness Training

4. Spear-Phishing-Angriffe simulieren

Phishing ist immer noch die am häufigsten genutzte Taktik von Cyberkriminellen. Beim Phishing versenden Kriminelle gefälschte E-Mails, die einen Link enthalten. Klickt der Empfänger auf den Link, erhält der Kriminelle die Möglichkeit, ihn zu hacken. In den letzten Jahren haben die meisten Menschen gelernt, nicht jeder E-Mail zu vertrauen. Deshalb mussten Cyberkriminelle smarter werden, und das sind sie auch.

Beim Spear Phishing recherchieren Kriminelle zunächst ausführlich über die Person, die sie ins Visier nehmen. Oft nutzen sie soziale Medien, um Informationen über ihre Ziele und/oder Freunde zu gewinnen. Anschließend nutzen sie diese Informationen aus den sozialen Medien, um sich als vertrauenswürdige Quelle auszugeben.

Viele Organisationen trainieren Phishing durch regelmäßige Phishing-Simulationen. Diese Simulationen sind oft automatisiert und verwenden allgemeine Vorlagen – ohne die jeweiligen Ziele zu recherchieren. Dies kann eine nützliche Übung sein, bereitet Mitarbeiter aber nicht auf Spear Phishing vor. Deshalb können Sie bei einigen Anbietern jetzt auch Spear Phishing-Angriffe simulieren.

→ Erfahren Sie mehr über Spear-Phishing-Simulationen

5. Erinnerungsmaterialien im gesamten Büro verteilen

Eine Cyber Security Awareness Kampagne für Ihre Mitarbeiter muss nicht immer komplex sein. Manchmal kann auch ein gutes altes Plakat, ein Flyer oder eine Haftnotiz eine gute Erinnerung sein, Ihr Passwort zu ändern, das VPN einzuschalten oder Ihr Gerät zu schließen, bevor Sie auf die Toilette gehen.

6. Organisation eines wiederkehrenden Cyber security Events

Präsenzveranstaltungen sind die effektivste Methode, um Ihre Mitarbeiter für Security Awareness zu gewinnen. Deshalb können sie ein so wichtiger Bestandteil einer Cybersecurity Awareness-Kampagne sein. Es ist zeitaufwendig und erfordert Planung, aber es lohnt sich.

EyeOn, eine Organisation aus den Niederlanden, beschloss, eine ganze Cyber Security Week zu veranstalten, um ihre Cyber Security Awareness Kampagne zu starten. Während der Woche gab es tägliche Präsentationen, die sie als „Safety Catch-up“ bezeichneten. Jeder Tag hatte ein anderes Thema, von CEO-Betrug bis zur ISO 27001-Compliance. Sie entwickelten auch Herausforderungen, um ihre Mitarbeiter zu aktivieren. Durch das Sammeln von Punkten konnte man am Ende der Woche sogar eine Trophäe gewinnen.

→ Klicken Sie hier, um die gesamte Geschichte von EyeOn zu lesen

Menschen die Bedeutung von Cyber Security wirklich näherzubringen, kann schwierig sein. Menschen sind beschäftigt. Sie überfliegen Ihre E-Mail und vergessen sie wieder. Sie hören es während einer Präsentation und nehmen es nicht ernst. Doch ein solches Event zwingt wirklich jeden dazu, die Arbeit niederzulegen und aufmerksam zu sein. Danach werden Ihre anderen Initiativen auf viel fruchtbareren Boden fallen.