Basisbewertung des Sicherheitsbewusstseins: Ermitteln Sie, wo Ihr Unternehmen steht

Eine Basismessung zum Sicherheitsbewusstsein erfasst, wie Ihre Mitarbeiter derzeit mit Phishing und anderen digitalen Bedrohungen umgehen, noch bevor Schulungen begonnen haben. In der Praxis wird dabei eine unangekündigte Phishing-Simulation mit einem kurzen Wissenstest kombiniert. Das Ergebnis bildet Ihren Ausgangspunkt: die Zahlen, mit denen alle späteren Messungen verglichen werden.

Wenn Sie diesen Ausgangspunkt überspringen, führen Sie ein Programm zur Sensibilisierung für Sicherheitsfragen nur nach Bauchgefühl durch. Sie können zwar weiterhin Schulungen durchführen, aber Sie können nicht nachweisen, welche Veränderungen diese bewirken. In diesem Artikel erklären wir, wie eine Basismessung aussieht, welche Zahlen wichtig sind und wie Sie eine solche Messung in fünf Schritten durchführen.

Was ist eine Basisbewertung des Sicherheitsbewusstseins?

Eine Basismessung ist die erste strukturierte Erhebung, mit der ermittelt wird, wie sicherheitsbewusst Ihr Unternehmen tatsächlich ist. Sie beantwortet zwei Fragen: Was wissen die Mitarbeiter über digitale Bedrohungen, und wie verhalten sie sich tatsächlich, wenn eine solche Bedrohung in ihrem Posteingang landet? Wissen und Verhalten werden getrennt gemessen, da beides selten übereinstimmt. Viele Menschen, die Phishing perfekt beschreiben können, klicken dennoch auf eine überzeugend gefälschte E-Mail.

Eine vollständige Basisuntersuchung besteht daher aus zwei oder drei Komponenten:

• Eine Phishing-Simulation. Eine realistische, aber harmlose gefälschte Phishing-E-Mail, mit der das tatsächliche Verhalten gemessen wird: Wer klickt darauf, wer gibt Zugangsdaten ein und wer meldet die Nachricht.
• Eine Wissensüberprüfung. Ein kurzes Quiz zu Themen wie Phishing, Passwörtern und sicherem Arbeiten im Homeoffice, das aufzeigt, wo Wissenslücken bestehen.
• Optional: eine kurze Umfrage zur Unternehmenskultur. Trauen sich die Mitarbeiter, Fehler zu melden, und betrachten sie Sicherheit überhaupt als Teil ihrer Arbeit? Die Einstellung lässt Rückschlüsse darauf zu, wie sich die Zahlen später entwickeln werden.

Warum sollte man mit einer Basismessung beginnen?

Der wichtigste Grund ist ganz einfach: Ohne eine Ausgangsbasis lassen sich keine Fortschritte nachweisen. „Das Bewusstsein hat sich verbessert“ ist eine Meinung. „Die Klickrate ist von einem Viertel auf ein Zwanzigstel gesunken“ ist ein Ergebnis. Dieser Unterschied spielt eine Rolle, wenn man bei der Geschäftsleitung um ein Budget bittet, und er ist auch für Wirtschaftsprüfer von Bedeutung.

• Dadurch wird der Effekt des Trainings sichtbar. Jede Folgemessung wird mit dem Ausgangswert verglichen, sodass man sehen kann, ob sich das Verhalten tatsächlich ändert, anstatt nur davon auszugehen.
• Es liefert Nachweise für die Einhaltung der Vorschriften. Rahmenwerke wie NIS2 und ISO 27001 verlangen von Organisationen, dass sie ihre Mitarbeiter schulen und nachweisen, dass die Schulungen Wirkung zeigen. Eine Basisbewertung sowie regelmäßige Nachmessungen sind genau diese Nachweise.
• So wird deutlich, wo der Schwerpunkt liegen sollte. Die Ergebnisse nach Abteilung und Thema zeigen Ihnen, wer was benötigt, sodass die Schulungsmaßnahmen dort ansetzen, wo sie sich am meisten auszahlen.
• Das schafft ein Gefühl der Dringlichkeit. Allgemeine Statistiken lassen sich leicht abtun; Zahlen aus dem eigenen Unternehmen hingegen nicht. Laut dem „Data Breach Investigations Report“ von Verizon spielt der menschliche Faktor bei etwa sechs von zehn Datenschutzverletzungen eine Rolle. Eine Basismessung zeigt, was das konkret für Ihr Unternehmen bedeutet.

Was messen Sie? Die vier Zahlen, auf die es ankommt

Eine gute Basismessung liefert eine kleine Anzahl von Kennzahlen, die Sie im Laufe der Zeit weiter verfolgen können. Vier Kennzahlen decken den Großteil ab:

• Klickrate. Der Prozentsatz der Empfänger, die auf den Link in der simulierten Phishing-E-Mail klicken. Die am häufigsten genannte Zahl, aber nicht die wichtigste.
• Eingabquote. Der Prozentsatz derjenigen, die noch einen Schritt weiter gehen und ihre Zugangsdaten auf der gefälschten Anmeldeseite eingeben. Hier würde der eigentliche Schaden entstehen.
• Meldequote. Der Prozentsatz der Mitarbeiter, die die verdächtige E-Mail melden. Die am meisten unterschätzte Kennzahl überhaupt: Ein aufmerksamer Mitarbeiter, der den Vorfall umgehend meldet, schützt jeden Kollegen, der dieselbe Nachricht erhalten hat.
• Wissenspunktzahl. Die durchschnittliche Punktzahl bei der Wissensüberprüfung, idealerweise nach Themenbereichen aufgeschlüsselt, damit Sie erkennen können, ob die Wissenslücke im Bereich Phishing, bei Passwörtern oder ganz woanders liegt.

Führen Sie die Messung auf Gruppenebene durch: pro Team, Abteilung oder Standort. Das Ziel einer Basismessung ist es, die Organisation zu verbessern, und nicht, einzelne Personen an den Pranger zu stellen. Mit dieser Vorgehensweise bleiben Sie zudem sicher auf der richtigen Seite der Datenschutzgesetze.

So führen Sie eine Basismessung in fünf Schritten durch

1. Legen Sie den Umfang fest und klären Sie die Grundlagen. Legen Sie fest, wer teilnimmt – vorzugsweise alle, die über ein E-Mail-Postfach verfügen, einschließlich der Geschäftsleitung. Stellen Sie sicher, dass Ihre Sicherheitsrichtlinie allgemein darauf hinweist, dass Phishing-Simulationen Teil davon sind, und beziehen Sie den Betriebsrat mit ein. Kündigen Sie die Richtlinie an, niemals den konkreten Zeitpunkt.
2. Führen Sie eine unangekündigte Phishing-Simulation durch. Verwenden Sie einen realistischen, aktuellen Vorwand und verteilen Sie den Versand auf mehrere Tage, damit sich die Kollegen nicht gegenseitig warnen können und der Überraschungseffekt erhalten bleibt. Ein gutes Tool zur Phishing-Simulation übernimmt die Zufallsauswahl für Sie und erfasst Klicks, Dateneingaben und Berichte automatisch.
3. Fügen Sie einen kurzen Wissenstest hinzu. Zehn bis fünfzehn Fragen zu den Kernthemen reichen aus. Halten Sie ihn kurz: Sie wollen eine hohe Rücklaufquote, keine Prüfung. Neugierig, welche Tools dafür geeignet sind? Wir haben neun davon in unserer Übersicht über Sicherheitsbewusstseinstests verglichen.
4. Analysieren Sie nach Abteilung und nach Thema. Kombinieren Sie Verhalten (die Simulation) mit Wissen (die Bewertung). Eine Abteilung, die beim Wissen gut abschneidet, aber dennoch auf „Klicken“ setzt, benötigt andere Folgemaßnahmen als eine, die noch nie etwas von „Quishing“ gehört hat.
5. Legen Sie Ziele fest und planen Sie die erneute Messung ein. Beispiel: Steigerung der Melderate, Senkung der Dateneingabegeschwindigkeit. Planen Sie vierteljährlich eine erneute Messung mit denselben Kennzahlen und vergleichbarem Schwierigkeitsgrad ein, damit Sie Gleiches mit Gleichem vergleichen können.

Von der Ausgangslage zum Programm: Die Zahlen in Bewegung bringen

Eine Basismessung ohne Nachverfolgung ist nur eine teure Momentaufnahme. Der Nutzen zeigt sich erst, wenn die Messung in ein Programm einfließt. Das Erfolgsrezept ist das Gegenteil der jährlichen Sensibilisierungsveranstaltung: kurze, wiederkehrende Schulungsmomente, die das Thema Woche für Woche im Bewusstsein halten. Genau so sind moderne Schulungen zur Sicherheitssensibilisierung aufgebaut: Herausforderungen von wenigen Minuten Dauer, Gamification zur Aufrechterhaltung der Beteiligung und aktuelle Szenarien, die der tatsächlichen Bedrohungslage entsprechen.

Führen Sie anschließend eine erneute Messung in festgelegten Abständen durch. Rechnen Sie damit, dass die Klick- und Dateneingaberate sinkt und – was mindestens ebenso wichtig ist – die Melderate steigt. Teilen Sie die Gruppenergebnisse mit dem gesamten Team und würdigen Sie die Melder: Eine steigende Melderate ist das deutlichste Zeichen dafür, dass aus Bewusstsein Verhalten wird.

Häufige Fehler bei der Basismessung

• Man gibt den genauen Zeitpunkt bekannt. Dann misst man, wie aufmerksam die Menschen während einer angekündigten Testwoche sind, und nicht, wie sie sich an einem gewöhnlichen Dienstag verhalten.
• Anprangern und bloßstellen. Die Veröffentlichung von Ergebnissen auf Einzelpersonenebene untergräbt die Berichtskultur, die Sie aufbauen möchten, und führt darüber hinaus zu Datenschutzproblemen.
• Sich nur auf die Klickrate zu konzentrieren. Die Melderate sagt mehr über Ihre Widerstandsfähigkeit aus als die Klickrate. Eine Organisation, in der niemand Meldung erstattet, ist anfällig, ganz gleich, wie niedrig die Klickrate auch sein mag.
• Das als Einzelfall betrachten. Eine Basismessung verdient ihren Namen erst dann, wenn eine zweite Messung folgt. Zahlen sind schnell veraltet.
• Gestalten Sie die erste Simulation extrem. Eine unrealistische Spear-Phishing-E-Mail oder eine offensichtlich gefälschte Nachricht liefern beide unbrauchbare Zahlen. Wählen Sie einen mittleren Schwierigkeitsgrad, der den E-Mails entspricht, die Ihr Unternehmen tatsächlich erhält.

Häufig gestellte Fragen zur Basisbewertung des Sicherheitsbewusstseins

Wie oft sollten Sie die Messung wiederholen?

Einmal pro Quartal ist ein gängiger und praktikabler Rhythmus. Wiederholen Sie die gleichen Messungen mit vergleichbarem Schwierigkeitsgrad, da der Trend sonst keine Aussagekraft hat. Nach einem Jahr verfügen Sie über fünf Datenpunkte: den Ausgangswert sowie vier Nachmessungen – und eine Geschichte, die Sie der Geschäftsleitung und den Wirtschaftsprüfern präsentieren können.

Sind unangekündigte Phishing-Simulationen zulässig?

Ja, vorausgesetzt, Sie gehen sorgfältig damit um. Stellen Sie sicher, dass die Mitarbeiter allgemein wissen, dass Simulationen Teil der Sicherheitsrichtlinie sind, melden Sie die Ergebnisse auf Gruppenebene und verhängen Sie niemals Sanktionen für einen falschen Klick. Beziehen Sie den Betriebsrat ein, bevor Sie beginnen. Bei dieser Vorgehensweise ist eine Simulation ein Schulungsinstrument und steht im Einklang mit der DSGVO.

Was ist eine gute Klickrate für eine erste Messung?

Es gibt keinen allgemeingültigen Maßstab: Das Ergebnis hängt stark vom Schwierigkeitsgrad der Simulation und vom jeweiligen Sektor ab. Zweistellige Werte sind bei einer ersten Messung keine Seltenheit, lassen Sie sich also von der Zahl nicht schockieren. Der Ausgangswert ist keine Note, sondern ein Ausgangspunkt. Entscheidend ist die Entwicklung in den folgenden Messungen.

Wie lange dauert eine Basisuntersuchung?

Rechnen Sie insgesamt mit zwei bis vier Wochen: eine über mehrere Tage verteilte Simulation, eine Woche für die Wissensüberprüfung und etwas Zeit für die Auswertung. Die Einrichtung selbst ist mit modernen Tools schnell erledigt; der Zeitrahmen dient vor allem dazu, sicherzustellen, dass die Messung unangekündigt und repräsentativ bleibt.

Die Basismessung ist der am wenigsten spektakuläre Teil eines Programms zur Sensibilisierung für Sicherheitsfragen – und doch still und leise der wichtigste. Sie ersetzt Annahmen durch Zahlen und macht aus Schulungen, die man bisher nur als Pflichtübung betrachtet hat, etwas, das man tatsächlich steuern kann. Erst messen, dann schulen: Alles, was man danach tut, funktioniert dadurch besser.