Phishing, Hacking, Datendiebstahl oder Ransomware – die Bedrohung für IT- und Informationssicherheit in Unternehmen hat viele Gesichter. Bei vielen Arten von Angriffen bilden die Mitarbeitenden die „erste Verteidigungslinie“. Wenn sie Angriffe als solche erkennen und wissen, wie sie richtig reagieren, dann können die Risiken für das Unternehmen deutlich eingegrenzt werden. Wie baut man also die Angestellten zu einer starken Abwehr auf?

Warum die Mitarbeitenden für die IT-Security so wichtig sind

Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Bedrohungslage aktuell so hoch wie nie. Identitätsdiebstahl, Ransomware und zunehmende Schwachstellen in Software-Produkten sind die drei Top-Bedrohungen, von denen Gesellschaft, Wirtschaft und Staat gleichermaßen betroffen sind. Der „Faktor Mensch“ spielt dabei insbesondere für Unternehmen eine sehr wichtige Rolle, denn bei vielen Angriffsformen führen häufig menschliche Fehler, Unachtsamkeit oder Unwissenheit zu Sicherheitseinbrüchen.

Häufig reicht eine vermeintliche Kleinigkeit wie der Klick auf einen falschen Link aus, damit Hacker Zugang zum System erhalten. Haben sich die Angreifer erst einmal Zugang verschafft, kann das weitreichende Folgen haben. Erfolgreiche Angriffe führen meist zu Betriebsausfällen und damit zu Umsatzeinbußen. Hinzu kommen Kosten für die Behebung der Schwachstelle und der Wiederherstellung der Systeme, sowie mögliche Imageschäden bei Kunden oder Partnern.

Um das zu vermeiden und die Risiken so weit es geht zu reduzieren, lohnt sich die Investition in die IT-Sicherheit und die entsprechenden Schulungen für Mitarbeitende. Andersherum ausgedrückt: Qualifizierte Angestellte sind eine der wichtigsten Voraussetzungen für eine sichere IT von Unternehmen.

Vier Tipps für eine bessere IT-Sicherheit durch die Mitarbeitenden

1. Problembewusstsein schaffen

Mitarbeitende müssen in der Lage sein, Angriffsversuche wie Phishing-Mails oder Social Engineering als solche zu erkennen und abzuwehren. Dafür müssen Angestellte gezielt sensibilisiert werden und ein grundsätzliches Verständnis für die verschiedenen Bedrohungen vermittelt bekommen. Hierbei ist wichtig, dass es sich nicht um eine einmalige Maßnahme handelt, sondern dass das Problembewusstsein und die Awareness der Belegschaft regelmäßig erneuert und aufrechterhalten werden muss.

2. Offene Kommunikation und Unternehmenskultur

Eine offene Unternehmenskultur ist eine wichtige Voraussetzung dafür, dass Mitarbeitende keine Scheu haben, ungewöhnliche Vorfälle direkt zu melden und abzusprechen. Des Weiteren helfen klare Kommunikationswege dabei, dass mögliche Probleme schneller gelöst werden können – weil Mitarbeitende zum Beispiel konkrete Ansprechpartner haben, wenn sie Daten und Angaben überprüfen oder Vorfälle melden wollen.

3. Top-Down-Prinzip

IT- und Informationssicherheit betreffen alle Bereiche eines Unternehmens. Damit das Bewusstsein dafür in allen Abteilungen und Zuständigkeitsbereichen verankert werden kann, findet das Top-Down-Prinzip Anwendung: Nur wenn die Management-Ebene das Thema antreibt und ihm eine entsprechende Relevanz zukommen lässt, wird es über die Führungsebene bis zu den Mitarbeitenden aller Bereiche getragen.

4. Konkrete Maßnahmen und Vorgaben

Das grundsätzliche Wissen zu den Bedrohungen und Schutzmaßnahmen muss im Unternehmensalltag durch konkrete Vorgaben in die Praxis umgesetzt werden. Dazu gehören beispielsweise der Umgang mit Passwörtern, Vorgaben für sichere Passwörter, die Sicherung von Zugängen z.B. durch eine 2-Faktor-Authentifizierung, Umgang mit Phishing-Mails, Verschlüsselung von Daten etc. Hier kommt es darauf an, dass die Maßnahmen individuell auf das Unternehmen abgestimmt und in eine ganzheitliche Sicherheitsstrategie eingebettet sind.

Warum Schulungen für Mitarbeiter:innen unverzichtbar sind

Um Mitarbeitende für Cyberbedrohungen zu sensibilisieren und ihren Umgang damit zu verbessern, bieten sich Schulungen an. In einer Schulung werden Mitarbeitende über die grundlegenden Konzepte der IT-Sicherheit informiert, erhalten ein Verständnis für die Wichtigkeit von Sicherheitsmaßnahmen und werden im Umgang mit Bedrohungen geschult. Außerdem wird ihr Bewusstsein für ihre eigene wichtige Rolle im Sicherheitskonzept des Unternehmens geschärft und wie sie ihren Teil zu einer sicheren Unternehmensumgebung beitragen können.

Schulungen sollten darüber hinaus regelmäßig durchgeführt werden, um sicherzustellen, dass die Mitarbeitenden immer auf dem neuesten Stand der IT-Sicherheit sind. Regelmäßige Schulungen oder Meetings halten das Sicherheitsbewusstsein aufrecht und informieren über neue Entwicklungen und aktuelle Bedrohungen.

Für jeden das Passende: Verschiedene Formen von Schulungen

Jedes Unternehmen und jede Branche hat unterschiedliche Bedürfnisse und Anforderungen für die IT-Sicherheit. Schulungen können entweder in Form von Seminaren, Web-Seminaren oder auch Inhouse stattfinden, je nachdem, welche Art der Schulung für den Bedarf des Unternehmens am besten geeignet ist.

1) Seminar

Das „klassische“ Seminar eignet sich dafür, um bestimmte Mitarbeitende für einen festen Termin zu einem externen Anbieter zu schicken. Bei Präsenz-Seminaren herrscht meist ein enger Austausch, sodass sich neben dem Lernen auch eine Vernetzung mit anderen Teilnehmenden aus ähnlichen oder ganz anderen Branchen ergibt. So lernt man zusätzlich voneinander und kann von den Erfahrungen und praktischen Anwendungen anderer Unternehmen profitieren.

Zum Seminar-Angebot der isits AG

2) Web-Seminar

Das Web-Seminar ist vom Format her sehr ähnlich wie das Seminar, aber durch die Verlagerung ins Internet flexibler. Die Ortsunabhängigkeit macht das Web-Seminar vor allem für Unternehmen interessant, die eine weite Anreise hätten oder ihre Mitarbeitenden ohnehin Remote beschäftigen.

Die meisten Seminare der isits AG werden parallel auch als Web-Seminar angeboten.

3) Inhouse-Schulung

Eine Inhouse-Schulung ist individuell auf das Unternehmen abgestimmt und findet direkt vor Ort statt. Das hat den Vorteil, dass konkret auf die Gegebenheiten vor Ort eingegangen werden kann und eine ganze Abteilung oder die gesamte Belegschaft ohne Ortswechsel geschult werden kann.

Zum Inhouse-Angebot der isits AG

Fazit

Um Cyberangriffe im Keim zu ersticken, ist es wichtig, dass Mitarbeitende für IT- und Informationssicherheit sensibilisiert und sicher im Umgang mit Bedrohungen sind. Um das zu erreichen, müssen sie regelmäßig geschult werden. Dadurch bekommen sie ein Verständnis für die Bedeutung und die Notwendigkeit von vermeintlich nichtigen Maßnahmen wie sichere Passwörter oder Verschlüsselung von Daten.

Eine gute Schulung sollte Mitarbeitenden helfen, sich mit den Grundlagen der IT-Sicherheit vertraut zu machen und einige der wichtigsten Sicherheitskonzepte wie Verschlüsselung, Firewalls und Benutzerauthentifizierung zu verstehen. Dies gibt ihnen ein besseres Verständnis dafür, welche Schritte sie unternehmen müssen, um zur IT-Sicherheit ihres Unternehmens beizutragen.

Eine der größten Schwachstellen in der Sicherheitskette von Unternehmen – der Faktor Mensch – kann so zum höchsten und wichtigsten Gut werden.

geschrieben von
Annika Brockhaus, für die isits AG International School of IT Security