Eine Security Awareness Schulung vermittelt Mitarbeitenden, wie sie Angriffe erkennen, die sich nicht gegen Technik, sondern gegen Menschen richten: gefälschte E-Mails, Anrufe im Namen der IT-Abteilung, manipulierte Links, schwache Passwörter. Entscheidend ist nicht die Menge an Stoff, sondern ob sich das Verhalten im Arbeitsalltag ändert.
Was eine Security Awareness Schulung leisten muss
Drei Dinge machen den Unterschied zwischen einer Pflichtübung und einer Schulung, die Angriffe tatsächlich verhindert:
- Praxisnähe: Beispiele aus dem eigenen Arbeitsumfeld statt abstrakter Theorie. Wer in der Buchhaltung arbeitet, muss die gefälschte Rechnung erkennen, wer im Vertrieb arbeitet, den vermeintlichen Kunden mit dem „dringenden“ Anhang.
- Kurze Einheiten: Kurze Einheiten mit je einem konkreten Thema bleiben hängen. Ein ganzer Tag Frontalunterricht wird vergessen, bevor der erste Angriff kommt.
- Wirksamkeitskontrolle: Ein Phishing-Test vor und nach der Schulung zeigt, ob das Gelernte im Postfach ankommt.
Online-Schulung oder Präsenztermin?
Ein Präsenztermin bindet das ganze Team gleichzeitig, ist schwer zu wiederholen und hat nach einigen Monaten kaum noch Wirkung. Eine Online-Schulung lässt sich leichter planen, für neue Mitarbeitende zeitnah ansetzen und in Abständen auffrischen. Serancon führt die Schulung deshalb grundsätzlich online per Videokonferenz durch — kompakt, mit Raum für Fragen, ohne dass jemand den Arbeitsplatz verlassen muss. Auf Wunsch findet sie nach Rücksprache auch bei Ihnen vor Ort statt.
Awareness-Schulung und Phishing-Test kombinieren
Ob eine Schulung wirkt, zeigt sich erst, wenn eine täuschend echte Phishing-Mail im Postfach liegt. Ein Phishing-Test für Mitarbeitende vor der Schulung liefert den Ausgangswert, ein zweiter danach den Fortschritt. Serancon bietet dafür die E-Mail-Phishing-Simulation an. Wer zunächst selbst prüfen möchte, wie gut gefälschte Mails zu erkennen sind, kann das kostenlose Phishing-Quiz nutzen. Was dabei rechtlich zu beachten ist, erklärt der Ratgeber Phishing-Simulation und DSGVO.
Welche Vorgaben eine Schulung verlangen
Wer nach ISO 27001 zertifiziert ist oder es werden will, muss die regelmäßige Sensibilisierung der Mitarbeitenden nachweisen (Anhang A, Maßnahme 6.3 der Fassung 2022). Die DSGVO nennt in Art. 39 die Sensibilisierung und Schulung der an Verarbeitungen beteiligten Mitarbeitenden ausdrücklich als Aufgabe des Datenschutzbeauftragten. Und Cyber-Versicherungen fragen Schulungen häufig schon im Antrag ab. Eine dokumentierte Awareness-Schulung deckt alle drei Anforderungen ab.
Wie oft sollte geschult werden?
Einmal im Jahr ist das Minimum, das Prüfer üblicherweise erwarten. Wirksamer sind kürzere Abstände mit kleineren Einheiten, dazu eine Schulung für jede neue Mitarbeiterin und jeden neuen Mitarbeiter in den ersten Wochen. Ein wiederholter Phishing-Test zeigt, wann eine Auffrischung sinnvoll ist.