Ein großer Risikofaktor für die Cybersicherheit von KMU ist oft das eigene Personal. Der Grund: mangelndes Wissen, um Bedrohungen wie Phishing oder Social Engineering zu erkennen. Security-Awareness-Schulungen können hier Abhilfe schaffen, sagt Torsten Bechler von Sharp Business Systems Deutschland.
Im Geschäftsalltag liegt es in der Verantwortung jedes Einzelnen, Cybersicherheitsrisiken zu vermeiden. Abbildung: Sharp, AdobeStock_358962766
Im Bereich IT hört man ab und zu vom „ZBuS-Problem“, nämlich dann, wenn sich das IT-Problem zwischen Bildschirm und Stuhl (ZBuS) befindet. Gemeint ist: Der Nutzer ist das Problem. Trotz des augenzwinkernden Akronyms steckt im Kern viel Wahres: Menschliches Versagen aufgrund mangelnder Expertise oder Übung im Bereich IT-Sicherheit ist ein weit verbreitetes Phänomen und stellt insbesondere kleine und mittlere Unternehmen (KMU) vor große Herausforderungen.
So ergab eine von Sharp durchgeführte Umfrage unter insgesamt 5.770 IT-Entscheidern in ganz Europa, dass fehlende oder unzureichende Mitarbeiterschulungen für fast vier von zehn (37 Prozent) der befragten KMU das größte Risiko im Bereich IT-Sicherheit darstellen – noch vor großangelegten Cyber-Angriffen (33 Prozent) oder dem Fehlen umfassender technologischer Schutzmaßnahmen (30 Prozent). Und eine aktuelle Studie der „Stanford University and Tessian“ ergab, dass Mitarbeiterfehler die Ursache für alarmierende 88 Prozent aller Datenschutzverletzungen sind.
Jede Cyberschutz-Strategie ist nur so gut wie das Mitarbeiterwissen
Mit Blick auf die Tatsache, dass die IT-Umgebungen in Unternehmen – und damit auch die Bedrohungslage durch Angreifer – kontinuierlich komplexer werden, braucht es immer mehr Expertise und Wissen, um die Tricks der Angreifer zu durchschauen. Die IT-Abteilungen allein können dies längst nicht mehr leisten: Fachkräftemangel, zunehmende Arbeitsverdichtung und -komplexität führen dazu, dass die IT-Verantwortlichen in KMU – sofern überhaupt explizit vorhanden – zunehmend an ihre Kapazitätsgrenzen stoßen.
Im Geschäftsalltag ist es daher die Aufgabe jedes Einzelnen, Cybersicherheitsrisiken so weit wie möglich zu vermeiden. Die wenigsten Mitarbeitenden sind jedoch IT-Experten, die automatisch über das nötige Wissen zu den verschiedenen Angriffsmethoden verfügen. Dementsprechend sind es oft genau diese Mitarbeitenden, die unbedacht auf einen gefälschten Link klicken oder den Anhang einer Phishing-E-Mail öffnen – unter anderem, weil sie nicht ausreichend über diese Themen informiert wurden. Die wenigsten sind daher ohne entsprechende Schulung in der Lage, eine gefälschte E-Mail als solche zu erkennen. Angreifer sind sich dieser Tatsache bewusst und nutzen sie aktiv aus.
Für KMU bedeutet dies einerseits, dass der Schutz vor Cyberbedrohungen nicht nur darin bestehen kann, immer mehr und immer ausgefeiltere technische Schutzmaßnahmen einzuführen, denn auch diese – und damit die gesamte digitale Resilienz eines Unternehmens – sind immer nur so gut wie das Wissen der Mitarbeitenden. Auf der anderen Seite bedeutet dies aber auch, dass die Schulung der Mitarbeitenden bei sorgfältiger Planung und Durchführung wesentlich dazu beitragen kann, Cyber-Sicherheitsrisiken so weit wie möglich einzudämmen. Und angesichts der oft schwerwiegenden Folgen eines Angriffs oder Datenverlusts für Unternehmen sollten Weiterbildungen in diesem Bereich höchste Priorität haben.
Eine sicherheitsfokussierte Unternehmenskultur etablieren
Sogenannte Security-Awareness-Trainings sind eine der einfachsten und effektivsten Methoden, die eigenen Mitarbeitenden hinsichtlich Cyberbedrohungen und sicherheitskonformen Verhaltens auf dem aktuellen Stand zu halten. Dabei handelt es sich um digitale Weiterbildungsformate, die sich an sämtliche Beschäftigte im Unternehmen richten, die nicht explizit im IT-Bereich tätig sind. Ziel dieser Trainings sollte darin bestehen, den Nicht-ITler die notwendige Expertise und Werkzeuge zur Verfügung zu stellen, um Risiken für IT-Sicherheit und Datenschutz zu erkennen und angemessen darauf zu reagieren.
Die Trainings sollten auf fortlaufender Basis stattfinden und fest im Arbeitsalltag verankert werden, denn Cyberkriminelle entwickeln ihre Angriffsmuster und -Technologien kontinuierlich weiter. Gleichzeitig soll diese Regelmäßigkeit die Mitarbeitenden auch für die Tatsache sensibilisieren, dass IT-Sicherheit nicht nur Aufgabe der IT-Experten ist. So lässt sich dauerhaft ein besseres Bewusstsein für die Wichtigkeit von Cybersicherheit im Unternehmen schaffen.
Die besten Trainingserfolge erzielt üblicherweise ein solider Mix aus theoretischen Trainingseinheiten und praxisbezogenen Simulationsübungen mit einem Fokus auf Phishing und Social Engineering, da dies die Angriffsmethoden sind, mit denen Beschäftigte im Alltag am wahrscheinlichsten konfrontiert werden. Zudem sollten die Trainingseinheiten sich möglichst einfach in den Arbeitsalltag der Mitarbeitenden integrieren lassen, um eine zuverlässige Teilnahme und Engagement zu gewährleisten. In der Regel lohnt es sich für KMU, für das Durchführen der Trainings einen externen Dienstleister an Bord zu holen, damit diese Aufgabe nicht zusätzlich noch bei den oftmals ohnehin bereits ausgelasteten IT-Experten im Unternehmen liegt.
 Abbildung: Sharp Torsten Bechler, Manager Product Marketing, |
