Security-Awareness-Schulungen

Anforderungen im IT-Grundschutz

Der Baustein ORP.3 Sensibilisierung und Schulung zur Informationssicherheit enthält folgende zentrale Anforderungen:

• ORP.3.A1 (Basis): Die Institutionsleitung muss ausreichend sensibilisiert werden und Sensibilisierungs- und Schulungsmaßnahmen unterstützen. Vorgesetzte müssen mit gutem Beispiel vorangehen und ihre Mitarbeitenden auf die Einhaltung der Vorgaben hinweisen.
• ORP.3.A3 (Basis): Alle Mitarbeitenden und externen Benutzenden müssen in den sicheren Umgang mit IT-, ICS- und IoT-Komponenten eingewiesen und sensibilisiert werden, soweit es für ihre Arbeit relevant ist. Dafür müssen verbindliche, verständliche und aktuelle Richtlinien vorliegen.
• ORP.3.A4 (Standard): Konzeption eines zielgruppenorientierten Sensibilisierungs- und Schulungsprogramms auf Basis einer Zielgruppenanalyse, regelmäßig überprüft und aktualisiert.
• ORP.3.A6 (Standard): Alle Mitarbeitenden sollen entsprechend ihren Aufgaben und Verantwortlichkeiten geschult werden.
• ORP.3.A7 (Standard): Schulung zur Vorgehensweise nach IT-Grundschutz für die Beteiligten am Sicherheitsprozess.
• ORP.3.A8 (Standard): Messung und Auswertung des Lernerfolgs mit quantitativen und qualitativen Aspekten; der ISB tauscht sich regelmäßig mit der Personalabteilung und anderen Beteiligten über die Effizienz aus.
• ORP.3.A9 (erhöhter Schutzbedarf): spezielle Schulung exponierter Personen.

Anforderungen nach NIS-2

Für besonders wichtige und wichtige Einrichtungen zählen nach § 30 Absatz 2 BSIG grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik zu den Mindestmaßnahmen. Zusätzlich müssen nach § 38 Absatz 3 BSIG die Geschäftsleitungen regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Das BSI weist darauf hin, dass die Schulung der Geschäftsleitung getrennt von der Schulung der Mitarbeitenden zu betrachten ist.

Ein Schulungsprogramm für kleine Betriebe

Zielgruppen

Auch im kleinen Betrieb lohnt eine einfache Unterscheidung:

• alle Mitarbeitenden: Grundregeln, Phishing, Passwörter, Melden,
• Geschäftsführung: Verantwortung, Risiken, Entscheidungen, Verhalten bei gezielten Angriffen auf die Leitung, etwa gefälschte Zahlungsanweisungen,
• Buchhaltung und Einkauf: Zahlungsbetrug, geänderte Bankverbindungen, Rechnungsprüfung,
• Personen mit Administrationsrechten: sichere Administration, getrennte Konten, Umgang mit Zugangsdaten,
• neue Mitarbeitende: Einweisung vor dem ersten Zugang.

Themen

Bewährte Themen, die sich über ein Jahr verteilen lassen:

1. Phishing und Social Engineering per E-Mail, Telefon und Messenger,
2. Passwörter, Passwortmanager und Zwei-Faktor-Authentifizierung,
3. sicherer Umgang mit E-Mail-Anhängen, Links und Downloads,
4. mobiles Arbeiten, Homeoffice und Reisen,
5. Umgang mit vertraulichen Informationen und Datenschutz,
6. Nutzung von Cloud- und KI-Diensten im Rahmen der betrieblichen Regeln,
7. Verhalten bei Sicherheitsvorfällen und im Notfall.

Formate

• kurze Einheiten in Teambesprechungen,
• Präsenz- oder Online-Schulungen mit Beispielen aus dem eigenen Betrieb,
• E-Learning für Grundlagen und Auffrischung,
• Merkblätter und Aushänge mit wenigen Kernregeln,
• Übungen, etwa ein kurzes Planspiel zum Ablauf bei einem Vorfall.

Einweisung neuer Mitarbeitender

Nach ORP.3.A3 und ORP.2.A1 gehört die Einweisung in den sicheren Umgang mit IT zur geregelten Einarbeitung. Bewährt hat sich eine kurze Checkliste für den ersten Arbeitstag:

• Leitlinie und IT-Sicherheitsrichtlinie erklären und bestätigen lassen,
• Ansprechperson für Sicherheitsfragen und Meldeweg für Vorfälle vorstellen,
• Zwei-Faktor-Authentifizierung gemeinsam einrichten,
• Ablage, freigegebene Dienste und Regeln für mobile Geräte zeigen,
• Termin für die nächste reguläre Schulung festlegen.

Schulung der Geschäftsleitung

Die Geschäftsführung braucht andere Inhalte als die Belegschaft. Im Mittelpunkt stehen die eigene Verantwortung, die Bewertung von Risiken, die Entscheidung über Maßnahmen und Budgets, Melde- und Krisenabläufe sowie gezielte Angriffe auf die Leitung selbst, etwa gefälschte Zahlungsanweisungen im Namen der Geschäftsführung. Für NIS-2-pflichtige Einrichtungen ist diese Schulung nach § 38 BSIG verpflichtend und regelmäßig zu wiederholen. Das BSI stellt dazu eigene Handreichungen bereit.

Phishing-Simulationen

Simulierte Phishing-Mails können zeigen, wie gut Warnzeichen erkannt werden, und bieten Anlass für gezieltes Nachschulen. Sie sollten mit Bedacht eingesetzt werden:

• vorher Ziel und Ablauf festlegen und die Geschäftsführung einbinden,
• Datenschutz und, falls vorhanden, den Betriebsrat beteiligen, weil Verhalten einzelner Personen ausgewertet werden kann,
• Ergebnisse vorrangig zusammengefasst auswerten, nicht an den Pranger stellen,
• jede Simulation mit einer kurzen Lerneinheit verbinden.

Erfolg messen

ORP.3.A8 sieht vor, den Lernerfolg zu messen. Mögliche Kennzahlen:

• Teilnahmequote an Schulungen,
• Anteil gemeldeter verdächtiger E-Mails,
• Ergebnisse von Simulationen im Zeitverlauf,
• Zeit zwischen einem Vorfall und seiner Meldung,
• Rückmeldungen der Teilnehmenden.

Wichtiger als einzelne Werte ist die Entwicklung über die Zeit. Steigende Meldezahlen sind dabei oft ein gutes Zeichen: Sie zeigen, dass Mitarbeitende aufmerksam sind und sich trauen zu melden.

Fehler, die Schulungen wirkungslos machen

• einmalige Pflichtveranstaltung ohne Wiederholung,
• abstrakte Inhalte ohne Bezug zum Arbeitsalltag,
• Schuldzuweisungen nach Fehlern, die das Melden verhindern,
• Geschäftsführung nimmt nicht teil,
• keine Verbindung zur IT-Sicherheitsrichtlinie, sodass Regeln und Schulung auseinanderlaufen.

Dokumentation

Halten Sie fest, wer wann zu welchem Thema geschult wurde. Diese Nachweise werden bei Audits, von Kunden oder Versicherern und für NIS-2-pflichtige Einrichtungen im Rahmen der Dokumentationspflicht nach § 30 BSIG relevant.