Cyber Security Awareness am Arbeitsplatz

Jedes Jahr entstehen für Unternehmen in Deutschland Schäden durch Cyber-Angriffe in Milliardenhöhe. Angefangen bei Lösegeld-Zahlungen, über Produktionsausfälle bis hin zur Belastung, die dadurch entsteht, dass die IT-Infrastruktur nach einer Attacke komplett neu aufgesetzt werden muss – die Herausforderungen bei einem Angriff fordern Zeit, Geld und Nerven. Von den Folgeschäden, die durch die Verbreitung sensibler Daten entstehen können, ganz zu schweigen. 

IT-Sicherheit und Datenschutz sind deswegen integrale Bestandteile bei der strategischen Ausrichtung von Prozessen und IT-Infrastrukturen. Doch so zuverlässig Ihr Datenmanagement und Ihre IT-Abteilung aufgestellt sein mögen – eine wesentliche Schwachstelle sind immer die individuellen Nutzer/innen. Wer hier vorbaut, und bei den Mitarbeiterinnen und Mitarbeitern ein gutes Grundverständnis für Datensicherheit und Cyber Security aufbaut und pflegt, kann viele Gefahren abwehren, bevor Schlimmeres passiert.

Wir geben Ihnen einen Überblick über wichtige Themen im Bereich Cyber Security Awareness und verraten Ihnen, wie Sie Best Practices in Ihrem Unternehmen oder Ihrer Organisation kommunizieren.

„Awareness“ heißt wörtlich übersetzt „Bewusstsein“ oder „Kenntnis“. Cyber Security Awareness bedeutet also, sich bewusst zu sein, dass Gefahren für die technische Infrastruktur und digitale Daten existieren. Sie bedeutet aber auch, dass es Praktiken gibt, um diese Gefahren abzuwehren und Sicherheit herzustellen bzw. zu verbessern, wenn Sie Rechner, Netzwerke und das Internet nutzen.

Meistens sind damit Gefahren und Sicherheitspraktiken gemeint, die alle Beschäftigten betreffen und nicht nur Admins. Folgende Themen werden zum Beispiel unter Cyber Security Awareness gefasst:

• Verdächtige E-Mails erkennen
• Sichere Passwörter erstellen 
• Webseiten sicher nutzen
• Persönliche Geräte und Datensicherheit
• Datensicherheit im Home Office

In einer mehr und mehr vernetzten Welt ist es möglich, auch von vergleichsweise harmlosen Zugriffspunkten aus in sensible Infrastrukturen einzugreifen. So lassen sich zum Beispiel Systeme infiltrieren, um über das Einspielen von Ransomware etwa den Zugriff auf ein Netzwerk zu sperren und anschließend vom Unternehmen Lösegeld für das Freischalten zu erpressen. Diese Gefahr ist auf für kleine und vermeintlich uninteressante Unternehmen nicht mehr abstrakt. Auch mit dem Erpressen vieler kleiner Unternehmen lässt sich unterm Strich gut Geld verdienen. 

Ein häufiges Einfallstor sind zum Beispiel Passwort-Diebstahl durch Phishing oder vermeintlich vertrauenswürdige E-Mails, über die Ransomware installiert wird. Aber auch klassisches Ausspähen direkt am Arbeitsplatz gehört durchaus zu den realistischen Gefahren: Ein nicht gesperrter Computer-Arbeitsplatz und eine unverschlossene Tür erlauben unter Umständen leichten Zugriff auf hochsensible Daten. 

Solche kriminellen Praktiken bezeichnet man als „Social Engineering“, was man mit „Sozialtechnik“ übersetzen könnte. Diese Strategien zielen nicht darauf, digitale Infrastruktur zu hacken, sondern richtet sich auf die Fahrlässigkeit von Nutzer/innen.

Wenn Sie in Ihrem Unternehmen ein gutes Bewusstsein für die Gefahren, schützende Praktiken und die Verantwortlichkeit aller Beschäftigten für die Sicherheit etablieren, können Sie diese Risikofaktoren deutlich reduzieren und Cyberangriffe gar nicht erst fruchten zu lassen.

Cyber Security und Datenschutz als Ziele kommunizieren

Zunächst einmal ist es wichtig, dass der sensible Umgang mit Daten und die sorgfältige Nutzung von Technik klar als Richtlinie für die Arbeit gesetzt sind und vor allem allen Mitarbeiter/innen kommuniziert werden. Die Vorbildfunktion von Führungskräften für Cyber-Security-Praktiken ist dabei eine wichtige Komponente.

Informationen über Cyber Security umfassend zur Verfügung stellen 

Alle Mitarbeiter/innen sollten bereits mit dem Onboarding über die für ihren Arbeitsplatz wichtigen Sicherheitsanforderungen informiert sein und wissen, wie sie diese erfüllen können. Die Informationen sollten vollständig so vorgehalten werden, dass sie jederzeit noch einmal abgerufen werden können. 

Sensibilisierungs-Kampagnen und Schulungen

Mitarbeiterschulungen, egal ob als Informationsveranstaltung, Training, E-Learning oder in Form von Penetration-Tests, fördern aktiv das Bewusstsein für Bedrohungen und vermitteln gezielt die wichtigen Praktiken, um Angriffe zu vermeiden.

Wie bei vielen Themen rund um digitale Technologien gilt auch beim Thema Cyber Security Awareness: Mit einmaligen Aktionen ist es nicht getan. Technologien und kriminelle Strategien ändern sich ständig. Unabhängig davon festigt eine regelmäßige Auffrischung die Themen und hält Ihre Kolleginnen und Kollegen auf Stand  – wie beim Erste-Hilfe-Kurs. Bleiben Sie also dran und damit auf der sicheren Seite!