Wie man Security Awareness Trainings richtig kommuniziert: Der entscheidende Hebel für (Miss)erfolg
Die meisten Unternehmen scheitern nicht bei der Durchführung von Security Awareness Trainings – sie scheitern bei der Kommunikation darüber. In diesem Artikel zeigen wir, wie Sie mit effektiver Kommunikation das Maximum aus Ihrem Security Awareness Training herausholen.
Das Kernproblem: Warum Trainings oft unter ihrem Potenzial bleiben
Security Awareness Trainings sind komplex und verlangen von Ihren Kolleginnen und Kollegen, sich mit der Thematik auseinanderzusetzen. Und das, obwohl IT-Sicherheit sicherlich nicht bei allen zu den Lieblingsthemen zählt. Dazu kommt noch Unbehagen, aufgrund von lückenhaftem Vorwissen und die Angst, Fehler zu machen. Logisch also, dass man bei der Kommunikation von Security Awareness Trainings Fingerspitzengefühl beweisen muss. Folgende Tipps, können helfen, das Maximum aus Ihrem Training rauszuholen:
- Training als Lernangebot statt als Leistungsüberprüfung positionieren
- Das „Warum“ klar machen
- Phishing-Simulationen ankündigen
- Gesunde Fehlerkultur etablieren
- Erfolge feiern & Errungenschaften teilen
Training als Lernangebot statt als Leistungsüberprüfung positionieren
Um Unsicherheiten zu reduzieren und Engagement zu fördern ist es unerlässlich, dass Sie ganz klar kommunizieren, dass es sich nicht um eine Leistungsüberprüfung handelt und Fehlverhalten nicht dazu genutzt wird, einzelne Personen anzuprangern. Stattdessen geht es um gemeinsames Lernen. Betonen Sie außerdem, dass Ihre Kolleginnen und Kollegen auch privat von den gelernten Inhalten profitieren können und so z.B. die nächste gefälschte Zustellbenachrichtigung erkennen können.
Das „Warum“ klar machen
Nur wer weiß, warum er etwas tut, ist langfristig motiviert. Wenn Sie also von Ihren Kolleginnen und Kollegen erwarten, dass Sie Zeit in ein Training investieren, müssen Sie darüber aufklären, warum es wichtig ist. Bei Security Awareness Trainings heißt das konkret:
- Security Awareness ist eine Gemeinschaftsaufgabe
- Cyberangriffe können gravierende Folgen für eine Organisation haben
- Cybersicherheit kann nicht allein durch technische Maßnahmen gewährleistet werden
- Die Gefahr ist real und trifft hunderte Unternehmen jedes Jahr
- Cyberkriminelle schlafen nicht und nutzen immer neue Technologien wie z.B. Künstliche Intelligenz
Kommunizieren Sie das "Waum" so früh wie möglich und am besten persönlich.
Phishing-Simulationen ankündigen
Es ist ein weit verbreiteter Irrglaube, dass eine Ankündigung der Phishing-Simulation die Effektivität reduziert, weil Mitarbeitende dadurch wachsamer sind, weniger auf simulierte Phishing-Links klicken und folglich weniger lernen. Tatsächlich gibt es jedoch viele Punkte, die eindeutig für eine klare Kommunikation vorab sprechen:
- Die Ankündigung wird spätestens nach ein paar Wochen bei einem Großteil der Teilnehmenden nicht mehr so präsent sein
- Wenn die Ankündigung dazu führt, dass Mitarbeitende wachsamer bei E-Mails sind, haben wir bereits etwas gewonnen. Das bedeutet, dass auch echte Phishing-Versuche schneller erkannt werden
- Eine Ankündigung zeigt Transparenz und reduziert die Wahrscheinlichkeit, dass die Phishing-Simulation als „Leistungsüberprüfung“ wahrgenommen wird
- Da Mitarbeitende wissen, was sie erwartet, sind sie im Falle eines „Fehlers“ weniger schockiert und eher dazu bereit, das Lernangebot wahrzunehmen
Gesunde Fehlerkultur etablieren
Jedes Security Awareness Training sollte durch Anstrengungen begleitet werden, eine gesunde Fehlerkultur zu etablieren. Das heißt konkret, dass Klicks auf Phishing-Links nicht als Fehler, sondern als Lernchance gesehen werden. Außerdem muss klar gemacht werden, dass es potenziell jeden treffen kann.
Warum ist eine gesunde Fehlerkultur so wichtig?
Wenn Fehler bestraft werden, reduziert das die Bereitschaft für Schulungen. Dazu kann es bei einem Vorfall entscheidene Zeit kosten: Wenn Mitarbeitende Konsequenzen fürchten müssen, wenn sie einen IT-Sicherheitsvorfall vermuten, kann das dazu führen, dass Vorfälle gar nicht erst gemeldet werden.
Erfolge feiern & Errungenschaften teilen
Studien haben gezeigt, dass positive Verstärkung deutlich effektiver als Bestrafung ist. Vor diesem Hintergrund sollten Erfolge, so klein sie auch wirken mögen, gefeiert werden. Das fängt bereits damit an, dass jemand eine simulierte Phishing-Mail erfolgreich meldet. Auch wenn echte Phishing-Versuche durch eine Meldung erkannt werden, sollte das zelebriert werden. Bleiben Sie außerdem transparent bezüglich des Fortschritts: Teilen Sie die Entwicklung der KPIs mit Ihren Kolleginnen und Kollegen, feiern Sie Abteilungen, die besonders gut abschneiden oder küren Sie Security-Champions, die durch ihr wachsames Auge einen wichtigen Beitrag zur IT-Sicherheit Ihres Unternehmens leisten.
Kommunikation ist der Schlüssel
Wie sie sehen, ist es mit der stillen Einführung eines Security Awareness Trainings nicht getan. Schlüssel zum Erfolg ist eine wohlüberlegte Kommunikationsstrategie. Wenn Sie die in diesem Artikel genannten Ratschläge befolgen, steht einem erfolgreichen Security Awarenesss Training nichts mehr im Weg!
