Wie sollte man ein Security-Awareness-Training kommunizieren?

Mitarbeitende spielen eine zentrale Rolle für die Informationssicherheit und sollten daher regelmäßig geschult werden. Doch wie lassen sich Security-Awareness-Kampagnen und Schulungsmaßnahmen so kommunizieren, dass sie auf Akzeptanz stoßen und nicht als Kontrolle oder zusätzliche Belastung wahrgenommen werden?

Warum scheitern viele Programme für Security-Awareness-Training in Unternehmen?

Viele Unternehmen investieren Zeit und Ressourcen in Security-Awareness-Trainings, erzielen jedoch nicht die gewünschten Ergebnisse. Der Grund dafür liegt häufig nicht in den Schulungsinhalten selbst, sondern in deren Umsetzung und Kommunikation.

Ein typisches Problem besteht darin, dass Awareness-Maßnahmen als einmalige Pflichtveranstaltung betrachtet werden. Mitarbeitende absolvieren das Training, haben danach jedoch kaum weitere Berührungspunkte mit dem Thema. Dadurch geht das vermittelte Wissen schnell verloren und nachhaltige Verhaltensänderungen bleiben aus.

Ein erfolgreiches Security Awareness Konzept setzt auf kontinuierliche Kommunikation, praxisnahe Inhalte und regelmäßige Wiederholungen. Nur so lässt sich langfristig eine Sicherheitskultur etablieren, die Mitarbeitende aktiv in die Cyberabwehr einbindet.

Im Rahmen einer Studie von Trend Micro nennen 63 Prozent der befragten IT- und Sicherheitsentscheider deutscher Unternehmen interne Kommunikation als größte Herausforderung für die Cybersicherheit in ihrem Unternehmen. 43 Prozent der Befragten berichteten von Problemen, der Unternehmensführung komplexe Sachverhalte zu vermitteln. Die Studie zeigt auch, dass es oft erst eines aufsehenerregenden Cyberangriffs bedarf, um die nötige Aufmerksamkeit für IT-Sicherheit zu bekommen: 69 Prozent der Befragten erleben, dass nach Vorfällen wie WannaCry die Kommunikation für sie einfacher wird. Das wirft die Frage auf, wie IT-Sicherheitsverantwortliche und IT-Sicherheitsbeauftragte diese Kommunikationsbarrieren überwinden können, bevor solche Angriffe geschehen.

Warum ist eine Awareness Kampagne so wichtig für die IT-Sicherheit?

Technische Schutzmaßnahmen allein reichen heute nicht mehr aus, um Unternehmen vor Cyberangriffen zu schützen. Angreifer setzen zunehmend auf Phishing, Social Engineering und andere Methoden, die gezielt menschliche Verhaltensweisen ausnutzen.

Aus diesem Grund ist eine erfolgreiche Awareness Kampagne für die IT-Sicherheit ein wichtiger Bestandteil jeder Sicherheitsstrategie. Ziel ist es, Mitarbeitende für aktuelle Bedrohungen zu sensibilisieren und ihnen das notwendige Wissen zu vermitteln, um Risiken frühzeitig zu erkennen.

Eine nachhaltige Mitarbeiter Awareness entsteht jedoch nicht durch einzelne Schulungen, sondern durch kontinuierliche Kommunikation, regelmäßige Trainings und praxisnahe Inhalte. Je besser Security Awareness in den Arbeitsalltag integriert wird, desto stärker entwickelt sich eine langfristige Sicherheitskultur.

7 Tipps zur Kommunikation einer Security-Awareness-Kampagne

Mit diesen 7 Tipps treffen Sie im Rahmen Ihrer Security Awareness Maßnahmen den richtigen Ton: 

Mitarbeiter durch richtige Kommunikation motivieren

Sich mit IT-Sicherheit zu befassen ist für viele immer noch eine Mühseligkeit. Gestalten Sie die Informationen für Ihre Mitarbeiter daher möglichst spannend und anschaulich. Greifen Sie bei der Darstellung der Risiken auf interne Beispiele von Risiken zurück oder stellen Sie den privaten Nutzen für die Mitarbeiter dar. Dies hilft den Mitarbeitern, sich besser damit identifizieren zu können. Auch eine humoristische Art und Weise kommt oft gut bei den Mitarbeitern an. So kann beispielsweise mithilfe eines Cartoons eine Information einfach, kurz und unterhaltsam vermittelt werden.

Eine vertrauensvolle Kultur fördern

Zeigen Sie auf, welchen Mehrwert Security Awareness für die tägliche Arbeit bietet. Mitarbeitende sollten erkennen können, dass Sicherheitswissen nicht nur das Unternehmen schützt, sondern auch im privaten Umfeld hilfreich sein kann.

Wissensvorsprung und Sprachbarrieren überbrücken

Die IT spricht eine andere Sprache als die Mitarbeiter der anderen Bereiche. Seien Sie sich Ihres Wissensvorsprungs bewusst. Wählen Sie daher eine zielgruppenorientierte, einfache und verständliche Sprache, damit Ihre Informationen von allen Mitarbeitern, unabhängig von Abteilung oder Wissensstand, verstanden werden können. Beispielsweise sollten IT-Fachausdrücke vermieden werden, sofern die Adressaten nicht einen IT-Hintergrund haben.

Keine Verwirrung durch widersprüchliche Informationen

Die gewünschten und kommunizierten Verhaltensregeln sollten konsistent sein, indem sie auf die schon bestehenden internen Richtlinien abgestimmt sind.

Führungskräfte einbinden

Führungskräfte müssen an Bord geholt werden und als Botschafter das Thema im Unternehmen verbreiten. Es wird sehr schwer werden, das Thema IT-Sicherheit gegen den Widerstand der Führungskräfte zu verbreiten. Dazu muss ein entsprechendes Bekenntnis von ganz oben kommen. Die Führungskräfte können das Thema als Botschafter dann weiter in die Teams tragen und die Wichtigkeit des Themas den Mitarbeitern mitgeben.

Kulturelle Unterschiede berücksichtigen

Ihr Awareness-Training richtet sich an Mitarbeiter aus unterschiedlichen Ländern? Um den erhofften Erfolg zu erreichen, sollten kulturelle Unterschiede bei der Kommunikation mit den Mitarbeitern berücksichtigt werden. Neben Umgangsformen und Kommunikationstools kann auch die Risikowahrnehmung je nach kulturellem Kontext unterschiedlich sein.

Verschiedene Kanäle nutzen

Es gibt verschiedene Lerntypen und Medien-Nutzer-Typen. Daher ist es ratsam, bei der Kommunikation mit den Mitarbeitern multimedial vorzugehen, d.h. verschiedene Kanäle einzubinden, sowohl digital als auch physisch. Digitale Kommunikation ist wichtig, es darf jedoch nicht die Wirkung von Face-to-Face-Kommunikation unterschätzt werden.

Die Kommunikation hat in der IT-Sicherheit die schwierige Aufgabe, Personen mit unterschiedlichsten Hintergründen für die Risiken und das richtige Verhalten bei Cyberangriffen zu sensibilisieren. Wenn Sie diese Tipps beachten, schaffen Sie eine gute Basis.