Wissen schützt

In den Köpfen vieler Menschen entsteht durch Filme ein verzerrtes Bild: Bei einem Grossteil aller erfolgreichen Cyberangriffe handelt es sich nicht um technisch hochkomplexe und ausgefeilte Hacking-Meisterwerke, bei denen ein Genie-Angreifer unüberwindlich erscheinende Schutzmassnahmen ausmanövriert. In vielen Fällen ist es einfach ein gestresster, abgelenkter und damit unaufmerksamer Mitarbeiter, der unabsichtlich auf einen schädlichen Link klickt oder eine bösartige Datei öffnet. Insbesondere in KMU ist die grösste potenzielle Sicherheitslücke nach wie vor der Mensch. Eine von Sharp unter insgesamt 5.770 IT-Entscheidern in ganz Europa durchgeführte Umfrage zeigt, dass fast vier von zehn (37 Prozent) der Befragten fehlende oder unzureichende Mitarbeiterschulungen als grösstes IT-Sicherheitsrisiko für ihr Unternehmen ansehen.

Diese Zahl ist insbesondere deshalb so frustrierend, weil aufmerksame und gut geschulte Mitarbeiter eine der effektivsten Cybersicherheitsmassnahmen für Unternehmen darstellen können. Sie erkennen Bedrohungen frühzeitig und erschweren damit selbst raffinierte Angriffe erheblich. Jedoch gilt auch das Gegenteil: Auch die strengsten Massnahmen sind wirkungslos, wenn Mitarbeiter nicht entsprechend geschult sind. Oder noch schlimmer: Wenn sie die Massnahmen aktiv untergraben.

Im Rahmen einer weiteren, von Sharp unter 1.001 Arbeitnehmern in Schweizer KMU durchgeführten Studie haben zwei Drittel der Befragten zugegeben, regelmässig Verhaltensweisen an den Tag zu legen, die in Sachen Cybersicherheit als riskant gelten – und diese vor ihren Vorgesetzten zu verheimlichen. Rund ein Viertel der Befragten ist zudem der Meinung, dass die Cybersicherheit ihres Unternehmens gar nicht in ihrer Verantwortung liegt, sondern ausschliesslich Aufgabe der IT-Abteilung sei. Und knapp 10 Prozent gaben sogar an, dass es ihnen egal wäre, wenn ihr Unternehmen gehackt würde – im Rahmen der Studie war dies der höchste Wert unter allen befragten Ländern in Europa.

Auch KI wird es nicht im Alleingang richten

Diese Zahlen sind bedenklich und weder die IT-Abteilung noch künstliche Intelligenz (KI) können die dahinterliegenden Probleme vollständig auffangen. Die IT-Abteilungen in den meisten KMU sind aufgrund des demografischen Wandels und des daraus resultierenden Mangels an IT-Sicherheitsfachkräften bereits mit dem Tagesgeschäft mehr als ausgelastet. Und durch KI stehen Unternehmen zwar wesentlich effektivere Sicherheitsmassnahmen zur Verfügung als noch vor ein paar Jahren, doch dieselbe Technologie kann sowohl zur Abwehr als auch zur Durchführung von Angriffen eingesetzt werden. Auch Angreifer können sie nutzen, um ihre Angriffe präziser, schneller und noch schwerer erkennbar zu machen.

Bestes Beispiel dafür: Social Engineering. Bei dieser Methode bringen Angreifer ihre potenziellen Opfer durch Täuschen, Überreden oder sozialen Druck dazu, Passwörter oder Zugangsdaten einfach herauszugeben. Mithilfe generativer KI sind Angreifer inzwischen noch effektiver in der Lage, hochpersonalisierte und damit noch überzeugendere Nachrichten zu erstellen, in denen sie sich beispielsweise als Vorgesetzte ausgeben, und diese innerhalb kürzester Zeit im grossen Massstab zu verschicken. Damit rücken KMU auch immer häufiger ins Visier von Cyberangriffen: Wenn für einen Angriff weniger Aufwand erforderlich ist, lohnen sich auch kleinere Unternehmen zunehmend als Ziel.

Mit Security Awareness Trainings Wissens- und Sicherheitslücken füllen

Vor diesem Hintergrund müssen KMU mit ihren Mitarbeitern zwei Ziele erreichen: Sie müssen ein Bewusstsein dafür schaffen, dass Cybersicherheit eine Aufgabe aller im Unternehmen ist, und ihre Mitarbeiter mit dem notwendigen Wissen ausstatten, um diese Verantwortung aktiv im Arbeitsalltag wahrzunehmen. Beide Ziele können mit einer vergleichsweise simplen Massnahme erreicht werden: Security Awareness Trainings.

Dabei handelt es sich um leicht verständliche, regelmässige Schulungen für alle nicht im IT-Bereich tätigen Mitarbeiter im Unternehmen. Sie sollten digital durchgeführt werden und rund fünf bis zehn Minuten dauern, sodass sie problemlos in den Arbeitsalltag jedes Mitarbeiters integriert werden können. Die Inhalte der Trainings sollten sich auf Bedrohungen fokussieren, denen Mitarbeiter im Alltag häufig begegnen. Und praxisnahe Beispiele, konkrete Handlungsempfehlungen sowie – idealerweise – realistische Simulationen umfassen, um das theoretische Wissen durch Übung zu festigen und für den Ernstfall zu proben.

Die Trainings sollten regelmässig stattfinden, damit auch neue Bedrohungen oder technologische Entwicklungen, beispielsweise auf Basis von KI, zeitnah thematisiert werden können. Zudem sorgt die Wiederholung dafür, dass das Gelernte im Alltag präsent und abrufbar bleibt. Das unterstützt Unternehmen dabei, ihre Mitarbeiter für ihre Sicherheitsverantwortung zu sensibilisieren und langfristig eine sicherheitsbewusste Unternehmenskultur zu schaffen.