Phishing-Schulung und Informationssicherheit für Mitarbeiter

Viele erfolgreiche Angriffe beginnen nicht mit einer technischen Lücke, sondern mit einer Nachricht: eine E-Mail, die eine Rechnung ankündigt, ein Anruf angeblich von der IT, eine Kurznachricht mit einem Link zur Paketverfolgung. Technik filtert vieles heraus, aber nie alles. Mitarbeiter, die Angriffe erkennen und melden, sind deshalb ein wichtiger Teil der Abwehr.

Gleichzeitig ist Informationssicherheit mehr als Phishing. Sichere Passwörter und Mehrfaktor-Anmeldung, der Umgang mit mobilen Geräten und Datenträgern, das Sperren des Bildschirms, das Verhalten auf Reisen und im Homeoffice gehören ebenso dazu.

Die NIS-2-Richtlinie (EU) 2022/2555 verlangt in Art. 20 Abs. 2, dass die Mitglieder der Leitungsorgane betroffener Einrichtungen an Schulungen teilnehmen, und dass die Mitgliedstaaten die Einrichtungen ermutigen, ihren Beschäftigten regelmäßig entsprechende Schulungen anzubieten. Art. 21 nennt grundlegende Verfahren der Cyberhygiene und Schulungen zur Cybersicherheit unter den Risikomanagementmaßnahmen. Die Einzelheiten regelt die nationale Umsetzung; ob ein Unternehmen betroffen ist, hängt von Sektor und Größe ab.

Daneben verlangen viele Verträge, Versicherungen und Normen Schulungen zur Informationssicherheit. Die internationale Norm ISO/IEC 27001 etwa enthält Anforderungen an Bewusstsein und Schulung. Und nach Art. 32 DSGVO gehören organisatorische Maßnahmen zur Sicherheit der Verarbeitung zu den Pflichten jedes Verantwortlichen. Dieser Überblick ist keine Rechtsberatung.

Eine gute Schulung konzentriert sich auf das, was Mitarbeiter im Alltag tatsächlich erleben, und auf klare Handlungen.

Sicherheitswissen verblasst schnell, und Angriffsmuster ändern sich. Eine jährliche Pflichtschulung als Grundlage ist sinnvoll; wirksamer wird sie durch kurze Auffrischungen über das Jahr: eine Fünf-Minuten-Einheit zu einer aktuellen Masche, ein Beispiel aus dem eigenen Haus, ein kurzes Quiz.

Gute Schulungen zeigen echte Beispiele — geschwärzt, aber erkennbar aus dem eigenen Umfeld. Sie üben Entscheidungen statt Begriffe: „Diese E-Mail kommt angeblich von der Geschäftsführung und bittet um eine dringende Überweisung. Was tun Sie?“

Viele Unternehmen versenden zur Übung simulierte Phishing-Mails. Richtig eingesetzt können sie das Erkennen trainieren. Falsch eingesetzt zerstören sie Vertrauen: wenn Klickquoten einzelner Personen an Führungskräfte gehen, wenn Mitarbeiter bloßgestellt werden oder wenn Simulationen so gestaltet sind, dass sie echte, wichtige Nachrichten imitieren und dadurch künftig berechtigte Mails ignoriert werden.

Bewährte Grundsätze: offen ankündigen, dass es Übungen gibt; Ergebnisse nur zusammengefasst auswerten; nach einem Klick sofort eine kurze Lerneinheit statt eines Vermerks; das Melden einer verdächtigen Mail sichtbar anerkennen. Wo ein Betriebsrat besteht, ist er einzubeziehen; auch der Datenschutz ist zu beachten.

Die Personalentwicklung von Universe bringt die Vorlage „Informationssicherheit und Phishing“ mit, standardmäßig 12 Monate gültig — Frist und Rechtsgrundlage sind Vorschläge. Die Schulung lässt sich automatisch an alle zuweisen; ergänzende kurze Einheiten zu neuen Maschen können als zusätzliche Lernpfade angelegt werden.

Kurse entstehen in der Kurs-Werkstatt, auch aus vorhandenen Folien, und enthalten Quiz zur Verständnisprüfung. Nach Abschluss gibt es einen signierten Nachweis mit Prüfcode; die Auffrischung beginnt 30 Tage vor Ablauf von selbst. Simulierte Phishing-Kampagnen gehören nicht zum Funktionsumfang der Plattform.