Mit einer einmal jährlich durchgeführten Sicherheitsschulung lässt sich weder die Cyber-Kompetenz noch die Resilienz einer Organisation messen oder steigern, und sie ändert auch nicht die Arbeitsweise. Sicherheitsschulung sollte vielmehr als kontinuierliches und messbares Handeln in der gesamten Organisation verstanden werden. In diesem Blog gehen wir auf die Auswirkungen von Schulungen auf die Informationssicherheit von Organisationen ein und erklären, warum wir bei Above IT Moxso als Partner gewählt haben, um die Sicherheitsresilienz unserer Kunden zu erhöhen.
Angriffe entwickeln sich immer schneller
In manchen Organisationen bedeutet Sicherheitsschulung immer noch eines: Im Herbst wird ein einstündiges Video angeschaut, die Teilnahme abgehakt und für das Audit vermerkt, dass das Personal geschult wurde. Im März kommt eine nahezu perfekte Phishing-Nachricht an, jemand meldet sich auf der falschen Seite an und die Zugangsdaten sind beim Angreifer. Das Problem ist nicht, dass es den Menschen egal wäre. Das Problem ist in erster Linie der Mangel an Schulung sowie unzureichende Prozesse.
Die leicht erkennbare Phishing-Nachricht mit Rechtschreibfehlern gehört der Vergangenheit an. Heutzutage ist eine finnischsprachige Betrugsnachricht sprachlich so einwandfrei, dass man allein daran nicht direkt erkennen kann, dass es sich um Betrug handelt.
Auch die Kanäle haben sich verändert. Ein Angriff beginnt nicht mehr nur per E-Mail. Phishing ist auf die Telefone der Nutzer übergegangen, wo möglicherweise keine Unternehmensschutzmaßnahmen verfügbar sind. CEO-Fraud beginnt mit einer E-Mail und wird per SMS oder Anruf fortgesetzt, um Anfragen zu bestätigen. Die Kombination funktioniert, weil jedes einzelne Ereignis zusätzliche Glaubwürdigkeit schafft, wenn das vorherige bereits den Boden bereitet hat.
Vertrautes, vertrauteres Teams?
Externe Teams-Kommunikation ist standardmäßig offen. Jeder aus einem anderen M365-Tenant kann einer Person eine Nachricht oder einen Anruf senden. Teams wird mehr vertraut als E-Mail, und das haben auch Angreifer bemerkt. In Schulungen sollten verschiedene Kanäle berücksichtigt werden und nicht nur auf Betrugsversuche per E-Mail fokussiert werden.
Zu beachten ist auch, dass selbst Schulung allein nicht ausreicht. Technische Schutzmaßnahmen müssen parallel entwickelt werden, sowohl bei Teams als auch in anderen Bereichen.
Sicherheitsbewusstsein kann und sollte gemessen werden
Statt für alle dieselbe Schulung anzubieten, beginnt ein funktionierendes Modell mit einer Ausgangsmessung. An die Mitarbeiter der Organisation werden simulierte Phishing-Nachrichten gesendet und beobachtet, was passiert. Wer hat geklickt, wer hat Zugangsdaten eingegeben, wer hat die Nachricht gemeldet usw.
Aus den Ergebnissen entstehen Risikoprofile auf individueller Ebene. Die Schulung wird entsprechend ausgerichtet. Eine Person mit hohem Risiko erhält intensive, wiederholte Übungen zur Phishing-Erkennung, und wer die Grundlagen bereits beherrscht, erhält anspruchsvollere Inhalte. Die Entwicklung wird aktiv verfolgt.
Warum wir Moxso als Partner gewählt haben
Wir haben eine Reihe von Sicherheitsschulungsplattformen durchgesehen und uns für das dänische Moxso entschieden, weil es unseren Anforderungen am besten entsprach. Ihre Philosophie bei Sicherheitsschulungen traf auf uns zu. Die Plattform kombiniert kontinuierliche Phishing-Simulationen und kurze Schulungseinheiten und erstellt Risikoprofile auf individueller Ebene, die sich entsprechend dem Verhalten aktualisieren.
Moxso-Vorteile in Kürze:
- Inhalte sind auf Finnisch und authentisch erstellt. Schulungsvideos wurden mit Schauspielern auch auf Finnisch gedreht. Es handelt sich also nicht um maschinell übersetzte Untertitel über einem englischsprachigen Video.
- Simulationen beschränken sich nicht auf gewöhnliche E-Mail-Links. Zu den Kampagnentypen gehören verschiedene realistische Betrugsversuche, die sich nicht nur auf E-Mail-Nachrichten oder darin enthaltene Links beschränken.
- Datenleck-Überwachung ist im selben Service enthalten. Über die Plattform ist ersichtlich, ob die Benutzernamen der Organisation in externen Datenlecks auftauchen.
- Schulung ist Microlearning. In kleinen Portionen auf einmal, die nicht zu viel Zeit in Anspruch nehmen.
- Gamification ist integriert. Die Plattform ermöglicht kleine Wettbewerbe. Wer in der Organisation hat die meisten Phishing-Nachrichten erkannt und die meisten Schulungen absolviert.
- Melden ist nur einen Klick entfernt. Phishing wird über eine Schaltfläche in Outlook gemeldet, die für alle leicht zugänglich ist. Ebenso erhalten Nutzer sofort eine Rückmeldung, wenn sie eine Phishing-Nachricht erkennen. So werden IT oder Kollegen nicht unnötig mit Meldungen über Phishing-Nachrichtensimulationen belastet.
NIS2 und das Cybersicherheitsgesetz brachten auch Anforderungen an Schulungen
Das Cybersicherheitsgesetz trat in Finnland im April 2025 in Kraft und brachte die Anforderungen der NIS2-Richtlinie in die nationale Gesetzgebung ein. Für Organisationen im Anwendungsbereich ist die Sicherheitsschulung des Personals nicht mehr nur eine formale Praxis, sondern Teil des erforderlichen Risikomanagements, für das letztendlich die Unternehmensleitung verantwortlich ist.
Die Aufsichtsbehörde könnte folgende Fragen stellen: Ist die Schulung kontinuierlich, ist sie dokumentiert und kannst du die Entwicklung in Zahlen zeigen? Ein einmal jährlich angeschautes Video oder gelesenes Dokument beantwortet keine dieser Fragen. Ein auf Simulationen und Kennzahlen basierendes Programm beantwortet alle drei ohne zusätzlichen Berichtsaufwand.
Wo sollte man anfangen?
Zur Entwicklung des Sicherheitsbewusstseins ist dies ein gutes Vorgehen:
- Miss das Ausgangsniveau. Führe eine Ausgangsmessung durch, bevor du irgendetwas schulst. Ohne sie kannst du keine Entwicklung nachweisen.
- Vereinbare Kennzahlen und Berichterstattung. Entscheide, was und wann an die Geschäftsleitung oder andere in der Organisation berichtet wird. Beispielsweise reicht eine vierteljährliche Zusammenfassung.
- Beginne die Schulung mit kurzen Einheiten. Ein langer Pflichtkurs demotiviert und bringt nicht die gewünschte Kompetenz.
- Mache das Melden einfach und verknüpfe es mit bestehenden Sicherheitsprozessen. Meldungen der Nutzer über Phishing-Nachrichten sowie andere Sicherheitsvorfälle/-störungen müssen irgendwo landen, wo darauf reagiert wird.
- Benenne keine Klicker. Wenn die Simulation zur Schande wird, sinken die Melderaten und du verlierst eine deiner wichtigsten Kennzahlen.
- Richte Inhalte nach Rollen aus. Beispiele: Finanzen brauchen Rechnungsbetrug, Führung braucht gezielte Spionage, Produktion braucht Geräte und physische Sicherheit.
- Führe Übungen über E-Mail hinaus. Nimm QR-Kampagnen spätestens in der zweiten Runde mit auf. Wenn ihr noch nie etwas anderes als E-Mail-Links getestet habt, habt ihr keinerlei Informationen darüber, wie die Organisation auf Betrug reagiert, der auf dem Telefon ankommt.
Sicherheitsbewusstsein ist die einzige Kontrolle, die auch dann funktioniert, wenn der technische Schutz versagt. Deshalb sollte man es mindestens genauso ernst nehmen wie Backups: kontinuierlich, messbar und regelmäßig getestet.
Wir sind Moxso-Partner und bauen gemeinsam mit Kunden ein Sicherheitsschulungsprogramm auf, das eine messbare Veränderung bewirkt und Audits standhält. Wir kümmern uns um die Ausgangsmessung, die Implementierung, die rollenspezifische Ausrichtung und die Berichterstattung an die Geschäftsleitung. Nimm Kontakt auf, dann besprechen wir, wo genau eure Organisation anfangen sollte.
Als vertrauenswürdiger Berater deiner IT-Verwaltung ist es unsere Aufgabe sicherzustellen, dass die von dir verwaltete IT-Umgebung sicher bleibt und nicht gefährdet wird. Gemeinsam durch Lernen und Handeln wird deine Organisation erfolgreich sein.