Eine Awareness-Schulung soll erreichen, dass Beschäftigte im Arbeitsalltag anders handeln. Sie ist damit etwas anderes als eine Fachschulung: Es geht nicht darum, Wissen abzuprüfen, sondern darum, in einer konkreten Situation die richtige Reaktion auszulösen — beim Anruf des angeblichen Geschäftsführers, bei der Rechnung mit geänderter Bankverbindung, beim USB-Stick auf dem Parkplatz.
ISO/IEC 27001 trennt an dieser Stelle zwei Anforderungen: Kompetenz meint die fachliche Befähigung für eine Aufgabe, Bewusstsein meint das Verständnis dafür, warum die eigene Tätigkeit für die Informationssicherheit relevant ist. Beides muss nachgewiesen werden, beides wird regelmäßig in einen einzigen Ordner „Schulungen” geworfen und dann im Audit auseinandersortiert.
Was eine wirksame Schulung von einer Pflichtübung unterscheidet
Rollenbezug. Die Buchhaltung braucht Zahlungsanweisungsbetrug, die Entwicklung braucht Umgang mit Quellcode und Konstruktionsdaten, der Außendienst braucht Geräte- und Reisesicherheit. Eine Schulung, die allen dasselbe zeigt, erreicht niemanden vollständig.
Konkrete Fälle statt Regeln. „Melden Sie verdächtige Vorgänge” ist wirkungslos. „Wenn eine Lieferantenrechnung eine neue Kontonummer nennt, rufen Sie unter der Ihnen bekannten Nummer an, nicht unter der in der Mail” ist eine Handlung, die jemand am nächsten Tag ausführen kann.
Ein klarer Meldeweg. Die wichtigste Information jeder Awareness-Schulung ist, an wen man sich wendet und dass eine Fehlmeldung folgenlos bleibt. Wer Sanktionen befürchtet, meldet später — und später ist bei einem Sicherheitsvorfall der teuerste Faktor.
Der Nachweis
Verlangt ist die Aufzeichnung über Kompetenz und Schulung. Brauchbar ist eine Übersicht mit Datum, Inhalt, Teilnehmenden und Nachweis der Teilnahme. Zwei Punkte werden dabei regelmäßig übersehen: die Nachschulung derjenigen, die beim Termin gefehlt haben, und die Unterweisung neuer Beschäftigter innerhalb einer festgelegten Frist nach Eintritt. Beides sind einfache Stichproben — Auditoren nehmen die Liste der Neuzugänge und suchen die Schulungsnachweise dazu.
Woran es scheitert
Der häufigste Befund ist die Schulung ohne Wirksamkeitsprüfung. Die Norm verlangt an mehreren Stellen, dass Maßnahmen auf ihre Wirksamkeit hin bewertet werden, und eine Anwesenheitsliste ist keine Wirksamkeitsprüfung. Belastbare Indikatoren gibt es: die Zahl gemeldeter verdächtiger Nachrichten über die Zeit, das Ergebnis simulierter Phishing-Kampagnen, die Beobachtungen aus einem Rundgang nach Feierabend.
Der zweite Fehler ist die Simulationskampagne als Falle. Wer Phishing-Tests als Test der Belegschaft aufsetzt und Ergebnisse personenbezogen auswertet, senkt die Meldebereitschaft dauerhaft. Solche Kampagnen sind zudem mitbestimmungspflichtig und ohne Einbindung der Arbeitnehmervertretung heikel. Sinnvoll ausgewertet werden sie anonymisiert und als Messung der Organisation, nicht der Person.
Der dritte Punkt ist die Führungsebene. Sie nimmt an Awareness-Schulungen am seltensten teil und ist gleichzeitig das häufigste Ziel gezielter Angriffe. Eine kurze, auf Entscheidungssituationen zugeschnittene Einheit für Geschäftsführung und Bereichsleitung ist deshalb kein Zugeständnis an die Hierarchie, sondern die Stelle mit dem größten Hebel.
Ein letzter praktischer Hinweis: Halten Sie die Inhalte so, dass sie sich jährlich ändern lassen, ohne neu produziert zu werden. Awareness-Material, das drei Jahre unverändert läuft, wird von der Belegschaft als Formalie erkannt — und dann auch so behandelt.