Wenn wir über digitale Sicherheit sprechen, vergessen wir oft eines: Menschen kann man nicht patchen. Deshalb muss das Training an ihrer Realität ansetzen – damit digitale Sicherheit Teil der Kultur wird, nicht nur der Technik.
In vielen Organisationen hält sich noch immer die Vorstellung, bei Awareness gehe es darum, Menschen Informationen zu geben. Aber es reicht nicht zu wissen, dass es Phishing gibt. Entscheidend ist, es in der Praxis zu erkennen – mitten in einem hektischen Arbeitsalltag – und richtig zu handeln. Genau das meinen wir, wenn wir sagen: Es geht darum, sicher zu denken.
Und das erfordert Training. Keine Prüfung. Viel zu oft wird Awareness zu einer Aufgabe, die man bestehen muss. Ein Quiz, bei dem man 80 % richtig haben muss. Aber so lernen Menschen nicht. Wir lernen durch Wiederholung, durch Beispiele, durch Kontext – und dadurch, dass wir uns trauen nachzufragen, wenn wir unsicher sind. Es geht nicht darum, dass sich Menschen überwacht fühlen. Es geht darum, klarzumachen, was sie tun sollen – und es ihnen leicht zu machen, das Richtige zu tun.
Mitarbeitende in Cybersicherheit schulen – ausgehend von ihrem Alltag und ihrem Verhalten
Wenn wir Menschen in digitaler Sicherheit schulen, sollten wir sie nicht als Risiken behandeln, die kontrolliert werden müssen, sondern als Mitspielende, die wir befähigen und dafür rüsten, sich sicherer in der digitalen Welt zu bewegen. Und das gelingt, indem wir ihre Realität in den Mittelpunkt stellen.
- Was sehen sie in ihrem Posteingang?
- Welche E-Mails wirken vertrauenswürdig?
- Welche Entscheidungen treffen sie schnell, weil sie unter Zeitdruck stehen – und wo entstehen Zweifel?
Solche Fragen sind weit wichtiger als die Frage, ob jemand den Begriff Social Engineering definieren kann.
Es geht darum, Sicherheit, Lernen und Verantwortung für die eigene digitale Sicherheit zu verankern – denn Fehler können im schlimmsten Fall gravierende Folgen im „echten Leben“ haben. Es geht um eine Kultur, in der Menschen sich trauen zu handeln, nachzufragen, Fehler zuzugeben und daraus zu lernen. Denn Fehler werden passieren. Menschen werden klicken. Aber wenn Sie eine Kultur aufgebaut haben, in der es in Ordnung ist, Bescheid zu sagen, können Sie reagieren, bevor sich ein Vorfall ausweitet. Also ja – Menschen kann man nicht patchen.
Aber wir können sie zu einer Stärke und zu einer digitalen Verteidigungslinie machen. Zu einer menschlichen Firewall, wenn Sie so wollen. Darüber haben wir übrigens hier geschrieben >>
Statt zu fragen: „Wie patchen wir Menschen?“, sollten wir fragen: „Wie trainieren wir sie darin, sich sicher zu bewegen?“ Genau das stärkt Ihre digitale Sicherheit wirklich – und schafft das Verhalten, das in der Praxis den Unterschied macht.