Bewusstsein in Ihrem Team

Modul 9: Regeln und Organisation · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie Bewusstsein in einem kleinen Team organisieren: Absprachen, Melden ohne Schuldzuweisung, Üben und Wiederholen.
Kernbegriffe: Bewusstsein, Verhalten, Meldekultur, Phishingübung (mit Zustimmung und ohne Bestrafung), neuer Mitarbeiter, kurze Wiederholung

Wissen ist nicht dasselbe wie Handeln

Fast jeder weiß, dass man nicht auf verdächtige Links klicken sollte. Trotzdem passiert es jeden Tag, auch bei Menschen, die es eigentlich besser wissen. Das liegt nicht an Dummheit. Es liegt daran, dass eine Phishing-Mail (Lektion 1.2 und Modul 3) genau darauf abzielt, wie wir arbeiten: Druck, Eile, der Wunsch, einem Kunden oder Kollegen zu helfen. An einem Freitagnachmittag um viertel vor fünf, zwischen dreißig anderen E-Mails, sieht eine „offene Rechnung" ganz gewöhnlich aus.

Bewusstsein geht daher nicht nur um Wissen, sondern um Verhalten: Was tun Menschen wirklich, auch wenn sie müde sind oder es eilig haben? Das Ziel ist nicht, dass jeder zum Experten wird. Das Ziel sind ein paar feste Reflexe:

1. Stoppen bei einer Nachricht, die etwas verlangt: Geld, ein Passwort, einen Klick, das Öffnen eines Anhangs, eine Installation.
2. Prüfen über einen anderen Weg: selbst einloggen statt dem Link zu folgen, unter einer bekannten Nummer zurückrufen.
3. Melden, wenn etwas nicht stimmt, auch wenn man schon geklickt hat.

Dieser dritte Reflex ist der wichtigste, und er hängt ganz davon ab, wie Ihr Team damit umgeht.

Melden ohne Schuldzuweisung

Stellen Sie sich zwei Unternehmen vor. Beim ersten bekommt ein Mitarbeiter, der auf einen Phishing-Link geklickt hat, eine wütende Reaktion vom Inhaber zu hören: „Wie kann man nur so dumm sein?" Beim zweiten sagt der Inhaber: „Gut, dass Sie es sofort sagen, dann können wir jetzt Ihr Passwort ändern."

Was passiert beim nächsten Mal, wenn jemand klickt? Im ersten Unternehmen schweigt er und hofft, dass alles gut geht. Im zweiten Unternehmen meldet er es innerhalb von fünf Minuten.

Dieser Unterschied ist enorm. Bei einer Kontoübernahme oder dem Beginn eines Ransomware-Angriffs zählt jede Stunde (Lektion 1.3 und 3.5). Eine Meldung innerhalb von fünf Minuten bedeutet: Passwort ändern, bevor der Angreifer sich eingeloggt hat, Sitzungen widerrufen, einen Computer vom Netzwerk nehmen, bevor etwas verschlüsselt wurde. Eine Meldung nach drei Wochen, oder gar nicht, bedeutet, dass der Angreifer alle Zeit der Welt hatte.

Eine gute Meldekultur hat ein paar Merkmale:

• Eine klare Meldestelle. Jeder weiß, an wen er sich wenden muss: einen Namen und eine Telefonnummer, und eine Vertretung, falls diese Person nicht erreichbar ist. Das steht auch auf der Notfallkarte (Lektion 8.1).
• Bedanken, nicht bestrafen. Wer meldet, auch über einen eigenen Fehler, bekommt ein Dankeschön. Sagen Sie es laut im Team: „Sanne hat heute Morgen eine Fake-Rechnung gemeldet, dadurch konnten wir die anderen warnen."
• Zweifel sind erlaubt. „Ich weiß nicht, ob das echt ist" ist eine gute Meldung. Lieber zehnmal eine echte E-Mail prüfen lassen, als einmal eine Fake-Mail übersehen.
• Das Vorbild der Führung. Wenn der Inhaber selbst meldet, dass er fast auf etwas hereingefallen wäre, macht das es für alle leichter.

Bestrafen wirkt kontraproduktiv. Nicht weil Fehler nicht schlimm sind, sondern weil Bestrafung nicht weniger Fehler bewirkt, sondern nur weniger Meldungen.

Absprachen, die Verhalten einfach machen

Menschen befolgen eine Regel schneller, wenn sie klar und einfach ist. Sorgen Sie dafür, dass das sichere Verhalten auch das einfachste Verhalten ist. Ein paar Absprachen, die in fast jedes kleine Unternehmen passen:

Schreiben Sie die Absprachen auf ein A4-Blatt. Nicht zwanzig Seiten Richtlinien, die niemand liest, sondern eine Liste, die neben der Kaffeemaschine hängen kann.

Üben

Eine Absprache, die Sie nie üben, vergessen Sie. Es gibt verschiedene Möglichkeiten zu üben, von leicht bis anspruchsvoll.

Gemeinsam Beispiele ansehen. Nehmen Sie sich im Teammeeting fünf Minuten Zeit für eine echte verdächtige E-Mail, die jemand erhalten hat (ohne personenbezogene Daten). Woran haben Sie es erkannt? Was war die echte Domain des Links? Das kostet nichts und wirkt überraschend gut, weil es um echte Nachrichten aus Ihrem eigenen Postfach geht.

Eine Tabletop-Übung. Sie besprechen gemeinsam ein Szenario: „Es ist Montagmorgen, und niemand kommt mehr an das Netzlaufwerk. Auf jedem PC steht eine Lösegeldforderung. Was tun wir?" Sie gehen die Notfallkarte durch und schauen, wo es hakt (Lektion 8.1). Eine Stunde, einmal im Jahr.

Eine Phishingübung. Sie schicken den Kollegen eine nachgebildete Phishing-Mail, um zu sehen, wer klickt und wer meldet. Das kann lehrreich sein, aber nur, wenn Sie es richtig machen:

• Mit Zustimmung und angekündigt. Teilen Sie vorab mit, dass es in diesem Jahr Übungen geben wird, ohne das Datum zu nennen. Niemand darf sich im Nachhinein getäuscht fühlen.
• Ohne Bestrafung. Wer klickt, bekommt sofort eine kurze Erklärung, woran er es hätte erkennen können, keinen Tadel und keine Namensliste im Teammeeting.
• Das Richtige messen. Die Anzahl der Meldungen ist wichtiger als die Anzahl der Klicks. Eine Übung, bei der drei Personen klicken, aber fünf es innerhalb von zehn Minuten melden, ist gelungen.
• Keine gemeinen Themen. Keine Fake-Mail über einen Bonus, eine Kündigung oder die Gesundheit eines Kollegen. Das schadet dem Vertrauen mehr, als es bringt.
• Achten Sie auf den Datenschutz. Bewahren Sie nicht länger als nötig auf, wer geklickt hat, und nutzen Sie es niemals für eine Beurteilung.

Für ein Team von fünf Personen reicht die erste Form oft schon aus. Eine Phishingübung ist erst sinnvoll, wenn die Absprachen und die Meldestelle vorhanden sind.

Neue Mitarbeiter und Wiederholung

Zwei Momente sind besonders wichtig.

Der erste Arbeitstag. Ein neuer Mitarbeiter bekommt Konten, einen Laptop und Zugang zu Systemen. Gerade in diesen ersten Wochen weiß er noch nicht, wie die Dinge normalerweise laufen, und erkennt daher auch nicht, was davon abweicht. Ein Betrüger, der sich als „die IT-Abteilung" oder „der Geschäftsführer" ausgibt, hat dann bessere Chancen. Nehmen Sie sich zum Start eine halbe Stunde Zeit für das A4-Blatt mit den Absprachen, die Meldestelle, den Passwort-Manager und das Aktivieren der Zwei-Faktor-Authentifizierung. Regeln Sie das in derselben Checkliste wie den Rest der Einarbeitung (Lektion 7.1).

Kurze Wiederholung. Bewusstsein lässt nach. Eine lange Schulung pro Jahr funktioniert schlechter als jeden Monat fünf Minuten. Ideen für eine solche kurze Wiederholung:

• eine verdächtige E-Mail dieses Monats besprechen;
• eine Absprache vom A4-Blatt herausgreifen und fragen, ob sie noch funktioniert;
• eine neue Betrugsmasche, über die in den Nachrichten berichtet wurde (zum Beispiel ein neuer Trick per SMS oder WhatsApp, Lektion 3.4);
• die Frage „Hat jemand diesen Monat etwas gemeldet?" stellen und demjenigen danken.

In der Praxis: so sieht es aus

Ein Beispiel, zusammengestellt aus häufig vorkommenden Situationen. Ein Architekturbüro mit neun Mitarbeitern hatte ein Richtliniendokument mit vierzehn Seiten, das bei der Einstellung unterschrieben und danach nie wieder geöffnet wurde. Nach einem beinahe erfolgreichen Rechnungsbetrug änderten sie drei Dinge: ein A4-Blatt mit sechs Absprachen am Drucker, einen festen Namen und eine Telefonnummer zum Melden, und jeden ersten Montag des Monats fünf Minuten „verdächtige Post" im Teammeeting. Im ersten halben Jahr gingen mehr Meldungen ein als in den fünf Jahren davor. Zwei davon waren echte Angriffe, die so früh erkannt wurden, dass nichts passierte. Der Rest war Fehlalarm, und dafür wurde jedes Mal einfach gedankt.

Zusammenfassung

• Bewusstsein geht um Verhalten: stoppen, über einen anderen Weg prüfen und melden.
• Melden ohne Schuldzuweisung sorgt für schnelle Meldungen; Bestrafung sorgt nur für weniger Meldungen, nicht für weniger Fehler.
• Legen Sie Absprachen auf einem A4-Blatt fest und machen Sie das sichere Verhalten zum einfachsten Verhalten.
• Üben Sie mit echten Beispielen und einer Tabletop-Übung; führen Sie eine Phishingübung nur angekündigt, ohne Bestrafung und mit Rücksicht auf den Datenschutz durch.
• Widmen Sie neuen Mitarbeitern besondere Aufmerksamkeit und wiederholen Sie kurz und häufig.

Quiz

Aufgabe

Aufgabe D9.2: Ein Sensibilisierungsplan für Ihr Team. Erstellen Sie für Ihr eigenes Unternehmen ein A4-Blatt mit maximal acht Absprachen, benennen Sie eine Meldestelle und eine Vertretung, und planen Sie für das kommende Jahr, wann Sie kurz wiederholen und welche Übung Sie durchführen. Beantworten Sie anschließend die Reflexionsfragen.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• Ist diese E-Mail wirklich von WebOké? Phishing erkennen und den Aktionscode verwenden
• Phishing-Radar der Verbraucherzentrale (Melden von Phishing): https://www.verbraucherzentrale.de/phishing-radar
• Angebote des BSI für Unternehmen: https://www.bsi.bund.de/
• Phishing-Radar der Verbraucherzentrale (Betrug und Phishing melden): https://www.verbraucherzentrale.de/phishing-radar