Ansichten: 6
Zusammenfassung – Angesichts der stetig zunehmenden Cyberangriffe und menschlicher Schwachstellen muss jedes Sensibilisierungsprogramm langfristig angelegt sein, mit gemeinsamer Steuerung durch HR und IT, klaren Richtlinien und DSG-Konformität. Modulare Lernmodule, Microlearning, Phishing-Simulationen, praxisnahe Übungen und halbjährliche Drills bilden einen kontinuierlichen Verbesserungszyklus. Die Überwachung per KPIs (Klickrate, MFA-Adoption, Abschlussrate) sichert eine nachhaltige und messbare Cyberkultur. Lösung: Executive Governance, gezielte Lernpfade, realistische Übungen und ein dynamisches Dashboard.
In einem Umfeld stetig wachsender Cyberbedrohungen bleibt der Mensch das schwächste Glied. Ein Awareness-Programm einzuführen ist keine einmalige Aktion, sondern ein langfristiges Engagement, das durch klare Kennzahlen gesteuert und in HR- und IT-Praktiken integriert wird. Diese Investition in die kontinuierliche Weiterbildung jedes Mitarbeitenden wird zur besten Firewall gegen Phishing-Kampagnen, Ransomware und gezielte Angriffe. Über die Technologie hinaus gewährleisten Governance, modulare Lernpfade, realistische Übungen und Feedback-Schleifen eine dauerhafte und wirkungsvolle Cybersicherheitskultur.
Governance & Umfang
Ein leistungsstarkes Awareness-Programm beruht auf starker Förderung durch das Management und klar definierten Verantwortlichkeiten. Es legt eine eindeutige Richtlinie für Arbeitsstationen, E-Mails, Passwörter, BYOD und Telearbeit fest.
Der erste Schritt besteht darin, die Geschäftsleitung oder das Executive Committee als offiziellen Sponsor zu gewinnen. Ohne sichtbare Unterstützung der obersten Führungsebene drohen Awareness-Initiativen an Legitimität und Kohärenz zu verlieren. Das Steuerungskomitee, bestehend aus Vertretern der IT/Security, HR und Kommunikation, regelt die Governance und überwacht die Weiterentwicklung des Programms. Um das technische Fachwissen zu verstärken, ziehen Sie einen IT-Lösungsarchitekten zu Rate.
Dieser formelle Rahmen erfordert die Erstellung einer zugänglichen Cybersicherheitsrichtlinie in einfacher Sprache, die für alle Arbeitsplätze (stationär und mobil), für E-Mail-Zugriffe und für die Nutzung von Kollaborationstools gilt. Sie enthält klare Vorgaben zum Passwortwechsel, zur Aktivierung der Multi-Faktor-Authentifizierung, zur privaten Nutzung von Firmenendgeräten und zu Best Practices im Homeoffice.
Die Einhaltung des schweizerischen Datenschutzgesetzes (DSG) und seiner Anforderungen an den Schutz personenbezogener Daten ist von Anfang an integraler Bestandteil. Die DSG-Klauseln gelten für jede Phase des Programms, von der Erhebung der Schulungsdaten bis zur Auswertung der Kennzahlen. Dieser Ansatz stellt die Wahrung der Rechte der Mitarbeitenden sicher und liefert zugleich die erforderliche Nachvollziehbarkeit für künftige Audits.
Sponsoring und klare Rollen
Damit ein Sensibilisierungsprogramm ernst genommen wird, muss ein Executive Sponsor benannt werden. Diese Rolle wird häufig vom CEO oder CIO übernommen, der die strategische Ausrichtung bestätigt und die Ressourcenzuweisung erleichtert. Der Sponsor berichtet außerdem den Führungsgremien über die Ergebnisse und genehmigt Budgetanpassungen.
Die operative Steuerung obliegt einem dedizierten Projektleiter, der meist der IT-Abteilung oder der Sicherheitsfunktion zugeordnet ist. Er koordiniert die IT-Teams für die technische Umsetzung der Module, arbeitet mit dem HR-Bereich an den Schulungsplänen und kooperiert mit der Kommunikationsabteilung für interne Kampagnen.
In jeder Abteilung oder Business Unit werden Cybersicherheitsbeauftragte ernannt. Ihre Aufgabe ist es, Botschaften weiterzugeben, die Teilnahme zu fördern und Feedback zu sammeln. Sie bilden ein engmaschiges Netzwerk, das eine umfassende Abdeckung im gesamten Unternehmen gewährleistet.
Die Governance-Charta legt diese Rollen präzise fest: Sponsor, Projektleiter, Beauftragte und Gelegenheitsbeiträger (Rechtsabteilung, Support etc.). Diese Struktur sorgt für eine klare Aufteilung der Verantwortlichkeiten und eine agile Umsetzung der Sensibilisierungsmaßnahmen.
Vereinfachte Sicherheitsrichtlinie
Die Cybersicherheitsrichtlinie sollte als praxisorientierter Leitfaden konzipiert sein und nicht als technisches Handbuch. Jede Regel wird durch ein konkretes Beispiel veranschaulicht, zum Beispiel: „Ändern Sie Ihr Passwort alle drei Monate und verwenden Sie niemals ein bereits genutztes Passwort erneut.“
Das Dokument deckt Standardanwendungen (E-Mails, Dateifreigaben) und mobile Praktiken (Tablets, Smartphones) ab und definiert den BYOD-Bereich. Zudem beschreibt es Szenarien für sicheres Homeoffice: VPN, WLAN-Verbindungen und automatische Datensicherung.
Die Bereitstellung der Richtlinie über das Intranet sowie ihre Aufnahme ins Mitarbeitenden-Handbuch während des Onboardings erhöhen die Sichtbarkeit. Regelmäßige Erinnerungen per E-Mail oder über ein interaktives Intranet halten den Fokus auf diese Vorgaben aufrecht.
Diese dynamische Richtlinie wird jährlich oder nach einem bedeutenden Sicherheitsvorfall überarbeitet. Rückmeldungen der Beauftragten und Kennzahlen zur Performance steuern die Revisionen, um eine kontinuierliche Anpassungsfähigkeit zu gewährleisten.
DSG-Konformität und BYOD-Umfang
Die Integration der Anforderungen des Bundesgesetzes über den Datenschutz (DSG) erfolgt durch die Formalisierung aller Verarbeitungstätigkeiten personenbezogener Daten. Jede Schulungsaktivität wird einer Risikoanalyse unterzogen und in einem eigenen Verzeichnis dokumentiert.
Der Awareness-Lernpfad nennt explizit die Rechte der Mitarbeitenden: Auskunft, Berichtigung, Widerspruch und Löschung der Daten. Diese Rechte werden im Schulungsleitfaden erläutert und durch interne Prozesse umgesetzt.
Im BYOD-Kontext definiert die Richtlinie die Zugriffsstufen anhand der Datenklassifikation. Private Geräte müssen zwingend verschlüsselt sein und eine Mindestanforderung an Integritätskontrollen (MDM-Grundschutz) erfüllen. Jeder Verstoß löst eine Warnung aus und führt zu einem Konformitäts-Audit.
Die Überarbeitung der DSG-Klauseln erfolgt in Absprache mit dem Datenschutzbeauftragten (DSB) oder der internen Rechtsabteilung, um jederzeit die Einhaltung des schweizerischen Datenschutzrechts und gegebenenfalls der DSGVO für europaweit tätige Einheiten sicherzustellen.
Modulare Schulungsprogramme
Ein effektives Programm kombiniert kurze, zielgerichtete Module, die an Funktionen und Reifegrad angepasst sind. Onboarding und vierteljährliche Auffrischungen gewährleisten ein kontinuierliches Lernen.
Micro-Learning und Onboarding
Die Mitarbeitenden starten ihren Lernpfad beim Eintritt mit einem etwa zehnminütigen Modul. Dieses Micro-Learning vermittelt die Grundlagen: Erkennen einer Phishing-E-Mail, Passwort-Best Practices und Grundprinzipien der Verschlüsselung.
Kurze Videos und interaktive Quizze sorgen für Aufmerksamkeit, ohne die Produktivität zu beeinträchtigen. Jede Sitzung liefert einen sofortigen Bericht zur Erfolgsquote, sodass HR den Onboarding-Verlauf überprüfen kann.
Ein interner Chatbot beantwortet häufige Fragen in natürlicher Sprache, stärkt die pädagogische Dynamik und reduziert die Belastung des IT-Supports.
Die Modul-Inhalte sind auf Abruf verfügbar, um eigenständiges Wiederholen zu ermöglichen. Mitarbeitende können dadurch ihr Wissen vor einem Workshop oder nach einer Sicherheitswarnung auffrischen.
Praxisbeispiele nach Fachbereich
Über allgemeine Prinzipien hinaus erhält jede Abteilung praxisnahe Workshops. Der Finanzbereich simuliert die Erkennung einer gefälschten Rechnung, und das Einkaufsteam bearbeitet einen Fall von geänderten Bankdaten.
Diese Fachbereichs-Workshops finden in kleinen Gruppen statt und basieren auf realistischen Szenarien, die auf internen Erfahrungen oder Vorfällen beruhen. Ziel ist es, reflexhaftes Handeln im beruflichen Kontext zu verankern.
Die Zusammenarbeit zwischen Führungskräften und Fachverantwortlichen stellt die Relevanz der Szenarien sicher. Sie passen die Praxisbeispiele an interne Prozesse und eingesetzte Tools an.
Die Bewertungen nach den Workshops messen den Einfluss auf das Verständnis und das Vertrauen der Teilnehmenden. Die Ergebnisse fließen in die Entwicklung neuer Fälle und die Anpassung bestehender Module ein.
Vierteljährliche Auffrischung
Regelmäßiges Follow-up ist unerlässlich, um das Engagement zu erhalten. Jedes Quartal aktualisiert ein neues 15-Minuten-Modul das Wissen über aufkommende Bedrohungen und erinnert an bewährte Praktiken.
Diese Auffrischungen enthalten kurze Animationen, interne Vorfallsberichte und unterhaltsame Quizze. Sie stärken die Cyberkultur und vermeiden „Müdigkeit“ durch Wiederholungen.
Die Teilnahmequote an den Refresh-Modulen wird von IT und HR überwacht. Liegt die Quote zu niedrig, werden automatische Erinnerungen versendet, zusätzliche Schulungstermine angesetzt oder sogar ein verpflichtender Präsenzworkshop angeordnet.
Die Inhalte werden in Deutsch, Englisch und Französisch bereitgestellt, um kulturelle Einheitlichkeit im Unternehmen zu gewährleisten. Länderspezifische Unterschiede (DSG, DSGVO) werden entsprechend berücksichtigt.
Edana: Strategischer Digitalpartner in der Schweiz
Wir begleiten Unternehmen und Organisationen bei ihrer digitalen Transformation.
Realistische Übungen
Nichts ersetzt praktische Übungen: Phishing-Simulationen, Passwort-Workshops und IT-Hygiene-Übungen. Diese Szenarien schulen konkrete Reflexe.
Phishing-Kampagnen umfassen verschiedene Varianten: manipulierte QR-Codes, Ausnutzung von MFA-Fatigue oder bösartige Anhänge. Jede Simulation wird branchenspezifisch kontextualisiert, um die Relevanz zu maximieren.
Phishing-Simulationen
Ein mittelständisches Schweizer Industrieunternehmen führte eine erste Phishing-Kampagne gezielt an die Einkaufsabteilung. Die anfängliche Klickrate lag bei fast 32 % und zeigte eine hohe Verwundbarkeit.
Nach zwei Wellen von Simulationen und personalisiertem Feedback sank die Klickrate in der dritten Kampagne auf 8 %. Dieses Beispiel zeigt, dass realitätsnahe Szenarien und individuelles Feedback die Exposition gegenüber schädlichen E-Mails signifikant reduzieren.
Anschließend wurde der Geschäftsleitung ein detaillierter Bericht übermittelt, der Schwachstellen pro Team und die wirkungsvollsten Nachrichtenarten aufzeigt. Diese Daten steuern die nächsten Schulungsmodule.
Der Zyklus wiederholt sich halbjährlich, wobei jede neue Simulation auf den Erkenntnissen der vorherigen aufbaut, um die Szenarien zu verfeinern und die Entwicklung der Reflexe zu testen.
Passwort- und MFA-Workshops
Nach der ersten Simulation finden praktische Workshops statt. Die Teilnehmenden lernen den Umgang mit einem Open-Source-Passwortmanager, um Passwortwiederholungen zu vermeiden.
Ein spezielles Modul demonstriert die Umsetzung von Passwordless und MFA: biometrischer Code, Hardware-Token oder Authentifizierung über eine sichere Mobile-App. Die Teilnehmenden probieren diese Tools unter Anleitung aus.
Diese Workshops verdeutlichen die konkreten Vorteile: weniger Passwort-Reset-Tickets, schnellere MFA-Einführung und Rückgang von Vorfällen im Zusammenhang mit kompromittierten Passwörtern.
Der bevorzugte Ansatz setzt auf bewährte, modulare Technologien ohne Vendor-Lock-in, im Einklang mit der Open-Source-Strategie des Unternehmens.
Arbeitsplatz-Hygiene
Ein dritter Übungstyp konzentriert sich auf Aktualisierung und Datensicherung. Die IT-Teams simulieren einen Ausfall durch fehlende Patches und zeigen Best Practices zur Wiederherstellung eines verschlüsselten Arbeitsplatzes.
Jeder Mitarbeitende führt ein kurzes Audit seiner Umgebung durch: Betriebssystem-Versionen, Festplattenverschlüsselung, automatische Backups und installierte kritische Updates.
Die Sitzung beinhaltet den Einsatz von Open-Source-Skripten zur Überprüfung der ISO-27001-Konformität. Ziel ist es zu demonstrieren, dass Hygiene messbar und automatisierbar ist.
Diese Übungen fördern die Verantwortungsübernahme: Die Teams erkennen den direkten Einfluss eines unaktualisierten Arbeitsplatzes auf die globale Sicherheit des Unternehmens.
Alarmreflexe und kontinuierliche Verbesserung
Ein zentraler Meldekanal und ein vereinfachter Runbook-Prozess fördern die schnelle Erkennung. Ein monatliches Dashboard und ein Netzwerk von Botschaftern unterstützen die Verbesserungsschleife.
Das Incident-Management basiert auf einem klaren Prozess: Ein dedizierter Kanal „Phishing-Meldung“ im Intranet löst den Versand des Runbooks aus. Dieses einseitige Dokument erläutert, wen man kontaktieren muss und welche Schritte einzuleiten sind.
Meldekanal und halbjährlicher Drill
Jede Mitarbeiterin und jeder Mitarbeiter verfügt über einen Alarmbutton direkt im E-Mail-Client oder im Intranet-Portal. Die zentrale Meldestelle stellt sicher, dass alle Hinweise das Security Operations Center und die Rechtsabteilung erreichen.
Ein halbjährliches Table-Top-Drill bringt IT, Kommunikation, Rechtsabteilung und Krisenteam zusammen, um ein großes Ereignis zu simulieren. Diese Übung testet Rollen, Verantwortlichkeiten und Reaktionszeiten.
Der Drill wird intern ausgewertet und ein Erfahrungsbericht geteilt, der Verbesserungsmaßnahmen aufzeigt und das Runbook anpasst. Diese Praxis schafft kollektives Wissen und stärkt die abteilungsübergreifende Koordination.
Durch die Wiederholung verfestigen sich die Reflexe, und die Organisation bereitet sich effizient auf interne Kommunikation und Krisenmanagement vor.
Dashboard und KPIs
Ein monatliches Dashboard fasst die wichtigsten Kennzahlen zusammen: Abschlussraten der Module, Phishing-Click-Rate, durchschnittliche Meldezeiten nach Simulation, MFA-Adoption und vermiedene Vorfälle.
Die Daten werden nach Team und Standort aufgeschlüsselt, um besonders exponierte Bereiche zu identifizieren. Fachverantwortliche werden bei Überschreitung kritischer Schwellenwerte alarmiert.
Die detaillierte Messung speist den kontinuierlichen Verbesserungsprozess: Jedes Modul wird auf Basis der Ergebnisse und des Feedbacks der Botschafter aktualisiert.
Diese KPI-basierte Steuerung ermöglicht es, Investitionen zu rechtfertigen und den konkreten Beitrag des Programms zur Resilienz des Unternehmens nachzuweisen.
Kultur und Netzwerk von Botschaftern
Ein Netzwerk von Cyber-Botschaftern, bestehend aus engagierten Freiwilligen, verbreitet visuelle Botschaften: Plakate, Infografiken und thematische Videos. Jede Kampagne widmet sich einem spezifischen Thema (Reisen, soziale Netzwerke, gefälschte Rechnungen).
Interne Mikro-Events (Flash-Quiz, Team-Challenges) erhalten das Engagement und fördern den Gemeinschaftsgeist. Teilnehmende erhalten Badges oder Erwähnungen im internen Newsletter.
Die Botschafter geben Feedback aus der Praxis weiter, schlagen neue Szenarien vor und bereichern die Trainingsinhalte. Sie dienen als vertrauenswürdige Multiplikatoren und fördern die Verinnerlichung der Cyberkultur.
Diese organische Verbreitung verankert Cybersicherheit schrittweise im Arbeitsalltag, weit über formale Module hinaus.
Eine geteilte Cybersicherheitskultur aufbauen
Durch die Strukturierung von Governance, die Bereitstellung modularer Lernpfade, die Durchführung realistischer Übungen und die feine Messung Ihrer Kennzahlen entwickelt Ihr Unternehmen sich von einer einmaligen Schulungsmaßnahme hin zu einem fortlaufenden und effektiven Programm. Jeder Bereich der Organisation wird zum aktiven Teil der Cyberresilienz.
Erwartete Ergebnisse innerhalb von 90 Tagen sind: eine validierte Richtlinie, ein Kommunikations-Kit, ein mehrsprachiger E-Learning-Katalog, ein Simulationskalender, Incident-Playbooks und ein dynamisches KPI-Dashboard. Sie verzeichnen einen Rückgang der Klickrate, mehr Meldungen und eine stärkere MFA-Adoption.
Unsere Experten stehen Ihnen zur Seite, um Ihr Programm zu konzipieren, geeignete Open-Source- oder modulare Tools bereitzustellen und Sie bei der operativen Umsetzung zu begleiten.
Besprechen Sie Ihre Herausforderungen mit einem Edana-Experten
