Die Angriffstaktiken von Cyber-Kriminellen entwickeln sich schnell weiter.

Mitarbeiter müssen daher kontinuierlich sowohl mit den Kenntnissen als auch dem Selbstvertrauen ausgestattet werden, um Angriffe zu erkennen und darauf zu reagieren. Fortlaufendes Training und eine positiv besetzte Cybersicherheitskultur sind das A und O in Unternehmen.

Vor diesem Hintergrund deckt ein Blick auf die aktuelle Sensibilisierung in Security-Belangen erschreckend viele Lücken auf.

In seinem Bericht zur Lage der IT-Sicherheit in Deutschland 2022 konstatiert das Bundesamt für Sicherheit in der Informationstechnik (BSI) als die Cybersicherheitsbehörde des Bundes einen massiven Anstieg der Bedrohungen im Cyber-Raum.

Insgesamt spitzte sich demnach die bereits angespannte Lage weiter zu. Im Berichtszeitraum wurde eine hohe Bedrohung durch Cybercrime beobachtet.

Hinzu kamen verschiedene Bedrohungen im Zusammenhang mit dem russischen Angriffskrieg auf die Ukraine. Ransomware-Angriffe, also Cyber-Angriffe auf Unternehmen, Universitäten und Behörden, mit dem Ziel, Lösegeld zu erpressen, gelten aktuell als gröste Bedrohung im Cyber-Bereich.

Zum ersten Mal in der deutschen Geschichte wurde in Folge eines Cyber-Angriffs von der betroffenen Kommune der Katastrophenfall ausgerufen.

Der Vizepräsident des BSI, Dr. Gerhard Schabhüser, sieht in der Cybersicherheit einen wesentlichen Aspekt der Daseinsvorsorge. Sie diene unmittelbar dem Schutz von Bürgerinnen und Bürgern: „Die Bedrohungslage im Cyber-Raum ist angespannt, dynamisch und vielfältig und damit so hoch wie nie.

In einer digitalisierten Welt hängt das Wohlergehen der Bevölkerung stärker als jemals zuvor davon ab, wie gut wir uns gegen IT-Sicherheitsvorfälle gerüstet haben.

Mit den richtigen Maßnahmen können wir der Bedrohungslage begegnen. Wir dürfen beim Thema Cybersicherheit keinen Deut nachlassen.“

Auch Nutzer sorgen sich, handeln aber nicht entsprechend

Umfragen zur IT-Sicherheit wie etwa des Digitalverbands Bitkom machen deutlich, dass es nicht nur auf Unternehmensebene eine Diskrepanz zwischen der Furcht vor den Cybergefahren und dem tatsächlichen Handeln gibt. Auch auf der Ebene der Nutzer kann man dies feststellen: Auf der einen Seite steht die Erfahrung mit der Internetkriminalität.

Acht von zehn Personen (79 Prozent) waren in den vergangenen zwölf Monaten von kriminellen Vorfällen im Netz betroffen. Nur noch eine kleine Minderheit von 21 Prozent gibt an, keine solchen Erfahrungen gemacht zu haben. Auf der anderen Seite steigt das Vertrauen in die Internetsicherheit.

Laut Bitkom erholt sich das Vertrauen in die Datensicherheit im Internet mit jedem Jahr mehr: Drei von zehn Internetnutzern (29 Prozent) finden, dass ihre persönlichen Daten im Internet sicher sind. Im Jahr 2019 gaben dies 27 Prozent an, 2014 lag der Wert bei gerade einmal 14 Prozent.

Dennoch: Der deutschen Wirtschaft entstand 2022 laut Bitkom ein Schaden von rund 203 Milliarden Euro durch Diebstahl von IT-Ausrüstung und Daten, Spionage und Sabotage. In den Jahren 2018/2019 waren es erst 103 Milliarden Euro. Eine Weiterbildung in Security wäre also wirklich geboten.

Eine andere Befragung von Bitkom zeigt aber auch: Eine Schulung der Mitarbeitenden zu Sicherheitsthemen nehmen erst 56 Prozent der befragten Betriebe vor.

Dazu Bitkom-Expertin Dehmel: „Unvorsichtige oder schlecht geschulte Beschäftigte können schnell zum Ziel von Angriffen werden. Investitionen in Schulungen sind deshalb immer auch wichtige Investitionen in die Zukunft des Unternehmens. Dabei ist zentral, die Mitarbeitenden gezielt für ihren spezifischen Arbeitskontext weiterzubilden“.

Es stellt sich die drängende Frage, wie die Security-Awareness besser auf die Bedrohungslage angepasst werden kann.

Security-Awareness braucht Individualität und Automatisierung

Die Interessen hängen unter anderem davon ab, welche Aufgabe man hat.

So beschäftigt sich eine Bereichsleiterin für Finanzen natürlich mit anderen Themen als jemand aus der IT-Abteilung.

Entsprechend muss eine erfolgreiche Security-Awareness auf das jeweilige Unternehmen und die Zielgruppe der Trainings zugeschnitten sein. Security-Awareness „von der Stange“ reicht nicht aus, um das Bewusstsein für Security nachhaltig zu steigern.

Am Fachkräftemangel in der Security gibt es keinen Zweifel. Er ist auch einer der Gründe, warum man alle Beschäftigten als Teil der Security ansehen muss. Doch für die Durchführung der Security-Awareness-Trainings braucht es die richtige Expertise.

Abhilfe schaffen kann hier Automatisierung. Sie kann die Security-Abteilung im Unternehmen entlasten und regelmäsige Maßnahmen im Bereich der Security-Awareness gewährleisten, die sonst unter dem Fachkräftemangel der Security leiden würde.

Eckes-Granini trimmt mit Hoxhunt Awareness Training seine Cybersecurity-Kultur

Die Eckes-Granini Gruppe ist Anbieter von Fruchtsäften und Fruchtgetränken in Europa. Das Unternehmen hat E-Mail-Bedrohungen trotz bereits existierender Awareness-Trainingsprogramme für Cybersecurity als vorherrschendes Sicherheitsrisiko identifiziert. Deshalb sollte das Thema komplett neu aufgesetzt werden.

Als automatisierte Platt99 form, die das Security-Awareness-Training mit individuell angepassten Lernwegen, die auf dynamischen und gamifizierten Inhalten basieren, anbietet, hat sich Eckes für Hoxhunt entschieden.

Fritz Worsch, CISO bei der Eckes-Granini Group, kommentiert den Einsatz der Lösung unter vier Aspekten:

Onboarding und Engagement

„Ich arbeite seit 30 Jahren in der IT-Branche und habe noch nie ein derart professionelles Onboarding erlebt, wie Hoxhunt es mit uns durchgeführt hat. Über 70 Prozent unserer Mitarbeiter:innen in unserem Unternehmen wurden integriert und die meisten davon bleiben engagiert und führen die Trainingssimulationen aus.

Dies sind viel mehr, als wir jemals hatten, und alle meine Erwartungen wurden übertroffen. Das Hoxhunt Onboarding-Programm ist rigide, aber genau so, wie es gemacht werden muss.“

Dynamisch und kontinuierlich

„Hoxhunt arbeitet nicht statisch wie die anderen Angebote, die wir ausprobiert hatten;

Hoxhunt entwickelt sich parallel zu der Landschaft der Bedrohungen.

Hoxhunt sendet nicht einfach nur eine Phishing-EMail an jeden, sondern folgt einem kontinuierlichen Prozess. So bekommen Menschen ein ständiges Bewusstsein für Cybersecurity.

Das Training ist sehr dynamisch:

Wenn jemand eine Phishing-Simulations-E-Mail bekommt und richtig reagiert, wird er oder sie beim nächsten Mal mit einer schwierigeren Simulation herausgefordert.

Wenn sie nicht erkannt wird, gibt es beim nächsten Mal eine einfachere Simulation.

Den Schwierigkeitsgrad zu variieren führt dazu, dass Menschen am Ball bleiben.“

Automatisierung

„Automatisierung reduziert Aufwände und hilft, Ressourcen richtig zu lenken. Sie hilft, auf Kurs zu bleiben und sicherzugehen, dass wir die richtigen Menschen zur richtigen Zeit ansprechen.“

Bedrohungen melden

„Der Hoxhunt-Button selbst hat sich als Chance erwiesen, alle möglichen ankommenden Phishingund Spam-E-Mails zu lenken und an die richtigen Orte zu verschieben.

In der Vergangenheit wussten die Mitarbeiter nicht, wen sie kontaktieren sollten. Jetzt ist das Melden für unseren Endbenutzer leicht.“

Wichtige Ergebnisse und Erkenntnisse

Dutzende von gezielten, unterschiedlich simulierten » E-Mails werden jährlich an jede/n Angestellte/n gesendet

» Stark gesteigertes Reporting von echten Bedrohungen über den Hoxhunt-Button

» Global signifikant verbesserte Security-Kultur

» Stark vermindertes Risiko von Schädigungen durch E-Mail-Angriffe

» über 85 Prozent der Mitarbeiter konnten in das Trainingsprogramm eingegliedert werden

» wenn die Angestellten einmal damit anfangen, bleiben sie am Ball Insgesamt zieht Worsch eine positive Bilanz: „Ich würde Hoxhunt definitiv anderen CISOs weiterempfehlen. Hoxhunt geht weit über die traditionelle Häkchen-Mentalität des passiven E-Learnings hinaus.

Unsere Security-Kultur hat sich definitiv zum Positiven entwickelt, seit wir angefangen haben, Hoxhunt zu nutzen.“ Weitere Kunden, die Hoxhunt bereits erfolgreich nutzen, sind beispielsweise EON, Kärcher und RWE.