Anspruchsvolle Schulungen machen sicher

Die eigentliche Schwachstelle jeder IT-Infrastruktur sind die Anwender. Sie notieren sich Kennwörter auf Zettel, die unter der Schreibtischauflage kleben. Sie schicken E-Mails mit wichtigen Dokumenten an ihr privates Mail-Konto und kopieren sie dann auf das private Smartphone. Sie lassen ihre Smartcard auf dem Tisch liegen und verschwinden kurz um die Ecke.

In den meisten Fällen geht so etwas gut. Doch auf 10.000 Sünden kommt eine Bestrafung: Der Zugang ist geknackt, dass Smartphone geklaut und die Smartcard ausgelesen. "Praktisch jede Sicherheitsmaßnahme kann durch die Fahrlässigkeit der Mitarbeiter umgangen werden", meint Gerhard Knecht, Head of Global Security Services, Process and Compliance bei Unisys.

"Doch wenn die Mitarbeiter gut geschult sind und mitdenken, passieren viele Dinge gar nicht", sagt Knecht. "Bei der IT-Sicherheit wird die Technik oft überschätzt. Nachlässige Mitarbeiter können auch eine hervorragende IT-Sicherheit kaputtmachen." Die einzige Möglichkeit, dies zu verhindern ist für Knecht eine intensive Schulung aller Mitarbeiter.

Nach seinen Erfahrungen machen die meisten Unternehmen beim Thema "Security Awareness" drei Fehler: Sie schulen die Mitarbeiter viel zu selten, sie schulen oft nur die IT-Fachkräfte und sie unterfordern diese Mitarbeiter in den Schulungen. "In Schulungen werden sehr häufig nur Grundlagen wiederholt," meint Kecht. "Das langweilt die Mitarbeiter."

Ein weiteres Problem sei ein gewisser Erfolgsdruck, der auf den Seminaren liege - ob es sich nun um interne Seminare im Unternehmen oder externe bei einem spezialisierten Anbieter handelt. Knecht: "Wenn der Erfolg eines Seminars daran gemessen wird, dass 90 Prozent der Teilnehmer einen Multiple-Choice-Test bestehen, dann ist der natürlich nicht besonders schwierig."

Diese Art von Druck schaffe überhaupt erst viele Sicherheitsprobleme, da die Mitarbeiter dazu animiert werden, den Erfolg mit Tricks und Schummeleien sicherzustellen. Knecht hält so ein Vorgehen für eine vollkommen falsche Strategie. Stattdessen sollten die Schulungen möglichst anspruchsvoll sein.

Nach Knechts Erfahrung verstehen relativ viele Mitarbeiter bestimmte IT-Verfahren und ihre Bedeutung für die Sicherheit nicht besonders gut. Der Sicherheitsexperte regt an, in den Schulungen auch Themen wie zum Beispiel die Probleme von Pushmail, die Bedeutung von Kennwörtern, moderne Verschlüsselungsverfahren oder die Sicherheitsprobleme von Virtualisierung zu besprechen.

"Schulungen sollen den Mitarbeitern etwas bringen", meint Kecht. "Aus diesem Grunde müssen die Unternehmen auf möglichst hochwertige Trainings achten. Das sorgt automatisch dafür, dass alle die IT-Sicherheit verstärkt im Blick haben. Denn gut geschulte und mitdenkende Mitarbeiter verbessern die Sicherheit, auch wenn die Technik vielleicht nicht ganz so optimal ist."

Bildquelle: Gerd Altmann / pixelio.de