Sicherheitsregeln, die im Betrieb wirklich wirken
Ein praxisnahes Schutzkonzept für den Mittelstand
Für Geschäftsführung und ISB, denen eine reine Teilnehmerliste nicht ausreicht: So verbinden Sie technische Maßnahmen, Sicherheitspolitik und Mitarbeiterschulung zu einem nachweisbar effektiven Schutzsystem.
Warum die Unterschriftenliste nicht schützt
Eine Teilnehmerliste belegt, wer im Raum saß – mehr nicht. Was das BSI-Gesetz (§ 38 Abs. 3 BSIG) und die ISO/IEC 27001 (Kap. 7.2 & 7.3) jedoch fordern, ist echte Sicherheitskompetenz im Alltag.
Der Grund: Schaden entsteht erst durch Handlungen. Eine Phishing-Mail richtet keinen Schaden an, solange niemand klickt. Ein Zahlungsbetrug gelingt erst, wenn eine Bankverbindung ungeprüft geändert oder eine Zahlung freigegeben wird. Anwesenheit schützt vor keinem dieser Fehler – richtige Abläufe schon.
Regeln, die auch wirken, wenn niemand den Angriff erkennt
Es reicht nicht, Wissen zu vermitteln und darauf zu hoffen, dass Beschäftigte es im Ernstfall richtig anwenden. Wirksamer sind klar definierte Regeln und Abläufe, die auch dann funktionieren, wenn jemand eine Bedrohung nicht erkennt oder unsicher ist.
Das stützen zwei Langzeitstudien in Organisationen mit zusammen mehr als 33.000 Beschäftigten (IEEE Symposium on Security and Privacy 2022 und 2025): Die jährliche Pflichtschulung und Schulungshinweise nach einem Fehlklick machten den Umgang mit simulierten Phishing-Mails nicht oder kaum sicherer. Eine Meldetaste im Mail-Programm dagegen erhöhte die Zahl der Meldungen deutlich. Daraus folgen drei Grundsätze:
- Abläufe, bei denen sicheres Handeln der normale und einfachste Weg ist.
- Mechanismen, die im Zweifelsfall ein einfaches, konstruktives Handeln ermöglichen.
- Messungen, die zeigen, was im Betrieb tatsächlich geschieht, statt nur die Teilnahme an Schulungen zu dokumentieren.
Die Grenze des Konzepts: Es ersetzt keine technischen Maßnahmen wie Mail-Gateway, phishing-resistente Mehr-Faktor-Authentifizierung oder EDR. Die bleiben Aufgabe der IT.
Welche Fragen das Whitepaper beantwortet
- Was müssen wir bei der Schulung nachweisen, und was zeigt ein Nachweis wirklich?
- Welche Gruppe im Unternehmen braucht welche Regeln und welche Schulung, in welcher Form und wie lange?
- Wie schützen wir uns vor Betrug, den niemand erkennen kann?
- Woran erkennen wir, ob eine Regel im Betrieb eingehalten wird, und wo liegt die Ursache, wenn nicht?
- Wie messen wir, ohne Datenschutz und Betriebsrat zu übergehen?
Das Arbeitsbeispiel: vier Zielgruppen, vier Formate
Die Muster Antriebstechnik GmbH ist ein erfundener Maschinenbauer in Osthessen mit 250 Beschäftigten. Jede Regel geht von einem Risiko aus, das das Unternehmen bewertet hat, nicht von einem Themenkatalog. Weil die Arbeitsplätze so verschieden sind, teilt das Konzept das Programm in vier Module:
- Geschäftsführung (M1): 90 Minuten Briefing im ersten Quartal, eine Entscheidungsübung im vierten Quartal. Geübt wird unter anderem, eine Zahlung nie allein auf einen Telefonanruf hin freizugeben.
- Büroarbeitsplätze (M2a): eine 60-minütige Schulung und vier kurze Einheiten über das Jahr. Im Mittelpunkt: verdächtige Mails melden und Daten nur in freigegebene KI-Tools eingeben.
- Produktion und Logistik (M2b): 15-Minuten-Kurzunterweisungen zu Schichtbeginn durch die Schichtleitung, ergänzt um Aushänge und ein Merkblatt in einfacher Sprache.
- Finanzen, Personal und Einkauf (M3): ein 150-minütiger Workshop mit Rollenspielen. Bank- und Gehaltsdaten werden nur geändert, wenn die Änderung über die bereits hinterlegte Kontaktangabe bestätigt und von einer zweiten Person freigegeben ist.
Das vollständige Whitepaper
Im vollständigen Whitepaper lesen Sie, was die Studien genau zeigen, wie sich ein Unternehmen gegen gefälschte Anrufe schützt und wie es prüft, ob seine Regeln im Alltag eingehalten werden.
Das vollständige Arbeitsbeispiel
Das vollständige Arbeitsbeispiel umfasst auf 165 Seiten das Schulungskonzept und alle Unterlagen der Module M1, M2a, M2b und M3 – von den Leitfäden für die Trainer bis zu den Bewertungsbögen. Sie erhalten es auf Anfrage.
Über den Autor
Derek Carson – KI-Governance und Informationssicherheit, Künzell bei Fulda. Lead-Implementer-Prüfungen für ISO/IEC 42001 und ISO/IEC 27001 bestanden · ISC2 Certified in Cybersecurity. Mehr über mich
Weitere Whitepaper: NIS-2 auf Basis von ISO 9001 umsetzen · KI-Risiken im Unternehmen sicher steuern