Zum Hauptinhalt springen
Ein Foto von Bleistiften, die in fade Styropor-Bürodeckenplatten gesteckt sind.
Perspektiven

CISO-Erfolgsgeschichte: Das beste Mittel gegen langweilige Cybersicherheitsschulungen

„Privacy-Evangelist" Ken Fishkin hatte das starke Gefühl, dass die Cybersicherheits-Videoschulungen in seiner Anwaltskanzlei mit 350 Mitarbeitern nicht wirklich ankamen. Woher wusste er es? Zu viele fielen immer wieder auf Betrug herein. So hat er das Problem gelöst.

Viele Unternehmen (vielleicht auch Ihres) setzen auf obligatorische Schulungsvideos zur Cybersicherheit, um Mitarbeitende über potenzielle Online-Gefahren wie Phishing-E-Mails, unsichere Passwörter und Malware aufzuklären. Aber hören die Mitarbeitenden wirklich zu? Oder spielen sie nur auf ihrem Handy?

Foto eines weißen Mannes mittleren Alters mit Brille, einem blaugrauen Jackett und einem breiten Lächeln.

Einige Unternehmen, die diese Cyber-Schulungsfilme produzieren, haben ihre Arbeit verbessert und die Videos mit Hollywood-ähnlicher Dramatik, Spannung und Spezialeffekten versehen. Und obwohl das helfen mag, geht es nicht auf eine weitere Sorge ein, die Chief Information Security Officers (CISOs) zunehmend beschäftigt: Selbst wenn ihre Mitarbeiter die präsentierten Informationen aufnehmen, sind diese oft so allgemein gehalten, dass sie die spezifischen Arten von Cyber-Szenarien, die in ihrer jeweiligen Branche auftreten, nicht wirklich abdecken.

Langeweile und Relevanz bleiben die zwei größten Herausforderungen für jeden, der Cybersicherheitsschulungen einrichtet. Deshalb entschied sich der selbsternannte „Datenschutz-Evangelist" Ken Fishkin (oben abgebildet), einen persönlicheren Ansatz zu wählen.

Fishkin hatte das starke Gefühl, dass die Cybersicherheits-Videoschulungen in seiner 350-köpfigen Anwaltskanzlei nicht wirklich ankamen. Der leitende Manager für Informationssicherheit bei Lowenstein Sandler stellte fest, dass viele Anwälte und Mitarbeiter der Kanzlei Opfer eines Betrugs über die Softwareanwendungen DocuSign und DropBox wurden. Anwaltskanzleien sind auf diese Apps zum Teilen von Dokumenten angewiesen, die unterzeichnet und genehmigt werden müssen, und Anwälte, Rechtsanwaltsgehilfen und andere Mitarbeiter erhalten regelmäßig eine Vielzahl dieser E-Mails.

Als Mitglied des Leitungsgremiums der New Jersey CISO Community und als Präsident des dortigen Landesverbands der Cybersicherheitsschulungsorganisation ISC2 weiß Fishkin, dass Angriffe mithilfe von Anwendungen wie DocuSign zunehmen und immer ausgefeilter werden. Anstatt nur typische Phishing-Techniken zu verwenden, erstellen einige Bedrohungsakteure echte DocuSign-Konten, um Spam-Filter zu umgehen. Die E-Mail scheint von einer echten Person und einem echten Unternehmen zu stammen, mit einer Erklärung, was das Dokument enthält. Der Benutzer wird gebeten, die Unterlagen zu prüfen und zu unterzeichnen, wobei ein Link in der E-Mail eingebettet ist, der ihn zu einem cloudbasierten Dokument führt. (Ein weiterer aktueller Betrug gibt sich als PayPal aus, um Benutzerdaten zu stehlen und Konten zu übernehmen.)

Aus verschiedenen Gründen nahmen sich die Mitarbeiter des Unternehmens nicht die wenigen Sekunden Zeit, um zu überprüfen, ob der Link legitim war – obwohl es auch leicht nachvollziehbar ist, wie sie hereingelegt werden konnten. Sie denken vielleicht, es handelt sich um einen neuen Kunden oder einen neuen Assistenten, der das Dokument sendet, oder sie haben so große Angst, Aufträge zu verlieren oder mit ihrer Arbeit in Rückstand zu geraten, dass sie auf den Link „Dokument prüfen" klicken.

Fishkin erkannte, dass allgemeine Schulungsangebote die Social-Engineering-Bedrohungen und andere Cybersicherheitsrisiken, mit denen Anwaltskanzleien konfrontiert sind, nicht abdecken. Deshalb beschloss er, die Art und Weise zu ändern, wie sein Team Cybersicherheitsschulungen anbietet. Focal Point sprach kürzlich mit Fishkin, um zu erfahren, wie er mit Social-Engineering-Betrug umging, der die Sicherheit seiner Kanzlei beeinträchtigte.

(Dieses Interview wurde zur besseren Verständlichkeit und Kürze bearbeitet.)

Focal Point: Können Sie über das Sicherheitsproblem sprechen, mit dem Sie konfrontiert waren, und über die Auswirkungen, die es auf das Unternehmen hatte?

Fishkin: Unsere Kunden müssen uns gegenüber eine Due-Diligence-Prüfung durchführen, und häufig möchten sie sicherstellen, dass wir Sicherheitsbewusstseinstraining für unsere Mitarbeiter anbieten. Was das in der Praxis jedoch bedeutet, ist, dass die Mitarbeiter eine halbe Stunde lang vor einem Computer sitzen und ein Video ansehen – was die Anforderungen erfüllt.

"Betrüger nutzen kreative Methoden, um einem neuen Mitarbeiter zu erklären, dass die Kanzlei sie auffordert, Geschenkkarten zu kaufen oder einen Notfall zu bewältigen."

In den vergangenen vier Jahren habe ich diese Videos erstellt und die Mitarbeiter anschließend mit gezielten Kampagnen getestet – ich habe mir ein Szenario ausgedacht und beobachtet, wie viele darauf hereinfallen. Es war eine kontrollierte Methode, um Menschen mit Betrugsmaschen zu täuschen, und sie fielen tatsächlich darauf herein.

Schließlich sagte ich mir: OK, sie schauen sich diese Videos wahrscheinlich gar nicht richtig an; sie machen währenddessen wahrscheinlich etwas anderes, während das Video im Hintergrund läuft. Ich kam zu dem Schluss, dass wir alle besser schulen müssen. Also entschied ich mich, Live-Schulungen mit kleineren Gruppen durchzuführen.

[Lesen Sie auch: Warum Mitarbeiter gegen Cybersicherheitsrichtlinien verstoßen]

FP: Was meinen Sie mit Live-Schulungen?

Fishkin: Ich habe entweder einen Zoom-Anruf organisiert oder mich persönlich mit den Mitarbeitern zusammengesetzt und Gespräche über die Probleme geführt, mit denen Anwaltskanzleien im Zusammenhang mit Betrug konfrontiert sind. Das trifft einen etwas mehr als das Ansehen eines Videos, das für die breite Öffentlichkeit gedacht ist, da diese Schulung stärker auf Anwaltskanzleien zugeschnitten ist.

FP: Mit wie vielen Personen sprechen Sie gleichzeitig?

Fishkin: Es richtet sich an neue Mitarbeiter. Wenn also in einer Woche fünf Personen eingestellt wurden, spreche ich mit diesen fünf Personen. Wir stellen nicht Hunderte von Personen gleichzeitig ein, daher ist es ein Tempo, das ich bewältigen kann.

[Lesen Sie auch: 4 kritische Führungsprioritäten für CISOs im KI-Zeitalter]

FP: Worüber sprechen Sie in einer Live-Sicherheitsschulung?

Fishkin: Ich spreche über echte Betrugsversuche, die in unserem Unternehmen stattgefunden haben. Wenn zum Beispiel jemand auf LinkedIn bekannt gibt, dass er gerade bei Lowenstein eingestellt wurde – oder wir eine PR-Kampagne starten, um die Einstellung eines neuen Partners anzukündigen – beginnen viele Betrüger mit Social-Engineering-Techniken, indem sie beispielsweise vorgeben, der Vorsitzende der Kanzlei zu sein, und nach einer Handynummer fragen. Oder die Betrüger nutzen kreative Methoden, um dem neuen Mitarbeiter zu erklären, dass das Unternehmen ihn bittet, Geschenkkarten zu kaufen oder einen Notfall zu bewältigen, und dass die Handynummer benötigt wird, um die Angelegenheit zu klären.

"Den [Mitarbeitern] praktische Beispiele zu zeigen – insbesondere Betrugsversuche, die tatsächlich in unserem Unternehmen stattgefunden haben – trifft wirklich ins Mark."

Die neuen Mitarbeiter kennen die Kollegen noch nicht wirklich und sind mit der Unternehmenskultur noch nicht vertraut, weshalb sie sehr empfänglich sind. Besonders jüngere Menschen, die versuchen, allen zu gefallen, um Aufmerksamkeit zu erlangen.

FP: Welche Erfolge haben Sie mit diesem persönlichen Ansatz erzielt?

Fishkin: Ich habe gute Erfolge erzielt. Ich habe ihnen erklärt, dass es Betrugsmaschen gibt, bei denen Leute anrufen und behaupten, vom technischen Support zu sein. Es gibt E-Mail-Bomben, bei denen Menschen innerhalb kurzer Zeit Tausende von E-Mails erhalten, die ihren Posteingang füllen. Dann erhalten sie einen Anruf von jemandem, der vorgibt, vom technischen Support zu sein, während dies geschieht. Wer würde da nicht denken, dass es sich wirklich um den legitimen technischen Support handelt? Aber es ist eine Betrugsmasche, um Software zu installieren. Jetzt überprüfen die Leute, ob sie tatsächlich mit dem Helpdesk sprechen.

[Lesen Sie auch: Was ist Social Engineering in der Cybersicherheit – ein umfassender Leitfaden]

Ich versuche sicherzustellen, dass die Mitarbeiter verstehen, dass sie nicht einfach auf Dinge klicken sollen, aber alle sind so beschäftigt, dass sie nicht wirklich darauf achten, was vor sich geht. Ihnen praktische Dinge zu zeigen, insbesondere Betrugsmaschen, die tatsächlich in unserem Unternehmen vorgekommen sind, trifft wirklich ins Schwarze. Ich bemerke jetzt, dass sich mehr Menschen an mich wenden, um zu überprüfen, ob eine E-Mail gefälscht oder echt ist.

FP: Werden Sie weiterhin die jährlichen Video-Schulungen durchführen?

Fishkin: Ich werde weiterhin jährliche Schulungen durchführen, aber sie werden wahrscheinlich zu einer Mischung aus dem werden, was ich jetzt mit neuen Mitarbeitern mache. Der Plan ist, jährliche Schulungen nach Abteilungen durchzuführen, sodass ich mit allen sprechen kann und die Schulungen gezielter auf die jeweilige Gruppe und ihre spezifischen Sicherheitsprobleme ausgerichtet sein werden. Ich möchte wirklich, dass die Menschen aufwachen und Sicherheit ernster nehmen.

WEITERE INFORMATIONEN

Lesen Sie weitere exklusive Interviews mit Sicherheitsverantwortlichen in unserer Reihe „Erfolgsgeschichten".