Das sind nicht gerade die Art von Rückmeldungen, die man von Mitarbeitern zu einem obligatorischen Schulungsvideo zum Thema Sicherheitsbewusstsein erwarten würde.
„Ein Riesenspaß und sehr spannend!!!“
„Hervorragende Erzählkunst.“
„Intensiv.“
Solche positiven Rückmeldungen gab es für eine Filmreihe, die von Living Security, einem führenden Anbieter von Inhalten zum Thema Personalrisikomanagement, produziert wurde. „Born Secure: Training Grounds“ ist eher ein „ -Bourne- “-Franchise als ein langweiliges Unternehmens-Tutorial. Das Spiel handelt von den Abenteuern von Jacob Webb, einem gewöhnlichen Büroangestellten, der zum Elite-Cyberagenten wird und – ganz im Stil von „“ und „Matrix“– von einer Gruppe verdeckter, ethisch handelnder Super-Hacker rekrutiert wird. Im Trailer zur Serie sehen wir, wie Jacob, während bedrohliche Musik erklingt, misstrauisch in eine Überwachungskamera blickt. Jemand rennt, ein Stuhl kippt um, Drohnen surren über den Köpfen, und Jacob stürmt durch eine Sicherheitstür hinaus in das blendende Sonnenlicht.
Das ist weit entfernt von den typischen, langweiligen PowerPoint-Präsentationen, die eher Augenrollen hervorrufen als echte Veränderungen im Verhalten am Arbeitsplatz.
Laut 97 % der Unternehmen security awareness werden bei Schulungen allzu oft Inhalte nur um der Inhalte willen verwendet, und diese Methode funktioniert nicht, so Drew Rose, Gründer, CSO und Leiter der strategischen Entwicklung bei Living Security. „Es ging lediglich darum, ein Häkchen zu setzen“, sagt Rose. Der Mitarbeiter hat den Auftrag ausgeführt, doch damit war seine Tätigkeit bereits beendet. Solche oberflächlichen Sitzungen sind nicht nur langweilig – und daher laut Analysten ineffektiv –, sondern es fehlen auch die Messgrößen, um festzustellen, ob die Teilnehmer tatsächlich etwas gelernt haben.
„Lernen und Weiterbildung sind am effektivsten, wenn sie im Rahmen kontinuierlicher, fesselnder Krisensimulationen aus der Praxis angeboten werden“, erklärt Bec McKeown, Leiterin des Bereichs Human Science bei Immersive Labs, einem in Großbritannien ansässigen Schulungszentrum mit Niederlassungen in Boston, das Cyberfähigkeiten und die Belastbarkeit von Mitarbeitern testet und misst.
Man hofft, dass Arbeitgeber durch die Gestaltung solcher Schulungsinhalte als unterhaltsam und interaktiv ihre Mitarbeiter dazu anregen, am Wasserspender über die Schulung zu sprechen, und sie dazu ermutigen, das Thema Cybersicherheit ernster zu nehmen.
Der Mensch ist das schwächste Glied
Es ist seit langem allgemein anerkannt, dass der Mensch das schwächste Glied in der Cyberabwehr eines Unternehmens ist, doch die richtige Schulung kann Abhilfe schaffen: indem sie das Bewusstsein für potenzielle Risiken schärft und die Wachsamkeit erhöht, die Arbeitsmoral verbessert und den Mitarbeitern das Gefühl vermittelt, besser über ihre Rolle im Rahmen der allgemeinen Cybersicherheitsstrategie ihres Unternehmens Bescheid zu wissen.
„“ Lernen und Weiterbildung sind am effektivsten, wenn sie im Rahmen kontinuierlicher, fesselnder Krisensimulationen aus der Praxis angeboten werden.“Bec McKeown, Leiterin des Bereichs Humanwissenschaften bei Immersive Labs
„Unternehmen erkennen zunehmend, dass ihre Werkzeuge und Technologien allein nicht mehr ausreichen, um Widerstandsfähigkeit zu gewährleisten; die Fähigkeiten einzelner Mitarbeiter und Teams sind ebenso wichtig“, sagt Dr. John Blythe, staatlich geprüfter Psychologe und Leiter des Bereichs Cyber-Workforce-Psychologie bei Immersive Labs. „Viele Mitarbeiter empfinden trockene Präsentationen als ermüdend, während andere von den langweiligen E-Learning-Kursen, durch die sie sich klicken, erschöpft sind und trotz stundenlangen Unterrichts nichts lernen.“
Und das Problem beginnt offenbar früher, als Sie vielleicht denken.
Mitarbeiter sind oft schon vor dem Besuch dieser trockenen Präsentationen und E-Learning-Kurse von Schulungen zum Thema Sicherheitsbewusstsein wenig begeistert. Ausgangspunkt ist die Kluft zwischen den technischen und den nicht-technischen Mitarbeitern im Unternehmen.
Rose räumt ein, dass in der Tech-Branche bei manchen die Tendenz besteht, Kollegen aus anderen Bereichen als weniger versiert und informiert zu betrachten. Wenn sich die Mitarbeiter aus nicht-technischen Bereichen nicht respektiert fühlen, ist es weniger wahrscheinlich, dass sie sich bei Problemen an die IT- und Sicherheitsteams wenden.
Da Endnutzer einen so großen Einfluss auf das Unternehmensrisiko haben, müssen laut Experten größere Anstrengungen unternommen werden, um den Austausch zwischen Technikern und Nicht-Technikern zu fördern. Vor diesem Hintergrund greifen Führungskräfte auf Methoden wie Gamification und Wettbewerbe mit attraktiven Preisen zurück, um beide Seiten zusammenzubringen, die Kommunikation zu verbessern und langfristig Risiken wirksamer zu mindern.
Diese Führungskräfte überprüfen zudem ihre Schulungsinhalte mit einem kritischeren Blick und verzichten auf PowerPoint-Präsentationen zugunsten von Inhalten, die eher auf – nun ja – Netflix zu Hause zu sein scheinen.
Lassen Sie uns ins Kino gehen!
Gute Schulungsvideos zum Thema Sicherheitsbewusstsein verfolgen zwei Ziele, erklärt Perry Carpenter, Chief Evangelist und Strategy Officer bei KnowBe4’s . Führungskräfte im Sicherheitsbereich benötigen ein Produkt, das die Beziehung zwischen ihrem Team und den Mitarbeitern stärkt. Dies gelingt, indem Sie den Mitarbeitern zeigen, dass Ihnen ihre Belange am Herzen liegen. Sie sollten zudem auf einer menschlichen, emotionalen Ebene mit ihnen in Kontakt treten, denn dadurch verbessern Sie die Chancen auf eine bessere Beibehaltung der Informationen.
„Wir haben von Mitarbeitern gehört, die den Arbeitsplatz wechseln, sich aber bei uns anmelden, nur um die Folgen weiterverfolgen zu können.“Perry Carpenter, Chief Evangelist und Strategy Officer bei KnowBe4
Um bessere Materialien zur Sensibilisierung für Sicherheitsfragen zu entwickeln, haben Sicherheitsunternehmen wie KnowBe4 und Living Security untersucht, wie Mitarbeiter ihre Freizeit verbringen und mit welchen Inhalten sie sich beschäftigen. Spoiler: Die Menschen sehen sich gerne Filme an und schauen Serien am Stück. Es gab keinen Grund, warum Schulungsfilme zur Sensibilisierung für Sicherheitsfragen nicht dieselbe Art von Unterhaltung simulieren sollten.
In Anlehnung an Serien wie „ “ von Showtime („Homeland“ ) und „24“ von Fox () entwickelte KnowBe4 „The Inside Man“, eine mehrteilige Serie, die einem typischen episodischen Format folgt und sich durch wiederkehrende Figuren sowie Handlungsstränge auszeichnet, die sich um verschiedene Sicherheitsrisiken drehen. In Staffel 4 ging es um einen Ransomware-Angriff auf ein internationales Energieunternehmen sowie um die Schwierigkeiten eines globalen Influencers, der durch einen Deepfake getäuscht wurde. Der Trailer zu „ “ für die 5 . Staffel wurde im Januar veröffentlicht.
Ninjio, ein auf Sicherheitsschulungen spezialisiertes Unternehmen mit Sitz in Westlake Village, Kalifornien, hat sich für Animationen entschieden. Das Unternehmen produziert drei- bis vierminütige Videos im Anime-Stil unter , die sich mit Themen wie , Business Email Compromise sowie und dem Passwortschutz befassen. Die Drehbücher stammen von Hollywood-Autoren, die bereits an Serien wie , „CSI: NY“ und sowie „Hawaii Five-0“ mitgewirkt haben.
[Read also: The top cybersecurity trends for 2023]
Die Videos von Living Security bieten unterdessen für fast jeden etwas. Sind Sie ein Fan von Reality-Shows? Dann könnte Ihnen „: The Cyber Race,“ gefallen – eine Hommage an die Emmy-prämierte Erfolgsserie „ : The Amazing Race“ (), in der weltreisende Paare nach Hinweisen suchen und Aufgaben rund um digitale Identität, Phishing und andere Sicherheitsthemen bewältigen. Fans von Kochsendungen können bei der Zubereitung neuer Rezepte mit „: Cyber Kitchen“ mehr über Cybersicherheit erfahren. Darüber hinaus gibt es Parodien auf Late-Night-Talkshows, beliebte Filme und Sitcoms sowie eine unheimlich glaubwürdige Dokumentation im Stil von „True Crime“ mit dem Titel „ “ ( ), die den Zuschauern die Anzeichen von Insider-Bedrohungen auf () näherbringt.
Schulungen zur Sensibilisierung für Sicherheitsfragen beginnen mit einer guten Geschichte
Experten für Organisationsverhalten loben seit langem die Kraft des Geschichtenerzählens als wirksames Mittel, um Interessengruppen einzubinden. Psychologen haben festgestellt, dass Lektionen, die in einer gut erzählten Geschichte eingebettet sind, länger und genauer im Gedächtnis bleiben als solche, die sich auf Fakten und Zahlen stützen. Zudem haben Forscher der Johns Hopkins University kürzlich das Geschichtenerzählen als Mittel gewürdigt, um Patienten mit Krebs, Diabetes und Bluthochdruck zu einer Verhaltensänderung zu bewegen.
„: Sensibilisierungsschulungen verlagern sich vom Modell ‚Was ist Sicherheit?‘ hin zu ‚Warum ist Sicherheit wichtig?‘“Drew Rose, Gründer, CSO und Leiter der strategischen Entwicklung bei Living Security
Der Grund, warum der filmische Schulungsfilm funktioniert, so die Befürworter, liegt darin, dass die Nutzer ihn nicht als Zeitverschwendung empfinden. Es ist eine Gelegenheit, sich im Rahmen der Arbeit etwas anzusehen, das Spaß macht. Die Zuschauer könnten sich sogar dafür begeistern.
„Wir erhalten E-Mails von Sicherheitsteams, in denen steht, dass ihre Mitarbeiter nach der nächsten Folge oder Staffel fragen“, sagt KnowBe4’s Carpenter. „Wir haben von Mitarbeitern gehört, die den Arbeitsplatz wechseln, sich aber dennoch bei uns anmelden, nur um die neuen Folgen nicht zu verpassen.“
Rose von Living Security betrachtet den Übergang zu filmischen Darstellungen als logischen nächsten Schritt in der Sicherheitsschulung.
„Schulungen zur Sensibilisierung verlagern sich vom Modell ‚Was ist Sicherheit?‘ hin zu ‚Warum ist Sicherheit wichtig?‘“, sagt Rose. Die Menschen wissen, was (Phishing), und (Ransomware) sowie sind. Diese Filme, so sagt er, veranschaulichen detaillierter, wie sich Cybervorfälle auf ein Unternehmen auswirken. Sie verdeutlichen zudem die Entwicklung der Branche vom Konzept der „Schulungen zur Sensibilisierung für Sicherheitsfragen“ hin zum „Risikomanagement im Hinblick auf den Faktor Mensch“. Die Mitarbeiter sind sich der Sicherheitsbelange bewusst. Nun ist es an der Zeit, deren Risiken zu steuern.
Auf diese Weise, so Carpenter, können Führungskräfte aus Wirtschaft und Sicherheitsbereich nicht nur das Verhalten der Mitarbeiter, sondern auch die gesamte Arbeitskultur beeinflussen.
Auch wenn diese Titel bei der Oscar-Verleihung in dieser Woche oder bei der Emmy-Verleihung später in diesem Jahr nicht für Auszeichnungen nominiert sein werden, tragen sie doch wesentlich dazu bei, die Sicherheit Ihrer Organisation zu gewährleisten. Und das ist besser als jede Trophäe.
