Security Awareness

Definition

Security Awareness bezeichnet Maßnahmen zur systematischen Sensibilisierung und regelmäßigen Schulung von Mitarbeitenden in Fragen der Informationssicherheit, mit dem zentralen Ziel, menschliche Fehler als häufigste Einzelursache von Sicherheitsvorfällen nachhaltig zu reduzieren. Phishing-Angriffe, Social Engineering, Ransomware-Kampagnen und fahrlässiger Umgang mit Passwörtern oder sensiblen Daten lassen sich durch gezielte Awareness-Programme nachweislich signifikant reduzieren. Das NIS2UmsuCG verpflichtet Leitungsorgane explizit zur aktiven Teilnahme an Sicherheitsschulungen und zur Förderung einer gelebten Sicherheitskultur im gesamten Unternehmen. Effektive Security-Awareness-Programme kombinieren verpflichtende Schulungen, praxisnahe Phishing-Simulationen und kontinuierliche Kommunikation statt einmaliger, schnell vergessener Schulungsveranstaltungen.

Rechtsgrundlage

§ 30 Abs. 2 Nr. 4 BSIG schreibt Maßnahmen zur Sensibilisierung für Cybersicherheit und regelmäßige Schulungen aller Mitarbeitenden als explizite gesetzliche Mindestmaßnahme vor. § 38 Abs. 3 BSIG verpflichtet Leitungsorgane besonders wichtiger Einrichtungen darüber hinaus zur persönlichen Teilnahme an Schulungen zu Cybersicherheitsrisiken und deren Bewältigung — mit Haftungsrelevanz bei Versäumnis. Das BSI IT-Grundschutz-Kompendium enthält Baustein ORP.3 (Sensibilisierung und Schulung) mit konkreten Mindestanforderungen an Schulungsplanung, -durchführung, -inhalte und Dokumentationspflichten.

Praktische Implikation

Entwickeln Sie ein strukturiertes jährliches Security-Awareness-Programm mit rollenspezifischen Schulungsinhalten: Basisschulung für alle Mitarbeitenden, vertiefende Module für IT-Verantwortliche und Pflichtschulungen für Leitungsorgane gemäß § 38 Abs. 3 BSIG. Führen Sie mindestens quartalsweise Phishing-Simulationen durch und nutzen Sie die Ergebnisse ausschließlich zur gezielten Nachschulung, nicht zur Sanktionierung der Betroffenen. Dokumentieren Sie Schulungsteilnahmen, -ergebnisse und Programmänderungen vollständig, da das BSI diese Nachweise bei Prüfungen einfordern kann und wird. Aktualisieren Sie die Schulungsinhalte mindestens jährlich, um aktuelle Bedrohungstaktiken wie zielgerichtete Phishing-Kampagnen und KI-gestützte Social-Engineering-Angriffe zu adressieren. Messen Sie die Wirksamkeit Ihres Programms durch Before/After-Metriken bei Phishing-Simulationen und berichten Sie Verbesserungen der Geschäftsführung.

Verwandte Begriffe

• Schulungspflicht
• ISMS