Security Awareness, auch bekannt als Cybersecurity-Schulung, Cybersecurity Awareness Training oder Schulung zur Informationssicherheit, ist ein strukturiertes und kontinuierliches Programm, das Mitarbeitenden eines Unternehmens hilft, Cyberbedrohungen zu erkennen, richtig zu reagieren und im Arbeitsalltag sichere Verhaltensweisen zu entwickeln.

In einem Umfeld, in dem sich Bedrohungen täglich weiterentwickeln und künstliche Intelligenz inzwischen auch Cyberkriminellen zur Verfügung steht, reicht Technologie allein nicht aus. Der wahre Sicherheitsperimeter verläuft über die Menschen.

1. Mitarbeitende erkennen moderne Bedrohungen nicht

Phishing-E-Mails sind von legitimen E-Mails kaum noch zu unterscheiden. Dank generativer künstlicher Intelligenz erstellen Kriminelle personalisierte, kohärente Nachrichten, die in der lokalen Sprache und im richtigen Ton verfasst sind. Nicht-technisches Personal — Verwaltung, HR, Finanzen, Marketing — gehört zu den am häufigsten angegriffenen Zielgruppen.

2. Traditionelle Schulungen erzielen keine nachhaltigen Ergebnisse

Ein jährlicher Kurs, vielleicht nur wenige Stunden lang, verändert keine Verhaltensweisen. Die Inhalte werden innerhalb weniger Wochen vergessen. Sicherheit wird weiterhin als IT-Problem wahrgenommen, nicht als gemeinsame Verantwortung.

3. Es fehlt eine unternehmensweite Sicherheitskultur

Wenn Cybersecurity nicht Teil der DNA der Organisation ist, kommt es jeden Tag zu riskanten Verhaltensweisen: Weitergabe von Passwörtern, Zugriff über unsichere Netzwerke, oberflächlicher Umgang mit sensiblen Daten.

4. Der regulatorische Druck nimmt zu

Schweizer und internationale Vorschriften wie DSG, ISO 27001 und DSGVO für Unternehmen mit Geschäftstätigkeit in der EU verlangen dokumentierbare Schulungsprogramme für Mitarbeitende. Fehlende Nachweise setzen Organisationen Sanktionen, negativen Audits und Reputationsschäden aus.

1. Erstes Assessment Analyse des Reifegrads der Mitarbeitenden durch Baseline-Phishing-Simulationen und Fragebögen zur Selbsteinschätzung. Wir identifizieren die Bereiche mit dem höchsten Risiko, bevor wir mit Schulungen beginnen.

2. Aktivierung der Plattform Konfiguration der Security-Awareness-Training-Plattform mit den Profilen aller Mitarbeitenden. Die Lösung ist cloudbasiert, von jedem Gerät aus zugänglich und erfordert keine Installationen.

3. Start des Schulungsprogramms Verteilung der Schulungsmodule gemäss dem vereinbarten Plan. Die Mitarbeitenden absolvieren die Kurse selbstständig, mit automatischen Erinnerungen und Fortschritts-Dashboards.

4. Kontinuierliche Phishing-Simulationen Über das ganze Jahr hinweg geplante simulierte Phishing-Kampagnen mit unterschiedlichen Szenarien, die zunehmend komplexer werden.

5. Analyse und Optimierung Regelmässige Daten-Reviews mit dem Team von VarGroup Suisse. Anpassung des Programms auf Basis der Ergebnisse: neue Szenarien, zusätzliche Module, interne Sensibilisierungskommunikation.

6. Reports für die Geschäftsleitung Executive- und technische Reports, bereit zur Weitergabe an Management, CISO oder Auditoren.

Was versteht man unter Security Awareness Training?
Es ist ein strukturiertes Schulungsprogramm, das Mitarbeitenden beibringt, die häufigsten Cyberbedrohungen zu erkennen und zu verhindern: Phishing, Social Engineering, missbräuchliche Nutzung von Zugangsdaten und riskante Verhaltensweisen beim Umgang mit digitalen Tools.

Was ist eine Phishing-Simulation?
Es handelt sich um den kontrollierten Versand von gefälschten E-Mails an Mitarbeitende, die darauf ausgelegt sind, reale Angriffe nachzuahmen. Wer auf den Link klickt oder Daten eingibt, wird auf eine Schulungsseite weitergeleitet. Ziel ist es nicht, zu „bestrafen“, sondern Bewusstsein durch direkte Erfahrung zu schaffen.

Ist die Schulung für alle Mitarbeitenden geeignet, auch für nicht-technisches Personal?
Ja. Das Programm ist so konzipiert, dass es für alle Unternehmensprofile zugänglich ist, unabhängig vom technologischen Hintergrund. Die Inhalte sind je nach Bedarf der Organisation auf Italienisch, Französisch oder Deutsch verfügbar.

Wie häufig werden Simulationen durchgeführt?
Das hängt vom gewählten Plan ab, der empfohlene Ansatz sieht jedoch monatliche oder vierteljährliche Simulationen vor, mit stets unterschiedlichen Szenarien, um die Aufmerksamkeit hoch zu halten.

Wie wird die Wirksamkeit des Programms gemessen?
Durch klare Kennzahlen: Klickrate bei Phishing-Simulationen vor und nach dem Start, Abschlussquote der Module und Ergebnisse der Wissenstests. Die Reports sind in Echtzeit auf der Plattform verfügbar.

Unterstützt das Programm die regulatorische Konformität?
Ja. Das Programm erstellt nützliche Dokumentation für Audits und weist die Erfüllung der Schulungspflichten nach, die von nDSG, ISO 27001 und anderen relevanten Vorschriften vorgesehen sind.

Wie viel Zeit benötigen Mitarbeitende für die Schulungsmodule?
Die einzelnen Module dauern typischerweise zwischen 5 und 15 Minuten. Das Micro-Learning-Format minimiert die Auswirkungen auf die Produktivität und erhöht die Wirksamkeit des Lernens.