Welche Mittel und Methoden setzen Sie ein, welche sind Ihnen besonders wichtig?
Wir lassen eigentlich nichts aus, wir greifen auf das ganze Repertoire zurück. So haben wir eigens ein Spiel entwickelt und setzen damit Gamification um. Hinzukommen selbst entwickelte Kartenspiele, die sind recht lustig. Wir versuchen, Themen mit Humor anzugehen, auch lustige Sachen zu machen. Es ist wichtig, freundlich rüberzukommen, nicht als Polizisten oder Aufpasser. In unserem Unternehmen herrscht eine Kultur, die das ermöglicht und fördert – digital wie auch offline.
Es gibt meiner Meinung nicht die „one size fits all“-Lösung. Jedes Unternehmen muss die Maßnahmen und Methoden einsetzen, die zur Firma passen. Zwischen den Unternehmenskulturen gibt es große Unterschiede.
Sie haben auch eine Trainingsplattform eingekauft. Wozu setzen Sie die ein, was ist der Vorteil so einer Lösung?
Wir können unsere Kollegen und Kolleginnen nach Zielgruppen einteilen, womit die Leute auf ihren Job zugeschnittene Maßnahmen erhalten. Nicht jeder braucht alle Themen, es geht um das, was für sie im Alltag relevant ist. Techniker, die mehr wissen müssen, können das über die Plattform auch bekommen und zum Beispiel im Deep Dive bis zu Security für Cloud- oder App-Entwickler gehen. Die Lernplattform steht jedem Mitarbeiter zur Verfügung. Doch die Plattform erlaubt noch mehr: Anhand der Auswertungen können wir sogar Talente entdecken, die spannende Ansätze entwickelt haben. Diese Lernform kommt bei der Belegschaft gut an, nach einem Jahr hatten schon rund 3800 Leute damit gearbeitet und das sogar außerhalb der Arbeitszeit.
Viele Security-Maßnahmen sind aufwendig oder umständlich. Das ist wahrscheinlich der häufigste Kritikpunkt von Mitarbeitern und Mitarbeiterinnen. Sie plädieren für Sicherheitsmaßnahmen, die eine einfache und vorgabenkonforme Bearbeitung von Daten ermöglichen. Wie lässt sich das realisieren?
Das ist ein konfliktreiches Thema. Wir hatten das beispielsweise bei der Einführung unseres Password-Managers. Die gewählte Softwarelösung gilt als besonders sicher, ist nur leider in der Benutzung nicht gerade intuitiv. Aber Passwörter sind wichtig, auch deren Länge. Sie müssen aber handhabbar sein, wobei ein Password-Safe sehr hilfreich ist.
Oft haben wir einen Konflikt zwischen einer technisch guten Lösung und einer einfachen, leicht verständlichen Lösung. Da ist es wichtig, sehr gut zu kommunizieren, man muss es den Leuten sehr gut erklären und man muss es auch vorleben. Es ist notwendig, herauszufinden, was für die Mitarbeiter das Problem ist, um dafür dann eine Lösung zu finden. So lässt sich die Akzeptanz deutlich erhöhen.
In bestimmten Branchen stoßen Awareness-Konzepte auf besondere Schwierigkeiten, etwa im OT- oder Gesundheitssektor. Dort wird unter anderem im Schichtdienst und teils unter hohem Zeitdruck gearbeitet. Wie geht man damit um?
Da lautet meine Empfehlung, auf die Lebenswelten der Personen, auf deren privaten Bereich zu schauen. Im Privaten betrifft Security die Leute ja auch und bereitet Ihnen häufig mehr als genug Schwierigkeiten. Wenn es gelingt, zu verdeutlichen, welche Risiken dort bestehen und welche Möglichkeiten sie gleichzeitig haben, dann lässt sich das auf das Unternehmen übertragen. Wer zum Beispiel Kinder hat, ist damit konfrontiert, wie man seine Kinder im Netz schützen kann.
Zudem muss man sich sehr genau den Alltag zum Beispiel von Krankenschwestern oder Fließbandarbeitern anschauen. Dabei stellt sich oftmals heraus, dass Prozesse umgestellt werden müssen, um die Sicherheit zu erhöhen. Es ist klar, dass bei einer Not-OP nicht erst umfassend Passwörter eingegeben werden können usw. Doch es gibt für die Zugangssicherung in diesen Bereichen geeignete technische Lösungen wie RFID-Armbänder. Die halte ich einfach in die Nähe des PCs und der Zugang ist ohne Passworteingabe möglich. Gehe ich wieder weg, ist der Zugang wieder gesperrt.
Es existierten noch viele Bereiche, die nicht auf die Thematik vorbereitet sind, beispielsweise Schulen. Hier wird es notwendig sein, erst mal das Thema selbst zu vermitteln, bevor ich mir über Maßnahmen Gedanken machen kann.
Was erwarten Sie für die Zukunft, wenn man beispielsweise an KI denkt?
Ich nutze bereits KI-Lösungen wie ChatGPT, wenn es beispielsweise darum geht, ein Quiz zu einer Problematik zu entwickeln. Aber auch um Bilder zu generieren, die ich so sonst nicht habe. KI wird unsere Prozesse einfacher und schneller machen. Man kann etwa recht leicht eine Wissensdatenbank mit Security-Know-how anlegen. Die können Mitarbeiter dann abfragen, wenn sie ein bestimmtes Anliegen haben, zum Beispiel um eine Azure-Cloud einzurichten. KI wird uns helfen, unsere Arbeit besser zu machen.
