Schulungen auch für den Router zu Hause:
Security-Policy Mensch: Mitarbeiter an die Hand nehmen

von Werner Veith (werner.veith@networkcomputing.de)

Share
09.04.2010

Es ist verlockend, die Sicherheit vor allem über technische Maßnahmen herzustellen. Das schwächste Glied aber bleibt der Mitarbeiter. Um dessen Mitarbeit zu gewinnen, ist es wichtig, sie als Menschen zu behandeln und nicht mit einer To-Do-Liste abzufertigen.

(Fortsetzung des Artikels von Seite 2)

Der »Conficker« hat eine sehr große Verbreitung gefunden. Dabei hat er eine Sicherheitslücke ausgenutzt, für die es eigentlich schon einen Patch gegeben hat. Aber auf den befallenen Systemen ist dieser nicht zum Einsatz gekommen. Also lautet die erste Schlussfolgerung: Mit einer technischen Lösung wie einem Patch-Management-System wäre dies nicht passiert. Aber ist es wirklich so einfach? Schließlich sitzt hinter jedem Rechner und auch einer Sicherheitslösung ein Mensch. Und es gibt genügend Angriffe von Cyber-Gangstern wie beim Phishing, die ihn über Social-Engineering-Tricks reinlegen wollen. Also müssen Unternehmen nach dem White-Paper »Schwachstelle Mensch [1]« von Kaspersky [2] Labs den »Faktor Mensch« mit einbeziehen. Es muss also so etwas wie eine Security-Policy Mensch geben. Wollen Unternehmen hier Erfolg haben, gilt es das Ganze auf der menschlichen Ebene angehen. Eine Schulung ist viel interessanter, wenn sie dem Mitarbeiter auch erklärt, wie er sein Heimnetz schützen kann. Eine Liste mit Ge- und Verboten motiviert dagegen nicht besonders.

Mitarbeiter brauchen auch in Sachen IT-Sicherheit Erziehung beziehungsweise Schulung. (Quelle: Fotolia)

Menschen zu überlisten, bietet sich besonders in Social-Networks an. Geknackte Facebook-Acccounts täuschen vor, dass der Link in der Nachricht ungefährlich ist. Oder es gibt sich jemand als Freund aus, der nun im Ausland festsitzt. Die Infos dazu hat der Angreifer aus Facebook.

Scareware setzt vor allem auf die Ängste der Menschen, dass ihr Rechner mit Malware befallen sei. Auch die Bequemlichkeit ist eine Schwachstelle. So verwenden viele Passwörter für mehrere Accounts. Knacken Cyber-Gangster einen Account, probieren sie daher die Zugangsdaten auch woanders.

Sicherheitsregel Nr. 1: Mitarbeiter unterstützen

Neben den technischen Maßnahmen geht es darum, die »Sicherheitslücke Mensch« zu schließen. Dabei ist dieser Ausdruck etwas irreführend, denn es kann nicht darum gehen, jedem Mitarbeiter einfach eine Liste mit Verhaltensmaßnahmen in die Hand zu geben. Dabei erhöht es auch nicht die Sicherheit, wenn der Mitarbeiter diese auch noch unterschreiben muss. Stattdessen gilt es, dass Mitarbeitern den sicheren Umgang lernen. Wer Kinder hat, weiß wie wichtig es ist, diesen einen sicheren Umgang im Straßenverkehr beizubringen. Nichts anderes muss die Sicherheitsregel für Mitarbeiter leisten: Diese etwa für Umgang mit dem Internet »erziehen«.

Mitarbeiter sind keine Sicherheitsexperten. Deshalb sollten sie nicht als solche behandelt werden. Stattdessen gilt es, ihnen in einfachen Worten und Bildern, die Gefahren, die Maßnahmen im Unternehmen und die Auswirkungen auf die Arbeit zu erklären. Mitarbeiter sollten auch ernst genommen werden. Finden sie etwas verdächtig, gilt es dem nachzugehen. Andernfalls werden sie nichts mehr sagen.

Jeder Mitarbeiter lernt anders. Der eine liest gerne. Der nächste muss es hören, um es zu behalten. Andere wiederum lernen am Besten in spielerischen Formen. Deshalb ist es wichtig, dies in den Schulungen und auch bei allem anderen Material oder Hinweisen zu berücksichtigen. Unterschiedliche Methoden sollten daher parallel eingesetzt werden.

Die Schulungen und andere Information sollten nicht nur unter den Augen der IT-Sicherheit gesehen werden. Es gilt das ganze auch in den Rahmen der Personalpolitik abzuhandeln.

Das Zuhause des Mitarbeiters einbeziehen

Zuhause verwenden Mitarbeiter ihren Rechner zu ganz anderen Zwecken als im Unternehmen. Daher werden sie oft genug auch in der Arbeit versuchen, den PC für private Dinge zu nutzen. Schulungen sollten also solche Dinge wie Online-Shopping oder -Banking mit einbeziehen.

Der Mitarbeiter bekommt nun mit, wie er sich im Unternehmen schützen kann und muss. Zuhause arbeitet er anders und hat andere Lösungen im Einsatz. Und hier weiß er nur, dass jetzt vielleicht ungeschützt ist. Gehen Schulungen auch darauf ein, wie er seinen Router zu Hause absichern kann, gibt das mehr Motivation daran teilzunehmen.

[1] http://www.viruslist.com/de/analysis?pubid=200883688
[2] http://www.kaspersky.de/

Verwandte Artikel