Security-Schulung fürs Unternehmen: worauf es ankommt

Montagmorgen, ein Mitarbeitender meldet eine auffällige E Mail im Ticketsystem. Die Nachricht sieht aus wie eine interne Anfrage, doch die angegebene Freigabe passt nicht zum üblichen Prozess. Gleichzeitig stellt das IT Team fest, dass ein wichtiges System mit unnötig weitreichenden Berechtigungen betrieben wird. Beide Situationen haben mit IT Sicherheit zu tun, brauchen aber unterschiedliche Kompetenzen: Mitarbeitende müssen Warnsignale erkennen und richtig melden können. Das IT Team muss Risiken technisch bewerten, Zugriffe begrenzen und Schutzmaßnahmen umsetzen.

Eine gute Security Schulung fürs Unternehmen beginnt deshalb nicht mit einer Standardpräsentation für alle. Sie beginnt mit einer ehrlichen Bestandsaufnahme: Welche Risiken betreffen dein Unternehmen, welche Rollen gibt es und welche Entscheidungen treffen diese Personen im Arbeitsalltag? Erst dann lässt sich festlegen, wer welche Inhalte benötigt.

Awareness für alle schafft die Sicherheitsbasis

Security Awareness richtet sich an alle Mitarbeitenden, unabhängig von Abteilung, technischem Vorwissen oder Hierarchie. Denn Angriffe nutzen häufig alltägliche Arbeitssituationen aus: E Mails, Telefonate, Dateiablagen, Kollaborationstools, Passwortrücksetzungen oder vermeintlich dringende Anweisungen von Führungskräften.

Das Ziel ist nicht, aus jedem Mitarbeitenden eine technische Sicherheitsfachkraft zu machen. Vielmehr sollen Beschäftigte Risiken erkennen, kurz innehalten und sicher handeln. Besonders wirksam ist eine Schulung, wenn sie typische Situationen aus dem eigenen Unternehmen aufgreift.

Zu den grundlegenden Awareness Themen gehören:

• verdächtige Nachrichten, Links und Anhänge erkennen
• Social Engineering verstehen, etwa Druck, Zeitnot oder vorgetäuschte Autorität
• sichere Passwörter und Passwortmanager sinnvoll einsetzen
• MFA korrekt nutzen und Anfragen nicht unbedacht bestätigen
• sensible Daten nach internen Regeln speichern, weitergeben und löschen
• Geräte, mobile Arbeitsplätze und Bildschirmzugänge schützen
• Sicherheitsvorfälle und Verdachtsfälle schnell an die zuständige Stelle melden
• mit externen Dienstleistern, Kundendaten und vertraulichen Dokumenten sorgfältig umgehen

Wichtig ist dabei die Tonalität. Awareness darf Mitarbeitende nicht beschämen. Wer aus Unsicherheit keine Auffälligkeit meldet, weil ein Fehlalarm peinlich sein könnte, erhöht das Risiko. Kommuniziere deshalb klar: Eine Meldung ist erwünscht, auch wenn sich der Verdacht später nicht bestätigt. Entscheidend sind schnelle, nachvollziehbare Meldewege.

Technische Schulung für das IT Team braucht Tiefe

Administratoren, Entwicklerinnen, Entwickler und Security Verantwortliche tragen andere Aufgaben. Sie konfigurieren Systeme, verwalten Identitäten, entwickeln Anwendungen, bewerten Schwachstellen und reagieren auf Vorfälle. Dafür reicht allgemeines Wissen über Phishing oder Passwörter nicht aus.

Technische Schulungen sollten sich an den tatsächlich eingesetzten Technologien und Verantwortlichkeiten orientieren. Ein Team, das Cloud Umgebungen betreibt, braucht andere Schwerpunkte als ein Team mit eigenen Servern, Produktionsnetzen oder geschäftskritischen Webanwendungen.

Typische technische Themen sind:

• Identitäts und Berechtigungsmanagement nach dem Prinzip Least Privilege
• sichere Konfiguration von Clients, Servern, Netzwerken und Cloud Diensten
• Patch und Schwachstellenmanagement mit nachvollziehbarer Priorisierung
• Protokollierung, Monitoring und Auswertung relevanter Sicherheitsereignisse im SIEM
• sichere Softwareentwicklung, etwa Eingabevalidierung, Rechteprüfung und Schutz sensibler Daten
• Bedrohungsmodellierung und sichere Architekturentscheidungen
• Bewertung von Schwachstellen, beispielsweise mit CVSS als Orientierung
• Incident Response, also vorbereitete Abläufe für Erkennung, Eindämmung und Wiederherstellung
• Grundlagen professioneller Penetrationstests und die Einordnung ihrer Ergebnisse

Gerade bei Entwicklungsteams lohnt sich ein Bezug zu anerkannten Leitlinien wie dem OWASP Top 10. Die Liste ersetzt keine individuelle Risikobewertung, hilft aber dabei, häufige Sicherheitsfehler in Webanwendungen strukturiert zu berücksichtigen.

Ein Penetrationstest ist ebenfalls kein Selbstzweck. Sein Nutzen entsteht erst, wenn Findings priorisiert, Verantwortlichkeiten geklärt und Verbesserungen nachverfolgt werden. Tests dürfen ausschließlich mit ausdrücklicher schriftlicher Beauftragung, klar definiertem Scope und abgestimmten Regeln durchgeführt werden. Ohne Auftrag können Sicherheitsprüfungen strafbar sein. Diese Einordnung ist keine Rechtsberatung.

Den Bedarf vor der Schulung sauber klären

Wenn alle dieselbe Schulung erhalten, bleiben oft zwei Probleme: Ein Teil ist unterfordert, ein anderer kann die Inhalte nicht auf den eigenen Arbeitsalltag übertragen. Eine kurze Bedarfsanalyse verhindert das und schafft Akzeptanz.

Beziehe dabei Fachbereiche, IT, Datenschutz, Informationssicherheit und Führungskräfte ein. Frage nicht nur, welche Themen gewünscht sind. Prüfe auch, wo konkrete Risiken, Vorfälle oder Unsicherheiten bestehen.

Zielgruppe	Typische Fragen	Geeigneter Schwerpunkt
Alle Mitarbeitenden	Wie werden verdächtige Nachrichten gemeldet? Welche Daten sind sensibel?	Phishing, Social Engineering, Meldewege, MFA
Führungskräfte	Wie werden Risiken und Vorfälle angemessen eskaliert?	Verantwortung, Krisenkommunikation, Freigabeprozesse
IT Administration	Wo bestehen zu breite Rechte oder fehlende Updates?	Hardening, Least Privilege, Logging, Patchmanagement
Entwicklung	Wie entstehen Sicherheitslücken im Entwicklungsprozess?	Secure Coding, Code Reviews, Bedrohungsmodellierung
Service Desk	Wie wird eine Identität vor einer Rücksetzung geprüft?	Identitätsprüfung, Social Engineering, Eskalation

Nützliche Informationsquellen sind vorhandene Tickets, Incident Berichte, Ergebnisse aus Audits, Schwachstellenscans und Penetrationstests sowie Rückmeldungen aus dem Support. Auch Kennzahlen helfen: Wie viele verdächtige Nachrichten werden gemeldet? Wie schnell werden kritische Updates eingespielt? Welche wiederkehrenden Fehlkonfigurationen treten auf?

Die Analyse muss nicht übermäßig kompliziert sein. Entscheidend ist, dass du Schulungsziele formulierst, die beobachtbares Verhalten beschreiben. Statt nur „Mitarbeitende kennen Phishing“ lautet ein besseres Ziel: „Mitarbeitende erkennen typische Warnzeichen, nutzen den definierten Meldekanal und öffnen keine unklaren Anhänge.“

Praxisbezug entscheidet über den Lernerfolg

Sicherheitswissen bleibt besser hängen, wenn Teilnehmende Entscheidungen üben, die sie tatsächlich treffen müssen. Ein Vortrag über Passwortregeln allein verändert selten Verhalten. Eine realistische Fallbesprechung dagegen zeigt, warum eine Regel existiert und was im Ernstfall zu tun ist.

Für Awareness Schulungen eignen sich kurze Szenarien aus dem Arbeitsalltag: Eine unerwartete Rechnungsanfrage, ein Anruf mit angeblicher Dringlichkeit, eine Freigabeanfrage für MFA oder ein Dokument, das über einen ungewöhnlichen Kanal geteilt wird. Wichtig ist stets die sichere Reaktion: stoppen, prüfen, melden und keine vertraulichen Informationen preisgeben.

In technischen Schulungen sollte die Praxis ebenfalls im Vordergrund stehen. Teams profitieren von Architekturbeispielen, anonymisierten Findings aus eigenen Prüfungen, Konfigurationsentscheidungen und Übungen zur Priorisierung. Es geht nicht darum, Angriffstechniken nachzustellen, sondern Schutzmaßnahmen fachlich begründet auszuwählen und umzusetzen.

Plane nach jeder Schulung konkrete nächste Schritte. Das kann eine überarbeitete Berechtigungsrichtlinie sein, ein klarer Meldeprozess, ein Review kritischer Konfigurationen oder eine Ergänzung der Definition of Done im Entwicklungsteam. Ohne solche Anschlussmaßnahmen bleibt Weiterbildung leicht folgenlos.

Regelmäßig lernen ist wirksamer als einmalig informieren

Bedrohungen, Arbeitsweisen und Systeme verändern sich kontinuierlich. Neue Tools kommen hinzu, Mitarbeitende wechseln Rollen, Angreifer passen ihre Täuschungsversuche an. Eine einmalige Pflichtunterweisung kann Grundlagen vermitteln, schafft aber keine belastbare Sicherheitskultur.

Besser ist ein regelmäßiger Lernrhythmus mit kurzen, wiederkehrenden Einheiten. Wiederholung stärkt Routinen, aktuelle Beispiele halten die Inhalte relevant. Ergänze allgemeine Grundlagen durch zielgruppenspezifische Vertiefungen, etwa nach Systemumstellungen, neuen Cloud Diensten oder auffälligen Vorfällen.

Eine sinnvolle Struktur kann so aussehen:

1. Grundlagen für alle Mitarbeitenden wiederholen und aktualisieren.
2. Risikoreiche Rollen gezielt vertiefen, etwa Finanzbuchhaltung, Personalbereich oder Service Desk.
3. Technische Teams anhand aktueller Systeme und Risiken fortbilden.
4. Verbesserungen aus Incidents, Audits und Tests in die nächsten Inhalte übernehmen.
5. Wirkung messen und bei Bedarf nachsteuern.

Messung bedeutet nicht, Beschäftigte zu überwachen oder an einzelnen Fehlern festzumachen. Betrachte Trends: Werden verdächtige Vorgänge früher gemeldet? Werden Sicherheitsanforderungen in Projekten rechtzeitig berücksichtigt? Sinken wiederkehrende Fehlkonfigurationen? Solche Erkenntnisse zeigen, ob Schulung und Prozesse zusammenwirken.

Führungskräfte machen Sicherheit im Alltag möglich

Auch die beste Schulung scheitert, wenn Beschäftigte unter Zeitdruck Sicherheitsregeln umgehen müssen oder Meldungen folgenlos bleiben. Führungskräfte prägen, ob Sicherheit als lästige Zusatzaufgabe oder als Teil professioneller Arbeit verstanden wird.

Sie sollten sichere Entscheidungen sichtbar unterstützen, ausreichende Zeit für Schulungen einplanen und klare Zuständigkeiten schaffen. Wenn Mitarbeitende einen Verdacht melden, braucht es eine verlässliche Reaktion. Wenn ein Team auf ein Risiko hinweist, muss es einen Weg geben, dieses Risiko fachlich zu bewerten und zu behandeln.

Bei uns in München erleben wir in IT Security Schulungen immer wieder: Nachhaltige Verbesserung entsteht nicht durch Angst vor Fehlern, sondern durch klare Abläufe, praxisnahes Wissen und regelmäßige Übung. Passende IT Security Seminare und Termine findest du bei uns auf cmt.de.

Eine gute Security Schulung verbindet deshalb Menschen, Prozesse und Technik. Sie vermittelt allen Beschäftigten sichere Routinen, gibt Fachteams die nötige technische Tiefe und wird regelmäßig an reale Risiken angepasst. So wird Sicherheit zu einer Fähigkeit, die im Unternehmen jeden Tag praktisch wirkt.