☰☖Awareness & SchulungenErstelle, verwalte und absolviere Awareness- und andere Schulungen mit Wissensüberprüfung und Links zu den entsprechenden Prüfungen.

1. Warum Informationssicherheit im Alltag beginnt

Technische Schutzmaßnahmen sind wichtig, aber viele erfolgreiche Angriffe zielen zuerst auf Menschen. Angreifer versuchen, Hilfsbereitschaft, Routine, Autorität, Neugier oder Zeitdruck auszunutzen. Eine Nachricht kann professionell aussehen und trotzdem gefälscht sein. Entscheidend ist deshalb nicht, jede Angriffsmethode auswendig zu kennen, sondern Warnsignale zu erkennen und bei ungewöhnlichen Situationen bewusst langsamer zu handeln.

Ein typisches Beispiel ist eine angeblich dringende Nachricht der Geschäftsführung: Eine Zahlung müsse sofort angewiesen, ein Dokument geöffnet oder eine Anmeldung bestätigt werden. Der Absendername kann stimmen, während die tatsächliche Mailadresse abweicht. Auch bekannte Kontakte können kompromittiert sein. Deshalb gilt bei ungewöhnlichen Anforderungen: Kontext prüfen, keine vertraulichen Daten preisgeben und die Anfrage über einen bereits bekannten Kommunikationsweg verifizieren.

• Unerwartete Dringlichkeit ist ein Warnsignal.
• Zahlungs-, Login- und Fernzugriffsanforderungen immer besonders kritisch prüfen.
• Nicht auf Kontaktdaten aus der verdächtigen Nachricht verlassen.
• Bei Unsicherheit lieber einmal mehr intern nachfragen.

2. Phishing, Smishing, QR-Codes und Social Engineering

Phishing findet längst nicht nur per E-Mail statt. SMS, Messenger, QR-Codes, Telefonanrufe und gefälschte Support-Seiten verfolgen dasselbe Ziel: Zugangsdaten, Zahlungsinformationen oder eine Handlung des Opfers. Eine gefälschte Login-Seite kann optisch nahezu identisch mit dem Original sein. Das Schloss-Symbol oder HTTPS allein beweist nicht, dass die Seite legitim ist; auch Angreifer können verschlüsselte Webseiten betreiben.

Prüfe deshalb vor einer Anmeldung die Domain und öffne wichtige Dienste bevorzugt über ein eigenes Lesezeichen oder die bekannte Adresse. Bei QR-Codes ist besondere Vorsicht sinnvoll, weil das eigentliche Ziel vor dem Scannen oft nicht sichtbar ist. Bei Telefonanrufen gilt: Ein angeblicher IT-Mitarbeiter benötigt nicht spontan dein Passwort oder unaufgeforderten Fernzugriff. Seriöse interne Prozesse lassen sich über die offiziellen Kontaktdaten bestätigen.

Praxisbeispiel: Du bekommst eine Mail deiner Bank mit einem Link zur angeblichen Sicherheitsprüfung. Statt auf den Link zu klicken, öffnest du die Bank-App oder rufst die bekannte Telefonnummer an. Damit verlässt du den Kommunikationskanal des möglichen Angreifers.

3. Passwörter, Passwortmanager und Mehrfaktor-Authentifizierung

Ein starkes Passwort schützt nur dann zuverlässig, wenn es nicht gleichzeitig bei mehreren Diensten verwendet wird. Wird ein privater Dienst kompromittiert, testen Angreifer gestohlene Zugangsdaten automatisiert bei anderen Plattformen. Ein identisches privates und berufliches Passwort kann deshalb aus einem fremden Datenleck unmittelbar ein Unternehmensrisiko machen.

Für viele unterschiedliche Passwörter ist ein freigegebener Passwortmanager die praktikable Lösung. Er speichert Zugangsdaten verschlüsselt und ermöglicht lange, zufällige Passwörter. Passwörter gehören nicht in ungeschützte Notizen, Tabellen oder E-Mails. Mehrfaktor-Authentifizierung ergänzt das Passwort um einen weiteren Nachweis. Aber auch MFA ist nicht unfehlbar: Unaufgeforderte Bestätigungsanfragen können Teil eines Angriffs sein. Eine Anmeldung darf nur bestätigt werden, wenn du sie selbst ausgelöst hast.

• Für jeden Dienst ein eigenes Passwort verwenden.
• Passwortmanager nach Unternehmensvorgabe nutzen.
• MFA-Anfragen niemals aus Gewohnheit bestätigen.
• Verdächtige Anmeldehinweise sofort melden.

4. Arbeitsplatz, Geräte und physischer Zugriff

Informationssicherheit endet nicht am Bildschirm. Ein entsperrter Rechner, offen liegende Unterlagen oder eine weitergegebene Zugangskarte können Schutzmaßnahmen umgehen. Sperre den Bildschirm auch bei kurzer Abwesenheit. Besucher und externe Personen sollten sich nur in den für sie vorgesehenen Bereichen bewegen. Vertrauliche Ausdrucke werden zeitnah abgeholt und anschließend sicher aufbewahrt oder vernichtet.

Unbekannte USB-Sticks oder andere Datenträger werden nicht testweise angeschlossen. Sie können Schadsoftware enthalten oder manipuliert sein. Auch Arbeitsgeräte sollten nicht unkontrolliert von Familienmitgliedern oder anderen Dritten genutzt werden. Bei Verlust eines Notebooks oder Smartphones zählt Geschwindigkeit: Melde den Verlust, damit Zugänge gesperrt, Geräte gegebenenfalls remote gelöscht und weitere Maßnahmen eingeleitet werden können.

Praxisbeispiel: Auf dem Parkplatz liegt ein USB-Stick mit der Aufschrift „Gehaltsliste“. Neugier ist hier Teil des möglichen Angriffs. Der sichere Weg ist die Übergabe an IT oder Informationssicherheit, ohne den Datenträger selbst zu öffnen.

5. E-Mail-Anhänge, Downloads, Makros und Schadsoftware

Schadsoftware kann über Anhänge, manipulierte Downloads, gefälschte Updates oder kompromittierte Webseiten auf ein System gelangen. Besonders kritisch sind ausführbare Dateien, Skripte, Archive und Dokumente, die zur Aktivierung von Makros oder „Inhalten“ auffordern. Auch eine bekannte Dateiendung ist keine Garantie für Sicherheit.

Ransomware verschlüsselt Daten und fordert anschließend Lösegeld. Keylogger versuchen Tastatureingaben mitzulesen, Trojaner tarnen sich als legitime Programme. Schutz entsteht durch mehrere Ebenen: aktuelle Systeme, Endpoint-Schutz, eingeschränkte Benutzerrechte, sichere Backups und aufmerksames Verhalten. Updates sind deshalb keine lästige Zusatzfunktion, sondern schließen bekannte Schwachstellen, die automatisiert ausgenutzt werden können.

Wenn du versehentlich etwas Verdächtiges geöffnet hast, ist Verheimlichen die schlechteste Strategie. Sofortige Meldung ermöglicht der IT, Verbindungen zu trennen, Konten zu prüfen und die Ausbreitung zu begrenzen.

6. Daten sicher teilen und Berechtigungen begrenzen

Nicht jede Person im Unternehmen benötigt Zugriff auf jede Information. Das Prinzip der geringsten Privilegien bedeutet, nur die Rechte zu vergeben, die für die jeweilige Aufgabe erforderlich sind. Freigaben in Cloud-Speichern sollten deshalb regelmäßig überprüft werden. „Jeder mit dem Link“ ist für vertrauliche Inhalte meist zu weit gefasst.

Achte auch beim Versand von E-Mails auf Empfänger, Anhänge und Verteiler. Autovervollständigung kann schnell zur falschen Adresse führen. Sensible Informationen gehören nur in freigegebene Systeme und Kommunikationswege. Private Messenger, private Cloud-Konten oder persönliche E-Mail-Adressen umgehen häufig organisatorische Schutzmaßnahmen und erschweren die Kontrolle über Unternehmensdaten.

Vor dem Teilen lohnt ein kurzer Dreifachcheck: Ist der Empfänger richtig? Darf die Person die Information erhalten? Ist der gewählte Übertragungsweg für den Schutzbedarf geeignet?

7. Homeoffice, Reisen und öffentliche Netze

Außerhalb des Büros verändern sich die Risiken. In Bahn, Hotel oder Café können andere Personen Bildschirminhalte sehen oder Gespräche mithören. Öffentliche WLANs sind nicht automatisch vertrauenswürdig. Für vertrauliche Tätigkeiten sollten freigegebene, verschlüsselte Verbindungen und gegebenenfalls das Unternehmens-VPN verwendet werden. Öffentliche oder fremde Computer sind für Unternehmenszugänge ungeeignet.

Shoulder Surfing ist das gezielte oder zufällige Mitlesen von Informationen. Ein Sichtschutz kann helfen, ersetzt aber nicht die bewusste Wahl des Arbeitsplatzes. Vertrauliche Telefonate gehören nicht in einen vollen Zug. Geräte sollten unterwegs nie unbeaufsichtigt bleiben. Ladezubehör und fremde USB-Anschlüsse können ebenfalls ein Risiko darstellen; nutze möglichst eigenes, vertrauenswürdiges Zubehör.

8. Sicherheitsvorfälle erkennen und richtig melden

Ein Sicherheitsvorfall ist nicht erst der vollständig verschlüsselte Server. Auch ungewöhnliche MFA-Anfragen, verdächtige Weiterleitungsregeln im Postfach, verlorene Geräte, unerklärliche Login-Hinweise oder versehentlich versendete Daten können Vorfälle sein. Frühes Melden senkt den Schaden und ermöglicht eine schnelle Untersuchung.

Bei Verdacht auf ein kompromittiertes Konto: Zugangsdaten auf einem vertrauenswürdigen Gerät ändern, bestehende Sitzungen nach Möglichkeit beenden und die IT bzw. zuständige Sicherheitsstelle informieren. Nicht eigenmächtig Beweise löschen oder lange selbst experimentieren. Für die Analyse können Zeitpunkt, Absender, Screenshot und Beschreibung der eigenen Handlung wichtig sein.

Praxisbeispiel: Du hast auf einer verdächtigen Seite dein Passwort eingegeben, aber noch nichts Auffälliges bemerkt. Trotzdem besteht Handlungsbedarf. Passwort ändern und melden ist richtig; Abwarten erhöht nur das Risiko.

9. Entscheidungsregel für unbekannte Situationen

Prüfungsfragen können konkrete Szenarien variieren. Im Alltag hilft eine einfache Entscheidungsregel: Stoppen, Identität und Kontext prüfen, Berechtigungen begrenzen, sichere Kanäle verwenden und Auffälligkeiten melden. Wenn eine Handlung schwer rückgängig zu machen ist – Geld überweisen, Zugang freigeben, Datei ausführen oder Daten veröffentlichen – ist zusätzliche Verifikation sinnvoll.

Merke: Gute Security Awareness bedeutet nicht Misstrauen gegen jeden Menschen. Sie bedeutet, ungewöhnliche Anforderungen über belastbare Prozesse zu prüfen. Genau dieses Prinzip steckt hinter vielen Fragen der Awareness-Prüfung.