Security Awareness messen im KMU

Security Awareness messen

Security Awareness messen gelingt in einem Schweizer KMU, wenn Sie prüfen, ob Verdacht gemeldet wird, ob Schulung in sinnvollem Rhythmus wiederholt wird und ob Zahlungsregeln bei echten Lieferantenwechseln greifen. Es scheitert, wenn Sie Phishing-Klick-Ranglisten veröffentlichen oder Branchen-Benchmarks erfinden. Zahlen sollen Entscheide und Nachweise für Versicherung oder Kundenaudit verbessern, nicht Einzelpersonen beschämen.

Die Checkliste richtet sich an Geschäftsleitung und HR mit etwa 20 bis 250 Personen nach oder vor einer Schulung. Es gibt keine erfundenen Klickraten. Formate vergleichen Sie im Beitrag E-Learning oder Präsenz.

Kennzahlen, die in der Praxis tragen

Interne Meldungen und Reaktionszeit. Zählen Sie pro Quartal, wie viele verdächtige Nachrichten Ihre Security- oder IT-Adresse erreichen. Notieren Sie die mittlere Zeit bis zur Bestätigung (auch nur «erhalten, danke»). Anstieg heisst oft Vertrauen, nicht mehr Angriffe. Fragen Sie Empfang und Finanz, ob an die offizielle Adresse oder an Lieblingskollegen gemeldet wird; Abweichung entwertet die Kennzahl.

Abdeckung durch Wiederholung. Führen Sie Live-Termine, E-Learning-Abschlüsse und Onboarding-Slots der letzten zwölf Monate. Teilen Sie geschulte Personen durch den aktuellen Personalstand (Teilzeit grob mitdenken). Auditoren wollen Kontinuität, nicht einen Nachmittag vor drei Jahren. Thementitel reichen, keine kompletten Folienarchive.

Zahlungskontrolle. Finanz protokolliert, ob IBAN-Wechsel einen Rückruf auf eine bekannte Nummer auslösten, nicht nur ob bezahlt wurde. Zählen Sie Verifikationsschritte pro Quartal ohne Namen. Das BACS betont Sensibilisierung der Finanz; Ihr Log zeigt Umsetzung.

Nachverfolgung bei Beinahe-Vorfällen. Nach einem Knapp-daneben (fast falsche IBAN, fast Passwort geteilt) festhalten, was sich änderte: Regeltext, Tool, Schulungstermin oder Mailbox-Alias. Ohne Nachverfolgung wird Messung Theater.

Optionaler Kurz-Puls. Zwei Monate nach Schulung fünf mündliche Fragen im Teammeeting schlagen einen versteckten Test: wen anrufen, wohin Mail melden, was vor Zahlung an neue IBAN. Bei mehreren Standorten Teams wechseln. Themen notieren, nicht benoten.

MFA und Mail-Regeln (nur aggregiert). Aus dem Identity-Admin: Anteil Konten mit MFA, ob gefährliche Weiterleitungsregeln nach der letzten Prüfung entfernt wurden. Trend pro Monat, keine Einzelrankings in der GL.

• Quartalsweise Meldungen plus mittlere Reaktionszeit
• Schulungsabdeckung über zwölf Monate (Live, E-Learning, Onboarding)
• Finanz-Verifikation bei IBAN-Änderungen ohne Personennamen
• Kurznotizen nach Beinahe-Vorfällen mit Datum der Massnahme
• Optional fünf Fragen im Meeting, nicht pro Person bewertet

Ein erfundenes Beispiel

Ein erfundenes Beispiel: Ein Logistikbetrieb mit 45 Personen in der Ostschweiz schult live im März und protokolliert sechs Onboardings im September. Im zweiten Quartal zählt er vierzehn interne Meldungen, im dritten zweiundzwanzig nach Intranet-Hinweis auf die Meldeadresse. Finanz verzeichnet elf Lieferanten-IBAN-Wechsel; neun mit Rückruf-Checkliste. Die Geschäftsleitung bespricht zwei Kennzahlen vierteljährlich in zwanzig Minuten. Keine Klick-Rangliste.

Kennzahlen vorsichtig nutzen

Simulations-Klickraten dürfen aggregiert pro Bereich trenden, wenn vorher informiert wurde und Sie niemanden einzeln ranken. Kombinieren Sie Simulation mit Meldezahlen: mehr Meldungen nach einer Kampagne kann den Kanal bestätigen. Siehe Phishing Simulation erlaubt.

Externe Betrugsstatistik wie der BACS-Halbjahresbericht beschreibt Umfeldrisiko, bewertet Ihre Firma nicht.

Was Messung nicht ist

Kein Spyware auf Tastaturen. Kein KPI an Boni gekoppelt ohne Prüfung von GAV und Mitbestimmung. Kein Beweis, dass nie ein Vorfall passiert.

ISO/IEC 27001:2022 A 6.3 verlangt Wirksamkeitsnachweise. Gespräche plus Anwesenheit überzeugen Auditoren oft mehr als eine Prozentzahl auf Folie 12. Mapping auf A 6.3 ist auf Anfrage möglich; die Session zertifiziert den Betrieb nicht.

Wer es minimal hält

Unter zwanzig Personen genügt oft eine Tabelle mit Schulungsdaten, Onboarding-Notizen und Meldezähler bis ein Kundenaudit mehr verlangt. Ablage dort, wo die nächste Büroleitung sie findet.

Wann Zahlen Handlung auslösen

Null Meldungen bei gleichem Mailaufkommen: vielleicht hat man aufgegeben zu melden. Keine IBAN-Rückrufe bei vielen Lieferantenwechseln: Regel nur auf Papier. Schulung vor drei Jahren: alte Liste nicht in neues Formular kleben. MFA-Quote stagniert zwei Quartale unter Ziel: Registrierung vor der nächsten Simulation nachziehen.

Unterlagen, die Auditoren verlangen

Einfach halten: Kalendereinladung oder Anwesenheitsliste, Folientitel oder Ein-Seiten-Summary, Name der Referentin oder des Referenten, Sprache. Versicherer-Antworten im selben Jahresordner. Mapping ISO/IEC 27001:2022 A 6.3 getrennt von Anwesenheit ablegen.

Schulung und Messung verbinden

Nach Training Inhalte live vermittelt, zwei Monate später den Kurz-Puls terminieren. Dieselbe Meldemail wie im Alltag, dieselben IBAN-Schritte wie im ERP. Ändern sich Prozesse, einseitiges Update senden statt ein Jahr warten.

Zusammenarbeit mit IT-Partner

Die meisten KMU schulen mit externer Referenz, IT besitzt Mail-Regeln und MFA. Klären Sie, wer erinnert, wer Anwesenheit sammelt und wer Meldemail nach der Session beantwortet. Ohne Owner wird Jahresschulung zum HR-Kalender, den IT nicht sieht.

Abstimmung zwischen HR, IT und Finanz

Eine Person pflegt Schulungsakten, eine die Meldemail-Queue. HR plant Termine und Onboarding, IT prüft Beispiele zum Mailsystem und MFA-Stand, Finanz bestätigt Zahlungsgeschichten für die Schulung und liefert die IBAN-Logs. Namen auf einem halben Seiten-Protokoll reichen; ohne sie stoppt das Programm bei Ferien oder Krankheit.

Innert einer Woche nach der Session eine Ein-Seiten-Erinnerung mit Meldeadresse und IBAN-Regel versenden. Follow-up-Fragen aus dem Kurz-Puls terminieren. E-Learning-Abschlüsse im selben Ordner wie Live-Anwesenheit ablegen, damit Auditoren einen Jahresbogen sehen.

Ablage, die Personalwechsel überlebt

PDF oder Scan in einen Ordner pro Jahr: Einladung, Anwesenheitsliste, Themen-Summary, Follow-up-Notizen, kopierte Versicherer-Antworten. Bei GL-Wechsel überlebt der Ordner besser als Chat-Verläufe. Dieselben IBAN-Schritte in Schulung nennen, die Finanz im ERP nutzt; ändert sich der Prozess, Update senden statt zwölf Monate warten.

Schweizer Kontext

Betrug dominiert öffentliche BACS-Meldungen; Zahlungs- und CEO-artige Anfragen gehören in jeden Jahresslot. Die BACS-Meldepflicht für kritische Infrastrukturen gilt für die meisten KMU nicht; Mitarbeitende nicht mit 24-Stunden-Regeln verunsichern, ausser Sie sind klar betroffen.

Arbeits- und Datenschutzgrenzen

Vor Simulationen informieren. Awareness-Kennzahlen nicht heimlich für Leistung nutzen. Art. 26 ArGV 3 und Art. 328b OR rahmen Überwachung; Einordnung, keine Rechtsauskunft. Bei HR-Fragen EDÖB und SECO zu Art. 26 ArGV 3 verlinken.

Praktischer Abschluss

Wählen Sie zwei Kennzahlen fürs nächste Quartal, etwa Meldungen mit Reaktionszeit plus Schulungsabdeckung. Kurz in der GL besprechen. Für Live-Programm mit Follow-up-Gespräch: Security Awareness Training.