Welche Sicherheitsschulung braucht ein kleines Team? Fang bei echten Entscheidungen an.

Was sollte eine Sicherheitsschulung für ein kleines Unternehmen abdecken?

Schule dein Team für die Entscheidungen, die es tatsächlich trifft: eine ungewöhnliche Anfrage prüfen, Anmeldungen schützen, Kundendateien teilen, KI-Tools verbinden und einen Fehler schnell melden. Nimm kurze Beispiele aus der eigenen Arbeit, und nenn eine Person, an die man sich wendet.

Halte fest, wer teilgenommen hat. Übe dann dieselben Entscheidungen noch einmal, wenn sich die Arbeit oder die Tools ändern.

Fang mit einem Moment aus einem normalen Arbeitstag an.

Ein Kunde scheint um eine Änderung seiner Zahlungsdaten zu bitten. Ein Assistent will Zugriff auf ein ganzes Drive. Ein Freelancer möchte Projektdateien an ein privates Konto schicken. Wer in einer Agentur arbeitet, kennt jede dieser Situationen. Eine Lektion, die darauf aufbaut, zeigt den Leuten, was sie tun können. Eine Folie voller Fachbegriffe zu Bedrohungen tut das meist nicht.

Wähl also Beispiele für die Rollen in deinem Team.

Zeig den nächsten Schritt, nicht nur das Warnzeichen.

«Sei vorsichtig» ist schnell gesagt. Sag genau, was stattdessen zu tun ist. Bei einer überraschenden Zahlungsanfrage: Kontaktiere den Kunden über einen Weg, den du schon kennst. Bei einer neuen App-Berechtigung: Prüf, welchen Zugriff die App wirklich braucht, bevor du zustimmst. Bei einer versehentlich geteilten Datei: Melde die Details schnell, damit die richtige Person handeln kann.

Nimm ein erfundenes Beispiel, das auf einem realen Ablauf beruht und keine echten Kundendaten enthält. Frag das Team, was es als Nächstes tun würde. Eine gute Antwort nennt eine Person, einen Kanal oder eine Prüfung, die man selbst machen kann. Wenn die Leute die Warnzeichen kennen und trotzdem nicht wissen, wem sie es sagen sollen, ist die Lektion noch nicht fertig.

Nimm die Tools auf, die dein Team heute nutzt.

KI-Assistenten werfen bekannte Fragen in einem neuen Umfeld auf. Was darf ich teilen? Worauf kann dieses Tool zugreifen? Welche Aktion braucht zuerst ein Ja? Zeig, wie ein nützlicher Connector mehr Zugriff verlangen kann, als die Aufgabe braucht. Und mach klar, dass eine überzeugende Antwort eines Assistenten kein Beweis dafür ist, dass eine Aktion erlaubt oder sicher ist.

Halte diese Lektionen praxisnah. Ein Texter kann üben, ein harmloses Beispiel zu wählen statt eines unveröffentlichten Kundenbriefings. Eine Entwicklerin kann einen reinen Lesezugriff mit einem Tool vergleichen, das Live-Daten ändern darf. Geh nicht davon aus, dass alle denselben Assistenten nutzen oder dass eine allgemeine Regel ersetzt, was ein Kunde für seine eigenen Informationen verlangt.

Bau eine kleine Routine auf, die das Team durchhält.

Gib neuen Leuten die Grundlagen, bevor sie Zugriff auf Kundenprojekte bekommen. Danach folgen kurze Auffrischungen, die an eine Änderung geknüpft sind: ein neues Tool, eine neue Anforderung eines Kunden oder ein Fehler, aus dem man lernen kann. Plane sie als Arbeitszeit ein. Wer verlangt, dass die Leute Schulungen in ihrer Freizeit abschliessen, sagt ihnen damit: Dem Unternehmen ist das nicht wichtig.

Halte fest, wer was abgeschlossen hat. Verwechsle dabei nur nicht Abschluss mit Verständnis. Greif ein Szenario in einer Teamsitzung wieder auf und schau, ob die Leute den nächsten Schritt nennen können. Freu dich über frühe Meldungen, und stell nie jemanden öffentlich bloss. Wenn jemand etwas anspricht, bei dem er unsicher ist, bedank dich und kläre es. Diese Reaktion bringt dem Team so viel bei wie jeder Kurs.

Verbinde die Schulung mit dem Rest deiner Sicherheitsarbeit.

Bei cybee gehört eine Sicherheitsschulung zum Proof-Plan: kurze Lektionen zu Themen wie einem verlorenen Laptop, KI-Tools, Zugangsdaten und Berechtigungen. Du weist sie mit einem Satz über deinen Assistenten zu, und jede abgeschlossene Lektion wird neben dem Schutz und der Sicherheitsarbeit festgehalten, die dein Team schon macht. Das cybee-Symbol in der Menüleiste des Macs zeigt jeder Person die fällige Schulung, damit niemand noch eine App öffnen muss.

Wenn ein Kunde einen Nachweis über Schulungen verlangt, nimm den Abschlussnachweis und sag, wen und was er abdeckt. Der Trust Passport für deine Macs ist ein anderer Nachweis, und er belegt nicht, dass jede Anforderung an Schulungen oder Richtlinien erfüllt ist. Schulung zahlt sich aus, wenn die Leute die nächste Entscheidung gut treffen und das Unternehmen zeigen kann, was es tatsächlich angeboten hat.

Was du dir merken solltest.

• Nimm die Situationen, die deine Leute in der Kundenarbeit erleben.
• Beende jede Lektion mit einem klaren nächsten Schritt.
• Halte fest, wer teilgenommen hat, und prüf das Verständnis separat.

Quellen und weiterführende Lektüre.

• NCSC: kostenlose Sicherheitsschulung für Mitarbeitende
• NCSC: Cyberangriffe erkennen

Produktumfang und Hinweise der Anbieter können sich ändern. Prüfe die verlinkte Quelle für dein eigenes Setup. Ein Begriff unklar? Schlag ihn im Sicherheitsglossar nach.