Social Engineering – ein spannendes Thema, das ein mulmiges Gefühl auslöst, weil es um menschliches Vertrauen geht. Was genau unternimmst Du für Dein Unternehmen, um Mitarbeiterinnen und Mitarbeiter auf die Gefahren vorzubereiten?

Wir sensibilisieren unsere Kolleg:innen in regelmäßigen Abständen für das Thema; beispielsweise durch gezielte Trainingseinheiten, die auf die jeweiligen Unternehmensbereiche und deren individuellen Herausforderungen zugeschnitten sind, oder durch (hoffentlich) unterhaltsame Vorträge, sowie Paneldiskussionen. Persönlich ist meine Philosophie, dass der persönliche und direkte Austausch immer am erfolgsversprechendsten ist, wenn wir langfristige Verhaltensänderungen herbeiführen wollen.

Eigentlich geht es ja darum, dass die Mitarbeiterinnen und Mitarbeiter „gesund misstrauisch“ sind, oder?

Unser Ziel ist, dass die Kolleg:innen ein sogenanntes „Security Mindset“ entwickeln. Alle Security Awareness-Kampagnen und -trainings, die wir umsetzen, balancieren grundsätzlich auf dem schmalen Grat zwischen „angemessen vor realen Risiken warnen“ und „ein produktives, vertrauensbasiertes Arbeitsklima nicht gefährden“. Soll heißen, wir möchten auf Gefahren hinweisen ohne Angst zu machen. Von daher ja, das kann man sicher ein gesundes Misstrauen nennen.

Wie reagieren Deine, Eure Teams darauf? Wie aktiv machen Sie mit?

Das hängt stark vom Buy-in der Management-Ebene ab. Sicherheit ist nicht immer ein angenehmes Thema, von daher braucht es definitiv das Engagement „von oben“ um unsere Empfehlungen auch wirklich mitzutragen und umzusetzen.

Unsere Erfahrung ist tatsächlich, dass die Kolleg:innen, die eher operativ ins Alltagsgeschäft eingebunden sind, viele Risiken ohnehin schon kennen. Die sind häufig sogar froh, wenn das Thema aktiv angegangen wird und machen daher in der Regel sehr aktiv mit.

Phishing oder auch betrügerische Anrufe werden immer raffinierter. Hast Du ein Beispiel für eine besonders perfide Attacke der vergangenen Monate?

Da muss ich mich leider an den Grundsatz unserer Arbeit halten und darauf verweisen, dass ich vertrauliche Informationen aus dem Unternehmen nicht teilen darf.

Ohne ins Detail zu gehen, kann ich aber sagen, dass ich persönlich vor allem Vishing-Angriffe besonders perfide finde: Nicht kompliziert durchzuführen und durch ihre Unmittelbarkeit des Anrufs ist der Druck und Stress bei den „Opfern“ ganz besonders hoch.

Henkel ist ein gigantisches Unternehmen mit über 47.000 Mitarbeiterinnen und Mitarbeitern. Alle müssen stets hellwach sein. Wie schaffst Du es mit Deinem Team, die Belegschaft so zu trainieren, dass ihnen das Risiko von Social-Engineering-Gefahren stets bewusst ist – auch in Momenten, in denen man sich auf etwas anderes konzentriert?

Das ist die Herausforderung, der wir uns jeden Tag stellen. Regelmäßige Trainings, eine offene Fehlerkultur und klare Meldestrukturen sind für mich entscheidend für den langfristigen Erfolg. Gerade Social Engineering ist an und für sich keine Raketenwissenschaft. Die eingesetzten Methoden sind oft denkbar simpel. Das führt dazu, dass Viele sich in der falschen Sicherheit wiegen, dass sie vor Angriffen gefeit und für Manipulation unanfällig seien.

Da hilft wirklich nur kontinuierliches Training und das transparente informieren über gängige Angriffsmaschen – eben um das oben genannte Security Mindset zu entwickeln.

Und: Bitte keine falsche Scham, wenn doch mal was passiert ist. Wir sind alle Menschen und machen Fehler. Wir haben zum Glück eine sehr gut aufgestellte Sicherheitsorganisation, die im Worst Case schnell handeln kann – je schneller wir von einem Security Breach wissen, desto besser.