Zielgruppen- und produktspezifische Schulungen sind erforderlich: Es geht nicht nur um Phishing-Angriffe, Passwortsicherheit, MFA, was bei normalen Awareness-Schulungen gefragt ist, es geht auch zum Beispiel um Anforderungen bei der sicheren Bedienung eines Produkts. Oftmals sind Schulungen bereits Pflicht: NIS2 macht Awareness für viele Unternehmen regulatorisch verpflichtend. DSGVO-Schulungen für Beschäftigte sind Pflicht, finden aber zu selten statt. Ich würde die Idee begrüßen, Hersteller stärker in die Pflicht zu nehmen, aber: Produkte machen spezielle Schulungen notwendig, sie können Awareness auch unterstützen, aber nicht ersetzen.

Puh, mit «Pflicht-Teil» habe ich da ja so meine Probleme. Was ich gut finden würde wären Trainings, die eben «training-on-the-job» bereits zum Beispiel während der Entwicklung und dem Schreiben von Code passiert. Quasi wie ein Code Check, der dann Empfehlungen gibt. Nicht erst drei Monate später in einem generische Security Training für Entwickler*innen – und ja, das gibt es schon, da hats Anbieter, die da schon sehr nah dran sind. Es braucht also aus meiner Sicht dafür kein klassisches Awareness Training sondern tatsächlich ein zielgerichtetes Training. Kurz, prägnant, auf den Fall bezogen. Wie bei guten Anti-Phishig-Trainings: Eine Erklärung auf die gesendete Mail, nicht «Wie hätte ich jegliche Phishing Mails erkennen können.» Das ist boring. Ja – und eigentlich ist es erstaunlich, dass wir darüber noch diskutieren. Sicherheit und zielgerichtete Trainings dürfen kein Add-on sein, das man nachträglich an Prozesse klebt.