Der gemeldete Fehlklick kostet weniger als der verschwiegene
Schulungen zu Phishing, Anmeldung und Microsoft 365. Kurze Einheiten, wiederkehrend, mit Übungen an echten Mails aus Ihrem Postfach.
Erstgespräch buchen„Ich glaube, ich habe da eben auf etwas geklickt, das ich nicht hätte anklicken dürfen.“ Ob dieser Satz fällt, entscheidet über den Schaden. Meist fällt er nicht. Die Rechnung im Anhang sah aus wie immer, das Anmeldefenster von Microsoft ebenfalls, und wer sich blamiert fühlt, wartet lieber ab. Zwei Stunden später verschickt das Postfach der Assistenz Rechnungen mit geänderter Bankverbindung an den halben Kundenstamm.
Wir schulen in Einheiten, die in eine Stunde passen, und zwar an dem, was Ihre Leute täglich vor sich haben: Absenderadressen, Anmeldefenster, Freigabelinks in OneDrive und SharePoint. Zum Programm gehört die Zusage der Geschäftsführung, dass ein gemeldeter Klick niemandem angelastet wird. Danach kommen wir wieder. Die Maschen ändern sich, und was im Frühjahr saß, ist im Herbst verblasst.
Was enthalten ist.
Phishing an echten Mails
Wir zeigen im Schulungsraum echte Nachrichten aus Ihren Postfächern, geschwärzt wo nötig, und gehen den Absender, den Link darunter und den Anhang durch. Danach beurteilen die Teilnehmer selbst zehn Beispiele.
Anmeldung und Passwörter
Passwortmanager einrichten, Wiederverwendung abgewöhnen, zweiten Faktor auf dem Diensthandy hinterlegen und verstehen, warum eine Push-Meldung mitten in der Nacht kein Versehen ist, sondern abgelehnt und gemeldet gehört.
Microsoft 365 im Alltag
Teams, OneDrive und SharePoint werden meist ohne Anleitung eingeführt. Wir gehen durch, wer bei einem Freigabelink tatsächlich Zugriff bekommt, wohin gelöschte Dateien wandern und was ein externer Gast in einem Teams-Kanal sieht.
Meldeweg statt Schuldfrage
Jede Einheit endet mit der Frage, wen man anruft, nachdem der Klick passiert ist. Wir legen den Weg gemeinsam fest, drucken ihn auf eine Karte und legen sie neben jedes Telefon.
Wiederholung im Kalender
Ein Termin im Jahr reicht nicht. Wir setzen kurze Auffrischungen an, greifen dabei die Maschen der letzten Monate auf und nehmen Fälle aus Ihrem Haus dazu, sofern Sie das möchten.
Keine Fangquoten
Simulierte Phishing-Mails verschicken wir gern, aber wir liefern keine Namenslisten der Klicker an die Geschäftsführung. Wer fürchtet, auf so einer Liste zu landen, meldet nichts mehr. Ausgewertet wird die Abteilung, nicht die Person.
So gehen wir vor.
Blick in die Postfächer
Vorab tragen wir mit Ihnen zusammen, welche Angriffsversuche im letzten halben Jahr angekommen sind, welche Programme wirklich benutzt werden und wer mit Rechnungen und Bankdaten arbeitet. Diese Leute schulen wir zuerst.
Zuschnitt und Termine
Sie bekommen einen Vorschlag: welche Gruppen, welche Themen, welche Einheiten. Die Termine legen wir dorthin, wo Ihr Betrieb sie verkraftet, im Zweifel dreimal dieselbe Einheit für drei Gruppen statt einmal für alle.
Schulung im Haus
Wir kommen zu Ihnen oder schalten uns zu. Gearbeitet wird an Beispielen, nicht an Folien: Teilnehmer öffnen ihr eigenes Postfach, prüfen echte Nachrichten und richten den zweiten Faktor auf ihrem Gerät ein.
Auffrischung und Neuzugänge
Danach bleibt es nicht bei einem Termin. Neue Kollegen bekommen die Grundeinheit in den ersten Wochen, alle anderen eine kurze Auffrischung, sobald sich die Maschen ändern. Melden sich Vorfälle bei Ihnen, fließen sie in die nächste Einheit ein.
Häufige Fragen.
Meine Leute sagen, sie wissen das alles längst. Bringt eine Schulung da noch etwas?
Meistens ja, und das zeigt sich in den ersten zwanzig Minuten. Die Grundregeln kennen fast alle. An der Frage, ob die Microsoft-Anmeldeseite in dem Browserfenster echt ist, scheitern dagegen auch geübte Anwender, weil die Fälschung mittlerweile identisch aussieht. Wir setzen dort an, wo das Wissen aufhört, nicht bei den Grundlagen.
Wie soll ich meinem Gesellschafter erklären, dass Schulungen etwas bringen? Messen kann ich das doch nicht.
Direkt messen lässt sich das nicht, und wer Ihnen dazu eine Prozentzahl nennt, hat sie geschätzt. Woran Sie es festmachen können, sind Meldungen: verdächtige Mails, die vorher niemand weitergeleitet hat, landen bei Ihrer IT. Diese Zahl können Sie ab der ersten Einheit mitzählen. Sie ist kein Beweis für ausgebliebene Schäden, aber sie zeigt, dass hingesehen wird.
Ich habe Schichtbetrieb. Ich kann nicht dreißig Leute gleichzeitig aus der Produktion nehmen.
Dann nehmen wir sie nicht gleichzeitig heraus. Wir fahren dieselbe Einheit mehrfach, in Gruppen von acht bis zwölf Personen, und legen die Termine an den Schichtwechsel. An Standorten ohne Besprechungsraum haben wir schon in der Kantine geschult. Wichtiger als der Raum ist, dass die Gruppe klein genug bleibt, damit Fragen gestellt werden.
Können Sie uns simulierte Phishing-Mails schicken, damit wir sehen, wer darauf hereinfällt?
Schicken ja, Namen nennen nein. Simulationen sind ein gutes Übungsmittel, solange sie nicht als Prüfung enden. Sobald in der Geschäftsführung eine Liste mit Namen liegt, hört das Melden auf, und damit verlieren Sie das Einzige, was im Ernstfall hilft. Sie bekommen von uns die Auswertung pro Abteilung und die Themen, die daraus für die nächste Einheit folgen.
Bei uns hat schon jemand geklickt und es zwei Tage lang nicht gesagt. Wie gehen wir damit um?
Zwei Tage Schweigen sind der Normalfall, nicht die Ausnahme. Der Umgang mit dem ersten gemeldeten Fall entscheidet über alle folgenden: Wird jemand abgemahnt, meldet danach niemand mehr etwas. Wir bereiten die Ansage vor, mit der Sie das intern klarstellen, und bauen den Meldeweg so, dass er zwei Klicks kostet und keinen Anruf bei drei Stellen.
Reden wir über den ersten Fehlklick
Welche Programme laufen im Haus, wer gibt Rechnungen frei, gab es schon einmal einen Vorfall. Aus diesen Antworten entsteht ein Vorschlag mit Gruppen, Themen und Terminen, den Sie in Ruhe prüfen.
Erstgespräch buchen