IT-SicherheitstrainingBit für Bit geschult

Die Informationssicherheit in Behörden hängt von technischen und organisatorischen Maßnahmen ab, die zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit der Informationen getroffen werden. Im Fokus der organisatorischen Maßnahmen steht dabei regelmäßig die Berücksichtigung der Beschäftigten und wie diese auf Informationen zugreifen. Anders als zu den Anfangszeiten der Informationstechnik werden die IT-Systeme heute nicht von Spezialisten bedient. Stattdessen werden sie von Mitarbeitern genutzt, die hinsichtlich der Anforderungen an die Informationssicherheit und die computergestützte Datenverarbeitung oft nur über ein Alltagswissen verfügen. Es ist Aufgabe der Behördenleitung, die Beschäftigten für den sicheren Umgang mit Informationen und IT-Systemen zu sensibilisieren.

Mitarbeiterschulungen sind grundlegend

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sieht es als Pflicht des Managements, Mitarbeiter für Sicherheitsbelange zu motivieren; die Informationssicherheit muss als wichtiger Aspekt wahrgenommen werden. Der grundlegende BSI-Standard 100-1 „Management-Systeme für Informationssicherheit“ fordert, dass ausreichende Schulungs- und Sensibilisierungsmaßnahmen für die Mitarbeiter sowie alle Führungskräfte angeboten werden. Das stelle eine Grundvoraussetzung für die Informationssicherheit dar. Die Bedeutung der Mitarbeiter für die IT-Sicherheit wird auch durch aktuelle Umfragen bestätigt. Nach wie vor zählt „Irrtum und Nachlässigkeit eigener Mitarbeiter“ zu den größten Risikosituationen, wie die Microsoft-Sicherheitsstudie 2014 der Zeitschrift für Informationssicherheit kes zeigt. Zwar ist dieses Risiko hinter Malware (Schadprogramme) knapp auf Platz zwei der Bewertung zurückgefallen. Jedoch entstanden bei 30 Prozent der Befragten durch Fehler der Mitarbeiter Schäden. Auch wenn die Berichte in den Medien zu IT-Risiken in den vergangenen Jahren zugenommen haben und eine gewisse Sensibilisierung der Behördenbediensteten erfolgte, besteht weiterhin Handlungsbedarf. Denn oft fehlt den Mitarbeitern die praktische Kenntnis, wie sie sich idealerweise verhalten sollten. Hier setzen Schulungs- und Sensibilisierungsmaßnahmen zur IT-Sicherheit an. Herkömmliche Gruppen- oder Einzelschulungen erzielen oft einen besseren Zugang zu den Beschäftigten und erlauben Rückfragen. Jedoch sind die logistischen Anforderungen hinsichtlich der Zeit- und Raumplanung hierbei nicht zu unterschätzen. Auch werden durch Präsenzveranstaltungen nicht immer die in Teilzeit oder über Telearbeit Tätigen erreicht. Außerdem müssen kompetente Dozenten oft von außen geholt und erst mit der Behörde vertraut gemacht werden.

Lernen mit elektronischer Unterstützung

Eine Alternative und sinnvolle Ergänzung zu traditionellen Präsenzschulungen und Informationsschreiben stellen elektronisch unterstützte Schulungsmaßnahmen dar. Zu den Vorteilen des E-Learnings gehört vor allem die grundsätzlich zeitliche und örtliche Unabhängigkeit der Nutzungsmöglichkeiten. Die Mitarbeiter können von ihrem Arbeitsplatz aus, im Rahmen der Telearbeit oder in Schulungsumgebungen, die entsprechenden Angebote nutzen – unabhängig von Lehrpersonal oder Räumlichkeiten. Dies führt zu einer höheren Flexibilität der Nutzung, aber auch zu Kosten- und Zeiteinsparungen. Damit verbunden ist ein hoher Grad an Verteilbarkeit der Lerninhalte. Bei der Nutzung am eigenen Arbeitsplatz fällt vielen zudem der Transfer des Gelernten auf ihre eigene Arbeitsumgebung leichter. Wird der eigene Arbeitsplatz-Computer für die Schulung verwendet, sind die technischen Werkzeuge der Teilnehmer direkt eingebunden. Weiterhin ermöglichen digitale Medien Interaktionen der Nutzer zu den Inhalten und bieten so eine höhere Nutzungsattraktivität. Seit dem Jahr 2006 steht den Behörden das kostenfreie, unter der Open-Source-Lizenz GNU stehende Behörden-IT-Sicherheitstraining BITS zur Verfügung. Es wird von der KommunalAgenturNRW herausgegeben und steht unter der Schirmherrschaft des Städte- und Gemeindebunds Nordrhein-Westfalen (StGB NRW). Hauptvorteile der Lösung sind die leichte Anpassbarkeit und Benutzerfreundlichkeit. Sie wird laufend aktualisiert. BITS ist zwischenzeitlich zu einer umfassenden E-Learning-Anwendung zur IT-Sicherheit herangewachsen, die sich in der Praxis bewährt hat. Eine Vielzahl von Behörden setzt BITS erfolgreich ein, angefangen bei einzelnen Ämtern über kleine und mittlere Gemeinden, Kreisverwaltungen und Großstädte bis hin zu Landesbehörden und Wissenschaftseinrichtungen. Die Lösung kann ohne Registrierung und Kosten aus dem Internet he­runtergeladen werden.

Einfach IT-Sicherheit schulen

BITS besteht aus HTML-Seiten. Die Installation erfolgt daher innerhalb von Sekunden auf beliebigen Systemen. Die optische Darstellung, aber auch die behördenspezifischen inhaltlichen Besonderheiten können innerhalb von wenigen Stunden angepasst und den Beschäftigten zur Verfügung gestellt werden. Dieser schlanke technische Aufbau ermöglicht Individualisierungen, wie sie kein anderes kostenfreies Werkzeug bietet. In acht einzeln abrufbaren Lektionen, etwa zu den Themen E-Mail, Internet, Viren und Social Media, können sich die Nutzer durch leicht verständliche Einführungen, Gefährdungsbeschreibungen und die richtigen Verhaltensweisen klicken. Am Ende jeder Lektion stehen Quizfragen, um das Gelernte zu überprüfen. Dabei besteht die Möglichkeit, individuelle Lösungsbuchstaben zu hinterlegen, damit die BITS-Nutzer an einem behörden­internen Gewinnspiel teilnehmen können. Mit der Version 3.5 wurde BITS Ende 2014 sprachlich weitgehend überarbeitet. Es wurde noch größerer Wert auf Verständlichkeit und den Bezug zum eigenen Handeln der Mitarbeiter gelegt. Begrifflichkeiten werden klarer erläutert, die Ansprache der BITS-Nutzer ist direkter. Auch die technischen Bezüge wurden aktualisiert. Damit stellt die Lösung ein zeitgemäßes, leicht zugängliches und vor allem anpassbares kostengünstiges Werkzeug zur Sensibilisierung und Schulung von Behördenbeschäftigten dar. BITS ersetzt nicht die regelmäßige Einbindung der Beschäftigten in die Sicherheitsaspekte der fachlichen Arbeit. Die Behördenleitung ist weiterhin dazu verpflichtet, für einen angemessenen Umgang mit den Informationen der Verwaltung durch alle Beschäftigten Sorge zu tragen. Durch das Sicherheitstraining kann jedoch ein Grundniveau an Sensibilität und zum richtigen Umgang mit IT-Systemen und Daten geschaffen werden – vorausgesetzt, die Einführung und Nutzung von BITS wird entsprechend unterstützt und gefördert.