Dinge, auf die Ihre Mitarbeitenden achten sollten
Letzte Aktualisierung:
20.05.2022
8 Minuten
IT-Sicherheit für Mitarbeitende
So schützen Sie Ihr Unternehmen nachhaltig
Ein Viertel aller erfolgreichen Cyberangriffe auf deutsche Unternehmen 2025 wurde durch unabsichtlich handelnde Mitarbeitende verursacht. Das geht aus der Studie „Wirtschaftsschutz 2025“ des Branchenverbandes Bitkom hervor. Ein unbedarfter Klick auf eine Phishing-Mail, ein unsicheres Passwort, eine überzeugend echte Stimme am Telefon – die Möglichkeiten, wie Ihr Unternehmen und Ihre Mitarbeitenden angegriffen werden können, sind vielfältig. Und dank neuer Technologien wie künstlicher Intelligenz werden sie auch immer besser. Erfolgreiche Cyberangriffe zählen zu den größten Bedrohungen für Unternehmen. Sie können zu erheblichen Kosten und Reputationsschäden führen sowie rechtliche Konsequenzen nach sich ziehen. Wichtig ist deshalb, dass Sie Ihre Mitarbeitenden sowohl als Risiko als auch als Chance betrachten. In unserem Artikel zeigen wir Ihnen, wie Sie mit Awareness und schnell umsetzbaren Maßnahmen Ihr Team in eine echte menschliche Firewall verwandeln und Ihre Widerstandsfähigkeit gegen Cyberbedrohungen deutlich erhöhen.
Die Basis verstehen: Was „IT-Sicherheit für Mitarbeitende“ bedeutet und warum Awareness entscheidend ist
IT-Sicherheit für Mitarbeitende umfasst verschiedene Aspekte. Sie grenzt sich vor allem dadurch ab, dass es sich nicht um technische Maßnahmen wie Antiviren-Programme, eine DDoS-Mitigation oder Security Operations Center handelt. Vielmehr stehen die Menschen im Mittelpunkt, die den Umgang mit IT-Sicherheitsmaßnahmen, Cyberrisiken und Sicherheitsvorfällen erlernen müssen. Dabei ist die Awareness – also das Bewusstsein für Risiken und Sicherheitsmaßnahmen – entscheidend. Denn Cybersecurity ist nicht allein Aufgabe der IT-Abteilung, sondern muss von allen Mitarbeitenden mitgetragen werden. Eine ausgeprägte IT-Sicherheitskultur ist unerlässlich, um Cyberrisiken zu minimieren. Die gute Nachricht dabei ist, dass die Notwendigkeit von IT-Sicherheitsmaßnahmen in der Arbeitswelt gemeinhin akzeptiert wird: Der Großteil der Arbeitnehmenden in Deutschland fühlt sich durch die angewendeten Sicherheitsmaßnahmen geschützt, die wahrgenommene persönliche Kompetenz im Bereich IT-Sicherheit ist in den letzten Jahren gestiegen und nur noch wenige Mitarbeitende sagen, dass sie die Sicherheitsrichtlinien ihres Unternehmens überhaupt nicht kennen. (Quelle: GDATA „Cybersicherheit in Zahlen 2025“). Ihre Mitarbeitenden sind also nicht Teil des Problems, sondern Teil der Lösung.Die 13 größten Sicherheitsfallen für Mitarbeitende – und wie Sie diese vermeiden
Im Folgenden zeigen wir Ihnen die häufigsten Gefahrenquellen für Cyberangriffe im Arbeitsalltag und wie Sie damit umgehen können. Wir geben Ihnen konkrete Handlungsempfehlungen, damit Ihre Mitarbeitenden zur Datensicherheit und zum Schutz Ihres Unternehmens beitragen können, ohne in ihrem Alltag eingeschränkt zu werden.
Sichere Kommunikation und sensibler Umgang mit Daten (inkl. Phishing, Social Engineering)
- Links und Anhänge in E-Mails
- Phishing-Nachrichten
- Social Engineering – personalisierte Cyberangriffe
- Verhalten auf Social Media
- CEO-Fraud
- Verschlüsselte Kommunikation
- Starke Passwörter
- Passwortmanager und Zwei-Faktor-Authentifizierung
- Sichere Nutzung von Software und regelmäßige Updates
- Verlust von Firmengeräten
- Sicherheit von mobilen Geräten unterwegs
- Nutzung öffentlicher WLANs
- Sicherheit im Home-Office
Sichere Kommunikation und sensibler Umgang mit Daten (inkl. Phishing, Social Engineering)
1. Links und Anhänge in E-Mails
Weisen Sie Ihre Mitarbeitenden regelmäßig darauf hin, dass sie keine Links oder Anhänge in E-Mails öffnen sollten, wenn sie sich nicht zu 100 % sicher sind, von wem die Nachricht stammt. Denn schon ein Klick auf einen Anhang kann ausreichen, um den Rechner und Ihr gesamtes Netzwerk mit einem Virus zu infizieren.
2. Phishing-Nachrichten
Beim Phishing geht es in der Regel darum, sensible Daten wie Passwörter abzugreifen. Zum Beispiel erhalten Sie eine Nachricht, mit der vermeintlichen Bitte, Ihre Daten in einem Lieferantenportal zu aktualisieren. Die E-Mail und die Seite sind jedoch gefälscht und Ihre Zugangsdaten nun in der Hand von Cyberkriminellen. Phishing-Nachrichten erkennt man unter anderem am Absender. Eine echte Nachricht wäre von einkauf@kunde.de versendet worden, aber die gefälschte Nachricht stammt jedoch von lieferanten@kunde-einkauf.de. Früher waren Spam- und Phishing-Nachrichten oft voll von Rechtschreib- und Grammatikfehlern, aber da Cyberkriminelle ebenfalls verstärkt KI-Tools einsetzen, sind die Texte heute kaum noch von echten Nachrichten zu unterscheiden.
3. Social Engineering – personalisierte Cyberangriffe
Die meisten Spam- und Phishing-Nachrichten werden in Masse versendet. Mittlerweile sehen wir jedoch immer häufiger Social-Engineering-Taktiken, bei denen Nachrichten mit persönlichen Details individualisiert werden. Beispielsweise wird in der Nachricht auf einen kürzlich unternommen Urlaub oder ein Haustier Bezug genommen. Diese Details machen die Nachricht glaubhafter.
4. Verhalten auf Social Media
Wie kommen Cyberkriminelle an die Daten fürs Social Engineering? Meistens wurden diese entweder bei früheren Angriffen abgegriffen oder stammen aus den sozialen Netzwerken. Die Menschen posten öffentlich, wann und wo sie im Urlaub sind, Bilder von Familie und Haustieren sowie andere persönliche Details, die dann genutzt werden. Mit KI-gestützten Algorithmen lässt sich dieser Prozess sogar beschleunigen.
5. CEO-Fraud
Eine besondere Form des Social Engineerings ist der sogenannte CEO-Fraud. Dabei gibt sich jemand als Geschäftsführer:in des jeweiligen Unternehmens aus und bittet beispielsweise die Buchhaltung um eine dringende Überweisung ins Ausland oder fragt nach vertraulichen Kundendaten. Mittels neuester KI-Technologien ist es heute nicht nur möglich, Details zu nutzen, die eine E-Mail überzeugend klingen lassen, sondern auch die Stimme einer Person täuschend echt zu imitieren.
6. Verschlüsselte Kommunikation
Innerhalb eines Unternehmens sind alle Kommunikationswege wie E-Mails oder Chatnachrichten in MS Team o.ä. in der Regel standardmäßig verschlüsselt und können daher kaum abgefangen oder mitgehört werden. Für private Kommunikation trifft dies meistens nicht zu. Private E-Mail-Accounts oder Chatnachrichten (WhatsApp, Telegram etc.) können von Cyberkriminellen deutlich leichter ausgespäht werden.
Sicherer Umgang mit Geräten und Software (inkl. Passwortsicherheit)
7. Starke Passwörter
Passwörter wie „123456“, „password“ oder solche, die auf Notizzetteln am Computer kleben, sollten endgültig der Vergangenheit angehören. Gleichzeitig ist es nicht nötig, das eigene Passwort ständig zu wechseln, wenn es ausreichend stark ist. Ein Passwort, das immer am ersten des Monats auf „Oktober2025“, „November2025“ etc. geändert wird, ist nicht sicher, da es leicht zu erraten ist und von KI-gestützten Algorithmen schnell überwunden werden kann. Besser sind Passphrasen, also leicht zu merkende Sätze, die zu einer Kombination aus Buchstaben, Zahlen und Sonderzeichen gekürzt werden: Aus „Die dreizehn Tipps von EWE aus Oldenburg erleichtern mir jeden Tag die Arbeit!“ wird „D13TvE@OLemjTdA!“.
8. Passwortmanager und Zwei-Faktor-Authentifizierung
Setzen Sie nach Möglichkeit einen Passwortmanager ein, damit sich Ihre Mitarbeitenden nur ein starkes Passwort merken müssen. Das erhöht die Sicherheit und reduziert die Anzahl der Anrufe in der IT-Abteilung, weil jemand sein Passwort vergessen hat. An besonders kritischen Stellen im Unternehmen kann außerdem eine Zwei- oder Mehr-Faktor-Authentifizierung sinnvoll sein, bei der neben einem Passwort auch ein Einmalcode oder biometrische Daten wie ein Fingerabdruck notwendig sind. Gerade im Umgang mit hochsensiblen oder geschäftskritischen Daten kann dies erforderlich sein. Für Unternehmen, die nach der neuen NIS2-Richtlinie der EU zur kritischen Infrastruktur Deutschlands zählen, ist eine Zwei-Faktor-Authentifizierung oft auch Pflicht.
9. Sichere Nutzung von Software und regelmäßige Updates
Für viele tägliche Aufgaben in der Arbeitswelt gibt es unterschiedliche Softwareprodukte und Apps, die nützlich und hilfreich sein können. Viele dieser Anwendungen sind zwar praktisch können aber nicht verwendet werden, da sie nicht die DSGVO-Standards erfüllen, ein Sicherheitsrisiko darstellen oder nicht die passenden Schnittstellen haben, um mit Ihren anderen Systemen zu kommunizieren. Alle eingesetzten Softwareprodukten sollten daher vorab autorisiert werden. Außerdem ist es wichtig, dass alle im Unternehmen eingesetzte Software regelmäßig aktualisiert wird. Bestenfalls erfolgt dies automatisch. So können eventuelle Sicherheitslücken schnellstmöglich geschlossen werden, bevor Cyberkriminelle sie ausnutzen können.
10. Verlust von Firmengeräten
Handys, Laptops, USB-Sticks – gehen mobile Firmengeräte verloren, besteht die Gefahr, dass Cyberkriminellen sie nutzen, um sich in das System des Unternehmens zu hacken. Auf den Geräten können zudem vertrauliche (Kunden-)Daten gespeichert sein. Verluste sollten daher so schnell wie möglich gemeldet werden, damit Ihre IT-Abteilung das Gerät aus der Ferne lokalisieren, sperren und im Notfall auch die darauf gespeicherten Daten löschen kann. Wichtige und vertrauliche Daten sollten nach Möglichkeit nicht nur auf einem mobilen Gerät, sondern auf sicheren Firmenservern oder in der Cloud gespeichert werden. So kann von überall aus darauf zugegriffen werden und die Gefahr eines Datenverlusts sinkt.
Sicheres Arbeiten unterwegs und im Netzwerk (inkl. Home-Office)
11. Sicherheit von mobilen Geräten unterwegs
Das Arbeiten remote oder im Home-Office wird immer beliebter. Damit Firmenhandy und Laptop unterwegs auch sicher sind, sollten Sie Ihren Mitarbeitenden ein paar Grundregeln an die Hand geben: Zunächst sollte kein Gerät je unbeaufsichtigt bleiben und wenn doch, dann sollte der Bildschirm gesperrt sein. Während Sie am Laptop arbeiten, verhindert eine Blickschutzfolie, dass jemand mitlesen kann. Vertrauliche Gespräche am Diensttelefon sollten ebenfalls nur außerhalb der Hörweite Dritter stattfinden. Abschließend sollten Arbeitsgeräte immer sicher verstaut werden, damit beispielsweise keine Daten verloren gehen, weil der Laptop heruntergefallen ist und beschädigt wurde.
12. Nutzung öffentlicher WLANs
Da vielerorts mittlerweile ein öffentliches WLAN zur Verfügung steht, ist das Arbeiten im Café, im Hotel oder an öffentlichen Orten einfacher geworden. Diese Verbindungen sind jedoch nicht sicher, sodass Dritte Ihre Kommunikation leicht ausspionieren können, wenn sie sich ebenfalls in diesem Netzwerk befinden. In einem privaten oder Firmennetzwerk sind dagegen in der Regel nur bekannte, vertrauenswürdige Akteure vorhanden.
13. Sicherheit im Home-Office
Das Arbeiten im privaten WLAN zu Hause ist nicht automatisch sicher. Private Netzwerke sind meistens deutlich weniger geschützt als Firmennetzwerke. Für mehr Sicherheit sorgt zum Beispiel, wenn am Router der höchstmögliche Verschlüsselungsgrad gewählt und das Netzwerk mit einem starken Passwort geschützt wird. Darüber hinaus dürfen auch im Home-Office (Ehe-) Partner, Kinder etc. keinen Zugriff auf vertrauliche, firmeninterne Daten haben – das gilt sowohl für das Mitlesen an Bildschirmen als auch für physische Dokumente.
Handlungsempfehlung: Schulen Sie Ihre Mitarbeitenden regelmäßig zum sicheren Arbeiten im Home-Office.
Bild: Stock photo and footage / iStock / Getty Images Plus
Was tun im Notfall? Klare Handlungsanweisungen für Mitarbeitende
Eine schnelle und richtige Reaktion auf einen Sicherheitsvorfall kann den Schaden im Ernstfall deutlich minimieren. Schulen Sie Ihre Mitarbeitenden daher kontinuierlich, damit sie wissen, wie sie im Notfall richtig handeln. Ermutigen Sie sie auch, lieber einen möglichen Vorfall zu viel als zu spät zu melden.
So könnten Sofortmaßnahmen und Meldewege bei einigen typischen Notfallszenarien aussehen:
Sie haben eine verdächtige E-Mail oder einen verdächtigen Anhang erhalten: Leiten Sie die Nachricht umgehend an die IT-Abteilung weiter und öffnen Sie auf keinen Fall den Anhang.
Sie haben den Verdacht, auf eine Phishing-Nachricht oder Phishing-Webseite geklickt zu haben: Informieren Sie sofort die IT-Abteilung und melden Sie, welche Daten Sie wo eingegeben haben. Ändern Sie umgehend Ihr Passwort, wenn Sie dieses preisgegeben haben.
Sie haben Ihr Diensthandy, den Firmenlaptop o.ä. verloren: Informieren Sie die IT-Abteilung, damit diese das Geräte orten und sperren kann. Kontaktieren Sie außerdem Ihre Teammitglieder, damit diese auf eingehende E-Mails etc. reagieren können.
Sie haben eine Ransomware- oder eine andere Virusmeldung auf dem Bildschirm: Nehmen Sie direkt Kontakt mit der IT-Abteilung auf – möglichst über ein anderes Gerät – und trennen Sie Ihres vom Netzwerk.
Allgemein gilt: Zero Trust – Null Vertrauen: Melden Sie jede verdächtige Aktivität, alles Ungewöhnliche und alles, bei dem Sie ein ungutes Gefühl haben. Melden Sie lieber zu viel als einmal zu spät. Cyberkriminelle verändern und verbessern ihre Methoden ständig, um bestehende Abwehrmaßnahmen zu überwinden. Wachsamkeit und Awareness sind wichtige Faktoren, um schwere Schäden zu verhindern.
Die Rolle des Unternehmens: Eine starke Sicherheitskultur etablieren (inkl. Schulungen)
Die meisten IT-Sicherheitsmaßnahmen für Mitarbeitende greifen nur, wenn alle mitziehen. Denn ein unaufmerksamer Moment kann bereits ausreichen, um schwere Schäden zu verursachen. Die Verantwortung hierfür liegt bei der Geschäftsführung und den weiteren Führungskräften. IT-Sicherheitsrichtlinien müssen nicht nur eindeutig geregelt, sondern auch klar kommuniziert werden. Führungskräfte sollten das Thema aktiv fördern, immer wieder Awareness schaffen und als Vorbilder agieren. In regelmäßigen Schulungen, wie E-Learnings, Workshops oder auch Phishing-Simulationen, können Mitarbeitende die Grundlagen erlernen und über Neuerungen informiert werden (siehe hierzu auch EWE Security Awareness Trainings).
Darüber hinaus eignen sich praxisnahe Ansätze oder Gamification, um die Akzeptanz und Awareness zu steigern. Beispielsweise kann Ihre IT-Abteilung eine fingierte Phishing-Mail zum Test versenden. Besprechen Sie anschließend die Ergebnisse mit Ihren Mitarbeitenden. Sollte es bei Ihnen zu einem Sicherheitsvorfall kommen, teilen Sie diesen anonymisiert mit Ihren Teams und schaffen Sie einen lehrreichen Moment. Aktualisieren und überprüfen Sie außerdem regelmäßig Ihre IT-Sicherheitsrichtlinien und sprechen Sie über neuartige Bedrohungen. Sicherheit ist ein Prozess und eine gelebte Sicherheitskultur ist die Grundlage für sicheres und störungsfreies Arbeiten.
Fazit: IT-Sicherheit für Mitarbeitende als kontinuierlicher Prozess
Die Mitarbeitenden sind ein entscheidender Faktor für die IT-Sicherheit in Ihrem Unternehmen. Sie erhaltenen tagtäglich Nachrichten, stehen im Austausch mit Kund:innen und Partnerunternehmen und arbeiten mit den vertraulichen, firmeninternen Daten. Die Verantwortung für die IT-Sicherheit kann daher nicht allein bei einer Abteilung liegen. Security Awareness – also das Bewusstsein für Gefahren und Risiken – ist dabei der wichtigste Schritt hin zu einer positiven Sicherheitskultur. Schulen Sie Ihre Mitarbeitenden deshalb regelmäßig im Umgang mit Bedrohungen. Etablieren und kommunizieren Sie klare Sicherheitsrichtlinien, die die tägliche Arbeit nicht einschränken, und schaffen Sie unkomplizierte Meldewege. Ihre Führungskräfte sollten dabei als aktive Vorbilder dienen. Wenn Sie Ihre Mitarbeitenden für die Risiken sensibilisieren und zu einem sicheren Verhalten befähigen, entwickeln sie sich von einem potenziellen Risiko hin zu Ihrer stärksten Verteidigungslinie – einer menschlichen Firewall.
Security Awareness Trainings
Sie möchten Ihre Mitarbeitenden regelmäßig und professionell für Cyberbedrohungen sensibilisieren, haben aber nicht die nötigen Ressourcen? Wir übernehmen das gern für Sie! In unserer EWE business Academy lernen Ihre Mitarbeitenden in abgestimmten e-Learning-Modulen typische Cybercrime-Methoden kennen und sind so für den Ernstfall gewappnet:
Sie haben Fragen oder wünschen eine Beratung?
Geben Sie einfach Ihre Postleitzahl ein und finden auf Anhieb Ihren EWE-Kontakt in der Nähe.