ISO 27001 Informationssicherheit – Mitarbeiter-Unterweisung

15 Module · etwa 59 Minuten · Abschlusstest mit 25 Fragen, 20 richtige zum Bestehen · Teilnahmezertifikat als PDF

Darum geht es

Über 80 Prozent aller Sicherheitsvorfälle beginnen mit menschlichem Verhalten — eine Phishing-Mail, ein weitergegebenes Passwort, ein fremder USB-Stick, ein offener Bildschirm. Deshalb verlangt ISO/IEC 27001:2022 in Kapitel 7.3, dass jede Person die Sicherheitspolitik, ihren eigenen Beitrag und die Folgen von Verstößen kennt; Control 6.3 fordert regelmäßige Sensibilisierung und Schulung.

Keine Anmeldung nötig. Name und E-Mail-Adresse fragen wir erst vor dem Abschlusstest ab – nur für Ihr Zertifikat. Ihr Fortschritt wird in diesem Browser gespeichert. Sie können jederzeit unterbrechen und später weitermachen.

Modul 1 von 15

Worum es geht — und was dieser Kurs nicht ist

Über 80 Prozent aller Sicherheitsvorfälle beginnen nicht in der Technik, sondern bei einem Menschen: eine Phishing-Mail, die geöffnet wird, ein Passwort, das weitergegeben wird, ein USB-Stick, der „nur kurz" eingesteckt wird. Deshalb verlangt ISO/IEC 27001:2022 in Kapitel 7.3, dass jede Person, die für die Organisation arbeitet, die Informationssicherheitspolitik kennt, ihren eigenen Beitrag zur Wirksamkeit des Managementsystems versteht und weiß, welche Folgen ein Verstoß hat. Control 6.3 im Anhang A fordert dazu eine regelmäßige Sensibilisierung und Schulung — und der Auditor fragt im Zertifizierungsaudit als Erstes nach dem Nachweis.

Was dieser Kurs leistet: den allgemeinen Teil der Mitarbeiter-Unterweisung zur Informationssicherheit — die drei Schutzziele, der Rechts- und Normrahmen (ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIS-2-Umsetzung, BSI IT-Grundschutz, DSGVO), die Pflichten jeder einzelnen Person, sichere Passwörter und Mehrfaktor-Authentisierung, Phishing und Social Engineering, Clean Desk und mobile Geräte, Klassifizierung und Need-to-know, sichere Internetnutzung, Sicherheitsvorfälle erkennen und melden, Homeoffice — mit Abschlusstest und Teilnahmezertifikat, dessen Nummer auf der Prüfseite der Akademie verifizierbar ist.

Was dieser Kurs nicht leistet: den betriebsspezifischen Teil. Wer bei Ihnen Informationssicherheitsbeauftragter ist, an wen ein Vorfall gemeldet wird, welche Passwortrichtlinie, welche Klassifizierungsstufen, welche erlaubten Geräte und Cloud-Dienste gelten — das weiß nur Ihr Unternehmen. Dafür steht am Ende das Modul „Verfahren im eigenen Haus". Der Kurs ersetzt weder das Informationssicherheits-Managementsystem (ISMS) noch die Risikobeurteilung, keine technischen Maßnahmen der IT und keine Rechtsberatung zur Frage, ob Ihr Unternehmen unter die NIS-2-Umsetzung fällt.

Zum Merken

Informationssicherheit ist keine Aufgabe der IT-Abteilung, sondern eine Aufgabe jeder Person, die mit Informationen arbeitet — am Rechner, am Telefon, am Drucker, im Zug. Dieser Kurs gibt Ihnen das Handwerkszeug; die Regeln Ihres Hauses ergänzt Ihr Betrieb.

Modul 2 von 15

Der Rechts- und Normrahmen an einer Stelle — ISO/IEC 27001, NIS-2, BSI, DSGVO

Mehrere Regelwerke greifen ineinander. Wer sie einmal nebeneinander gesehen hat, versteht, warum die Regeln in den folgenden Modulen keine Erfindung der IT-Abteilung sind.

Wen die NIS-2-Umsetzung betrifft

Das neue BSI-Gesetz unterscheidet besonders wichtige und wichtige Einrichtungen in 18 Sektoren — von Energie, Verkehr, Gesundheit und Trinkwasser über digitale Infrastruktur bis zu Produktion, Chemie, Lebensmitteln und Post. Faustregel für die Betroffenheit: ab 50 Beschäftigten oder 10 Mio. € Umsatz und Bilanzsumme gilt ein Unternehmen eines Sektors als wichtige Einrichtung, ab 250 Beschäftigten oder 50 Mio. € Umsatz und 43 Mio. € Bilanzsumme als besonders wichtige. Betroffene Einrichtungen müssen sich beim BSI registrieren und die Maßnahmen des § 30 BSIG umsetzen — darunter ausdrücklich Schulungen. Ob Ihr Unternehmen betroffen ist, klärt Ihr Betrieb (siehe Modul „Verfahren im eigenen Haus"); viele Betriebe sind es mittelbar, weil ihre Kunden als Einrichtungen die Sicherheit der Lieferkette verlangen (§ 30 Abs. 2 Nr. 4 BSIG).

Was das für Sie als Beschäftigte heißt

Ob Ihr Unternehmen nach ISO/IEC 27001 zertifiziert ist, unter die NIS-2-Umsetzung fällt oder „nur" Kundendaten verarbeitet — in jedem Fall verlangt mindestens ein Regelwerk, dass Sie geschult sind, Vorfälle melden und die Sicherheitsregeln des Hauses einhalten. Die Regeln der folgenden Module sind deshalb nicht die Vorlieben der IT, sondern umgesetzte Norm- und Gesetzesanforderungen.

Zum Merken

ISO/IEC 27001 ist freiwillig — bis ein Kunde das Zertifikat verlangt. NIS-2 ist Gesetz — für betroffene Einrichtungen und über die Lieferkette oft auch für deren Zulieferer. Die DSGVO gilt für jeden. Alle drei fordern dasselbe von Ihnen: Bewusstsein, Regeltreue, Melden.

Hinweis: Angaben zur NIS-2-Umsetzung mit Stand Oktober 2026; Schwellenwerte und Fristen sind im Einzelfall anhand des aktuellen BSIG zu prüfen.

Modul 3 von 15

Die drei Schutzziele — Vertraulichkeit, Integrität, Verfügbarkeit

Informationssicherheit schützt Informationen — nicht nur Daten im Rechner, sondern auch das Gespräch im Zug, den Ausdruck auf dem Drucker, das Wissen im Kopf. ISO/IEC 27000 definiert sie als Aufrechterhaltung von drei Eigenschaften:

Im Englischen heißen die drei CIA — Confidentiality, Integrity, Availability. Jede Sicherheitsregel in diesem Kurs lässt sich auf eines der drei Ziele zurückführen: Bildschirmsperre und Clean Desk schützen die Vertraulichkeit, der Umgang mit Anhängen die Integrität und Verfügbarkeit, die Meldung eines Vorfalls alle drei.

Abgrenzung: Datenschutz und IT-Sicherheit

• Datenschutz (DSGVO) schützt Personen vor den Folgen der Verarbeitung ihrer Daten. Informationssicherheit schützt alle Informationen des Unternehmens — auch Konstruktionspläne, Preise, Verträge, bei denen keine Person betroffen ist. Art. 32 DSGVO verlangt allerdings ausdrücklich Vertraulichkeit, Integrität und Verfügbarkeit — hier überschneiden sich beide.
• IT-Sicherheit ist der technische Teil: Firewall, Virenschutz, Verschlüsselung, Datensicherung. Informationssicherheit umfasst darüber hinaus Organisation, Gebäude und Menschen — und die meisten Vorfälle beginnen genau dort.

Warum das Unternehmen das braucht

• Schutz von Geschäftsgeheimnissen und Kundendaten — ohne angemessene Maßnahmen gibt es nach dem GeschGehG keinen Rechtsschutz
• Einhaltung gesetzlicher Vorgaben (DSGVO, NIS-2-Umsetzung, Branchenrecht)
• Vertrauen von Kunden, die zunehmend ein ISO/IEC-27001-Zertifikat oder einen Sicherheitsfragebogen verlangen
• Vermeidung von Ausfall- und Wiederherstellungskosten — ein Ransomware-Angriff legt einen Mittelständler im Durchschnitt mehrere Wochen lahm

Zum Merken

Drei Fragen genügen, um fast jede Situation zu bewerten: Darf diese Person das sehen? Ist die Information noch richtig? Kommen wir noch an sie heran? Wenn eine Antwort „nein" oder „weiß nicht" lautet, ist es ein Fall für die Meldung.

Modul 4 von 15

Ihre Rolle und Ihre Pflichten

Ein Managementsystem nach ISO/IEC 27001 funktioniert nur, wenn jede Person ihren Teil kennt. Die Norm verlangt in Kap. 7.3, dass Sie drei Dinge wissen: die Informationssicherheitspolitik Ihres Unternehmens, Ihren eigenen Beitrag zur Wirksamkeit des Systems — und die Folgen, wenn die Anforderungen nicht eingehalten werden.

Was jede Person schuldet

Was ein Informationssicherheitsereignis ist

Ein Ereignis ist alles, was auf eine mögliche Verletzung der Sicherheit hindeutet. Ob daraus ein Vorfall wird, entscheidet nicht die meldende Person, sondern die zuständige Stelle (Control 5.25). Typische Ereignisse:

• Verlust oder Diebstahl eines Laptops, Smartphones, USB-Sticks oder Ausweises
• eine verdächtige E-Mail — auch wenn Sie nicht geklickt haben
• ein fremder Anmeldeversuch oder eine Anmeldung von einem unbekannten Ort
• vertrauliche Daten an den falschen Empfänger gesendet
• ungewöhnliches Systemverhalten, unbekannte Programme, verschlüsselte Dateien
• eine fremde Person ohne Ausweis im Gebäude, eine offene Tür zum Serverraum

Folgen von Verstößen

ISO/IEC 27002 verlangt in Control 6.4 einen geregelten Maßregelungsprozess für Verstöße — abgestuft nach Schwere und Absicht. Im Arbeitsrecht reicht das von der Ermahnung über die Abmahnung bis zur Kündigung; bei vorsätzlicher Weitergabe von Geschäftsgeheimnissen kommen Schadensersatz und Strafbarkeit (§ 23 GeschGehG) hinzu. Umgekehrt gilt: Wer einen Fehler meldet, handelt richtig — die Meldung selbst wird nicht sanktioniert.

Zum Merken

Sie sind nicht dafür verantwortlich, dass nie etwas passiert. Sie sind dafür verantwortlich, die Regeln einzuhalten und sofort zu melden, wenn etwas passiert ist oder passiert sein könnte. Beides zusammen ist Ihr Beitrag zum ISMS — und beides fragt der Auditor ab.

Modul 5 von 15

Passwörter und Mehrfaktor-Authentisierung

Das Passwort ist der Schlüssel zu Ihrem Arbeitsplatz. Control 5.17 verlangt, dass Authentisierungsinformationen vertraulich behandelt werden — und dass das Unternehmen Sie darüber unterweist.

Was ein sicheres Passwort ausmacht — Stand der BSI-Empfehlung

Schlechte Beispiele aus der Praxis: Passwort123!, Firma2026, Sommer2026! — alle erfüllen alte „Komplexitätsregeln" und werden in Sekunden geknackt.

Was verboten ist

• Passwörter aufschreiben am Arbeitsplatz — kein Zettel unter der Tastatur, kein Haftnotiz am Monitor
• Passwörter per E-Mail, Chat oder Telefon weitergeben
• Passwörter weitergeben — auch nicht an Kollegen, Vorgesetzte oder die IT. Eine echte IT-Abteilung braucht Ihr Passwort nie; sie kann es zurücksetzen
• Passwörter in unverschlüsselten Dateien (Excel, Word, Notizen-App) speichern — ein „verstecktes" Tabellenblatt oder ein Dateipasswort ist kein Schutz
• Dienstliche Passwörter privat wiederverwenden

Mehrfaktor-Authentisierung (MFA)

MFA kombiniert zwei verschiedene Faktoren: etwas, das Sie wissen (Passwort), mit etwas, das Sie haben (Authenticator-App, Hardware-Token, Smartcard) oder sind (Fingerabdruck, Gesicht). Ein gestohlenes Passwort allein reicht dann nicht mehr.

Reihenfolge der Sicherheit nach BSI-Einschätzung: Hardware-Token oder Passkey (FIDO2) > Authenticator-App > SMS-Code. SMS gilt nur noch als Notlösung, weil Codes abgefangen oder SIM-Karten übernommen werden können. Control 8.5 verlangt MFA insbesondere für privilegierte Zugänge, Fernzugriff und Cloud-Dienste.

Ihre Pflicht: MFA aktivieren, wo das Unternehmen es vorschreibt — und einen MFA-Code nie auf Anfrage herausgeben oder eine Anmelde-Bestätigung genehmigen, die Sie nicht selbst ausgelöst haben („MFA-Fatigue-Angriff").

Zum Merken

Lang, einzigartig, geheim — und mit zweitem Faktor. Wer Sie nach Ihrem Passwort oder einem Bestätigungscode fragt, ist nie die IT. Melden Sie den Anruf.

Modul 6 von 15

E-Mail-Sicherheit und Phishing

Phishing sind betrügerische Nachrichten — per E-Mail, SMS („Smishing"), Messenger oder Anruf („Vishing") —, die Sie dazu bringen sollen, Zugangsdaten preiszugeben, Schadsoftware zu starten oder Geld zu überweisen. Nach dem BSI-Lagebericht ist Phishing der häufigste Einstieg für Ransomware-Angriffe auf Unternehmen. Und: Seit Angreifer KI nutzen, sind Rechtschreibfehler und holpriges Deutsch kein verlässliches Warnsignal mehr.

Warnsignale

CEO-Fraud / Spear-Phishing: Angreifer recherchieren Namen, Zuständigkeiten und aktuelle Projekte (LinkedIn, Website, Pressemitteilungen) und schreiben eine perfekt passende Nachricht — angeblich vom Geschäftsführer, von einem Lieferanten, vom Steuerberater. Je persönlicher die Nachricht, desto größer die Vorsicht bei ungewöhnlichen Bitten.

Vor dem Klick: vier Fragen

1. Erwarte ich diese Nachricht?
2. Kenne ich den Absender — und stimmt die tatsächliche Adresse?
3. Ist die Bitte plausibel — würde diese Person das wirklich so verlangen?
4. Bei Zweifel: Rückfrage über einen unabhängigen Kanal — Telefonnummer aus dem Verzeichnis, nicht aus der E-Mail; nie auf die verdächtige Nachricht antworten.

Richtiges Verhalten

• Keine Links anklicken, keine Anhänge öffnen, keine QR-Codes scannen aus verdächtigen Nachrichten
• Verdächtige E-Mail melden (Phishing-Meldeknopf oder IT) — nicht einfach löschen: Ihre Meldung schützt die Kolleginnen und Kollegen, die dieselbe Nachricht bekommen haben
• Haben Sie geklickt oder Daten eingegeben: sofort melden, Passwort über den offiziellen Weg ändern — keine Scham, nur Tempo zählt
• Vertrauliche Inhalte nur verschlüsselt oder über freigegebene Plattformen versenden (Control 5.14); vor dem Senden Empfänger prüfen — die Autovervollständigung ist die häufigste Ursache für Fehlversand
• Vorsicht bei „Allen antworten" und bei Weiterleitungen langer Ketten mit vertraulichem Inhalt

Zum Merken

Der Angreifer braucht einen Klick, Sie brauchen einen Moment. Wer bei einer ungewöhnlichen Bitte zum Telefon greift statt zur Maus, hat fast jeden Phishing-Angriff bereits abgewehrt.

Modul 7 von 15

Arbeitsplatz, Bildschirmsperre und mobile Geräte

Die einfachsten Sicherheitsmaßnahmen kosten nichts und wirken sofort: Bildschirm sperren, Schreibtisch leer, Gerät verschlüsselt.

Clean Desk und Clear Screen (Control 7.7)

Beim Verlassen des Arbeitsplatzes — auch für fünf Minuten:

• Bildschirm sperren: Windows Win + L, Mac Ctrl + Cmd + Q. Nicht herunterfahren, nicht „nur kurz" offen lassen, nicht Kollegen aufpassen lassen
• Unterlagen mit vertraulichem Inhalt wegschließen — Schrank, Schublade, Rollcontainer
• Keine Haftnotizen mit Zugangsdaten, keine offenen Akten, keine Whiteboards mit Kunden- oder Projektdaten in Besprechungsräumen, die Besucher nutzen
• Bildschirm so stellen, dass niemand von der Tür oder vom Flur mitlesen kann

Am Abend: Schreibtisch leer, Ausdrucke weggeschlossen oder im Aktenvernichter, Bildschirm aus.

Automatische Bildschirmsperre: Die Norm nennt keine Minutenzahl; der BSI IT-Grundschutz verlangt eine automatische Sperre nach Inaktivität, in der Praxis stellen Unternehmen 5 bis spätestens 10 Minuten ein. Die Sperre dürfen Sie nicht deaktivieren oder verlängern.

Drucker, Scanner, Kopierer: Ausdrucke sofort abholen; vertrauliche Dokumente mit Vertraulichkeitsdruck (PIN am Gerät) drucken, wenn vorhanden; Fehldrucke nicht im Papierkorb, sondern im Aktenvernichter entsorgen.

Mobile Geräte (Controls 7.9, 8.1)

Laptop, Smartphone und Tablet verlassen das Gebäude — und mit ihnen die Daten.

• Geräteverschlüsselung aktiviert lassen (BitLocker, FileVault, iOS/Android Standard); nur so ist ein verlorenes Gerät kein Datenverlust
• Starke Sperre: PIN mit mindestens 6 Ziffern, besser Passwort oder Biometrie; automatische Sperre nach kurzer Inaktivität
• Nur genehmigte Apps aus dem Firmenportal oder den offiziellen Stores; keine privaten Cloud- oder Messenger-Apps für Firmendaten
• Updates zeitnah installieren — Sicherheitslücken werden innerhalb von Tagen ausgenutzt
• Gerät im Auto, Zug oder Hotel nie sichtbar liegen lassen; im Zug Sichtschutzfolie, keine vertraulichen Telefonate
• Verlust oder Diebstahl sofort melden — jedes Gerät, auch „ohne wichtige Daten": Die IT kann es aus der Ferne sperren und löschen, aber nur, wenn sie es weiß

Wechseldatenträger (Control 7.10)

• Fremde USB-Sticks niemals an einen Firmenrechner anschließen — auch nicht, „um den Besitzer zu finden". Präparierte Sticks installieren Schadsoftware beim Einstecken. Gefundene Sticks bei der IT abgeben
• Private Datenträger nur mit ausdrücklicher Genehmigung; Firmendaten nur auf verschlüsselten, vom Unternehmen ausgegebenen Medien
• Nicht mehr benötigte Datenträger nicht in den Müll, sondern zur sicheren Vernichtung an die IT

Zum Merken

Win + L ist die wichtigste Tastenkombination Ihres Arbeitstages. Und ein gefundener USB-Stick ist kein Fundstück, sondern ein möglicher Angriff — er gehört zur IT, nicht in Ihren Rechner.

Modul 8 von 15

Vertraulichkeit, Klassifizierung und Need-to-know

Nicht jede Information braucht denselben Schutz. Control 5.12 verlangt deshalb, dass das Unternehmen Informationen klassifiziert — und dass Sie die Stufe erkennen und entsprechend handeln.

Die vier üblichen Stufen

Die Namen der Stufen legt Ihr Unternehmen fest (Modul „Verfahren im eigenen Haus"); drei bis vier Stufen sind üblich. Wichtig ist die Kennzeichnung (Control 5.13): Dokumente, E-Mails und Datenträger tragen ihre Stufe sichtbar — im Dateinamen, in der Kopfzeile, im Betreff.

Need-to-know und Least Privilege (Control 5.15)

Zugriff hat nur, wer die Information für seine Aufgabe braucht — nicht, wer sie interessant findet, nicht, wer dieselbe Abteilung hat, nicht, wer „sowieso Chef" ist. Daraus folgt für Sie:

• Keine Weitergabe „unter Kollegen", wenn die andere Person die Information nicht für ihre Aufgabe braucht
• Zugriffsrechte, die Sie nicht mehr brauchen, melden Sie zur Entziehung — überflüssige Rechte sind ein Risiko, keine Bequemlichkeit
• Fällt Ihnen auf, dass Sie auf etwas zugreifen können, was Sie nicht dürften: melden

Warum das auch rechtlich zählt

Das Geschäftsgeheimnisgesetz schützt eine Information nur, wenn das Unternehmen angemessene Geheimhaltungsmaßnahmen getroffen hat (§ 2 Nr. 1 Buchst. b GeschGehG). Eine Rezeptur, die auf dem offenen Laufwerk liegt und von jedem kopiert werden kann, ist juristisch kein Geschäftsgeheimnis mehr — der Schutz vor Gericht hängt davon ab, dass Klassifizierung und Zugriffsbeschränkung im Alltag gelebt werden.

Was verboten ist

• Private Cloud-Speicher und Messenger (Dropbox, privates Google Drive, WhatsApp, private KI-Dienste) für Firmendaten — nur freigegebene Dienste
• Weitergabe an Dritte ohne Vertraulichkeitsvereinbarung (Control 6.6)
• Gespräche über Vertrauliches in Zug, Café, Aufzug, Kantine, bei offener Bürotür
• Vertrauliche Dokumente im normalen Papierkorb oder Altpapier — sie gehören in den Aktenvernichter oder den verschlossenen Datenschutzbehälter

Sichere Entsorgung (Control 7.14, DIN 66399)

DIN 66399 ordnet Datenträger in Schutzklassen 1 bis 3 und Sicherheitsstufen P-1 bis P-7 (Papier). Für vertrauliche und personenbezogene Daten (Schutzklasse 2) ist mindestens P-4 üblich — Partikel von höchstens 160 mm², aus denen sich der Inhalt nicht mehr zusammensetzen lässt. Ein Streifenschnitt (P-1, P-2) reicht dafür nicht. Festplatten, USB-Sticks und Smartphones werden nicht „gelöscht", sondern von der IT zertifiziert vernichtet oder sicher überschrieben.

Zum Merken

Fragen Sie vor jeder Weitergabe: Welche Stufe hat das — und braucht die andere Person es wirklich für ihre Arbeit? Zweimal „weiß nicht" heißt: nicht weitergeben, erst fragen.

Modul 9 von 15

Sichere Internetnutzung, Software und Social Media

Der Browser ist nach der E-Mail das zweithäufigste Einfallstor. Drei Regeln decken die meisten Risiken ab: Adressen lesen, nichts selbst installieren, Firmendaten nicht nach außen geben.

Websites richtig einschätzen

• HTTPS (Schloss-Symbol) bedeutet nur: Die Verbindung ist verschlüsselt. Es bedeutet nicht, dass die Seite vertrauenswürdig ist — auch Phishing-Seiten haben heute fast immer ein gültiges Zertifikat. Entscheidend ist die Adresse: firma-login.de ist nicht firma.de
• Browserwarnungen ernst nehmen: „Diese Verbindung ist nicht sicher", „Zertifikat ungültig" — nicht wegklicken, nicht „trotzdem fortfahren", sondern abbrechen und bei Bedarf die IT fragen
• Pop-ups, die vor Viren warnen und zum Anruf oder Download auffordern, sind selbst der Angriff („Scareware"); Fenster schließen, nichts anrufen
• Der Webfilter des Unternehmens (Control 8.23) blockiert bekannte Schadseiten — eine Sperrmeldung ist kein Fehler, den man umgeht, sondern ein Schutz; Umgehungsversuche (Proxy, privater Hotspot) sind ein Verstoß

Downloads und Software (Control 8.19)

• Keine eigene Installation von Software auf Firmengeräten — auch keine „kleinen Tools", Browser-Erweiterungen oder Treiber. Software kommt aus dem Firmenportal oder über einen Antrag an die IT, die Lizenz, Herkunft und Sicherheit prüft
• Verboten: Raubkopien, Crack- und Keygen-Programme (fast immer mit Schadsoftware verbunden und nach § 106 UrhG strafbar), Software aus Download-Portalen, private Lizenzen auf dem Firmen-PC
• Dateien aus dem Internet nur aus bekannten, freigegebenen Quellen; bei Zweifel vor dem Öffnen von der IT prüfen lassen

KI-Dienste und Online-Werkzeuge

Öffentliche KI-Chatbots, Übersetzer, PDF-Konverter und Datei-Tauschdienste verarbeiten Ihre Eingaben auf fremden Servern — oft außerhalb der EU, oft zum Training weiterer Modelle. Vertrauliche oder personenbezogene Daten gehören nicht in öffentliche Online-Dienste, es sei denn, das Unternehmen hat den Dienst mit Vertrag und Einstellungen freigegeben. Was freigegeben ist, steht in der Richtlinie zur zulässigen Nutzung (Control 5.10).

Social Media

Faustregel: Was Sie nicht auf dem Marktplatz rufen würden, gehört nicht ins Netz.

• Keine Firmeninformationen, Projekte, Kundennamen, Zahlen ohne ausdrückliche Freigabe — auch nicht „anonymisiert"
• Keine Fotos aus Büro, Werkstatt oder Werk: Bildschirme, Whiteboards, Ausweise, Zeichnungen und Typenschilder sind darauf oft lesbar
• Angreifer nutzen Beiträge für Spear-Phishing: Wer auf LinkedIn postet, dass er diese Woche die neue Buchhaltungssoftware einführt, bekommt am nächsten Tag die passende Phishing-Mail
• Kontaktanfragen von Unbekannten mit auffälligem Interesse an Ihrer Arbeit: zurückhaltend bleiben, nichts Internes bestätigen

Zum Merken

Das Schloss im Browser sagt nur, dass niemand mitliest — nicht, mit wem Sie reden. Lesen Sie die Adresse, installieren Sie nichts selbst, und behandeln Sie das Internet wie einen öffentlichen Raum.

Modul 10 von 15

Besucher, Zutritt und Social Engineering

Die beste Firewall hilft nicht, wenn jemand durch die Tür geht. Und der beste Spamfilter hilft nicht, wenn jemand anruft. Social Engineering ist die Manipulation von Menschen, um an Informationen oder Zutritt zu gelangen — der Angriff zielt nicht auf Technik, sondern auf Hilfsbereitschaft, Respekt vor Autorität und Zeitdruck.

Besucher und Zutritt (Controls 7.1, 7.2)

• Besucher werden am Empfang angemeldet, erhalten einen Besucherausweis und werden begleitet — vom Empfang bis zum Ausgang
• Besucher bleiben nicht unbeaufsichtigt in Büros oder Besprechungsräumen mit Unterlagen, offenen Bildschirmen oder Netzwerkdosen
• In Sicherheitsbereichen (Serverraum, Entwicklung, Archiv) gilt: Zutritt nur für namentlich Berechtigte, Begleitung Pflicht, keine Fotos (Control 7.6)
• Tailgating: Jemand folgt Ihnen durch die Zugangstür, bevor sie zufällt — „Ich habe meinen Ausweis vergessen", „Ich bin vom Paketdienst". Die Tür schließen und freundlich auf den Empfang verweisen. Es ist nicht unhöflich, es ist Ihre Aufgabe
• Eine fremde Person ohne Ausweis im Gebäude: höflich ansprechen („Kann ich Ihnen helfen? Bei wem sind Sie angemeldet?") oder Empfang bzw. Sicherheitsdienst informieren — nicht ignorieren, nicht heimlich verfolgen

Typische Maschen

Schutz: drei Verhaltensregeln

1. Identität prüfen — über einen Kanal, den Sie selbst wählen. Rückruf unter der Nummer aus dem Verzeichnis, nicht unter der genannten; Nachfrage beim echten Vorgesetzten persönlich
2. Keine vertraulichen Informationen am Telefon oder an der Tür — kein Passwort, kein MFA-Code, keine Kundendaten, keine Angaben darüber, wer gerade im Urlaub ist oder welche Software im Einsatz ist
3. Druck ist ein Warnsignal, kein Grund zur Eile. Wer wirklich befugt ist, akzeptiert eine Rückfrage. Wer darauf ärgerlich reagiert, hat etwas zu verbergen

Und: Jeden Versuch melden — auch den, der gescheitert ist. Social Engineers probieren es bei mehreren Personen; Ihre Meldung warnt die anderen.

Zum Merken

Die IT fragt nie nach Ihrem Passwort, der Chef verlangt nie Gutscheinkarten per Chat, und ein Besucher ohne Ausweis ist kein Besucher. Freundlich bleiben — und trotzdem Nein sagen.

Modul 11 von 15

Sicherheitsvorfälle erkennen und melden

Vorfälle lassen sich nicht vollständig verhindern — aber ihr Schaden hängt fast immer davon ab, wie schnell sie gemeldet werden. Control 6.8 verpflichtet jede Person, beobachtete oder vermutete Ereignisse unverzüglich über den festgelegten Weg zu melden.

Warnsignale erkennen

• Dateien lassen sich nicht mehr öffnen, haben fremde Endungen, eine Erpressernachricht erscheint — Ransomware
• Der Rechner wird plötzlich sehr langsam, der Lüfter läuft dauerhaft, Programme starten von selbst, unbekannte Fenster erscheinen
• In „Gesendet" stehen E-Mails, die Sie nicht geschrieben haben; Kollegen oder Kunden melden seltsame Nachrichten von Ihrer Adresse
• Hinweis auf eine Anmeldung von einem unbekannten Gerät oder Ort, ein MFA-Code kommt, den Sie nicht angefordert haben
• Virenschutz ist deaktiviert oder meldet einen Fund
• Sie haben auf einen Link geklickt oder einen Anhang geöffnet und haben jetzt „ein ungutes Gefühl" — auch das ist ein Ereignis
• Eine E-Mail mit vertraulichem Anhang ist an den falschen Empfänger gegangen; ein Gerät oder ein Ausweis ist weg

Sofortmaßnahmen bei Verdacht auf Schadsoftware

1. Rechner vom Netz trennen — LAN-Kabel ziehen, WLAN ausschalten, Flugmodus. Damit stoppen Sie die Ausbreitung und den Abfluss von Daten
2. Nicht ausschalten, nicht neu starten — im Arbeitsspeicher liegen Spuren, die die IT für die Analyse braucht (Control 5.28); außerdem verschlüsselt manche Ransomware erst beim Neustart fertig
3. Sofort melden — IT / Informationssicherheitsbeauftragter / Notfallnummer, persönlich oder telefonisch, nicht nur per E-Mail vom betroffenen Gerät
4. Keine eigenen Rettungsversuche — kein Antivirus-Scan auf eigene Faust, keine Löschung, keine Zahlung, keine Antwort an den Erpresser
5. Passwörter erst ändern, wenn die IT es sagt — und dann von einem sauberen Gerät

Was nach der Meldung passiert — und warum die Zeit zählt

Die zuständige Stelle beurteilt das Ereignis (Control 5.25), entscheidet, ob es ein Vorfall ist, reagiert (5.26) und wertet aus (5.27). Dabei laufen gesetzliche Fristen, die ab Kenntnis im Unternehmen beginnen — nicht ab dem Moment, in dem jemand Zeit dafür hat:

Wer am Freitagabend einen Fehlversand bemerkt und bis Montag wartet, hat über 60 der 72 Stunden verbraucht, bevor überhaupt jemand entscheiden konnte.

Fehlerkultur: Melden wird nicht bestraft

Wer einen Fehler meldet, handelt richtig — auch wenn er ihn selbst gemacht hat. ISO/IEC 27001 verlangt, dass das Unternehmen aus Vorfällen lernt (Control 5.27); das geht nur mit Meldungen. Was sanktioniert wird, ist das Verschweigen: Ein nicht gemeldeter Klick wird zum verschlüsselten Unternehmen, ein nicht gemeldeter Fehlversand zum Bußgeld. Je früher die Meldung, desto kleiner der Schaden — und desto kleiner die Konsequenz.

Zum Merken

Netz trennen, nicht ausschalten, sofort anrufen. Und im Zweifel gilt: Lieber zehn Fehlalarme als ein verschwiegener Vorfall.

Modul 12 von 15

Homeoffice, mobiles Arbeiten und Videokonferenzen

Zu Hause, im Zug und im Café gelten dieselben Schutzziele wie im Büro — nur fehlen Pförtner, abschließbare Türen und das Firmennetz. Control 6.7 verlangt deshalb für Telearbeit eigene Regeln, und Sie setzen sie um.

Im Homeoffice

• Nur genehmigte Firmengeräte verwenden — kein privater PC, kein Familien-Tablet, auch nicht „nur für E-Mails". Private Geräte haben keinen verwalteten Virenschutz, keine Verschlüsselung und keine Updates-Kontrolle
• VPN (oder der vom Unternehmen vorgegebene sichere Zugang) für jeden Zugriff auf Firmensysteme; Fernwartungs-Tools wie TeamViewer oder AnyDesk sind kein Ersatz und nur mit Freigabe erlaubt
• Heim-WLAN mit WPA2 oder WPA3 verschlüsseln, Standardpasswort des Routers ändern, Router-Updates einspielen; Gastnetz für private Geräte
• Separater Arbeitsbereich, wenn möglich: Bildschirm nicht einsehbar für Familie, Mitbewohner und Besucher — Kinder dürfen nicht an das Firmengerät; Gespräche mit Kundendaten nicht bei offener Tür oder Lautsprecher
• Ausdrucke möglichst vermeiden; vertrauliche Papiere wegschließen und nicht im Hausmüll entsorgen, sondern ins Büro zur Vernichtung mitnehmen
• Gerät beim Verlassen sperren — auch zu Hause

Videokonferenzen

• Nur freigegebene Werkzeuge (die das Unternehmen vertraglich und datenschutzrechtlich geprüft hat); keine privaten Konten
• Warteraum aktivieren, Teilnehmer prüfen, Einwahl mit Kennwort oder Einladung; Links nicht öffentlich posten
• Bildschirmfreigabe gezielt — nur das Fenster, nicht den ganzen Bildschirm; vorher Benachrichtigungen und offene Dokumente schließen
• Hintergrund neutral oder unscharf: Whiteboards, Regale mit Akten und Familienfotos verraten mehr, als Sie denken
• Aufzeichnungen nur mit Zustimmung aller und mit Freigabe

Unterwegs: Zug, Café, Flughafen, Hotel

• Sichtschutzfolie verwenden; Sitzplatz so wählen, dass niemand hinter Ihnen steht („Shoulder Surfing")
• Keine vertraulichen Telefonate in Zug, Bahnhof, Café — Mithörer brauchen keine Technik
• Öffentliches WLAN nur mit VPN, besser der eigene Hotspot über das Firmen-Smartphone; keine „kostenlosen" Lade-USB-Ports an Flughäfen (Juice Jacking) — eigenes Netzteil nutzen
• Geräte nie unbeaufsichtigt — nicht „kurz zur Toilette", nicht im Zugabteil, nicht im Auto sichtbar. Mitnehmen oder wegpacken; die Bildschirmsperre allein schützt nicht vor Diebstahl
• Im Hotel: Gerät in den Safe, nicht im Zimmer liegen lassen

Zum Merken

Das Homeoffice ist kein Privatraum für Firmendaten, und der Zug ist kein Büro. Firmengerät, VPN, Sichtschutz — und das Gerät geht überall mit, wo Sie hingehen.

Modul 13 von 15

Praxisfall: Die Rechnung im Anhang

Die Lage: Dienstag, 9:40 Uhr. Herr B. aus dem Einkauf eines Maschinenbauers mit 120 Beschäftigten (Zulieferer eines Energieversorgers) bekommt eine E-Mail: „Rechnung 2026-4471 — Zahlungserinnerung", Absender buchhaltung@stahlhandel-weber-gmbh.de. Die Weber GmbH ist ein echter Lieferant, eine Rechnung wird tatsächlich erwartet. Im Anhang: Rechnung_4471.zip. Herr B. öffnet die ZIP-Datei, darin eine Rechnung_4471.pdf.exe — das Symbol sieht aus wie ein PDF. Doppelklick. Es öffnet sich nichts. Herr B. denkt: „Kaputte Datei", und arbeitet weiter.

Was tatsächlich passiert ist

Der Absender war stahlhandel-weber-gmbh.de — der echte Lieferant heißt weber-stahlhandel.de. Die Angreifer hatten das E-Mail-Konto eines Weber-Mitarbeiters übernommen, die laufende Korrespondenz gelesen und eine täuschend echte Zahlungserinnerung gebaut. Die .exe hat beim Doppelklick eine Schadsoftware installiert, die sich jetzt im Netz umsieht und nach drei Tagen die Verschlüsselung starten wird.

Der Entscheidungspfad

Schritt 1 — Erkennen (9:41 Uhr). „Es öffnet sich nichts" nach einem Doppelklick auf einen Anhang ist ein Ereignis, kein Zufall. Zwei Warnsignale waren da: die Endung .pdf.exe und die ZIP-Datei für eine einfache Rechnung. Ein drittes war versteckt: die Absenderdomain.

Schritt 2 — Sofortmaßnahmen. Netzwerkkabel ziehen, WLAN aus. Rechner nicht ausschalten (Control 5.28 — Spuren sichern). Nichts selbst scannen, nichts löschen.

Schritt 3 — Melden (spätestens 9:45 Uhr). Anruf bei der IT-Hotline oder dem Informationssicherheitsbeauftragten — telefonisch, nicht per E-Mail vom betroffenen Gerät. Was melden: Uhrzeit, Absender, Betreff, was angeklickt wurde, was danach zu sehen war. Keine Beschönigung: „Ich habe die Datei geöffnet" ist die wichtigste Information.

Schritt 4 — Beurteilung durch die zuständige Stelle (Control 5.25). Die IT isoliert den Rechner, prüft Protokolle, sucht nach weiteren Empfängern derselben Mail (Phishing-Wellen treffen selten nur eine Person) und stellt fest: Schadsoftware aktiv, bisher kein Zugriff auf Server. Ein Vorfall — aber ein eingedämmter.

Schritt 5 — Reaktion (Control 5.26). Rechner neu aufsetzen, Passwörter von Herrn B. zurücksetzen, Lieferanten Weber über den unabhängigen Kanal (Telefon, bekannte Nummer) informieren — dessen Konto ist kompromittiert. Datensicherung prüfen (Control 8.13).

Schritt 6 — Fristen prüfen. Das Unternehmen ist als Zulieferer selbst keine NIS-2-Einrichtung, der Kunde aber schon; der Liefervertrag verlangt eine Information binnen 24 Stunden. Personenbezogene Daten waren nicht betroffen — keine Meldung nach Art. 33 DSGVO, aber die Entscheidung wird dokumentiert (Art. 33 Abs. 5). Wäre das Unternehmen selbst wichtige Einrichtung, liefe seit 9:45 Uhr die 24-Stunden-Frist für die Erstmeldung an das BSI (§ 32 BSIG).

Schritt 7 — Lernen (Control 5.27). Ergebnis: Ausführbare Dateien in ZIP-Anhängen werden künftig am Mailserver blockiert; die Buchhaltung bekommt eine Vier-Augen-Regel für Kontonummernänderungen; Herr B. erhält keine Abmahnung — seine Meldung nach vier Minuten hat den Betrieb gerettet.

Die Gegenprobe: was ohne Meldung passiert wäre

Freitag, 3:00 Uhr: Die Schadsoftware verschlüsselt Dateiserver, ERP und die Online-Sicherung. Montag steht die Produktion, der Energieversorger stoppt die Lieferung, die Wiederherstellung dauert drei Wochen und kostet einen sechsstelligen Betrag. Und bei der Aufarbeitung stellt sich heraus: Jemand hat am Dienstag eine Datei geöffnet und nichts gesagt.

Zum Merken

Der Unterschied zwischen einem Zwischenfall und einer Katastrophe waren hier vier Minuten und ein Anruf. Melden Sie, was Sie geöffnet haben — gerade dann, wenn „nichts passiert ist".

Modul 14 von 15

Verfahren im eigenen Haus

Dieses Modul füllt Ihr Betrieb aus. Der allgemeine Teil dieser Unterweisung endet hier — was jetzt folgt, kennt nur Ihr Unternehmen.

Diese Angaben gehören hinein:

Für die Führung

Der Meldeweg ist der wichtigste Punkt dieser Liste — und der, der am häufigsten unklar bleibt. Die Fristen aus § 32 BSIG (24 Stunden) und Art. 33 DSGVO (72 Stunden) laufen ab Kenntnis im Unternehmen. Wer nicht weiß, wen er am Freitagabend anruft, verbraucht das Wochenende — nicht aus Nachlässigkeit, sondern weil niemand es ihm gesagt hat. Und: Nach § 38 BSIG muss die Geschäftsleitung betroffener Einrichtungen selbst regelmäßig an Schulungen teilnehmen — dieses Zertifikat ist dafür ein Baustein.

Modul 15 von 15

Nachweisführung

Zum Schluss das, was diese Unterweisung zu einem Nachweis macht.

Warum überhaupt ein Nachweis: ISO/IEC 27001 verlangt in Kap. 7.2, dass die Organisation Nachweise der Kompetenz aufbewahrt, und in Kap. 7.3, dass alle Personen die Sicherheitspolitik, ihren Beitrag und die Folgen von Verstößen kennen. Control 6.3 fordert regelmäßige Sensibilisierung und Schulung. Der Auditor fragt beim internen Audit wie im Zertifizierungsaudit als Erstes: Wer wurde wann zu was geschult — zeigen Sie es mir. Dieselbe Frage stellen Kunden in Lieferanten-Fragebögen, die Datenschutz-Aufsicht nach einer Datenpanne und das BSI bei betroffenen Einrichtungen.

Wiederholung: Die Norm nennt keine feste Frist, verlangt aber „regelmäßig". Zertifizierer und das BSI erwarten in der Praxis eine jährliche Unterweisung — außerdem vor dem ersten Zugriff auf Firmensysteme bei Neueinstellung, bei Wechsel der Tätigkeit, nach einem Sicherheitsvorfall im Betrieb und bei wesentlichen Änderungen (neue Systeme, neue Bedrohungen, neue Vorschriften). Ergänzend setzen viele Betriebe unterjährig Phishing-Simulationen oder Kurz-Impulse ein.

Teilnehmerkreis: alle, die Zugang zu Informationen oder Systemen des Unternehmens haben — Beschäftigte, Führungskräfte, Auszubildende, Aushilfen, Zeitarbeitskräfte und externe Dienstleister mit Zugang. Nach § 38 Abs. 3 BSIG muss bei betroffenen Einrichtungen auch die Geschäftsleitung selbst regelmäßig an Schulungen teilnehmen — das ist eine persönliche Pflicht, keine delegierbare.

Dokumentation: Ihr Teilnahmezertifikat trägt Namen, Kurs, Datum, Ergebnis, die vollständige Themenliste und eine Zertifikatsnummer, die über die Prüfseite der Akademie verifizierbar ist. Bewahren Sie es auf und geben Sie eine Kopie an die Stelle, die im Betrieb die Schulungsnachweise führt — in der Regel ISB, Personalabteilung oder QM/ISMS-Beauftragter. Dort gehört es in die Schulungsmatrix als dokumentierte Information nach Kap. 7.5.

Was zusätzlich zu dokumentieren ist: die Kenntnisnahme der betrieblichen Richtlinien (Modul „Verfahren im eigenen Haus") mit Unterschrift oder elektronischer Bestätigung und die Verpflichtung auf Vertraulichkeit bei Einstellung (Control 6.6). Erst beides zusammen — allgemeiner Teil mit Zertifikat, betrieblicher Teil mit Bestätigung — ergibt den Schulungsnachweis, den ein Auditor sehen will.

Zum Merken

Ein Nachweis, den niemand findet, ist keiner. Zertifikat ablegen, in die Schulungsmatrix eintragen, im nächsten Jahr wiederholen — und neue Kolleginnen und Kollegen vor dem ersten Login schulen, nicht danach.

Abschlusstest

25 Fragen, je eine richtige Antwort. Zum Bestehen brauchen Sie 20 richtige (80 %). Die Auswertung erfolgt auf dem Server — hier auf der Seite steht keine Lösung.

Ihr Ergebnis