Security Awareness: Security Awareness bezeichnet die nach ISO/IEC 27001:2022, Anhang A 6.3, geforderte Sensibilisierung, Aus- und Weiterbildung aller Mitarbeitenden im Umgang mit Informationssicherheitsrisiken, um menschliches Fehlverhalten als häufige Ursache von Sicherheitsvorfällen zu reduzieren.
Anhang A 6.3 der ISO 27001:2022 verlangt, dass Mitarbeitende, Führungskräfte und relevante externe Parteien angemessene Sensibilisierung, Aus- und Weiterbildung zu den für ihre Aufgabe relevanten Informationssicherheitsrichtlinien und -verfahren erhalten. Die Norm schreibt keine bestimmte Methode vor; verbreitet sind:
- Klassische Präsenz- oder Online-Schulungen bei Einstellung und in regelmäßigen Abständen
- E-Learning-Module mit Erfolgskontrolle
- Phishing-Simulationen zur praktischen Sensibilisierung gegen Social Engineering
- Aushänge, Intranet-Beiträge und kurze Auffrischungen zu aktuellen Bedrohungslagen
Inhaltlich sollten Schulungen mindestens den sicheren Umgang mit Passwörtern, das Erkennen von Phishing-Versuchen, den Umgang mit mobilen Geräten und die Meldepflicht bei Sicherheitsvorfällen abdecken. Menschliches Fehlverhalten gilt in der Fachliteratur zur Informationssicherheit regelmäßig als eine der häufigsten Ursachen für erfolgreiche Angriffe, weshalb Security Awareness als eine der wirksamsten und zugleich kostengünstigsten Schutzmaßnahmen eines ISMS gilt.
Wirksame Programme differenzieren zwischen Zielgruppen: IT-Administratorinnen und -Administratoren benötigen vertiefte Schulung zu Themen wie Berechtigungskonzepten und Patch-Management, während die breite Belegschaft vor allem grundlegende Verhaltensregeln zu Passwörtern, E-Mail-Anhängen und dem Melden verdächtiger Vorfälle braucht. Führungskräfte werden häufig gesondert adressiert, da sie oft gezielt Ziel von Angriffen wie CEO-Fraud sind. In der Vorgängerversion ISO 27001:2013 war die Anforderung unter Control A.7.2.2 verortet; mit der Revision 2022 wurde sie im neu geordneten Anhang A als Control 6.3 fortgeführt, inhaltlich aber im Kern unverändert.
Relevanz für die Zertifizierung
Im ISO-27001-Audit verlangt der Auditor Nachweise, dass Schulungen tatsächlich stattgefunden haben, etwa in Form von Teilnehmerlisten, Schulungsunterlagen oder Auswertungen von Phishing-Simulationen. Fehlt ein dokumentiertes, wiederkehrendes Schulungskonzept oder lässt sich für neue Mitarbeitende keine Einweisung nachweisen, führt das im Stufe-2-Audit regelmäßig zu einer Abweichung gegen Anhang A 6.3. Auch die inhaltliche Aktualität zählt: Schulungsunterlagen, die seit Jahren unverändert sind und aktuelle Angriffsmuster wie KI-gestütztes Phishing oder gefälschte Sprachnachrichten nicht abbilden, werden von erfahrenen Auditoren kritisch hinterfragt und als Verbesserungspotenzial vermerkt.
Häufige Fragen zu Security Awareness
Ja. Anhang A 6.3 der ISO 27001:2022 fordert verbindlich Sensibilisierung, Aus- und Weiterbildung für alle Mitarbeitenden zu Informationssicherheitsthemen. Ohne nachweisbares Schulungskonzept ist eine Zertifizierung nach ISO 27001 nicht möglich.
Die Norm gibt keine feste Frist vor, verlangt aber eine dem Risiko angemessene, wiederkehrende Schulung. Üblich ist eine jährliche Auffrischung, ergänzt um eine verpflichtende Einweisung beim Onboarding neuer Mitarbeitender sowie anlassbezogene Schulungen nach Sicherheitsvorfällen.
Typischerweise Schulungsnachweise, Teilnehmerlisten, Schulungsinhalte und, sofern eingesetzt, Auswertungen von Phishing-Simulationen. Auch Stichprobeninterviews mit einzelnen Mitarbeitenden zum Erkennen von Phishing-Mails sind im Audit üblich.