🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[Informationssicherheitsbeauftragte(r)]]

---

#### 1. Zweck des Dokuments
Dieses Dokument beschreibt die Sensibilisierungsmaßnahmen der Beispiel-Unternehmen GmbH im Rahmen des ISMS. Ziel ist es, das Bewusstsein der Mitarbeitenden und Dienstleister für Informationssicherheit und Datenschutz nachhaltig zu stärken und sicherzustellen, dass Sicherheitsvorgaben und Best Practices im Arbeitsalltag konsequent eingehalten werden.

#### 2. Geltungsbereich
Diese Sensibilisierungsmaßnahmen gelten für alle Mitarbeitenden, einschließlich externer Dienstleister und Partner, die Zugang zu den IT-Systemen, Daten oder geschäftskritischen Prozessen der Beispiel-Unternehmen GmbH haben.

---

## 3. Sensibilisierungsmaßnahmen

### **3.1 Regelmäßige Schulungen**
- **Pflichtschulungen**:
  - Alle Mitarbeitenden nehmen mindestens einmal jährlich an einer Schulung zur Informationssicherheit teil (siehe [[01.04 Schulungsplan ISMS]]).
  - Neue Mitarbeitende erhalten im Rahmen des Onboardings eine umfassende Einführung in die Sicherheitsrichtlinien, insbesondere:
    - [[01.51 IT-Sicherheitsrichtlinie]]  
    - [[01.55 Datenschutzrichtlinie]]  
    - [[01.53 E-Mail- und Kommunikationsrichtlinie]]  
- **Spezifische Schulungen**:
  - Sensibilisierung für besondere Risiken wie Social Engineering oder Datenschutz im Homeoffice.

### **3.2 Kampagnen und Awareness-Materialien**
- **Simulierte Phishing-Kampagnen**:
  - Quartalsweise simulierte Phishing-Angriffe mit anonymisierter Auswertung.
  - Aus den Ergebnissen werden Maßnahmen abgeleitet, z. B. zielgerichtete Schulungen.
- **Awareness-Materialien**:
  - Verteilung von E-Mails, Postern und Infografiken zu aktuellen Themen wie Passwortsicherheit, Ransomware oder Umgang mit mobilen Geräten.
  - Bereitstellung von Quick-Guides und FAQs im Intranet.

### **3.3 Interaktive Formate**
- **Workshops und Webinare**:
  - Halbjährliche Veranstaltungen zu Themen wie sichere Cloud-Nutzung, Ransomware-Abwehr oder Umgang mit privaten Geräten im Unternehmensnetzwerk (BYOD).
- **Quiz und Sicherheitswettbewerbe**:
  - Jährliche Sicherheitsquiz mit Belohnungen (z. B. Gutscheine oder kleine Preise), um die Beteiligung zu fördern und Wissen zu testen.

### **3.4 Unterstützung durch Rollen**
- **Ansprechpartner**:
  - Der/die [[Informationssicherheitsbeauftragte(r)]] unterstützt alle Mitarbeitenden bei Sicherheitsfragen und organisiert Awareness-Initiativen.
  - Der/die [[Datenschutzbeauftragte(r)]] steht bei datenschutzrechtlichen Fragestellungen zur Verfügung und bietet regelmäßig Kurzberatungen an.
- **Botschafter für Sicherheit**:
  - Ernennung von Sicherheitsbotschaftern in den Teams, die Sicherheitskultur fördern und als erste Anlaufstelle für Fragen dienen.

### **3.5 Integration in den Arbeitsalltag**
- **Team-Meetings**:
  - Einbindung kurzer Sicherheitsupdates in regelmäßige Team-Meetings, z. B. zu neuen Bedrohungen oder internen Sicherheitsrichtlinien.
- **Sicherheits-Checklisten**:
  - Einführung und Nutzung von Checklisten für den sicheren Umgang mit IT-Systemen und Daten, z. B. vor Geschäftsreisen oder bei externen Präsentationen.
- **Gamification-Elemente**:
  - Belohnung für Teams, die besonders wenige Fehler in simulierten Phishing-Tests machen, um Sicherheitskultur positiv zu fördern.

---

## 4. Überprüfung und Anpassung
- **Evaluierung der Maßnahmen**:
  - Halbjährliche Überprüfung der Wirksamkeit anhand:
    - Ergebnisse der Phishing-Kampagnen.
    - Feedback und Teilnahmequoten aus Workshops und Quiz.
    - Sicherheitsvorfälle, die auf menschliches Fehlverhalten zurückzuführen sind.
  - Verbesserungen werden dokumentiert und in den nächsten Sensibilisierungszyklus integriert.
- **Bericht an die Geschäftsführung**:
  - Jährlicher Bericht über die Ergebnisse und Wirksamkeit der Maßnahmen mit konkreten Verbesserungsvorschlägen für die nächste Planungsperiode.

---

🏷️ **Tags:**  
- #Sensibilisierung #Informationssicherheit #Datenschutz #ISMS_Policy_01.05 #ISO_Kontrolle_7_3
