Die meisten Sicherheitsvorfälle in einem kleinen Unternehmen beginnen nicht mit einem Hacker, der eine Firewall durchbricht. Sie beginnen mit einem Mitarbeitenden, der auf einen Link klickt, ein Passwort weitergibt oder eine Datei an die falsche Person schickt. Die DSGVO erwartet, dass Sie Ihr Team darauf vorbereiten. Dieser Artikel erklärt, was das Gesetz verlangt, wie eine machbare Schulungsroutine für ein kleines Team aussieht und was die zwei kostenlosen GDPRWise-Kurse und die offizielle Prüfung in der App abdecken.
Warum Menschen die Schwachstelle sind, mit den häufigsten Szenarien, erklärt Der menschliche Faktor: Warum die meisten Datenschutzverletzungen bei Ihren Mitarbeitern beginnen. In diesem Artikel geht es um die Schulung selbst.
Was die DSGVO von Ihnen erwartet
Die DSGVO schreibt kein bestimmtes Schulungsprogramm vor. Sie legt aber einige Pflichten fest, die ohne Schulung kaum zu erfüllen sind:
- Integrität und Vertraulichkeit (Artikel 5 Absatz 1 Buchstabe f). Personenbezogene Daten müssen vor unbefugtem Zugriff, Verlust und Schädigung geschützt sein. Das ist ein Grundsatz, kein technisches Detail.
- Geeignete Maßnahmen (Artikel 32 Absatz 1). Sie müssen geeignete technische und organisatorische Maßnahmen treffen. Die Schulung der Menschen, die mit personenbezogenen Daten arbeiten, ist eine der häufigsten organisatorischen Maßnahmen.
- Arbeiten auf Anweisung (Artikel 32 Absatz 4). Wer Ihnen unterstellt ist und Zugang zu personenbezogenen Daten hat, darf sie nur auf Ihre Anweisung verarbeiten. Mitarbeitende können nur Anweisungen befolgen, die sie kennen.
- Datenpannen melden (Artikel 33). Muss eine Verletzung des Schutzes personenbezogener Daten gemeldet werden, haben Sie 72 Stunden ab Kenntnis, um die Aufsichtsbehörde zu informieren. Diese Frist funktioniert nur, wenn Mitarbeitende eine verdächtige E-Mail oder einen Fehler sofort an Sie melden.
- Die Aufgabe des Datenschutzbeauftragten (Artikel 39 Absatz 1 Buchstabe b). Haben Sie einen Datenschutzbeauftragten benannt, gehört die Sensibilisierung und Schulung der Mitarbeitenden ausdrücklich zu seinen Aufgaben.
Die Frage ist also nicht, ob Sie Ihr Team schulen, sondern wie Sie das praktisch umsetzen und später nachweisen können.
Wenn NIS2 für Ihr Unternehmen gilt
Manche Unternehmen fallen zusätzlich unter NIS2, die EU-Richtlinie zur Cybersicherheit (Richtlinie (EU) 2022/2555). Für betroffene Unternehmen ist Schulung ausdrücklicher geregelt:
- Artikel 21 Absatz 2 Buchstabe g nennt grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit als Risikomanagementmaßnahmen.
- Artikel 20 Absatz 2 verpflichtet die Mitglieder der Leitungsorgane zur Teilnahme an Schulungen und regt an, dass Unternehmen ihren Mitarbeitenden regelmäßig entsprechende Schulungen anbieten.
Ob NIS2 gilt, hängt von Branche und Größe ab, und jedes Land hat ein eigenes Umsetzungsgesetz. Lesen Sie GDPRWise und NIS2, um zu sehen, wer betroffen ist.
Was die kostenlosen Kurse abdecken
GDPRWise bietet genau für dieses Thema zwei kostenlose Kurse an. Sie laufen im Browser, brauchen kein Konto, bestehen aus kurzen Modulen in klarer Sprache und enden mit einem kostenlosen Übungsquiz.
Phishing erkennen behandelt den häufigsten Weg, auf dem etwas schiefgeht:
- Was ist Phishing?
- E-Mails prüfen
- Smishing und Chat
- Am Arbeitsplatz und was zu tun ist
Security Awareness behandelt die Gewohnheiten im Alltag drumherum:
- Warum Sicherheit alle angeht
- Konten absichern: Passwort, 2FA und Passkeys
- Zugriff und Systeme
- Sicherer Umgang mit Daten
- Eine Datenpanne erkennen und melden
Zusammen decken sie beide Seiten ab: einen Angriff erkennen, und die Gewohnheiten, die den Schaden begrenzen, wenn doch einer durchkommt.
Die offizielle Prüfung in der App und die Teilnahmebestätigung
Das Übungsquiz hilft Mitarbeitenden zu prüfen, was sie gelernt haben, hinterlässt aber keinen Nachweis. Dafür hat die GDPRWise-App eine Schulungsfunktion mit einer offiziellen Prüfung pro Kurs. Sie ist in den kostenpflichtigen Plänen enthalten.
Beide haben unterschiedliche Aufgaben:
- Das Übungsquiz auf der Website hat fünf Fragen zur Selbstkontrolle. Es wird nichts gespeichert, und es gibt keine Teilnahmebestätigung.
- Die offizielle Prüfung in der App hat 15 Fragen pro Kurs aus einem eigenen Fragenpool, der nicht auf der Website steht, und eine Bestehensgrenze von 70 %. Wer sie besteht, erhält eine Teilnahmebestätigung auf den eigenen Namen.
In der App weist die Kontoinhaberin oder der Kontoinhaber die Schulung den Mitarbeitenden zu und sieht für jede Person Fortschritt, Abschluss und Ergebnis, sodass Sie keine separate Liste führen müssen.
Alle Mitarbeitenden, die die offizielle Prüfung ablegen, erhalten eine Teilnahmebestätigung. Sie zeigt, dass diese Person die Schulung absolviert hat, und gibt Ihnen damit einen einfachen, dokumentierten Nachweis einer organisatorischen Maßnahme nach Artikel 32. Sie ist keine berufliche Zertifizierung, und die Kurse allein machen Ihr Unternehmen nicht konform; sie sind ein Teil Ihrer Sicherheitsmaßnahmen.
Ein praktischer Schulungsplan für ein kleines Team
- Alle absolvieren beide Kurse. Nicht nur das Büropersonal: alle mit einer E-Mail-Adresse oder Zugriff auf Kunden- oder Personaldaten.
- Legen Sie einen Meldeweg fest. Vereinbaren Sie einen einzigen Weg, um eine verdächtige Nachricht oder einen Fehler zu melden, zum Beispiel eine benannte Kollegin oder eine gemeinsame Adresse. Machen Sie klar, dass schnelles Melden immer richtig ist, auch nach einem Klick.
- Simulationen nur mit Ankündigung. Testen Sie mit gefälschten Phishing-Mails, informieren Sie die Mitarbeitenden darüber, und nutzen Sie die Ergebnisse zum Lernen, nie zum Bestrafen.
- Jährlich und nach Vorfällen auffrischen. Wiederholen Sie die Kurse einmal im Jahr, und ergänzen Sie eine kurze Auffrischung nach einem Beinahe-Vorfall, einer neuen Betrugsmasche, einem neuen System oder einer Neueinstellung.
- Dokumentieren Sie es. Die App zeigt, wer die offizielle Prüfung wann und mit welchem Ergebnis abgelegt hat. Zusammen mit den Teilnahmebestätigungen in der App zeigt das, was Sie getan haben.
Für das Vorgehen, wenn doch etwas schiefgeht, lesen Sie Datenschutzverletzung: Was ist das und was müssen Sie tun?.
Schulung wirkt am besten, wenn Ihr Team weiß, worum es geht. Scannen Sie Ihre Website und bauen Sie Ihr DSGVO-Dossier mit GDPRWise auf, und schulen Sie Ihr Team darauf aufbauend.