Grundschutz-Awareness mit Nachweis: Sensibilisierung planen und ihre Wirkung prüfen

SENS umfasst im Katalog vom 29.10.2026 87 Anforderungen, rekursiv über alle Ebenen gezählt: 4 MUSS, 72 SOLLTE und 11 KANN. Fünf davon haben keine Zielobjektkategorie und sind nach 300-1 Kap. 3.4.1 in jedes Anforderungspaket aufzunehmen. Es sind die Verfahrensanforderungen: SENS.1.1 verlangt, Verfahren und Regelungen zur rollenspezifischen Schulung und Sensibilisierung zu verankern, SENS.1.1.1 bis SENS.1.1.3 Dokumentation, Zuweisung der Aufgaben und Bekanntgabe, SENS.1.2 die Erfolgsmessung. Die übrigen 82 richten sich an Personengruppen und kommen über die Zuordnung von Zielobjektkategorien ins Paket.

Ein Blick auf die Aktionswörter lohnt sich. 58 Anforderungen verlangen zu „sensibilisieren“, 12 etwas zu „untersagen“, 11 zu etwas „anzuweisen“, 2 zu „informieren“. Untersagen und anweisen sind Verhaltensregeln: SENS.4.1.2 untersagt die Wiederverwendung von Passwörtern, SENS.8.1 weist an, IT-Systeme vor dem Verlassen des Arbeitsplatzes zu sperren. Dazu passt die Dokumentationsangabe im Katalog: 56 Anforderungen nennen einen Schulungsplan, 26 eine Arbeitsanweisung. Eine Verhaltensregel braucht eine bekannt gemachte Anweisung, eine Sensibilisierung ein Lernziel. Wer beides in einer Jahresschulung bündelt, kann später schwer zeigen, welche Anforderung wodurch erfüllt ist.

SENS steht im Katalog nicht allein. PERS.4.2 verlangt rollenspezifische Schulungen und Sensibilisierungen bei Neuzugang und regelmäßig, im Einklang mit den Anforderungen der Praktik SENS. NOT.3.3 verlangt, Nutzende zum Vorgehen in Notfällen und Krisen zu sensibilisieren. SENS.12.1 sieht als KANN-Anforderung vor, gegen die in der Risikoanalyse festgestellten hohen Risiken zu sensibilisieren. Die Anforderungen zu Eintritt, Wechsel und Austritt behandelt die Praxisseite zu BER und PERS.

Die Zielgruppen stehen im Katalog bereits fest. Die Zielobjektkategorien für Personen bauen nach den Definitionen in 300-1 Anhang 1 aufeinander auf: Mitarbeitende sind Nutzende, die von der Institution beschäftigt werden; Führungskräfte und Administrierende sind Mitarbeitende mit besonderen Aufgaben; die Institutionsleitung gehört zu den Führungskräften. Nutzende umfassen ausdrücklich auch Externe, die die Assets regelmäßig für die Institution benutzen, im Anhang mit dem Beispiel externe Berater. Nach 300-1 Kap. 3.4.2 sind einem Asset auch die übergeordneten Kategorien zuzuordnen. Eine Administratorin erhält damit alle SENS-Anforderungen für Nutzende, für Mitarbeitende und für Administrierende.

Von den 70 Anforderungen für Nutzende gelten 41 ohne weitere Bedingung. 29 sind zusätzlich mit einer Kategorie für Assets verbunden und richten sich nach ihrem Wortlaut an Nutzende eines bestimmten Assets, etwa „Nutzende von Mobilen Endgeräten“ oder „Nutzende von Interpersoneller Kommunikation“; sie kommen nur in Betracht, wenn es diese Assets im Informationsverbund gibt. Die Tabelle zeigt, wie viele SENS-Anforderungen je Personengruppe höchstens anfallen, ohne die fünf Verfahrensanforderungen.

Eine SENS-Anforderung nennt ein Thema. Ein beobachtbares Verhalten beschreibt sie meist nicht. „Sensibilisierung für Nutzende von E-Mailn [sic] SOLLTE zum Erkennen von gefälschten E-Mails sensibilisieren“ (SENS.7.8) sagt, worum es geht, aber nicht, woran Sie den Erfolg sehen. Das Lernziel macht daraus ein Verhalten, das sich prüfen lässt: Die Person erkennt an typischen Merkmalen, dass eine Nachricht gefälscht sein kann, öffnet weder Link noch Anhang und meldet die Nachricht über den bekannten Meldeweg. Damit ist zugleich SENS.2.2 berührt, das zu den Meldewegen informiert, und SENS.2.8, das zum Melden sicherheitsrelevanter Ereignisse anweist.

Drei Fragen helfen beim Formulieren. Was soll die Person tun oder unterlassen? In welcher Situation, also bei welchem Asset und in welcher Rolle? Woran ist erkennbar, dass sie es tut? Die dritte Frage führt direkt zur Wirksamkeitsprüfung. Lässt sie sich nicht beantworten, ist das Lernziel zu allgemein. Mehrere Anforderungen lassen sich zu einem Lernziel bündeln, wenn das Verhalten zusammenhängt, etwa Erkennen und Melden. Die Zuordnung bleibt in der Matrix sichtbar, damit jede Anforderung einen Nachweis hat.

SENS.1.2 verlangt, den Erfolg der Sensibilisierung anhand objektivierter Kriterien regelmäßig zu überprüfen; beide Angaben sind Parameter, die Sie nach 300-1 Kap. 3.5 konkretisieren. Die Erläuterung im Katalog nennt quantitative und qualitative Kriterien, die unabhängig nachvollziehbar und überprüfbar sind, und macht den Erfolg an zwei Dingen fest: am erworbenen Wissen der Zielgruppen und an der tatsächlich umgesetzten Praxis. Eine Teilnahmeliste belegt keines von beiden. Sie zeigt, wen eine Maßnahme erreicht hat; das ist eine Voraussetzung für die Messung.

Für das Wissen eignen sich kurze Fragen vor und nach einer Übung oder Fallbesprechungen, in denen die Gruppe eine Situation lösen muss. Für die Praxis eignen sich Beobachtungen und Daten aus dem Betrieb: ein Rundgang nach Dienstschluss mit festem Prüfschema für Bildschirmsperre und aufgeräumte Arbeitsplätze, Auswertungen aus dem Ticketsystem zu Meldungen, technische Auswertungen etwa zu Internetzugriffen mit Administrationskonten, Übungsmails mit Messung der Meldungen. Jedes Kriterium braucht eine Festlegung vorab: was gemessen wird, wie, ab welchem Wert das Ziel erreicht ist und was bei Verfehlen passiert.

Messungen zum Verhalten von Beschäftigten berühren Datenschutz und Mitbestimmung. Ob und in welcher Form etwa Übungsmails und ihre Auswertung zulässig sind, klären Sie vorab mit Datenschutz, Personalvertretung oder Betriebsrat und Ihrer Rechtsabteilung. SENS.1.2 nennt keine Auswertung je Person. Eine Auswertung je Zielgruppe oder Bereich, die Ergebnisse nicht einzelnen Personen zuordnet und bei kleinen Gruppen zusammenfasst, hält den Eingriff geringer und zeigt trotzdem, ob die Sensibilisierung wirkt. Einheitliche Vorgaben zur Leistungsbewertung stehen nach 300-1 Kap. 5.1 noch aus; der Meilensteinplan des BSI kündigt zum 26.02.2027 ein Konzept zur Leistungsmessung des ISMS und zum 31.03.2027 Leistungskennzahlen für die Anforderungen der Methodik-Praktiken an. Der Methodik-Katalog der Stand-der-Technik-Bibliothek enthält die Praktiken GC, STM, UMS, VRB und PERF; SENS gehört nicht dazu. Die Kriterien für SENS.1.2 legen Sie deshalb nach heutigem Stand selbst fest und gleichen sie an, wenn das Konzept zur Leistungsmessung vorliegt.

Die Wohnungsgesellschaft Musterland (WGM) ist erfunden. Sie hat eine Verwaltung, einen Hausmeisterdienst mit dienstlichen Smartphones, eine kleine IT-Administration und ein externes Callcenter, das Mieteranfragen annimmt und damit zu den Nutzenden zählt. Die Matrix zeigt einen Ausschnitt ihres Sensibilisierungsplans. Schwellenwerte und Ergebnisse sind erfunden und keine Empfehlung für Ihre Werte.

Im ersten Durchlauf erreicht die WGM zwei Ziele nicht. Die Meldequote bei den Übungsmails liegt im Callcenter deutlich unter der Schwelle, und beim Rundgang fallen in einem Bereich offene Aktenordner auf. Beides ist ein verwertbares Ergebnis: Im Callcenter zeigt die Nachfrage, dass die Meldeadresse dort nicht bekannt war, weil die Beschäftigten des Dienstleisters keinen Zugang zum Intranet haben. Die WGM ergänzt den Meldeweg im Gesprächsleitfaden und nimmt die Bekanntgabe in die Vereinbarung mit dem Dienstleister auf. Im zweiten Fall fehlen abschließbare Schränke; die Maßnahme liegt beim Gebäudemanagement.

Die Auswertung geht in die Überwachung des ISMS ein. Wer die Ergebnisse je Zielgruppe über mehrere Durchläufe vergleicht, sieht, ob eine Übung wirkt oder ersetzt werden muss. Der Erfolg der Sensibilisierung wird damit Teil der Leistungsbewertung, die nach 300-1 Kap. 5.1 nachvollziehbar der Institutionsleitung vorgelegt werden soll; wie eine solche Vorlage aussieht, zeigt die Seite Managementbewertung und Kennzahlen.

Die Fragen richten sich an die Person, die das Verfahren nach SENS.1.1 verantwortet. Sie ersetzen nicht die Bewertung jeder einzelnen Anforderung Ihres Anforderungspakets.