So verschwenden Sie nicht 6 Monate für Ihre Security-Awareness-Ausschreibung

Kennen Sie das Gefühl, wenn Sie einen Umweg nehmen, um einem Stau zu entgehen, 10 Minuten über Schleichwege fahren und am Ende doch wieder genau hinter dem Bus landen, dem Sie eigentlich ausweichen wollten? Der ganze Aufwand war vergeblich.

Ziemlich genau so laufen viele Ausschreibungen für Security-Awareness-Lösungen ab. Sechs Monate Arbeit, eine neue Plattform, und 18 Monate später fragt die Geschäftsführung, was sich eigentlich verändert hat. Die Klick- und Melderaten liegen den Auswertungen zufolge in etwa wieder auf demselben Niveau wie vor dem ersten Knick. Grund ist häufig, dass der Prozess stärker im Fokus steht als das Ergebnis. Der Wechsel des Tools wird zum eigentlichen Ziel, und irgendwo auf dem Weg verlieren die Teams aus den Augen, welches Problem sie eigentlich lösen wollten – wenn ihnen dies denn überhaupt klar war.

Ich leite die Vorverkaufs- und Angebotsteams bei SoSafe und sehe daher viele dieser Evaluierungen von der Anbieterseite aus. Lassen Sie mich Ihnen sagen, was ich anders machen würde, wenn ich auf Ihrer Seite stünde.

Das sollten Sie klären, bevor Sie mit Anbietern sprechen

Eigentlich wollen wir doch alle dasselbe: Sicherheit im Unternehmen schaffen, nicht zu viel bezahlen, den Verwaltungsaufwand reduzieren und ein Tool einführen, das die Belegschaft tatsächlich gerne nutzt.

Dieses Ziel erreichen Sie nicht, indem Sie eine Feature-Checkliste erstellen. Setzen Sie stattdessen am anderen Ende an und arbeiten Sie sich ausgehend vom tatsächlichen Arbeitsalltag rückwärts vor.

Wem möchten Sie helfen und was muss sich für diese Personen ändern?

Eine Person, die in der Fabrikhalle arbeitet, lernt und arbeitet nicht auf dieselbe Weise wie jemand am Schreibtisch, und das Problem kann von Team zu Team völlig unterschiedlich aussehen. So könnte etwa die Finanzabteilung mit gefälschten Zahlungsaufforderungen zu kämpfen haben oder das Entwicklungsteam gibt Code in nicht freigegebene KI-Tools ein.

Was ist für Sie noch unsichtbar?

Angenommen, Sie kennen Ihre Klickraten, wissen aber nicht, welches Team verdächtige E-Mails häufiger meldet als andere. Diesen blinden Fleck sollten Sie bei Ihrem nächsten Tool unbedingt vermeiden.

Was kann Ihr aktuelles Tool nicht leisten?

Wenn Sie ständig Workarounds für etwas finden müssen, ist das meist ein Zeichen dafür, dass etwas fehlt.

Was werden Ihr Vorstand und Auditoren verlangen?

Was Ihr Vorstand möchte und was ein Auditor oder eine Aufsichtsbehörde erwartet, kann etwas völlig Unterschiedliches sein.

Wer macht was?

Was kann die Plattform für Sie übernehmen? An welchen Stellen muss Ihr Team noch selbst eingreifen? Und was bleibt in jedem Fall an Ihnen hängen?

Was, wenn Ihr aktueller Anbieter die beste Lösung ist?

Schreiben Sie Ihren derzeitigen Anbieter nicht von vornherein ab. Prüfen Sie ihn genauso wie alle anderen. Vielleicht haben Sie bereits alles, was Sie brauchen, und nutzen es nur nicht. Wenn nicht, wissen Sie zumindest sicher, warum Sie wechseln.

Die richtigen Kriterien richtig bewerten

Ich verstehe, warum bei Ausschreibungen so oft riesige Feature-Tabellen erstellt werden. Einkaufsteams können sie leicht beurteilen, Anbieter können sie leicht beantworten. Doch Tabellen verleiten schnell dazu, hauptsächlich darauf zu achten, welcher Anbieter eine höhere Zahl an Funktionen oder besser klingende Kennzahlen bietet. Dabei vergisst man schnell, wirklich zu fragen, welches Tool eigentlich das ursprüngliche Problem löst.

Wenn das Ziel lautet, Mitarbeitende dabei zu unterstützen, mit echten Bedrohungen besser umzugehen, führen mehr Features nicht automatisch ans Ziel. Ein Beispiel sind Inhaltsbibliotheken: Eine Bibliothek mit Tausenden generischen Modulen klingt beeindruckend, aber mir wäre wichtiger, in welchen Sprachen die Inhalte verfügbar sind, ob sie für die richtigen Personen relevant sind und ob die Nutzenden gerne mit ihnen interagieren.

An Kennzahlen würde ich mit der gleichen Einstellung herangehen. Egal, wie viele Dashboards Sie haben: Wenn diese Ihnen nicht zeigen, ob Ihre Mitarbeitenden sicherere Entscheidungen treffen oder wo Sie noch ungeschützt sind, bringen sie Ihnen nicht viel.

Betrachten Sie die Ausschreibungsanforderungen nicht als in Stein gemeißelt. Wenn ein Punkt nur auf der Liste steht, weil er in der letzten Ausschreibung vorkam oder aus einer Anbietervorlage stammt, hinterfragen Sie seinen Zweck, bevor Sie ihn für die Bewertung zugrunde legen.

Und schließlich: Wenn ein Aspekt kaum ins Gewicht fällt, sollten Sie ihn nicht genauso stark gewichten wie etwas, von dem das gesamte Programm abhängt.

Was die Produktdemo Ihnen nicht zeigt

Eine Produktdemo verrät Ihnen nicht, wie viel Verwaltungsaufwand das Tool mit sich bringt – ein paar Wochen tatsächliche Nutzung hingegen schon. Mit einem Wertnachweis in Ihrer eigenen Umgebung finden Sie es schneller heraus und verwenden dabei Ihre eigenen Verzeichnisse, Nutzendengruppen und Workflows.

Spielen Sie ganz bewusst auch die langweiligen Aufgaben durch. Wie wird mit neuen und ausscheidenden Mitarbeitenden umgegangen? Wie schnell lässt sich eine Kampagne anpassen? Wenn etwas als „automatisiert“ bezeichnet wird, schauen Sie es sich dennoch genauer an. Arbeiten Sie den Prozess durch und prüfen Sie, was für Ihr Team noch zu tun bleibt, denn 10 Minuten hier und 20 Minuten dort summieren sich schneller, als Sie denken. Diese Zeit ist ebenfalls Teil der Kosten, unabhängig davon, ob sie auf der Rechnung steht oder nicht.

Werfen Sie auch einen Blick auf alles, was rund um die Plattform passieren muss: die SSO-Einrichtung, der API-Zugriff, die Bereinigung von Verzeichnissen, Datenschutzprüfungen, Betriebsratsabstimmungen, Inhaltsfreigaben, interne Kommunikation und Change-Management. Manche Dinge, die Sie für Standard hielten, sind möglicherweise bei manchen Anbietern erst in einem teureren Paket enthalten oder kosten Sie am Ende mehr Zeit, als Sie bei der Lizenz gespart haben.

Oft wirken in einer Demo Prozesse völlig unkompliziert, die in Wirklichkeit einiges an manueller Arbeit erfordern. Das gilt besonders für regelmäßige CSV-Uploads, die nur so lange einfach wirken, bis Mitarbeitende neu zum Unternehmen hinzukommen, das Team wechseln oder das Unternehmen verlassen und jemand das Ganze aktuell halten muss. Beim Compliance-Reporting kann es ähnlich aussehen: Wenn weiterhin jemand die Daten exportieren und den Report an anderer Stelle neu erstellen muss, kann man kaum von Automatisierung sprechen. Auch Themen wie Data Residency, Unterauftragsverarbeiter oder Sicherheitszertifizierungen sollten Sie nicht erst später von der Rechtsabteilung klären lassen.

Sie sollten wissen, worauf Sie sich einlassen, bevor Sie unterschreiben – und nicht erst mitten in der Implementierungsphase.

Auf die andere Seite blicken

Versetzen Sie sich nun für einen Moment in Ihre Mitarbeitenden hinein, die das Tool nutzen werden. Sie klicken auf eine Simulation. Lernen Sie etwas Nützliches oder haben Sie nur das Gefühl, erwischt worden zu sein? Sie melden eine verdächtige E-Mail. Erhalten Sie eine Rückmeldung oder landet die Meldung einfach in einer Warteschlange? Wenn Mitarbeitende immer nur in Form eines weiteren Tests, einer Erinnerung oder eines Pflichtmoduls von Ihrer Abteilung hören, werden sie früher oder später mental abschalten. Versuchen Sie, diese Überlegungen in den Ausschreibungsprozess einfließen zu lassen. Dieser Punkt ist zwar weniger greifbar und lässt sich nicht einfach per Kontrollkästchen abhaken, aber letztendlich geht es schließlich darum, womit Ihre Teams langfristig arbeiten müssen.

Hören Sie sich um. Möglicherweise werden Sie das Tool viele Jahre lang nutzen, daher lohnt es sich, von anderen zu hören, wie es läuft, sobald sich alle daran gewöhnt haben. Sprechen Sie mit Kunden, die das Tool seit etwa 18 Monaten im Einsatz haben. Fragen Sie sie, ob die Mitarbeitenden die Plattform noch immer aktiv nutzen, ob der Support weiterhin gut erreichbar ist und was sie gerne früher gewusst hätten.

Definieren Sie Erfolg, bevor Sie unterschreiben

Solange der Anbieter Ihnen noch seine Aufmerksamkeit schenkt, sollten Sie mit ihm klären, wie Erfolg aussieht. Was werden Sie messen, was soll sich verbessern und wie oft werden Sie dies überprüfen? Nur so wissen Sie ein oder zwei Jahre später, ob das Tool seinen Zweck noch erfüllt.

Wenn Sie nach 6 Monaten Ausschreibungsarbeit nur wissen, welcher Anbieter in Ihrer Checkliste die höchste Punktzahl erreicht hat, haben Sie die Hälfte dessen verpasst, was der Prozess Ihnen zeigen könnte. Im Idealfall sollten Sie nach diesem Evaluierungsprozess auch Ihr eigenes Programm besser verstehen. Nehmen Sie dies als Grundstein für die Zukunft und die Chancen stehen viel besser, dass die Plattform genau das leistet, wofür Sie sie ausgewählt haben.

Zur Person

Harry Jeyarajah
Head of Solution Engineering

Harry Jeyarajah leitet das Solution-Engineering-Team bei SoSafe. Dort unterstützt er Führungskräfte im Sicherheitsbereich dabei, ihre Awareness-Investitionen mit handfesten Belegen zu untermauern – von der Risikominimierung bis zur Verhaltensänderung. Er verfügt über 10 Jahre Erfahrung in der Digitalbranche in der DACH-Region, insbesondere in den Bereichen A/B-Testing, IT-Infrastruktur für Web und Apps, Content Management und Human Risk Management.

Mehr erfahren