Letzte Überprüfung am 4. November 2026 anhand der in diesem Beitrag verlinkten Quellen.
Der Vorstand tagt am Donnerstag, und der Vorsitzende hat eine Frage an den CISO: „Wenn wir morgen von Ransomware angegriffen würden, wer entscheidet wie, und haben wir das geübt?“ Die Tools sind wichtig, aber die Antwort hängt von Governance, Übungen und Mitarbeitern ab, die schnell reagieren. Genau das muss die Cybersicherheitsschulung für Führungskräfte vermitteln. Das NIST hat dies in seinem Cybersecurity Framework 2.0 hervorgehoben und eine sechste Funktion hinzugefügt. Steuerung, einschließlich Rollen, Verantwortlichkeiten und Befugnisse, Richtlinien und Überwachung der Cybersicherheitsstrategie.
Diese Liste bietet CISOs die Kurse, die sie zur Durchführung dieses Programms benötigen. Sie erhalten 10 vorgefertigte Kurse in 3 Gruppen, die jeweils beschreiben, welche Probleme behoben werden und wie die Implementierung erfolgt. Jede Gruppe schließt mit einem Unsere WahlDie rechtlichen Ausführungen beschreiben US-Bundesgesetze; verwenden Sie dies daher als Leitfaden, nicht als Urteil.
Alle 10 Kurse im Überblick
| Kurse | Was es abdeckt | Länge | Das Gesetz dahinter? |
|---|---|---|---|
| Cyber-Risikomanagement für Manager und Vorstände | Fünf Fragen an den Vorstand, Risikobereitschaft und Krisenentscheidungen | 40 Minuten | Nein |
| IT-Governance, Unternehmensarchitektur und IT-Audit: COBIT und TOGAF | Governance-Ziele, Architekturmethode und Auditplanung | 45 Minuten | Nein |
| ISO/IEC 27001 und das ISMS | Richtlinien in die Praxis umsetzen, Ausnahmen und das Gespräch mit einem Auditor | 40 Minuten | Nein |
| Ransomware-Tischspiel für Manager | Die erste Stunde, wer entscheidet und wer spricht, Backups | 60 Minuten | Nein |
| Bewusstsein für Insiderbedrohungen | Risikoindikatoren, Rekrutierungsmethoden und Berichterstattung | 30 Minuten | Ja (US-zugelassene Auftragnehmer) |
| Grundlagen des Sicherheitsbewusstseins | Die Phasen eines Angriffs und grundlegende Gewohnheiten | 35 Minuten | Ja (US-amerikanische Finanzinstitute) |
| Phishing und Social Engineering | Warnsignale, Überprüfung und Meldung | 30 Minuten | Nein |
| Passwörter, Passkeys und Multi-Faktor-Authentifizierung | Sichere Anmeldungen, MFA, Passkeys und Wiederherstellung | 30 Minuten | Nein |
| KI-Sicherheit für alle | Schatten-KI, Prompt-Injektion und manipulierte Ausgaben | 30 Minuten | Nein |
| Social Engineering, Betrug und Deepfakes | Telefon-, Zahlungs- und Identitätsbetrug | 35 Minuten | Nein |
Zwei Kurse basieren auf einer US-Bundesverordnung und gelten nur für bestimmte Organisationen. Gemäß der NISPOM-Regel müssen sicherheitsüberprüfte Rüstungsunternehmen neu sicherheitsüberprüfte Mitarbeiter Schulung zur Sensibilisierung für Insiderbedrohungen vor der Gewährung des Zugangs zu Verschlusssachen und die erstmalige und jährliche Fertigstellung zu bestätigen. Die FTC-Schutzregel besagt, dass betroffene Finanzinstitute Folgendes gewährleisten müssen: Sicherheitsschulungen für ihre MitarbeiterKeiner von beiden gibt einen Kurs für alle anderen vor.
Governance und Rahmenbedingungen
Cyber-Risikomanagement für Manager und Vorstände
Dieser 40-minütige Kurs behandelt Cyberrisiken als Geschäftsrisiken. Er umfasst fünf Fragen zu Ihrer Organisation, Ihrer Risikobereitschaft und einem kurzen Dashboard, die Grauzonen bei Kostenübernahme, Kommunikation und Abwägungen, die Herkunft von Verantwortlichkeiten und die nächsten Schritte der Führungsebene. Ein CISO kann den Kurs vor einer Vorstandssitzung mit dem Führungsteam durchführen. Die Frage „Ein Dashboard zeigt Hunderte von Kennzahlen“ dient als Auswahlfolie und regt die richtige Diskussion an. Vorstandsmitglieder erhalten ihre eigene Liste. Leitfaden für die Schulung von Aufsichtsräten.
IT-Governance-, Unternehmensarchitektur- und IT-Audit-Frameworks: COBIT und TOGAF
Dieser 45-minütige Kurs beginnt mit dem Thema „Ein System, für das niemand verantwortlich war“ und behandelt anschließend die Bedeutung von IT-Governance für Wertschöpfung, Risiko und Ressourcen, den Unterschied zwischen Governance- und Managementzielen, die Architekturentwicklungsmethode, Reifegradmodelle und die Planung eines IT-Audits mit Bericht an die Führungsebene. Er bietet IT-Managern, die dem CISO unterstellt sind, einen gemeinsamen Rahmen. Die Sortierübung „Governance oder Management?“ ermöglicht eine schnelle Auswahl der richtigen Antwort.
ISO/IEC 27001 und das Informationssicherheitsmanagementsystem
Der CISO ist in der Regel für das ISMS verantwortlich, und jeder Mitarbeiter ist daran beteiligt. Dieser 40-minütige Kurs erklärt, was ein ISMS ist, wie Richtlinien in die Praxis umgesetzt werden, wie mit Ausnahmen und Schwächen umgegangen wird und wie man mit einem Auditor kommuniziert. Führen Sie den Kurs vor einem Zertifizierungs- oder Überwachungsaudit durch, damit die Mitarbeiter Fragen mit Belegen beantworten können. Eine offene Folie mit der Frage „Was würden Sie einem Auditor zeigen?“ deckt frühzeitig etwaige Lücken auf.
Unsere Empfehlung: Cyber-Risikomanagement für Manager und Vorstände. Es wandelt die Govern-Funktion des NIST in fünf Fragen um, die ein Führungsteam beantworten kann – ein Gespräch, das die meisten CISOs zuerst führen müssen.
Vorsorgemaßnahmen und Insiderrisiko
Ransomware-Tischspiel für Manager
Dieser 60-minütige Kurs ist als Planspiel in drei Teile gegliedert: Die erste Stunde behandelt Entscheidungen und Kommunikation, die zweite Datensicherung und Fehlerbehebung. Führungskräfte üben, wer Systeme isoliert, wer mit der Presse spricht und wer über eine Lösegeldforderung entscheidet. Der Kurs gibt hierzu auch rechtliche Hinweise und erläutert die Rolle der Führungskraft. Abschließend gibt es einen Fragebogen mit sieben Fragen. Führen Sie den Kurs live mit den echten Namen Ihres Incident-Leads und Kommunikationschefs durch. Für die Analysten, die den Plan umsetzen, siehe unsere SOC-Analysten-Schulungsliste.
Bewusstsein für Insiderbedrohungen
Programme zum Umgang mit Insiderbedrohungen werden häufig in Zusammenarbeit mit dem CISO durchgeführt – von der Erkennung bis zur Reaktion. Dieser 30-minütige Kurs behandelt die Bedeutung der Erkennung, Verhaltens-, technische und finanzielle Indikatoren, die Methoden von Angreifern zur Rekrutierung vertrauenswürdiger Insider, Verhaltensregeln und Meldewege. Zum Abschluss gibt es einen Test mit zehn Fragen, bei dem 80 % der Punkte zum Bestehen erforderlich sind. Für sicherheitsüberprüfte US-Auftragnehmer ist dies eine sofort einsatzbereite Möglichkeit, die im NISPOM-Gesetz geforderten Schulungen durchzuführen, obwohl das Gesetz selbst keinen spezifischen Kurs vorschreibt.
Unsere Empfehlung: Ransomware-Tischspiel für Manager. Ein Plan, den niemand geprobt hat, scheitert schon in der ersten Stunde, und diese Planspielübung zwingt die Führungskräfte, Entscheidungen zu treffen, bevor der Druck real wird.
Sicherheitsgewohnheiten des Personals und KI-Risiko
Grundlagen des Sicherheitsbewusstseins
Dies ist das grundlegende Sensibilisierungsprogramm, für das ein CISO verantwortlich ist. Der 35-minütige Kurs behandelt die Gründe für Cyberangriffe, den Ablauf eines Angriffs, Warnsignale, Schutzmaßnahmen sowie das richtige Verhalten bei Vorfällen und deren Meldung. Zum Bestehen ist ein abschließender Test mit 12 Fragen erforderlich; 80 % der Fragen müssen beantwortet werden. Für betroffene Finanzinstitute ist dies eine fertige Möglichkeit, die Schulungsanforderungen der FTC Safeguards Rule hinsichtlich des Sicherheitsbewusstseins zu erfüllen, obwohl die Regel selbst keinen bestimmten Kurs vorschreibt.
Phishing und Social Engineering
Die Widerstandsfähigkeit gegenüber Phishing-Angriffen ist eine gängige Kennzahl für CISOs. Dieser 30-minütige Kurs erklärt, wie Angriffe aufgebaut sind, woran man erkennt, wie man sich schützt und wie man einen Vorfall meldet. Zum Abschluss gibt es einen Test mit 12 Fragen, bei dem 80 % der Fragen beantwortet werden müssen. Nutzen Sie den Kurs zusammen mit Ihrer Meldefunktion, damit Kurs und Kennzahl optimal aufeinander abgestimmt sind.
Passwörter, Zugangsschlüssel und Multi-Faktor-Authentifizierung für Mitarbeiter
Die Einführung von Passkeys und MFA ist eine Programmentscheidung, und die Mitarbeiter müssen die Gründe dafür kennen. Dieser 30-minütige Kurs behandelt die Gründe für die Überwachung von Benutzerkonten, sichere und eindeutige Anmeldungen, Multi-Faktor-Authentifizierung und Passkeys, gefälschte Anmeldeseiten sowie die Grauzonen beim Teilen, bei Tastenkombinationen und der Wiederherstellung. Starten Sie den Kurs in der Woche, in der eine neue Anmeldemethode eingeführt wird.
KI-Sicherheit für alle: Schatten-KI, Prompt-Injection und manipulierte Ausgaben
Die Verantwortung für KI-Sicherheitsrichtlinien im Hinblick auf Schatten-KI und Prompt-Injection liegt zunehmend beim CISO. Dieser 30-minütige Kurs behandelt Schatten-KI und kompromittierte Chatbots, Prompt-Injection und manipulierte Inhalte, versteckte Anweisungen in PDFs und E-Mails, kostenlose KI-Erweiterungen sowie die Beantragung eines zugelassenen Tools und die Meldung eines Vorfalls. Eine Wortwolke zum Thema „Welche KI-Tools nutzen Sie im Unternehmen?“ zeigt Ihnen die Schatten-KI, von der Sie bisher nichts wussten.
Social Engineering, Betrug und Deepfakes: Telefon-, Zahlungs- und Identitätsdiebstahlbetrug
Deepfake- und Identitätsdiebstahl-Betrug gehört in jede Sicherheitsbesprechung für Führungskräfte, denn Angreifer imitieren Namen und Stimmen von Führungskräften. Dieser 35-minütige Kurs basiert auf einer überzeugenden Anfrage und behandelt die Taktiken, die Überprüfung von Zahlungsänderungen, gefälschte Sprach- und Videoaufnahmen sowie die Gründe, warum Seniorität und Geheimhaltung Druckmittel, aber keine Beweise darstellen. Führen Sie den Kurs zunächst mit der Finanzabteilung und den Assistenten der Geschäftsleitung durch.
Unsere Empfehlung: KI-Sicherheit für alle. Die Mitarbeiter setzen KI-Tools oft schneller ein, als die Richtlinien nachziehen können. Dieser Kurs bietet ihnen einen einfachen Kreislauf aus Anfrage, Nutzung, Überprüfung und Berichterstattung.
Wie man den Plan umsetzt
Beginnen wir mit der Governance. Das CSF 2.0 des NIST sieht Folgendes vor: Regierung Erstens: Führungskräfte legen Erwartungen hinsichtlich Risikobereitschaft, Verantwortlichkeit und Ressourcen fest, und der Rest des Programms ergibt sich daraus.
- In diesem Quartal für Führungskräfte: Cyber-Risikomanagement, dann die Ransomware-Planspielübung mit den im Notfallplan genannten Personen.
- Für jeden Mitarbeiter beim Onboarding: Grundlagen der IT-Sicherheit, Phishing sowie Passwörter, Passkeys und Multi-Faktor-Authentifizierung.
- Für IT- und Sicherheitsmanager: COBIT und TOGAF sowie ISO 27001 vor Ihrem nächsten Audit.
- Jedes Jahr: Die Planspiele, ein Auffrischungsquiz zu jedem Kurs und der Kurs zur KI-Sicherheit sollten immer dann wiederholt werden, wenn ein neues KI-Tool eingeführt wird.
- Wann es zutrifft: Sicherheitsüberprüfte US-Verteidigungsunternehmen schulen ihre Mitarbeiter vor dem Zugriff auf Verschlusssachen und danach jährlich im Umgang mit Insiderbedrohungen. Finanzinstitute, die unter die FTC-Schutzregeln fallen, halten ihre Schulungen zur Sensibilisierung für Sicherheitsfragen auf dem neuesten Stand. Fragen Sie Ihren Rechtsbeistand, welche weiteren Bestimmungen in Ihrem Land oder Bundesstaat gelten.
Möglichkeiten, diese Kurse durchzuführen auf AhaSlides
Sie können jeden dieser Kurse als Selbstlernkurs mit dem AhaSlides Der Kursentwickler kann die Präsentation als Live-Frage-und-Antwort-Sitzung oder beides durchführen und im Anschluss an den Kurs eine Umfrage durchführen, um festzustellen, welche Veränderungen stattgefunden haben.
- Antwort auswählen: Zeigen Sie am Tisch die Lösegeldforderung und fragen Sie, wer über den nächsten Schritt entscheidet.
- Wortwolke: Fragen Sie Führungskräfte: „Was bereitet Ihnen im Zusammenhang mit einem Cybervorfall die größten Sorgen?“ und vergleichen Sie dies mit Ihrem Risikoregister.
- Bewertungsskala: Vorher und nachher fragen Sie sich: „Wie gut ist unser Notfallplan vorbereitet?“ (Skala von 1 bis 5).
- Offenes Ende: Sammeln Sie am Ende einer Live-Sitzung anonyme Fragen für den Vorstand.
FAQ
Welche Schulungen benötigt ein CISO?
Ein CISO benötigt Kenntnisse in Risikomanagement und Governance, Führungskompetenz im Bereich der Reaktion auf Sicherheitsvorfälle, Kenntnisse der geltenden Regeln und die Fähigkeit, den Vorstand zu informieren. Die oben genannten Kurse decken das vom CISO geleitete Programm ab; Zertifizierungen belegen die persönliche Qualifikation.
Welche Zertifizierungen besitzen CISOs?
Gängige Zertifizierungen sind beispielsweise CISSP, CISM und EC-Council CCISO. Keine der oben genannten Zertifizierungen führt zu einer Zertifizierung.
Wie oft sollten Führungskräfte Notfallübungen durchführen?
Mindestens einmal im Jahr ist ein sinnvoller Richtwert, und erneut nach einer größeren Änderung wie einer Fusion, einem neuen System oder einem neuen Incident-Lead.
Was ist ein Ransomware-Tabletop?
Bei einer Ransomware-Planspielübung handelt es sich um eine diskussionsbasierte Übung, bei der die Entscheidungen, die Führungskräfte während eines Ransomware-Angriffs treffen, durchgespielt werden, ohne dabei auf Live-Systeme zuzugreifen.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine Entscheidung bezüglich Ihres Arbeitsplatzes wenden Sie sich bitte an einen qualifizierten Rechtsanwalt oder die zuständige Aufsichtsbehörde.
