Notizen aus dem Kontrollraum · Entwurf

Die Schulung, die alle bestanden

Eine zusammengesetzte Geschichte aus einer mittelgroßen Organisation.

Die jährliche Awareness-Schulung bestand aus einem kurzen Video und einem kurzen Quiz. Die Abschlussquote war perfekt, und das Dashboard leuchtete in einem erfreulichen Grün. Es gab Glückwünsche. Möglicherweise gab es Kuchen.

Im selben Monat schickte das Sicherheitsteam eine harmlose Testnachricht, die wie eine überfällige Rechnung aussah, um zu sehen, was passiert. Ein guter Teil derer, die das Quiz gerade bestanden hatten, klickte darauf. Sie ging an einem Freitag um fünf vor fünf raus, was zur Verteidigung des Teams auch der Zeitpunkt ist, zu dem echte eintreffen.

Die Wende

Niemand war nachlässig. Das Quiz fragte in einem ruhigen Moment, wie ein verdächtiger Link aussieht, mit der Antwort zwei Zeilen über der Frage. Die Nachricht fragte etwas anderes: Sie bat einen müden Menschen am Ende einer langen Woche, ein kleines Problem schnell zu erledigen. Die Schulung hatte gemessen, ob Menschen antworten können. Der Test hatte gemessen, was Menschen tun.

Jemand trug die Abschlussquote gegen die Klicks auf, und der Graph sah aus wie eine Wolke. Eine sehr höfliche, sehr grüne Wolke.

Die Lehre

Abschluss misst Anwesenheit. Verhalten ist es, was die Organisation schützt, und Verhalten muss als Verhalten gemessen werden.

Das Team tauschte das lange Quiz gegen kurze Szenarien, die echter Arbeit nachempfunden sind, häufig verschickt und je Rolle verschieden: Das Finanzteam sieht Rechnungen, die Entwickler sehen etwas zu einer Pipeline. Sie setzten dort, wo die Leute ohnehin arbeiten, eine deutliche Melde-Schaltfläche hin und dankten allen, die sie nutzten, öffentlich und unter der Rolle statt dem Namen. Auch die Zahl auf dem Dashboard änderte sich: Sie zählte nicht mehr, wer fertig wurde, sondern wie schnell eine verdächtige Nachricht gemeldet wurde. Klicken war kein Geständnis mehr, sondern ein Datenpunkt.

Zählen, was Menschen tun, nicht was sie abschließen.