Human Risk Management: Definition und Unterschied zu Awareness-Trainings Kurz erklärt Human Risk Management (HRM) ist ein Ansatz der Informationssicherheit, der Cyberrisiken durch menschliches Verhalten misst und gezielt senkt. Statt alle gleich zu schulen, richtet er Maßnahmen nach dem tatsächlichen Risiko von Personen, Teams oder Abteilungen aus. Awareness-Training und Human Risk Management MerkmalKlassisches Awareness-TrainingHuman Risk ManagementZielWissen vermittelnVerhalten messbar verändernAnsatzGleiche Schulung für alleMaßnahmen nach RisikoMessungTeilnahme und TestergebnisKlick- und Melderaten, VorfälleRhythmusEin- bis zweimal im JahrLaufend Die 4 Bausteine Messen: regelmäßige Phishing-Simulationen und weitere Indikatoren wie gemeldete Verdachtsfälle. Schulen: kurze Trainings genau dort, wo Fehler auftreten. Melden: ein einfacher Weg, verdächtige Mails zu melden, und schnelle Rückmeldung. Auswerten: Entwicklung über Zeit verfolgen und Maßnahmen anpassen. Wie Sie ein solches Programm Schritt für Schritt einführen, zeigt der Beitrag Awareness-Programm einführen. Welche Kennzahlen aussagekräftig sind, erklärt der Artikel zur Wirksamkeit von Awareness-Schulungen. Datenschutz und Mitbestimmung Wer Verhalten einzelner Beschäftigter auswertet, verarbeitet personenbezogene Daten. Klären Sie deshalb vorab mit Datenschutz und, falls vorhanden, Betriebsrat, welche Daten erhoben werden. Technische Einrichtungen, die Verhalten oder Leistung überwachen können, sind nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig. Viele Unternehmen werten deshalb nur auf Team- oder Abteilungsebene aus. Human Risk Management mit reteach Mit reteach Phishing Awareness verbinden Sie Phishing-Simulationen mit kurzen Trainings und sehen die Entwicklung der Klickraten über Zeit. Die Lösung ist DSGVO-konform und auch einzeln buchbar. Verwandte Begriffe Social Engineering, Spoofing und Security Awareness Training. Weitere Begriffe finden Sie im Security-Awareness-Glossar. Häufig gestellte Fragen Ist Human Risk Management nur ein neuer Name für Awareness-Training?Nein. Awareness-Training ist ein Baustein davon. Human Risk Management misst zusätzlich das Verhalten und richtet Maßnahmen danach aus. Darf ich Klickraten einzelner Beschäftigter auswerten?Das ist datenschutzrechtlich und bei bestehendem Betriebsrat mitbestimmungspflichtig. Viele Unternehmen werten deshalb nur anonymisiert oder auf Teamebene aus. Für welche Unternehmen lohnt sich Human Risk Management?Für alle, die regelmäßig Phishing-Angriffe erleben oder Nachweise für NIS2, ISO 27001 oder Cyberversicherungen brauchen.