Sorry, only in German this time. Der verzweifelte Versuch Leuten zu erklären wieso “Wir kaufen da eine Security Schulung und dann ist fertig” eigentlich nicht so wirklich der Fall ist. Zusätzlich der Unterschied zwischen “Wir machen da mal eine Schulung” und “danach ist die Person Experte”.

Im Folgenden findet ihr einen kurzen Vergleich zwischen Ausbildungen und Awareness und all dem, was wir bei Azubis akzeptieren, für Security Experten aber nicht der Fall zu sein scheint. Der Post ist etwas aus dem Zusammenhang gerissen, ich hoffe jedoch, dass der Inhalt ggf. dem Einen oder Anderen bei der Verteidigung von strategischen und gut geplanten Schulungen und Weiterbildungsmaßnahmen helfen kann.

Awareness – Die Kostprobe

Sonntag – 14.30 „Brunch“ – „Sind der Kuchen und die Torten hausgemacht?“ – Eine Frage, die schon zu manch einer größeren Diskussion in der Familie geführt haben kann. Unterschiedliche Aspekte über Geschmack, Aussehen und Konsistenz werden mit Erinnerungen abgeglichen und führen oft zu einem mehrdeutigen Ergebnis. Die Diskussion wird schwerer, wenn der Sub–Strang „Zählt es als hausgemacht, wenn der Kuchen vom Bäcker um die Ecke kommt?“ Das Ergebnis ist erneut diskutabel. Als grundlegende Referenz hilft nur die praktische Kostprobe: Durch das Probieren von klassischen Convenienceprodukten inkl. der üblichen Verdächtigen von Bahlsen, Copenrath und Wiese und der Produkte des örtlichen Bäckers sollen die Geschmacksnerven geschult werden. In der Security verfolgen wir mit Awareness Maßnahmen ein ähnliches Konzept: Den Mitarbeitern werden exemplarische Phishing Mails und andere Angriffe gezeigt. Zukünftig sollen sie in der Lage sein anhand von den erlernten Mustern Angriffe zu erkennen. Mit Blick auf das Kuchenbeispiel wird der Unterschied zwischen den klassischen, symmetrisch und sauber geformten Marmorkuchen von Bahlsen und einem hausgemachten Produkt aus einer gut genutzten, alten Kaiserkuchenform vermittelt. Je seltener der Kuchen verköstigt wird, desto öfters muss die Kostprobe wiederholt werden, leider spielt so unser Gedächtnis. Gleiches gilt für Awareness Maßnahmen. Zur Abgrenzung zu den anderen Aus– und Weiterbildungsformaten benötigen wir nun eine simple Frage: Genügt das Format um jemanden zu ertüchtigen einen Kuchen backen zu können? Sofern wir den Kuchen gerade nicht einem Naturtalent des Konditorhandwerks gegeben haben, wird die Antwort vermutlich „leider“ nein sein. Das „leider“ ist hierbei nur symbolisch Zu betrachten, denn es war nie Anspruch der Übung, genau so wenig wie eine Awareness Maßnahme jemanden Security beibringen soll. Trotz allem eskaliert unsere initial skizzierte Diskussion in der Familie vermutlich spätestens dann, wenn es um die Frage geht, ob die Schwarzwälderkirschtorte auf dem Tisch wirklich eine klassische Schwarzwälderkirschtorte ist, oder vielleicht doch nur eine grobe Interpretation….

Schulungen für Fachkräfte – Der Backkurs

Dienstag – 18.30 – Lokale VHS – Der 6–wöchige Kurs für Hobbybäcker und Kuchen–Liebhaber beginnt. Die Teilnehmer: Bunt durchmischt. Der Konditormeister: Lehrer aus Überzeugung. Im Laufe der nächsten Wochen bringt er den einen Teilnehmer das Verzieren von Torten bei, während andere den ordnungsgemäßen Einsatz eines Mixers, oder auch Handrührgerät genannt (obwohl sein Sinn es eben nicht ist mit der Hand zu rühren), erlernen müssen. Auf Grund des sehr inhomogenen Wissensstandes wechselt er oft von Frontalunterricht zu Einzelbetreuung und versucht jeden mitzunehmen. Am Ende hat jeder seine Kuchen und seine Torten gebacken, die einen schöner, die anderen weniger schön, sie schmecken und es gibt nur leichte Verbrennungen, ein Erfolg. Oft täuscht der Begriff „Fachkraft“ falsche Annahmen vor, denn wie auch bei unseren Hobbyköchen, verfügen sie zwar über Wissen in ihrem Fachbereich, nicht jedoch über Wissen in dem Bereich, in dem sie geschult werden sollen. Während also ein gewisser genereller, grundlegender Bildungsstand erwartet werden kann, muss davon ausgegangen werden, dass sie im Themenbereich der Schulung gar keine Erfahrungen haben und der Kurs bei null anfangen muss. Gleichzeitig werden auch Teilnehmer mit Grundlagen im Kurs sein, welche sich zwischenzeitlich langweilen, wie auch in der Schule bei einem Thema, dass einem bereits als Kind gelegen hat. Entscheidend ist nun wieder die Einordnung der Maßnahme, während vermutlich jeder Teilnehmer des Backkurses im Anschluss seine Marmor–, Schoko– und Apfelkuchen backen kann, sind sie fernab davon ihre eigene Bäckerei zu eröffnen. Ähnliches gilt für unsere Fachkräfte, während sie in der Lage sind bekannte Probleme nach bekanntem erlerntem Schema vorzubeugen, sind sie fernab von der Entwicklung eigener Lösungen oder Ansätze. Obgleich die individuelle Kreativität hier und da in mehr Möglichkeiten resultiert, können von ihnen keine neuen Ansätze erwartet werden. Entsprechend benötigen wir weiterhin Konditormeister, die neue Rezepte entwerfen und diese in für die Hobbyköche verständlicher Sprache und Darstellung formulieren. Besonders problematisch wird unser Backkurs in dem Moment, wo der Konditorrmeister krank wird und sein junger Geselle ihn vertritt. Vor einem Publikum von gestandenen Hausfrauen und –männern, die schlicht bereits viel mehr Zeit in der Küche und vor dem Backofen verbracht haben, wird er vermutlich untergehen. Leider lässt sich Erfahrung nicht in einem Kurs erlernen.

Fachexperten Ausbildung 1 – Die Berufsausbildung zum Gesellen

Sonntag – 4.30 – Dorfbäckerei– Der Auszubildende gähnt laut seinem Ausbilder entgegen. Bereits am 4. Tag seiner Ausbildung stellen beide sich die Frage, ob es eine gute Wahl war. Obgleich der Geruch von frischem Gebäck, der Kontakt zu Freunden und Bekannten im Dorf, das Feuer für die Bäckerei und die übliche Kostprobe sehr überzeugend sind, ist die Uhrzeit nicht mit dem heißgeliebten Filmeabend mit der Freundin kompatibel. Es werden spannende drei Jahre zwischen Backstube und Schule werden. Neben Grundlagen der Bäckerei, Rezepten, Methoden, Chemie und all dem was zum Backen dazugehört, steigt er tiefer in übliche Schulfächer und wichtige Themen wie BWL ein und all das neben der Praxis in der Backstube und dem Verkauf. Das Ziel: Geselle werden um danach die nächste Ausbildung zum Meister machen zu dürfen. Wie auch in der Lehre vermittelt, benötigt unser Fachexperte eine breite Aufstellung an Grundlagen. Obgleich von ihm als Gesellen nicht der Betrieb einer eigenen Bäckerei erwartet wird und werden darf, wird er an manch einem Morgen alleine sein und verstehen müssen, wieso seine Hefe nicht aufgeht und eine Lösung finden müssen, wenn sein Kollege am Vortag vergessen hat, die steinharte Butter von der Kühlkammer in den wärmeren Kühlschrank zu legen. Analog dazu muss unser Fachexperte in der Lage sein auf veränderte Situationen, spontane Probleme oder schlicht neue Herausforderungen dynamisch zu reagieren. Er muss wissen, wann er eine Entscheidung selbst treffen kann und darf und wann er seinen Meister, einen Experten befragen muss. Das Ziel ist es den Fachexperten in eine Position zu entwickeln, wo er auf der einen Seite eigenständig wirken kann, seine Fehler jedoch auch nennenswerte Konsequenzen haben können. Lebensmittelvergiftungen im halben Dorf sind selten gute Werbung. Gleiches gilt für erfolgreiche Angriffe gegen unsere Systeme. Ziel der Ausbildung zum Gesellen wie auch der Fachexperten Ausbildung 1, ist das Schaffen von einsatzfähigem Personal, welches zwar gesteuert werden muss, aber dennoch in Maßen frei agieren kann. Anders gesagt: Kollegen und Personal, die einem mehr Arbeit abnehmen als sie einem machen, zumindest nach der Ausbildung.

Fachexperten Ausbildung 2 – Die Berufsausbildung zum Meister

Mittwoch – 5.30 – Dorfbäckerei – Der Geselle ist in Eile seine Vorbereitungen für den Morgen fertig zu bekommen. Er ist müde, der Besuch in der Abendschule in Vorbereitung auf seine Meisterprüfung stecken ihm in den Knochen. Zwar hat er mit seinem Chef einen fairen Deal, er fängt eine Stunde später an, dennoch müssen die Brötchen fertig werden. Die Schule neben der Arbeit ist anstrengender als er erwartet hatte, aber immerhin ist das Jahr Abendschule fast vorbei. Fünf Jahre nach seinem ersten Lehrtag, mit einem Jahr „einfach arbeiten“, steht er kurz vor der Möglichkeit die Bäckerei seines Lehrmeisters zu übernehmen. Danach sind es seine Fehler, sein Risiko und das seiner Frau und Familie, die ebenfalls von der Bäckerei leben sollen. Ausgelernt hat er dennoch nicht, denn jeder im Dorf wünscht sich hin und wieder etwas Neues, Leckeres. Analog dazu läuft es in der Security, wenn auch ohne formale Ausbildung und ohne formale Prüfung, übernimmt ein Fachexperte irgendwann sein erstes großes, strategisches Projekt. Er trifft Entscheidungen, er macht Vorgaben er bewegt ein Projekt mit Jahrzehnten Laufzeit und einem Budget von einigen Millionen Euro in die Richtung, die er für richtig hält. Das Risiko trägt nicht nur er, sondern sein Arbeitgeber, sein Chef, seine Firma, die Kunden der Firma. Die individuellen Risiken sind vielfältig: finanziell, Pünktlichkeit auf der Arbeit hin bis zu Leib und Leben. Natürlich ist unser Fachexperte nicht alleine, er hat Kollegen, ist von jeweiligen Experten in Sub–Themen umgeben, trägt jedoch, Stand heute, die Last von Security auf seinen eigenen Schultern, Tag und Nacht. Ähnlich wie der nun Bäckermeister, der versucht sein Zuhause zu finanzieren, während er die Schulden der Meisterschule zurückzahlt. Und neben all dem „Üblichen“ gibt es Diskussionen mit dem Finanzamt, dem Management, Verhandlungen mit Lieferanten und viele andere Aspekte, welche zwar Teil der Ausbildung waren, jedoch erst am eigenen Leib ihre volle Tragweite entwickeln. Während der Weg in die Eigenständigkeit bereits schwer ist, fängt der Spaß erst danach an.

Die Kreativen

Die bisher aufgezeigten Beispiele beziehen sich auf definiertes Wissen, geregelte Anforderungen und Mindeststandards. Wie jedoch bereits beim Fachexperten 2, werden sowohl vom Bäcker als auch vom Security Experten Kreativität erwartet, die nicht erlernt werden kann. Nicht jeder ist dazu in der Lage neue Rezepte zu entwerfen, genau so wenig wie jeder Security Experte in der Lage ist mit robusten Lösungen unbekannten Situationen vorzubeugen. Dennoch werden eben diese kreativen Leute zwingend benötigt und sind gleichzeitig auf dem Markt heißbegehrt. Da Personen hierfür nicht ausbildet werden können, liegt es an den Ausbildern eben jene Talente zu erkennen, zu fördern und zu schützen. Das Problem: Genie und Wahnsinn liegen sehr nah beieinander und für gute Leute gibt es immer mehr als genug Arbeit.

Fachexperten Ausbilder – Ausbilder und der ADA Schein

Gerade im Rahmen der Vermittlung von hochkomplexen Themen ist es kritisch, dass der jeweilige Lehrer/Trainer selbst Experte auf dem vermittelten Themengebiet ist. Die Kombination von Fachexpertise und Lust an der Ausbildung ist glücklicherweise bei Technikern häufig der Fall, dennoch sind viele Fachexperten keine geborenen Lehrer. Entsprechend ist hier im Zweifel die Vermittlung zusätzlicher Methodenkompetenz notwendig. Dies wird noch etwas komplexer wenn es um die Ausbilder der Ausbilder geht, da diese idealerweise auch die diskutierten technischen Inhalte vermitteln können müssen, um die konkreten Anforderungen verstehen zu können.

Die reale Welt

Während es für die meisten verständlich ist, dass ein Bäcker über einige Jahre hinweg lernen und üben muss, sowohl Theorie als auch Praxis, ist es für sie genauso unverständlich, dass ein Maschinenschlosser nicht nach einer fünf–Tages Schulung Security beherrscht und seine eigenen Anlagen absichern kann oder ein Studierter Bachelor/Master/Promovierter nach einer jahrelangen, aber fast nur theoretischen Ausbildung nicht eigenständig agieren kann. Die Vorgaben der IHK schützen den Kunden und gewährleisten eine gewisse Qualität. (Wie üblich bestätigen Ausnahmen hierbei die Regel.) In der Security schützen Experten sich gegenseitig, so gut sie können. Sie bringen entsprechend ihre eigene Erfahrung mit ein und versuchen dem Nachwuchs bekannte Probleme und Schmerzen zur ersparen.