Die Ransomware meldet sich auf einem persönlichen Mobilgerät, das beruflich und privat im Einsatz ist. Jetzt ist guter Rat teuer. Was tun? Das ist die Ausgangssituation von „Eine Frage der Sicherheit“, einem Serious Game, das derzeit an der Universität der Bundeswehr in München entwickelt wird. Ob Sie Kunden sensibilisieren oder im eigenen Unternehmen Awareness für Themen schaffen wollen: Serious Games sind ein wirkungsvolles Werkzeug zur Vermittlung von Inhalten der Informationssicherheit.

„Eine Frage der Sicherheit“ wird entwickelt im Rahmen des deutsch-österreichischen Projekts CONTAIN. Das Projekt wird gefördert durch das Bundesministerium für Bildung und Forschung (BMBF) und das Sicherheitsforschungs- Förderprogramms KIRAS. Daher konnten die Spielrunde kostenfrei angeboten werden.

Was eigentlich passiert, wenn mein Smartphone verschlüsselt worden ist? Und zwar nicht durch mich. Und was muss ich tun, damit das Gerät entweder ausgetauscht oder neu aufgesetzt wird? „Eine Frage der Sicherheit“ spielt die Szenarien durch. Und zwar ganz ohne digitale Technik. Das Game hat Judith Strußenberg im Rahmen des Förderprojekts CONTAIN, co-finanziert vom Bundesministerium für Bildung und Forschung, entwickelt. Im IT-Sicherheitscluster konnten wir uns als Konsortialpartner in CONTAIN davon überzeugen, dass es nur analoge Hardware, aber vor allem einen hellen Geist braucht, um unbedarft durch die Tücken einer solchen Attacke zu gelangen. Doch zu guter Letzt weiß man Bescheid. Das Spiel adaptiert für jede Organisationsgröße. Wir haben das Spiel sowohl mit erfahrenen ISB als auch Sicherheitsforschern und dem Vertreter eines Kleinstunternehmens, das nicht in der IT tätig ist, gespielt. Strike, unser Team hat den Highscore geknackt. Es gibt hier keine Mannschaften oder Gegner. Wie im realen Leben lernen man maximal sich kennen, nicht aber die Schergen, die einem das Gerät verdorben haben. Was besonders wichtig ist: Man muss die richtigen Fragen stellen und die Rätsel lösen, dann geht es voran. Im Hintergrund tickt stets eine Uhr. Sprich: Man hat nicht ewig Zeit. In den drei Hauptrunden versuchen die Mitspielenden erst einmal die Lage zu erkunden. Soll man das Gerät an den Strom stecken, oder es lieber lassen? Eine schwierige Frage. In der zweiten Runde geht es an die Lösungsansätze. Und der dritte Part hilft dabei, herauszufinden, was nach einer solchen Attacke zu erledigen ist. Die wichtigsten Punkte kommen ans Licht: Wie steht es um ein Backup? Wie komme ich wieder ans Arbeiten? Wer besorgt die Telefone und setzt sie neu auf? Wer also Disaster Recovery einüben will, ist mit dem Spiel auf einem guten Weg. Das Schöne daran: Die Größe einer Organisation spielt keine Rolle. Die Fragen sind hinreichend abstrakt, so dass sie die jeweilige Situation im Spielverlauf selbst abbilden. Informationen gibt Judith Strußenberg von der Universität der Bundeswehr, München.

„Die Spielrunde im IT-Sicherheitscluster war kurzweilig und spannend. Laien und Profis haben sich gemeinsam erfolgreich durch das Szenario gearbeitet, einen Ransomwarevorfall, der das persönliche Mobilgerät verschlüsselt. Die Rückmeldungen der Teilnehmenden zeigen: trotz des unterschiedlichen Niveaus konnten am Ende alle Seiten voneinander lernen und konkrete to do’s für den eigenen Arbeitsalltag mit nach Hause nehmen.“ – Judith Strußenberg