Kontextbezogenes, praktisches Lernen: Der Turbo für Ihr Sicherheitswissen

Ich muss Ihnen leider eine schlechte Nachricht überbringen.

Klassische Schulungen sind tot.

Nun ja, ganz so ist es nicht... aber eigentlich sollten sie es sein. Studien haben immer wieder gezeigt, dass es eine der ineffektivsten Methoden ist, Menschen in einen Schulungsraum zu sperren, um ihnen etwas Neues beizubringen, eine Compliance-Aufgabe abzuhaken oder sie umzuschulen. Und bei betrieblichen Weiterbildungen sieht es nicht besser aus. Die Harvard Business Review veröffentlichte eine Studie zur Effektivität von Präsenzschulungen für neue Mitarbeiter in Großunternehmen. Das Ergebnis: Es dauerte durchschnittlich acht bis zwölf Monate, bis neue Mitarbeiter eingearbeitet und produktiv waren. Das ist eine sehr lange Zeit, um das volle Potenzial einer Person zu nutzen (und eine lange Zeit, um sich als neuer Mitarbeiter sicher zu fühlen). Heutzutage haben die meisten Unternehmen diese Zeit nicht mehr. Unweigerlich werden Abstriche gemacht, die Mitarbeiter erhalten nicht die nötige Schulung und das Unternehmen verliert viel Wert, der deutlich früher hätte generiert werden können.

Es ist kaum zu fassen, dass viele Unternehmen immer noch auf Schulungsräume, trockene Lehrbücher und einschläfernde Videokurse setzen, um ihre besten Talente mit bewährten Verfahren oder neuen Initiativen vertraut zu machen – besonders wenn es einen weitaus besseren, motivierenderen und wertvolleren Weg gibt: kontextbezogenes Lernen. Wie sich zeigt, können wir Menschen Informationen viel besser behalten, wenn wir uns praktisch mit neuen Ideen und Prozessen auseinandersetzen.

Was Entwickler angeht... wir sind ein besonderes Völkchen. Aus meiner eigenen Erfahrung als Entwickler kann ich sagen, dass mich klassische Schulungen nicht gerade begeistern. Entwickler sind kreative, einfallsreiche Problemlöser, die lieber mit den Tools arbeiten, als sich in einem Klassenzimmer berieseln zu lassen oder sich endlose Videos mit einem sprechenden Kopf anzusehen, um neue Informationen aufzunehmen. Besonders im Bereich Sicherheitstraining gibt es eine klare Diskrepanz: Entwickler beheben häufige Schwachstellen in ihrem Code nicht, was dazu führt, dass AppSec-Experten verzweifeln, wenn sie immer wieder mit denselben, leicht zu behebenden Problemen konfrontiert werden. Die Beziehung zwischen diesen Teams ist angespannt, und Entwicklern fehlen die richtigen Werkzeuge und Schulungen, um sich aktiv mit Best Practices für sichere Entwicklung zu befassen. Ihr Hauptziel ist die Entwicklung von Funktionen, aber da das Cyberrisiko für jedes Unternehmen rapide steigt, können wir es uns einfach nicht mehr leisten, Sicherheitswissen zu ignorieren oder zu vernachlässigen.

Und das Beste daran? Wenn Entwickler für Sicherheit sensibilisiert sind, verschwinden diese häufigen Schwachstellen. Das Risiko sinkt, ebenso wie die Kosten für die Behebung von Fehlern in späten Phasen (und die AppSec-Teams müssen sich nicht mehr die Haare raufen).

Wie sieht es also genau aus, Entwickler mit kontextbezogenem Training zu begeistern?

Beispiele aus der Praxis sind unglaublich wirkungsvoll.

Stellen Sie sich vor, wir müssten alle Autofahren lernen, indem wir uns YouTube-Videos ansehen. Man bekommt zwar eine ungefähre Vorstellung davon, wie ein Auto funktioniert und welche Abläufe nötig sind, um sich fortzubewegen, aber es wäre praktisch unmöglich, wirklich gut fahren zu lernen, ohne sich selbst ans Steuer zu setzen und es in der Praxis zu versuchen.

Kontextbezogenes Training ist so wertvoll, weil es den Lernenden direkt in die Praxis versetzt. Wenn man einen realen Bezug zu einem Thema hat, wird das Lernen weitaus motivierender und sinnvoller.

Beim Thema sichere Programmierung kann jeder ein Video ansehen und die Grundlagen von SQL-Injection verstehen. Doch das eigentliche Lösen des Problems gerät schnell in Vergessenheit, wenn Deadlines drängen und die Bereitstellung von Funktionen Vorrang hat. Wenn es jedoch möglich wäre, echten Code zu prüfen, die Schwachstelle zu identifizieren und sie im Rahmen einer Übung zu beheben, ist das weitaus praxisnäher für den Arbeitsalltag eines Entwicklers, als nur einseitige Informationen aufzunehmen. Es ist für Entwickler auch greifbarer: Wenn sie Code sehen, der dem ähnelt, den sie normalerweise schreiben, werden sie aufmerksam.

Auf der Plattform Secure Code Warrior haben wir das Training für sicheren Code spielerisch gestaltet und bieten eine Vielzahl von Herausforderungen in verschiedenen Sprachen und Frameworks an. Das System fördert das wiederholte Üben und ist vor allem sofort anpassbar, um die richtige Umgebung für echtes kontextbezogenes Lernen zu bieten.

Wissen vermitteln, wenn es am nützlichsten ist

Der Theorie des kontextbezogenen Lernens zufolge findet effektives Lernen nur dann statt, wenn Lernende neue Informationen oder Wissen so verarbeiten, dass sie für sie innerhalb ihres eigenen Bezugsrahmens Sinn ergeben.

Stellen Sie sich vor, ein Entwickler erhält eine Liste mit Sicherheitslücken aus Bug-Bounty-Programmen, SAST-Tools oder Bug-Tracking-Software. Er könnte ratlos – oder sogar überfordert – sein, wenn er noch nie zuvor mit diesen Schwachstellen zu tun hatte. Erschwerend kommt hinzu, dass die meisten Berichte für AppSec-Experten und nicht für Entwickler konzipiert sind. Die Informationen in diesen Berichten sind schwer zu interpretieren und enthalten oft allgemeine Ratschläge, die für einen Entwickler nicht direkt anwendbar sind.

Wir haben kürzlich die Möglichkeit hinzugefügt, direkt aus Bug-Bounty-Programmen, SAST-Tools, Bug-Tracking-Software und Penetrationstest-Berichten per Deep-Link zu praktischen Trainings für die jeweiligen Schwachstellen zu gelangen. Entwickler können so sofort die Grundlagen verstehen und gute Programmierrezepte für ihr spezifisches Framework erlernen.

Auf diese Weise zu lernen stellt sicher, dass Entwickler Wissen und Training zu Konzepten genau dann erhalten, wenn sie relevant sind, und sie behalten diese Informationen langfristig deutlich besser.

Schnellere Ergebnisse, weniger Unterbrechungen, zufriedenere Mitarbeiter.

Bei jeder Schulung ist ein direkter Bezug zu Ihren täglichen Aufgaben weitaus effektiver, als zu versuchen, allgemeine Inhalte auf Ihre Arbeit zu übertragen. Sie verbringen weniger Zeit im „Lernmodus“ oder – noch schlimmer – müssen bereits „Gelerntes“ mühsam wiederholen, wenn Sie eine Antwort auf ein konkretes Problem benötigen.

Eines der Prinzipien kontextbezogener Schulung ist der schrittweise Aufbau von Wissen, bei dem jedes Modul auf dem vorherigen aufbaut und den Teilnehmern einen klaren Weg zur Meisterschaft ebnet. Dies unterstützen wir auf unserer Plattform mit einem Gürtelsystem, ähnlich wie in einem Karate-Dojo. Jeder beginnt als Weißgurt und arbeitet sich nach den erforderlichen Trainingsstunden und der Teilnahme an Turnieren bis zum begehrten Schwarzgurt oder dem „Security Champion“-Level hoch. Ein unterhaltsamer Ansatz mit echtem Mehrwert und praktischem Nutzen.

Sie möchten Top-Talente binden und ihr Sicherheitsbewusstsein stärken? Geben Sie ihnen die Werkzeuge für ihren Erfolg an die Hand.

Es ist eine unglückliche Realität, dass sicherheitsbewusste Entwickler und AppSec-Spezialisten derzeit eine knappe (aber lebenswichtige) Ressource sind. Zudem sind sie bekanntermaßen schwer zu halten.

Cybrary führte 2018 eine Umfrage unter 3100 IT- und Sicherheitsexperten durch, die ergab, dass Investitionen in die Weiterbildung ein Schlüsselfaktor für die Mitarbeiterbindung sind. Die Ergebnisse zeigen, dass Unternehmen, die ihre internen Sicherheitskompetenzen durch gezielte Tools und Schulungen fördern, Sicherheitsexperten zu 60 % häufiger halten können als andere. Ganze 65 % der Befragten bevorzugen dabei praxisorientiertes Training. Ziemlich beeindruckend, oder?

Die Umfrage lieferte jedoch auch ein alarmierendes Ergebnis: 80 % der Befragten fühlen sich nicht ausreichend darauf vorbereitet, ihr Unternehmen gegen Cyberbedrohungen zu verteidigen. Diese Bedrohungen werden nicht verschwinden, und das richtige Training zur Abwehr kostspieliger Datenpannen und Angriffe ist heute wichtiger denn je. Ich bin vielleicht voreingenommen, aber die Plattform von Secure Code Warrior könnte genau das Werkzeug sein, das Sie brauchen, um eine positive Sicherheitskultur zu etablieren, Entwickler durch kontextbezogenes Training weiterzubilden und Ihr Unternehmen vor Angreifern zu schützen.Fordern Sie eine Demo an und wir zeigen Ihnen mehr.