Wir haben einen Phishing-Test bei unseren Mitarbeitern gemacht, das Ergebnis war schlechter als erwartet

Die Idee mit der Meldequote hat uns sehr geholfen, danke. Bei uns haben nur drei Leute gemeldet, zwei davon aus demselben Team.

Noch eine Frage: Was empfehlen Sie, um das Melden zu erleichtern? Aktuell müssen die Leute eine separate Mail an das Security-Team schicken und ich glaube, das macht sich keiner die Mühe.

Genau da verlieren Sie. Je länger der Meldungsweg, desto weniger Meldungen kommen.

Die technische Lösung ist simpel: Fügen Sie im E-Mail-Client einen One-Klick-Button "Verdacht melden" hinzu. Das gibt es als Plugin für die meisten Firmen-Mail-Systeme. Der User drückt den Button, die Nachricht geht ans Security-Team und verschwindet aus dem Posteingang.

Der Prozess ist auch wichtig: Geben Sie dem Melder unbedingt Feedback. Der Satz "Geprüft, war harmlos, danke fürs Melden" sorgt dafür, dass die nächste Meldung kommt. Eine unbeantwortete Meldung ist die letzte Meldung.

Und schimpfen Sie niemals wegen Fehlalarmen. Hundert Fehlalarme sind billiger als ein übersehenes echtes Ereignis.

Ich möchte als Unternehmenskommunikation noch einen Punkt ergänzen, denn wenn die Kommunikation bei solchen Übungen falsch läuft, kann das Vertrauen in die Firma leiden.

Ich empfehle, bei der Bekanntgabe des Übungsergebnisses auf drei Prinzipien zu achten. Das Ergebnis sollte unternehmensweit geteilt werden, nicht auf Abteilungsebene oder Personenbasis. Die Sprache darf nicht vorwurfsvoll, sondern muss erklärend sein; statt "so viele haben geklickt" sollte man erklären, "welche Merkmale diese E-Mail glaubwürdig gemacht haben". Und schließlich muss konkret gezeigt werden, was zu tun ist, wenn eine solche E-Mail von einem echten Angreifer käme.

In der Zeit, in der wir diese drei Punkte umgesetzt haben, stieg die Beteiligung und die Abwehrhaltung sank.

Leute, ich bin Installateur, diese Themen sind mir fremd, aber ich erzähl mal was, vielleicht hilft's euch. Letzten Monat kam mir auch so eine Nachricht, ich hab genau an dem Tag ein Paket erwartet, ich hab fast auf den Link geklickt.

Was mich gerettet hat: Der Name der Spedition stimmte, aber die Adresse in der Nachricht war komplett anders, das ist mir aufgefallen. Dann hab ich bei der Firma angerufen, die hatten mit meiner Sendung gar nichts zu tun.

Also ich will sagen, ich hab keine Schulung gemacht, aber weil ich was erwartet hab, bin ich fast reingefallen. Eure Mitarbeiter sind bestimmt auch so gewesen, die Schuld liegt nicht bei ihnen.

Die Situation, die Recep beschreibt, fasst das Thema sehr gut zusammen: Phishing nutzt weniger Nachlässigkeit als vielmehr die Erwartungshaltung aus.

Hier eine praktische Reihenfolge für alle, die Awareness-Maßnahmen planen:

Richtet zuerst den Meldungsweg ein. Bevor es Schulungen gibt, muss es einen einzigen Weg geben, wo man sagen kann: "Wenn du misstrauisch wirst, drück hier."

Dann macht kurze und häufige Schulungen. Statt einmal im Jahr zwei Stunden bringt alle drei Monate eine Viertelstunde viel mehr.

Wiederholt dann die Übung und trackt statt der Klickrate die Melderate und die Zeit bis zur ersten Meldung.

Und vergesst zum Schluss die technischen Maßnahmen nicht: Awareness allein reicht nicht. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, bringt ein gestohlenes Passwort allein nichts. Menschliche Fehler kann man nicht auf null setzen, aber man kann die Folgen harmlos machen.

Wenn ihr ins Detail gehen wollt, könnt ihr einen Support-Thread aufmachen, wir helfen gerne.

du hast recht.

Man sollte der Reihe nach vorgehen. Wenn wir ohne Messung entscheiden landen wir immer wieder am selben Punkt.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System. An deiner Stelle würde ich so vorgehen.

Bei uns ist es genauso.

Ich würde mich freuen wenn du das Ergebnis postest.

Ein Thema, das gerade aktuell ist.

Ich stimme zu.

Das hatte ich auch schon überlegt. Scheut euch nicht zu fragen wer nicht fragt, zahlt am Ende mehr.

Wenn man versucht, alles gleichzeitig zu ändern etabliert sich nichts richtig. Schreibt mir wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich würde mich freuen, wenn du das Ergebnis postest. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Aus Erfahrung weiß ich das.

Genau so ist es. Das allein zu versuchen, ist der teuerste Weg.

Ja, die Situation bei Phishing ist genau so. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. ehrlich gesagt ein nicht getestetes Backup ist kein Backup.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.