Phishing Simulation sinnvoll gestalten und gemeinsam auswerten
Eine Phishing Simulation ist eine kontrollierte Übung mit nachgestellten betrügerischen Nachrichten. Sie kann zeigen, wie Beschäftigte auf eine verdächtige Anfrage reagieren und ob Meldewege funktionieren. Ihre Aussagekraft hängt davon ab, wie die Übung gestaltet, begleitet und ausgewertet wird.
Eine Klickrate allein beantwortet die Frage nach sicherem Verhalten nicht.
Stell dir folgende fiktive Situation vor: Eine Mitarbeiterin erwartet eine Rechnung und öffnet im Arbeitsfluss eine Nachricht, die dazu zu passen scheint. Nach einem Klick erscheint eine rote Warnseite: „Sie sind auf einen Phishing-Test hereingefallen.“ Die Meldung enthält keinen verständlichen nächsten Schritt. Die Mitarbeiterin fragt sich vor allem, wer das Ergebnis sehen kann.
Die Organisation hat damit ein Ereignis erfasst. Ob die Mitarbeiterin künftig eine verdächtige Nachricht besser prüft oder einen tatsächlichen Fehler schneller meldet, bleibt offen. Für ein Lernangebot braucht es zusätzlich eine Erklärung, eine handhabbare Handlung und einen verlässlichen Umgang mit Rückfragen.
Was eine Phishing Simulation leisten kann
Eine Übung kann mehrere Ziele haben: Hinweise auf Täuschung erkennen, eine Anfrage über einen unabhängigen Weg überprüfen oder einen Verdacht an die richtige Stelle melden. Ebenso lässt sich beobachten, ob die Organisation solche Meldungen aufnehmen und bearbeiten kann.
Vor der Planung sollte deshalb feststehen, welche konkrete Handlung verbessert werden soll. „Unsere Mitarbeitenden sollen sicherer werden“ ist dafür zu ungenau.
„Beschäftigte können eine ungewöhnliche Zahlungsaufforderung über den vereinbarten Kanal prüfen lassen“ beschreibt dagegen ein beobachtbares Ziel.
Die Grenzen gehören ebenfalls zur Planung. Das britische National Cyber Security Centre betont, dass keine Schulung Menschen dazu befähigt, jeden Phishing-Versuch zu erkennen. Es empfiehlt mehrere technische, organisatorische und menschliche Schutzebenen. [1] Eine Simulation ergänzt dieses Schutzkonzept; E-Mail-Schutz und belastbare Freigabeprozesse bleiben eigene Aufgaben.
Warum die Schwierigkeit der Nachricht zur Auswertung gehört
Eine offensichtlich unpassende Gewinnbenachrichtigung stellt andere Anforderungen als eine Nachricht, die zu einem tatsächlich erwarteten Arbeitsvorgang passt. Der Anteil angeklickter Nachrichten lässt sich deshalb zwischen unterschiedlichen Kampagnen nur eingeschränkt vergleichen.
Die NIST Phish Scale bietet einen Ansatz, die menschliche Erkennungsschwierigkeit einer Phishing-Nachricht einzuschätzen. Berücksichtigt werden unter anderem erkennbare Hinweise auf Täuschung und die Passung des Vorwands zum Kontext der Empfänger. [2] Die Methode hilft, Ergebnisse einzuordnen; sie ist kein Persönlichkeits- oder Intelligenztest.
Für eine betriebliche Auswertung bedeutet das: Dokumentiere, an welche Zielgruppe eine Übung gerichtet war, welchen Arbeitskontext sie aufgriff und welche Handlung erwartet wurde. Wenn eine spätere Simulation deutlich anspruchsvoller ist, kann eine höhere Klickrate nicht ohne Weiteres als Rückschritt gewertet werden.
Im fiktiven Beispiel wäre zu prüfen, ob die Mitarbeiterin regelmäßig Rechnungen bearbeitet, welche Informationen sie für eine Überprüfung hatte und wie die interne Prüfroutine erklärt wurde. So wird aus einer Zahl eine Frage nach den Bedingungen des Handelns.
Lernen braucht nachvollziehbare Ziele und Rückmeldungen
Menschen sollen für eine Sicherheitsübung Zeit und Aufmerksamkeit aufbringen. Dafür sollten sie verstehen, welchen Nutzen ihre Mitarbeit hat und was nach einer Meldung geschieht.
Chen und Kollegen untersuchten 2024 in sieben Fokusgruppen mit 34 Beschäftigten einer europäischen Universität, was die Beteiligung an Phishing-Maßnahmen fördert oder erschwert. In den Gesprächen wurden unter anderem wahrgenommener Nutzen, fehlende Rückmeldung, Kommunikationsprobleme und Sorgen um den Umgang mit Informationen sichtbar.
Die qualitative Untersuchung liefert Hinweise für die Gestaltung; sie beweist keine allgemeingültige Wirkung einzelner Trainingsmaßnahmen.
Für die Praxis lässt sich daraus eine einfache Gestaltungsfrage ableiten:
Erkennt eine Person, dass ihre Meldung angekommen ist und welchen Beitrag sie leistet?
Eine Rückmeldung wie „Danke, deine Nachricht ist eingegangen. Wir prüfen sie; du musst den enthaltenen Link nicht weiter untersuchen“ schafft einen nachvollziehbaren Abschluss des ersten Schritts.
Auch nach einer echten Fehlhandlung braucht es einen zugänglichen Meldeweg. Wer bereits geklickt hat, soll nicht erst selbst entscheiden müssen, ob der Vorfall wichtig genug ist. Die zuständige Sicherheitsstelle kann die Lage einordnen, sobald sie die erforderlichen Informationen erhält.
Eine Phishing Simulation vorbereiten
Zur Vorbereitung gehören Lernziel, Zielgruppe, sichere Durchführung und Auswertung. Verantwortliche aus Informationssicherheit, IT-Betrieb, HR und gegebenenfalls der Beschäftigtenvertretung sollten früh beteiligt sein. Der Umgang mit personenbezogenen Auswertungen wird vorab mit den zuständigen Datenschutz- und Rechtsfunktionen geklärt.
Für eine lernorientierte Durchführung empfehle ich, echte Passwörter und vertrauliche Inhalte nicht als Testdaten einzusammeln. Ebenso wenig sollte eine Übung produktive Arbeitsabläufe gefährden. Die Technikverantwortlichen prüfen, welche Ereignisse tatsächlich erfasst werden und welche Schlüsse diese Daten erlauben.
Die allgemeinen Spielregeln sollten bekannt sein: Wozu gibt es Übungen? Welche Daten werden ausgewertet? Wer sieht welche Ergebnisse? Wo können Beschäftigte Fragen stellen? Transparenz über den Zweck bedeutet nicht, dass jede konkrete Testnachricht im Voraus angekündigt werden muss.
Bei der Wahl eines Szenarios ist Zurückhaltung sinnvoll. Für ein Lernziel wie „eine unerwartete Aufforderung unabhängig überprüfen“ braucht es keine inszenierte Kündigung oder persönliche Notlage. Ein sachlicher Arbeitsanlass kann dieselbe Entscheidungsfrage aufwerfen, ohne dafür besonders belastende Themen einzusetzen.
Ein Beispiel für eine Übung mit brauchbarem Feedback
Im folgenden fiktiven Übungsentwurf erhalten Beschäftigte eine Nachricht zu einer angeblich fehlenden Angabe in einem Lieferantenportal.
Das Lernziel lautet: Eine unerwartete Aufforderung wird vor der Eingabe vertraulicher Informationen über den bekannten Zugangsweg oder die zuständige Stelle überprüft.
Vor der Übung werden der reguläre Zugang und der Meldeweg erklärt. Das Unternehmen stellt sicher, dass die Ansprechstelle erreichbar ist. Die Simulation selbst verwendet eine kontrollierte Umgebung und erfasst keine echten Zugangsdaten.
Wer die Nachricht meldet, erhält eine Eingangsbestätigung. In der späteren Auflösung wird erläutert, welche Beobachtung hilfreich war und wie mit ähnlichen Anfragen im Alltag umzugehen ist. Beschäftigte, die einem Link gefolgt sind, bekommen eine sachliche Erklärung mit einem konkreten nächsten Schritt.
Ein möglicher Feedbacktext lautet: „Diese Nachricht gehörte zu einer Sicherheitsübung. Der Anlass passte zu einem Arbeitsvorgang, deshalb konnte sie plausibel wirken. Prüfe unerwartete Aufforderungen künftig über den bekannten Portalzugang oder die vereinbarte Ansprechstelle. Wenn du bei einer echten Nachricht bereits Daten eingegeben hast, melde das bitte direkt über den bekannten Meldeweg.“
Eine kurze anschließende Übung kann die Entscheidung festigen: Die Teilnehmenden beschreiben bei einer weiteren Beispielnachricht, wie sie deren Anlass überprüfen würden. Dabei darf die richtige Antwort auch sein, Unterstützung hinzuzuziehen. Niemand muss eine technische Analyse der Nachricht durchführen, um einen begründeten Verdacht zu melden.
Der Übungsentwurf lässt sich an den tatsächlichen Arbeitskontext anpassen. Ob er das gewählte Lernziel unterstützt, muss die Auswertung der konkreten Durchführung zeigen.
Welche Kennzahlen eine Phishing Simulation aussagekräftiger machen
Das NCSC empfiehlt, neben Klicks auch Meldungen zu berücksichtigen. Es warnt davor, durch Schuldzuweisungen oder ungeeignete Erfolgsmaßstäbe das Vertrauen in die Sicherheitsorganisation zu beschädigen.
Für die konkrete Auswahl der Kennzahlen sollte das Lernziel maßgeblich sein. Die folgende Übersicht ist ein Vorschlag für eine betriebliche Auswertung.
Beobachtung | Mögliche Bedeutung | Was zusätzlich geprüft werden muss |
Anteil gemeldeter Testnachrichten | Nutzung des vorgesehenen Meldewegs | Bezugsgröße, Erreichbarkeit und Verständlichkeit des Kanals |
Zeit bis zur ersten brauchbaren Meldung | Geschwindigkeit der ersten Rückmeldung | Versandzeit, Arbeitszeiten und tatsächliche Zustellung |
Meldung nach einem Klick | Bereitschaft, eine mögliche Fehlhandlung offenzulegen | Bekanntheit des Vorgehens und Reaktion der Ansprechstelle |
Qualität der Übergabe | Vorliegen der Informationen für die weitere Prüfung | Welche Angaben wirklich nötig und für Nutzer erkennbar sind |
Für jede Kennzahl braucht es eine eindeutige Definition. Werden Meldungen pro zugestellter Nachricht oder pro teilnehmender Person gezählt? Welche Ereignisse werden als Klick erfasst? Ohne solche Festlegungen können dieselben Zahlen unterschiedlich interpretiert werden.
Ein bloßer Anstieg von Meldungen beweist noch keine Verbesserung. Er könnte auch mit einer größeren Kampagne oder unklaren Hinweisen zusammenhängen. Hilfreich ist, einige Fälle genauer anzusehen und die Erfahrungen der Beteiligten einzubeziehen. Daraus entstehen konkrete Verbesserungen am Meldeweg, an Erläuterungen oder an technischen Schutzmaßnahmen.
Was Unternehmen nach der Übung verändern sollten
Die Auswertung sollte mit wenigen nachvollziehbaren Aufgaben enden. Fehlt der Meldeknopf in einer häufig verwendeten Oberfläche, wird dieser Zugang geprüft. Wissen Beschäftigte nicht, wie sie nach einer Dateneingabe reagieren sollen, braucht es eine klare Handlungsanweisung. Bleiben Meldungen unbeantwortet, muss der Bearbeitungsprozess verbessert werden.
Zu jeder Aufgabe gehören eine zuständige Person und ein Termin. Eine spätere Übung oder ein kurzer Praxistest prüft, ob die konkrete Lücke geschlossen wurde. Damit wird die Simulation Teil einer fortlaufenden Verbesserung der Sicherheitsorganisation.
Der HILSTAYN-Beitrag zu Social Engineering und seinen Schutzmaßnahmen erklärt die verschiedenen Angriffskontexte. Dieser Beitrag ergänzt die Perspektive auf die Gestaltung von Lerngelegenheiten und die Zusammenarbeit zwischen Beschäftigten und Sicherheitsverantwortlichen.
HILSTAYN unterstützt Unternehmen dabei, psychologische und kommunikative Anforderungen in Trainings und betriebliche Kommunikation zu übersetzen. Ein guter Ausgangspunkt ist die Frage, welche Sicherheitsentscheidung Beschäftigte im Alltag tatsächlich treffen müssen und welche Unterstützung sie dafür brauchen.
Fazit: Phishing-Simulationen sollten Sicherheit fördern, nicht Fehler bestrafen
Phishing-Simulationen können einen wichtigen Beitrag zur Sicherheitskultur eines Unternehmens leisten. Ihr tatsächlicher Nutzen hängt jedoch nicht allein davon ab, wie viele Mitarbeitende auf einen verdächtigen Link klicken.
Entscheidend ist, ob Beschäftigte durch die Übungen lernen, verdächtige Nachrichten zu erkennen, richtig zu reagieren und mögliche Sicherheitsvorfälle frühzeitig zu melden.
Dafür braucht es realistische Szenarien, verständliches Feedback und klar definierte Meldewege. Auch die Auswertung sollte über die reine Klickrate hinausgehen und beispielsweise berücksichtigen, wie häufig verdächtige Nachrichten gemeldet werden und ob die vorgesehenen Abläufe funktionieren.
Unternehmen sollten die Ergebnisse deshalb nicht nutzen, um einzelne Mitarbeitende bloßzustellen, sondern um Lernbedarfe zu erkennen und technische sowie organisatorische Schutzmaßnahmen gezielt zu verbessern.
Denn eine wirksame Sicherheitskultur entsteht nicht durch die Angst, Fehler zu machen, sondern durch das Wissen, wie man mit ihnen umgeht.
Das Ziel einer guten Phishing-Simulation ist nicht, Menschen beim Scheitern zu erwischen, sondern sie zu sicherem Handeln zu befähigen.
Häufige Fragen zur Phishing Simulation
Ist eine Phishing Simulation für jedes Unternehmen sinnvoll?
Das hängt vom Lernziel, den vorhandenen Schutzmaßnahmen und den Möglichkeiten zur Begleitung ab. Wenn grundlegende Meldewege fehlen, sollten diese zuerst aufgebaut werden. Für manche Ziele eignen sich gemeinsam besprochene Beispiele oder angeleitete Übungen besser.
Beweist eine niedrige Klickrate hohe Sicherheit?
Sie beschreibt zunächst nur ein Ergebnis der jeweiligen Übung. Zur Bewertung gehören die Schwierigkeit der Nachricht, der Kontext der Empfänger, die Datenerfassung und das Meldeverhalten. Daraus lässt sich keine umfassende Sicherheitsbewertung ableiten.
Sollten individuelle Ergebnisse öffentlich gemacht werden?
Für das hier vorgeschlagene Lernkonzept sind öffentliche Ranglisten ungeeignet. Die gemeinsame Auswertung konzentriert sich auf hilfreiche Entscheidungen und verbesserungsbedürftige Bedingungen. Wer individuelle Unterstützung benötigt, sollte sie in einem geschützten Rahmen erhalten.
Quellen
[1] National Cyber Security Centre. Phishing attacks: defending your organisation. Onlinequelle.
[2] Dawkins, S., & Jacobs, J. (2023). NIST Phish Scale User Guide. NIST Technical Note 2276. DOI.
[3] Chen, X., Doublet, S., Sergeeva, A., Lenzini, G., Koenig, V., & Distler, V. (2024). What motivates and discourages employees in phishing interventions: An exploration of expectancy-value theory. Proceedings of the Twentieth Symposium on Usable Privacy and Security. Volltext.
Kommentare