Es ist Oktober, und das bedeutet, dass zahlreiche Unternehmen den „ “ (Monat der Sensibilisierung für Cybersicherheit) mit der gleichen alten Routine begehen: Die Mitarbeiter melden sich bei Portalen an, klicken sich durch animierte Videos oder Präsentationen und absolvieren Quizze zu den Themen „ “ (Phishing-E-Mails). Die Verfahren sollen dazu dienen, Netzwerke und Daten sicherer zu machen.
Die Realität? Es funktioniert nicht.
Untersuchungen zeigen, dass dieser gängige Ansatz unzureichend ist, und Experten empfehlen eine grundlegende Umgestaltung des Schulungsprozesses – einschließlich Kompetenzaufbau und kontinuierlicher Einbindung –, um die Erkennung und Meldung von Phishing-Betrugsversuchen vom Typ „ “ (die zunehmend durch KI unterstützt werden), „Business Email Compromise“ sowie anderer verdächtiger Aktivitäten zu verbessern.
Eine kürzlich von UC San Diego Health veröffentlichte Studie mit dem Titel „ “ ( ) hat den bisherigen Ansatz deutlich in Frage gestellt. Fast 20 000 Mitarbeiter erhielten über einen Zeitraum von acht Monaten hinweg acht Runden mit simulierten Phishing-E-Mails. Some who took the bait and clicked on an embedded phishing link were routed to anti-phishing training material and notified that they’d fallen for a simulated phishing email while others, the control group, were routed to a dead-end 404 (Not Found error) page. Nach einem erneuten Test, bei dem geprüft wurde, ob die Mitarbeiter erneut auf Phishing-Köder klicken würden, lag die Fehlerquote der „geschulten“ Mitarbeiter lediglich 1,7 % unter der derjenigen, die keine Schulung erhalten hatten.
Erläuterung? Die meisten Personen schlossen die Schulungsseiten bereits wenige Sekunden nach dem Aufrufen wieder. Mehr als ein Drittel hat nicht einmal hingeschaut.
„Es hat sich herausgestellt, dass viele Menschen keine Zeit in die Schulung investieren“, sagte Ariana Mirian, Mitautorin und derzeit leitende Sicherheitsforscherin bei Censys. „Im Grunde genommen wurde die Seite geöffnet und anschließend wieder geschlossen, was darauf hindeutet, dass sie die Schulung nicht wirklich absolviert haben.“
Sicherheitsschulungen für Mitarbeiter: Die Ursache (und die Geschichte) des Problems
Dieser Ansatz hat sich in den letzten zwei Jahrzehnten kaum verändert, obwohl sowohl das E-Mail-Aufkommen als auch die Raffinesse der Betrugsmaschen und die zugrunde liegende Technologie dramatisch zugenommen haben.
„Es ist, als würde jeder Organisation eine Schachtel mit Tabletten ausgehändigt, von der man ihr versichert hat, dass sie ihre Phishing-Probleme lösen werde. „Sie nehmen sie zwar immer wieder auf, aber … sie stellen das eigentliche Problem nicht wirklich fest.“”Arun Vishwanath, Sicherheitsberater und Autor des Anti-Phishing-Ratgebers „The Weakest Link“
Im Jahr 2007 waren Kadetten der Militärakademie West Point, die an Schulungen zum Thema Phishing teilgenommen hatten, auch Tage später noch genauso anfällig dafür, auf Betrugsversuche hereinzufallen. Im Jahr 2009 stellten Forscher der Carnegie Mellon University fest, dass per E-Mail versandte Anti-Phishing-Tipps ignoriert wurden, während in E-Mails eingebettete Informationen nur geringfügig besser ankamen. Und im Jahr 2022 kam das Nationale Institut für Standards und Technologie (NIST) in seinem Bericht „ “ ( ) zu dem Schluss, dass die meisten Sensibilisierungsprogramme „keine nennenswerten, langfristigen Verbesserungen im Sicherheitsverhalten bewirken“.
Insbesondere trug das NIST dazu bei, genau jene Praktiken zu verfestigen, die es selbst kritisiert hatte. In den Leitlinien werden Organisationen dazu aufgefordert, Sensibilisierungsmaßnahmen durchzuführen, und es werden Phishing-Simulationen mit anschließenden Schulungen empfohlen. Viele Chief Information Security Officers (CISOs) halten sich standardmäßig an diese Leitlinien und gehen davon aus, dass das NIST es am besten weiß – selbst angesichts der Tatsache, dass Phishing-Angriffe um 202 % in der zweiten Hälfte des Jahres 2024 zugenommen haben und es Hinweise darauf gibt, dass solche Methoden Mängel aufweisen.
„CISOs halten sich an die Vorgaben des NIST und anderer Standardrichtlinien, weil sie keine Zeit haben, sich um viel anderes zu kümmern“, sagte Arun Vishwanath, Sicherheitsberater und Autor von „ “ () sowie „The Weakest Link: How to Diagnose, Detect, and Defend Users from Phishing“ () und „“. „Es ist, als würde jede Organisation eine Schachtel Tabletten erhalten, von der man ihr versichert hat, dass sie ihre Phishing-Probleme lösen wird.“ Sie nehmen sie zwar immer wieder ein, doch dabei stellen sie das eigentliche Problem nicht wirklich fest. Es ist ihnen also unmöglich, das Problem zu lösen. „Ohne Diagnose verallgemeinern Sie das Problem lediglich.“
Vishwanath ist der Ansicht, dass Wissenschaftler, Anbieter und Organisationen mehr Zeit darauf verwenden sollten, sich mit der Frage zu befassen, warum Menschen überhaupt auf Links klicken. Seine Forschungsergebnisse weisen auf Gewohnheiten, Abkürzungen sowie fehlgeleitetes Vertrauen als Grundursachen hin. Menschen bearbeiten E-Mails wie im Autopilot-Modus, verlassen sich auf schnelle visuelle Hinweise wie Logos oder bekannte Namen und verdrängen oft ihr Misstrauen, wenn sie abgelenkt sind.
Ohne diese zugrunde liegenden Verhaltensweisen anzugehen, werde eine Schulung niemals zu einer Veränderung der Ergebnisse führen, sagte er.
Employee security training 2,0 goes beyond compliance theater
Ein Teil der Bewältigung dieser Verhaltensweisen besteht darin, die Schulung selbst grundlegend zu überarbeiten – genau dies war das Ziel einer kürzlich von MITRE durchgeführten Studie mit dem Titel „ “ ( ).
Die von den Forschern Deanna Caputo, Lura Danley und Nathaniel Ratcliff verfasste „ 2024 “-Studie befasste sich mit „böswilligen Informationsentlockungen“, einer ausgeklügelten Form des Social Engineering, bei der sensible Informationen mithilfe gewöhnlicher Gespräche erschlossen werden. Die Mitarbeiter wurden in zwei Gruppen aufgeteilt: Die eine Gruppe erhielt eine herkömmliche, auf Sensibilisierung ausgerichtete Schulung, während die andere an einem neuen, kompetenzorientierten Modell teilnahm. Anstelle von Folien übte die Kompetenzgruppe, verdächtige Gespräche in realistischen Situationen zu erkennen, und erhielt dazu Feedback. Es stellte sich heraus, dass die Schulung der Fähigkeiten die Erkennung und Meldung verbesserte, wobei die Effekte mindestens ein Jahr lang anhielten.
Es kommt darauf an, wie die Schulung durchgeführt wird. In den letzten Jahren haben Anbieter von Sicherheitsschulungen versucht, ihr Angebot zu verbessern, indem sie ansprechendere Schulungsvideos unter mit filmreifer, Netflix-würdiger Erzählweise und Spezialeffekten produziert haben. Auch die Frage nach der Häufigkeit spiele eine Rolle, sagte Lance Spitzner, Leiter des Bereichs Cybersicherheitsschulungen für Mitarbeiter am SANS Institute.
„Der häufigste Fehler besteht darin, dass Unternehmen einmal im Jahr eine Schulung durchführen und dann glauben, damit sei die Sache erledigt“, sagte er. „Das funktioniert nicht.“
Was jedoch funktioniere, so sagte er, sei ein kontinuierliches Engagement. Kurz, einfach, im Laufe der Zeit. Podcasts, Infografiken, Kurzvideos, Phishing-Simulationen. „Das muss Teil der Kultur sein“, sagte Spitzner.
„Einmal und fertig“ ist noch nicht „fertig“ – die neuen Vorschriften für Sicherheitsschulungen von Mitarbeitern
Die Schulungen müssen zudem die Realität des Arbeitsalltags widerspiegeln, in dem die Mitarbeiter oft dringendere Angelegenheiten im Kopf haben, als sich an sinnvolle Sicherheitsmaßnahmen zu halten, warnte Spitzner.
„Ich habe einen Kunden, der jede Woche 400 bis 500 E-Mails erhält“, sagte Vishwanath. „Von einer Person zu erwarten, dass sie all diese E-Mails durchsieht und jeden einzelnen Fall von Phishing erkennt, ist eine große Herausforderung.“
Versehentliche Klicks kommen zwangsläufig vor und sollten keinesfalls zu einer Strafe führen. In manchen Organisationen ist dies der Fall. Ein wirksames Programm, so entgegnet Spitzner, fördert Offenheit, betrachtet Fehler als Lernchancen und macht die Mitarbeiter zu Partnern bei der Abwehr.
„Niemand sollte gerügt werden“, sagte er. „Ein wesentlicher Bestandteil des Sicherheitsbewusstseins besteht darin, eine Kultur zu schaffen, in der sich die Menschen sicher fühlen, Fehler zu melden, falls diese auftreten sollten.“ „Sie wollen ja nicht bestrafend vorgehen.“
Sie sollten sich auch nicht allein auf das Training verlassen. Selbst gut ausgebildete Mitarbeiter übersehen manchmal Dinge. Nehmen Sie zum Beispiel jenen Mann, der von Hunderten von E-Mails überschwemmt wird.
„Kein noch so intensives Training wird dazu beitragen, diese Belastung zu verringern“, sagte Vishwanath. „Er benötigt unbedingt technische Unterstützung, um Reibungsverluste und die kognitive Belastung zu verringern.“
Technik ist wichtig – warum es bei Sicherheitsschulungen für Mitarbeiter um mehr als nur Schulungen geht
Die Technologie muss die Mitarbeiter mit Tools wie (Multi-Faktor-Authentifizierung, MFA), leistungsstarken Spamfiltern und (Anomalieerkennung) unterstützen.
Schulungen sollten ein Bestandteil einer mehrschichtigen Sicherheitsstrategie sein, nicht deren Grundlage, sagte er. Systeme sollten unter Berücksichtigung menschlicher Fehlbarkeit konzipiert werden. Man sollte nicht davon ausgehen, dass die Mitarbeiter die Bedrohung stets erkennen, sondern dass einige sie übersehen werden und das System den Schaden begrenzen wird.
Diese gestalterische Notwendigkeit hat mit dem Aufkommen von „ “ und generativer KI noch weiter an Bedeutung gewonnen. Phishing-E-Mails sind mittlerweile sprachlich ausgefeilt, überzeugend und lassen sich in großem Umfang kostengünstig erstellen. Angriffe verlagern sich zudem auf neue Kanäle: SMS, Telefonanrufe (, „Vocal Phishing“, auch bekannt als „Vishing“) und sogar Deepfake-Stimmen, die sich als Kollegen und Vorgesetzte eines Mitarbeiters ausgeben.
Das Problem mit dem Monat der Cybersicherheitsaufklärung
Wie wirkt sich das nun auf den Monat der Cybersicherheitsaufklärung aus? Für sich genommen birgt die jährliche Feier die Gefahr, die Mentalität des bloßen Abhakens zu verstärken. Schulungsmodule werden wieder hervorgeholt, Compliance-Unterlagen werden aktualisiert, und die Unternehmen versichern sich selbst, dass sie nun sicherer sind. Im November kehren sie dann wieder zum gewohnten Tagesgeschäft zurück, und die Sicherheitsschulungen werden ein Jahr lang nicht genauer unter die Lupe genommen.
„Der häufigste Fehler besteht darin, dass Unternehmen einmal im Jahr eine Schulung durchführen und glauben, damit sei die Sache erledigt. Das funktioniert nicht.”Lance Spitzner, Leiter des Bereichs Cybersicherheitsschulungen für Mitarbeiter beim SANS Institute
Diese Vorgehensweise reicht nicht mehr aus. Forscher fordern zunehmend, dass Schulungen durch kompetenzorientierte Ansätze ersetzt oder ergänzt werden, die das ganze Jahr über fortlaufend angeboten werden. Durch diese Wiederholung im Abstand von einigen Wochen oder Monaten können die Mitarbeiter das Gelernte üben, Feedback erhalten und es sich einprägen. Sie argumentieren, dass dies kontinuierlich erfolgen, in kleinen Einheiten vermittelt und in die täglichen Arbeitsabläufe eingebettet werden sollte. Mitarbeiter sollten dazu ermutigt werden, Fehler zu melden, und nicht dafür bestraft werden. Zudem sollten Organisationen die Schulung der Mitarbeiter mit verstärkten systemischen Schutzmaßnahmen in Einklang bringen.
„Diese Veränderung wird erst dann eintreten, wenn sich die Rahmenbedingungen weiterentwickeln“, sagte Vishwanath.
„Solange das NIST den Menschen empfiehlt, Schulungen zur Sensibilisierung für Phishing zu absolvieren, werden die CISOs diese weiterhin in Anspruch nehmen“, sagte er. „Es ist einfacher, sich an die Checkliste zu halten.“
Um dem NIST Gerechtigkeit widerfahren zu lassen: An einer Checkliste an sich ist nichts auszusetzen. Die eigentliche Herausforderung besteht laut Experten darin, sich von dieser „ “-Checklisten-Denkweise zu lösen und Sicherheit als einen lebendigen Prozess zu betrachten.
„Gutes Training ist ein kontinuierlicher Prozess. „Das ist eine kulturelle Sache“, sagte Spitzner. „Es geht nicht um Perfektion. „Es geht um Verbesserung.“
