Eine Phishing-Simulation besteht darin, Ihren Mitarbeitenden absichtlich eine gefälschte Köder-E-Mail zu senden, aufgebaut wie es ein Angreifer tun würde, und dann zu beobachten, was passiert. Wer klickt, wer meldet, wer nichts tut.
Die Übung hat einen sehr guten Ruf, und teilweise verdient sie ihn. Aber sie ist auch eine der wenigen Cybersicherheitsmassnahmen, die mehr Schaden als Nutzen anrichten können. Schlecht konzipiert, lehrt eine Kampagne nichts und hinterlässt ein dauerhaftes Gefühl, vom Arbeitgeber in eine Falle gelockt worden zu sein. Hier zählt die Art und Weise ebenso wie das Werkzeug.
Was bringt eine Phishing-Simulation wirklich?
Sie bringt zwei Dinge, und diese müssen unterschieden werden.
Eine objektive Messung. Solange Sie nicht getestet haben, haben Sie nur eine Vermutung darüber, wie gut Ihre Teams eine gefälschte E-Mail erkennen können. Die Simulation verwandelt diese Vermutung in eine Feststellung. Sie deckt oft Unerwartetes auf: eine ganze Abteilung, die nicht weiss, wo sie melden soll, eine allgemeine Adresse, die alle abrufen und niemand überwacht.
Ein Lernmoment am richtigen Ort. Das ist der eigentliche Nutzen, und er lässt sich kaum anders erreichen. Eine Person, die gerade geklickt hat und in genau diesem Moment entdeckt, dass sie in eine Falle getappt ist, behält die Lektion auf eine Weise, die keine Präsentation je erreichen kann. Die Aufmerksamkeit ist maximal, weil der Fehler konkret und persönlich ist.
Genau deshalb ist die Seite, die nach dem Klick angezeigt wird, das wichtigste Element der gesamten Kampagne, weit vor der Wahl des Szenarios oder der Raffinesse der gefälschten E-Mail.
Die Regeln, die Lernen von Demütigung trennen
Vier Regeln. Sie sind nicht verhandelbar, und schon eine einzige, die wegfällt, reicht aus, um die Übung in eine Quelle von Groll zu verwandeln.
Niemals eine Sanktion. Weder formell noch informell, auch keine Bemerkung im Teammeeting. Sobald Klicken riskant wird, meldet niemand mehr seine Fehler, und genau diese Fähigkeit zu melden wird Sie bei einem echten Angriff retten.
Keine namentlichen Ergebnisse. Die Zahlen zirkulieren aggregiert: Gesamtquote, gegebenenfalls nach Abteilung, sofern die Belegschaft gross genug ist, dass niemand identifizierbar ist. Die Liste der Personen, die geklickt haben, muss weder an die Geschäftsleitung noch an eine Teamleitung weitergegeben werden.
Die Geschäftsleitung macht ebenfalls mit. Eine Führungskraft, die vom Anwendungsbereich ausgenommen wird, sendet eine klare Botschaft: Die Übung richtet sich an die Untergebenen. Doch Führungskräfte sind gerade die bevorzugten Ziele gezielter Angriffe, wie CEO-Betrug zeigt. Ihre Teilnahme verändert die Wahrnehmung des Vorhabens vollständig.
Die Seite nach dem Klick erklärt, sie tadelt nicht. Kein «Sie haben versagt», kein roter Zähler. Ein kurzer Text, der die erhaltene E-Mail nochmals aufgreift, die zwei oder drei Hinweise zeigt, die den Betrug verraten haben, daran erinnert, wo eine verdächtige E-Mail zu melden ist, und sich bedankt. Der Ton sollte der eines Kollegen sein, nicht der eines Kontrolleurs.
Bevor Sie eine Kampagne starten, stellen Sie sich diese Frage: Wenn ein Mitarbeitender der Geschäftsleitung kurz nach dem Klicken auf dem Flur begegnet, ist das Gespräch dann unangenehm? Wenn ja, stimmt etwas an der Konzeption der Übung nicht. Eine gute Simulation erzeugt Neugier, keine Scham.
Welche Köder dürfen niemals verwendet werden?
Das ist der Punkt, an dem viele Kampagnen entgleisen, oft mit den besten Absichten. Die Logik des Konzepteurs ist verlockend: Je wirksamer der Köder, desto realistischer der Test. Sie ist falsch.
Die gefälschte E-Mail, die eine Prämie oder eine Gehaltserhöhung ankündigt. Die gefälschte E-Mail, die eine Entlassung, einen Sozialplan oder eine Restrukturierung erwähnt. Die gefälschte E-Mail, die ein sensibles persönliches Thema berührt: Gesundheit, Familie, finanzielle Situation, Disziplinarverfahren. Solche Kampagnen erzielen spektakuläre Klickraten und lehren rein gar nichts.
Warum nichts? Weil diese E-Mails nicht die Wachsamkeit testen. Sie nutzen eine Emotion aus, gegen die Wachsamkeit nicht standhält. Niemand analysiert kühl die Absenderadresse einer Nachricht, die die Streichung der eigenen Stelle ankündigt. Das Ergebnis misst die Stärke des Köders, nicht die Kompetenz der Personen.
Und die Kosten sind real. Ein Mitarbeitender, der dreissig Sekunden lang an eine nicht existierende Prämie oder eine eingebildete Entlassung glaubte, wird sich nicht an eine Cybersicherheitslektion erinnern. Er wird sich daran erinnern, dass sein Arbeitgeber mit seinem Geld, seiner Stelle oder seinem Privatleben gespielt hat, um eine Statistik zu erstellen. Dieses beschädigte Vertrauen lässt sich nicht mit einer Erklärungs-E-Mail reparieren.
Die praktische Regel ist einfach: Das Szenario muss im Rahmen des banalen beruflichen Alltags bleiben. Eine Rechnung, eine Lieferung, eine Anfrage für eine elektronische Signatur, eine Nachricht eines Dienstleisters. Genau das tut auch die Mehrheit der Angreifer tatsächlich, wie unser Artikel über Phishing im Detail zeigt.
Was sagt die Klickrate wirklich aus?
Die Klickrate ist der Kennwert, auf den alle schauen. Man sollte wissen, was er wert ist.
Er sagt eine nützliche Sache: In einem bestimmten Moment, angesichts dieser konkreten Nachricht, ist ein bestimmter Anteil der Personen darauf angesprungen. Als Ausgangspunkt ist das aufschlussreich.
Er sagt nicht, dass Ihre Teams wachsam sind. Ein Rückgang über mehrere Kampagnen hinweg bedeutet vor allem, dass Ihre Mitarbeitenden inzwischen Ihre Simulationen erkennen. Sie erkennen das Format, die Versandzeit, die Formulierung, die verwendete Domain. Dieses Lernen ist real, betrifft aber Ihre Übungen, nicht die Angriffe von morgen.
Er sagt auch nicht viel über die Sicherheit des Unternehmens aus. Eine niedrige Klickrate bei null Meldungen beschreibt eine blinde Organisation: Niemand beisst an, niemand schlägt Alarm, und an dem Tag, an dem eine einzige Person klickt, erfahren Sie es zu spät.
| Kennwert | Was er misst | Seine Grenze |
|---|---|---|
| Klickrate | Wie verlockend genau dieser Köder ist | Sinkt vor allem, weil man Ihre Simulationen erkennt |
| Rate der Zugangsdateneingabe | Die vollständige Handlung | Hängt stark davon ab, wie realistisch die gefälschte Seite ist |
| Melderate | Die tatsächliche Fähigkeit der Organisation zu erkennen | Setzt voraus, dass ein Meldekanal existiert und bekannt ist |
| Mediane Meldezeit | Die Reaktionsgeschwindigkeit bei einem echten Angriff | Ohne Wert, wenn der Kanal schlecht bekannt ist |
Der Kennwert, der wirklich zählt
Die Melderate und die Meldezeit.
Die Logik dahinter ist die des Incident-Managements, nicht die einer Schulnote. Bei einem echten Angriff können Sie nicht hoffen, dass niemand klickt. Sie können aber hoffen, schnell gewarnt zu werden, um den Absender zu blockieren, andere zu warnen und ein Passwort zurückzusetzen, bevor der Angreifer es nutzt.
Zehn Personen, die eine verdächtige E-Mail melden, sind mehr wert als eine Einzelperson, die schweigend nicht klickt. Die zehn liefern Ihnen eine verwertbare Warnung. Die elfte liefert Ihnen gar nichts.
Die Zeit ist ebenso aufschlussreich. Eine Meldung innerhalb von drei Minuten ermöglicht ein Handeln. Eine Meldung am nächsten Morgen kommt nach der Schlacht. Verfolgen Sie die mediane Zeit von einer Kampagne zur nächsten, das ist einer der wenigen Werte, die eine tatsächliche Verbesserung Ihrer Organisation widerspiegeln.
Das setzt natürlich voraus, dass ein Meldekanal existiert, einfach ist und allen bekannt ist. Wenn Ihre Mitarbeitenden nicht wissen, an wen sie sich wenden sollen, wird keine Kampagne irgendetwas bewirken.
Rechtliche und soziale Aspekte
Eine Phishing-Simulation verarbeitet Daten, die identifizierbare Personen betreffen: wer geöffnet hat, wer geklickt hat, wann. Das verdient einige Vorsichtsmassnahmen und etwas Sorgfalt bei der Darstellung.
In der Regel vermeiden drei Verhaltensweisen den Grossteil der Schwierigkeiten.
Das Personal vorab informieren über das Prinzip der Übungen, ihren pädagogischen Zweck und die Tatsache, dass die Ergebnisse nicht individuell verwertet werden. Man kündigt an, dass es sie geben wird, niemals wann.
Daten begrenzen und anonymisieren. Bewahren Sie keine namentlichen Ergebnisse über das für den Ablauf der Kampagne zwingend Notwendige hinaus auf, und denken Sie bei der Auswertung bereits in aggregierten Zahlen.
Die Personalvertretung einbeziehen, sofern vorhanden. Eine Personalkommission oder ein im Voraus informierter Delegierter wird zu einem nützlichen Vermittler, statt zu einem Ansprechpartner, der die Übung erst nachträglich erfährt.
Diese Punkte betreffen das Arbeitsrecht und den Datenschutz, zwei Bereiche, in denen die Situation stark von Ihrem Unternehmen, seiner Grösse und seiner internen Organisation abhängt. Wir formulieren hier keine konkrete rechtliche Verpflichtung: Lassen Sie Ihr Vorgehen vor einer ersten Kampagne von einer Rechtsberatung prüfen. Die allgemeinen Grundsätze für die Verarbeitung personenbezogener Daten werden in unserem Artikel zum nDSG für KMU vorgestellt.
Wo anfangen in einem KMU mit 15 Mitarbeitenden?
Indem man nicht dort anfängt.
Eine Simulation ist nur sinnvoll, wenn die Grundlagen gelegt wurden. In einem Unternehmen, das seinen Teams nie erklärt hat, was eine betrügerische E-Mail ist, misst die Übung nur eine Unwissenheit, für die niemand verantwortlich ist, und sie wird als Blossstellung erlebt.
Die Reihenfolge, die funktioniert, umfasst vier Schritte. Zuerst eine Grundsensibilisierung, eine Stunde reicht aus, zu den Mechanismen von Phishing und Social Engineering. Dann ein klarer Meldekanal, allen bekannt, mit garantierter Rückmeldung. Anschliessend die technischen Massnahmen, die den Schaden eines Klicks begrenzen, angefangen mit der Zwei-Faktor-Authentifizierung. Erst dann eine erste Kampagne, deren Prinzip angekündigt wurde, mit einem banalen Szenario.
Diese erste Kampagne dient als Referenzmessung, nicht mehr. Ihr Wert liegt nicht in der erzielten Zahl, sondern in den Gesprächen, die sie auslöst, und in dem, was sie über Ihre Abläufe offenbart.
Um Ihren Reifegrad vor dem Start einzuschätzen, geht der Cyber-Check-up alle Voraussetzungen durch, und die weiteren Bausteine der Sensibilisierung sind im Themenbereich Schulung zusammengefasst.
Abschliessend ein Hinweis, der für den gesamten Artikel gilt: Diese Grundsätze bilden einen Ausgangsrahmen, sie ersetzen nicht die Prüfung Ihrer tatsächlichen Situation. Die Konzeption einer Kampagne betrifft das interne Klima ebenso wie die Sicherheit, und das ist typischerweise die Art von Übung, bei der ein erfahrener Blick von aussen einen dauerhaften sozialen Schaden für einen pädagogischen Nutzen vermeidet, der sich auch anders hätte erreichen lassen.