Die Schulung, die in vielen Betrieben zum Standard gehört, sagt seit Jahren dasselbe: Achten Sie auf schlechtes Deutsch. Achten Sie auf Tippfehler. Achten Sie auf unpersönliche Anreden. Wenn eine Mail holprig klingt, löschen Sie sie.
Dieser Rat war einmal gut. Heute ist er schlimmer als nutzlos – er ist irreführend. Denn eine Mail, die ein Sprachmodell geschrieben hat, klingt fehlerfrei, verwendet die richtige Anrede und trifft den Ton einer normalen Geschäftsmail. Wer Mitarbeitern beibringt, auf Fehler zu achten, bringt ihnen bei, professionell formulierte Angriffe für echt zu halten.
Wie sich die Lage verändert hat
Die Zahlen aus den Lageberichten des Bundesamts für Sicherheit in der Informationstechnik zeichnen ein deutliches Bild. Das BSI zählt im Schnitt weit über hundert neue Schwachstellen pro Tag, mit zweistelligen Steigerungsraten gegenüber dem Vorjahr. Und ein großer Teil der Angriffe richtet sich nicht gegen Konzerne, sondern gegen kleine und mittlere Unternehmen – weil dort Mittel und Zeit für eine systematische Verteidigung fehlen. Die laufend aktualisierten Warnungen und Lageberichte finden Sie unter bsi.bund.de.
Social Engineering – also der Angriff über den Menschen statt über die Technik – gehört dabei durchgehend zu den häufigsten Einstiegswegen, gemeinsam mit ungepatchten Lücken und gestohlenen Zugangsdaten. Das ist nicht neu. Neu ist die Qualität.
Konkret heißt das für einen Handwerksbetrieb: Die Mail, die scheinbar vom Lieferanten kommt und eine geänderte Bankverbindung mitteilt, ist sprachlich einwandfrei. Sie nimmt Bezug auf eine Auftragsnummer, die stimmt – weil sie aus einem früheren Mailverlauf stammt. Und sie kommt am Freitag um 15:40 Uhr, wenn niemand Lust hat, noch jemanden anzurufen.
Was an klassischen Schulungen nicht funktioniert
Drei Dinge halten sich hartnäckig, obwohl sie wenig bringen:
- Die Jahresschulung. Einmal im Jahr ein Online-Modul mit Abschlusstest. Untersuchungen zur Behaltensleistung zeigen, dass nach wenigen Wochen der größte Teil des Gelernten nicht mehr abrufbar ist. Was bleibt, ist das Häkchen in der Dokumentation.
- Das Merkmal-Lernen. Listen mit Erkennungszeichen veralten in dem Tempo, in dem Angreifer dazulernen. Alles, was eine Liste ist, ist angreifbar.
- Die Bestrafungs-Kultur. Wer geklickt hat und dafür bloßgestellt wird, meldet beim nächsten Mal nicht. Und genau die Meldung ist das Wertvollste, was ein Mitarbeiter liefern kann.
Der letzte Punkt ist der wichtigste und wird am häufigsten falsch gemacht. In einem Betrieb, in dem ein Fehlklick peinlich ist, erfährt die IT von einem Vorfall im Schnitt Stunden später als in einem Betrieb, in dem Melden normal ist. Diese Stunden entscheiden bei Verschlüsselungsangriffen über das Ausmaß.
Was stattdessen wirkt
Die Verschiebung ist einfach zu beschreiben und in der Umsetzung anspruchsvoller: weg von Merkmalen, hin zu Situationen. Die Frage ist nicht mehr „Sieht diese Mail echt aus?“ – das lässt sich nicht mehr zuverlässig beantworten. Die Frage ist: „Was wird hier von mir verlangt?“
Drei Situationen reichen als Kern einer Schulung, weil praktisch jeder relevante Angriff in eine davon fällt:
- Es geht um Geld oder Bankdaten. Eine geänderte Kontoverbindung, eine dringende Überweisung, eine Rechnungskorrektur. Regel: Immer über einen zweiten, bekannten Weg prüfen – anrufen, unter der Nummer, die im eigenen System steht, nicht unter der aus der Mail.
- Es geht um Zugangsdaten. Jede Aufforderung, sich irgendwo anzumelden, weil etwas abläuft, bestätigt oder freigeschaltet werden muss. Regel: Nie über den Link in der Mail. Immer über das eigene Lesezeichen oder die bekannte Adresse.
- Es wird Zeitdruck erzeugt oder Geheimhaltung verlangt. „Bitte heute noch“, „bitte nicht mit den Kollegen besprechen“, „der Chef ist in einem Termin und nicht erreichbar“. Regel: Zeitdruck ist das Warnzeichen, nicht der Inhalt.
Diese drei Regeln funktionieren unabhängig davon, wie gut die Mail geschrieben ist. Das ist der entscheidende Vorteil gegenüber Merkmallisten: Sie werden nicht schlechter, wenn die Angreifer besser werden.
Simulationen: nützlich, wenn man sie richtig einsetzt
Phishing-Simulationen – also Testmails, die der eigene Dienstleister oder ein Werkzeug verschickt – sind das wirksamste Mittel, das es derzeit gibt. Die berichteten Effekte sind deutlich: Nach mehreren Durchläufen sinken die Klickraten in der Praxis erheblich, in den Angaben verschiedener Anbieter um 60 Prozent und mehr.
Die Bedingungen, unter denen das gilt, werden allerdings selten mitgeliefert:
- Es braucht Wiederholung. Vier bis sechs Durchläufe im Jahr gelten als sinnvolles Minimum. Einmal jährlich ist eine Momentaufnahme, keine Übung.
- Der Schwierigkeitsgrad muss steigen. Wenn die dritte Testmail aussieht wie die erste, trainiert man Mustererkennung, nicht Wachsamkeit.
- Die Rückmeldung muss sofort kommen und sachlich sein. Wer klickt, soll in dem Moment eine kurze, freundliche Erklärung sehen – nicht zwei Wochen später eine Auswertung im Teammeeting.
- Die Ergebnisse dürfen nicht personenbezogen ausgewertet werden. Abgesehen davon, dass das mitbestimmungs- und datenschutzrechtlich heikel ist, zerstört es die Meldekultur. Interessant ist die Quote im Betrieb, nicht der Name.
Eine transparente Einschätzung: Für einen Betrieb mit fünf Mitarbeitern ist ein ausgebautes Simulationsprogramm überdimensioniert. Dort wirkt ein halbstündiges Gespräch über die drei Situationen oben, zweimal im Jahr, mehr als jedes Werkzeug. Ab etwa zwanzig Mitarbeitern ändert sich das, weil dann niemand mehr den Überblick hat, wer was weiß.
Was Schulung nicht leisten kann
Hier gehört ein ehrliches Wort hin, weil es in Sicherheitsangeboten oft fehlt. Keine Schulung bringt die Fehlklickrate auf null. Menschen sind müde, abgelenkt, unter Zeitdruck. Eine gut gemachte Angriffsmail am Freitagnachmittag erwischt irgendwann jeden.
Deshalb ist Schulung nur eine von zwei Hälften. Die andere ist Technik, die den Fehlklick abfedert: Mehr-Faktor-Anmeldung, damit ein gestohlenes Passwort allein nichts wert ist. Getrennte Backups, damit eine Verschlüsselung nicht alles mitnimmt. Begrenzte Rechte, damit ein kompromittiertes Konto nicht an alles herankommt.
Wir sehen bei KMU häufig, dass in Schulung investiert wird, weil sie greifbar und abrechenbar ist, während die Mehr-Faktor-Anmeldung noch aussteht. Das ist die falsche Reihenfolge. Wenn Sie nur eines von beiden tun können, beginnen Sie mit der Technik.
Fazit
Die alten Erkennungsmerkmale sind weg. Schulung, die auf Tippfehler und holprige Sprache setzt, schadet inzwischen mehr als sie hilft. Was bleibt, sind drei situative Regeln – Geld, Zugangsdaten, Zeitdruck – die unabhängig von der Qualität der Mail funktionieren.
Der sinnvolle erste Schritt kostet eine halbe Stunde: Besprechen Sie die drei Situationen im Team und legen Sie für jede fest, wie der zweite Prüfweg in Ihrem Betrieb konkret aussieht. Welche Nummer wird angerufen? Wer darf eine Bankverbindung ändern? Diese Festlegungen sind wertvoller als jedes Lernmodul, weil sie im Moment der Entscheidung abrufbar sind.
Und machen Sie klar, dass Melden erwünscht ist – auch und besonders nach einem Fehlklick. Das ist kostenlos und wirkt sofort.
Sprechen Sie uns gerne an für eine kostenlose IT-Security-Erstberatung. Wir schauen uns an, wo bei Ihnen der Fehlklick abgefedert wird und wo er heute noch durchschlägt.
