Stellen Sie sich vor, jemand aus Ihrem Team fällt auf eine überzeugende Phishing-Mail herein. Ein Klick – und plötzlich steht Hackern womöglich ein Weg in Ihr Unternehmen offen.
Was tun Sie jetzt?
Zeigen Sie mit dem Finger auf die betroffene Person und sprechen vielleicht sogar eine offizielle Abmahnung aus – oder nutzen Sie den Vorfall als Lernchance?
Immer mehr Organisationen führen heute Phishing-Simulationen durch, um ihre Mitarbeitenden im Erkennen gefälschter Mails zu schulen. Die Herangehensweise unterscheidet sich jedoch stark: Mancherorts wird daraus eine „Erwischt!“-Übung, bei der Fehltritte Scham und Strafe nach sich ziehen. Andernorts entsteht ein geschützter Raum, in dem man gemeinsam dazulernt.
Phishing: Der Mensch ist die größte Sicherheitslücke
Der jährliche Data Breach Investigations Report (DBIR) von Verizon dokumentiert, dass bei 82 % aller Sicherheitsvorfälle der Faktor Mensch eine Rolle spielt – oft in Form von Social-Engineering-Angriffen wie Phishing. Tatsächlich ist Phishing die am weitesten verbreitete Technik, wenn Angreifer gezielt Menschen ins Visier nehmen. Mit anderen Worten: Für Angreifer ist es oft leichter, Mitarbeitende dazu zu bringen, ihnen die Tür zu öffnen, als sie mit technischen Mitteln aufzubrechen.
Die Konsequenz: Mitarbeitende in der gesamten Organisation – vom Empfang bis zur Geschäftsführung – müssen in der Lage sein, diese Angriffe zu erkennen und abzuwehren. Auch Behörden und Standards haben das Problem längst erkannt. Die NIS2-Richtlinie der EU – in Deutschland umgesetzt durch das NIS2UmsuCG – verlangt beispielsweise, dass Beschäftigte in den betroffenen Einrichtungen regelmäßig in Cybersicherheit geschult werden und gute Praktiken kennen. Phishing-Training ist also kein „Nice-to-have“, sondern ein unverzichtbares Werkzeug im Werkzeugkasten moderner Sicherheitsführung.
Bloßstellen bewirkt das Gegenteil
Wenn Mitarbeitende in einem Test auf eine gefälschte Mail klicken, kann es verlockend sein, dem Frust freien Lauf zu lassen. Leider sehen wir immer wieder, dass manche Organisationen darauf mit Bloßstellung oder Strafen reagieren. Eine Studie ergab, dass 42 % der Organisationen Mitarbeitenden nach Sicherheitsvorfällen disziplinarische Verwarnungen erteilt haben – und es kursieren Anekdoten über „kreative“ Strafen. In einem Fall verschickte eine Führungskraft sogar eine Mail an das gesamte Unternehmen, in der die Person namentlich genannt wurde, die auf eine Phishing-Mail hereingefallen war – als warnendes Beispiel.
Das Problem mit Bloßstellung und Strafe: Niemand lernt etwas dadurch, gedemütigt zu werden. Die Forschung zeigt, dass eine Blame-Kultur wie ein Bumerang auf die Organisation zurückfallen kann: Mitarbeitende, die sich zu Sündenböcken gemacht fühlen, werden defensiv und verlieren Vertrauen. Die Angst vor Konsequenzen kann im schlimmsten Fall dazu führen, dass Sicherheitsvorfälle verschwiegen oder gar nicht erst gemeldet werden – genau das Gegenteil von dem, was wir wollen.
Sicherheitskultur statt Angst im Umgang mit Phishing-Angriffen
Zum Glück zeigt sich, dass Mitarbeitende deutlich positiver reagieren, wenn die Führung auf Lernen statt auf Standpauken und Schuldzuweisungen setzt. In der Studie von Karen Renaud beschrieben Beschäftigte, wie das Verständnis ihrer Vorgesetzten nach einem Sicherheitsfehler sie motivierte, den Schaden wiedergutzumachen und Wiederholungen zu vermeiden. Niemand wurde an den Pranger gestellt; stattdessen bekamen sie Hilfe, die Folgen abzumildern und aus dem Fehler zu lernen.
Das Ergebnis war eine stärkere Beziehung zwischen Arbeitgeber und Mitarbeitenden – und ein Mensch, der motiviert war, es künftig besser zu machen. Dieser Ansatz – manche nennen ihn „No-Blame-Kultur“ – ist für die Sicherheit Gold wert. Wenn Menschen sich trauen, Fehler zuzugeben und Beinahe-Vorfälle offen anzusprechen, erhalten Sie als Führung die Informationen, die Sie brauchen, um schnell auf Bedrohungen zu reagieren. Die Kultur wird von Offenheit und ständiger Verbesserung geprägt.
Und die Wirkung zieht Kreise. Sie sorgt nicht nur für bessere IT-Sicherheit – sie stärkt auch die Unternehmenskultur insgesamt. Ein sicherer, vertrauensbasierter Umgang mit Lernen bedeutet, dass Menschen sich trauen, die Hand zu heben, Fragen zu stellen und zu widersprechen, wenn sich etwas falsch anfühlt – in allen Bereichen. Und er bedeutet, dass man sich gegenseitig unterstützt, statt mit dem Finger aufeinander zu zeigen. Wenn jemand einen Fehler zugibt – und auf Neugier statt auf Scham trifft –, fällt es anderen leichter, dasselbe zu tun. Eine solche Kultur zahlt sich langfristig aus. Nicht nur in Sachen Sicherheit, sondern auch bei Wohlbefinden, Zusammenarbeit und Verantwortungsgefühl.
So nutzen Sie Phishing-Tests als Lernwerkzeug
Phishing-Simulationen können eine wirksame Waffe gegen Cyberbedrohungen sein – wenn sie richtig eingesetzt werden. Hier sind vier konkrete Empfehlungen, wie sie zur Lernchance statt zur Strafe werden:
1. Realistisch gestalten – und ohne Vorwarnung. Phishing-Angriffe kommen unangekündigt, also sollte das Training das auch tun. Testen Sie verschiedene Angriffsarten und vereinfachen Sie sie nicht zu stark.
2. Schnelles, konstruktives Feedback geben. Wenn jemand klickt, braucht die Person Hilfe, keine Standpauke. Das kann eine freundliche Erklärung oder ein kurzes Lernvideo sein.
3. Richtiges Verhalten anerkennen. Belohnen Sie diejenigen, die Phishing-Versuche erkennen und melden. Kleine Wettbewerbe, Badges oder schlicht Anerkennung – das wirkt.
4. Die Führung geht voran. Machen Sie deutlich, dass es ums Lernen geht, und lassen Sie auch Führungskräfte teilnehmen und eigene Fehler teilen. Das schafft Sicherheit und Vertrauen.
Phishing-Simulationen sollten als Lernraum verstanden werden, nicht als Prüfungssituation. Deshalb wirken sie am besten, wenn Sie sie als festen Bestandteil Ihres Unternehmensalltags etablieren – als etwas, an dem alle kontinuierlich teilnehmen.
Quellen:
- ENISA – Agentur der Europäischen Union für Cybersicherheit (2023)
- Verizon (2022). Data Breach Investigations Report
- Karen Renaud, Wall Street Journal
- CREST (2021)
- NIST Special Publication 800-53 (Rev. 5, 2022)
- Nordic Cyber Group (2023)