Wenn wir Betrieben eine Phishing-Simulation vorschlagen, kommt fast immer derselbe Satz: «Das kann ich meinem Team nicht antun.»
Die Sorge ist berechtigt. Niemand möchte, dass eine Mitarbeiterin am Montag erfährt, dass sie als Einzige auf eine Testmail geklickt hat. Genau deshalb ist eine Simulation so aufgebaut, dass das nicht passieren kann.
Was eine Testsimulation ist
Wir versenden eine Mail, die aussieht wie eine echte Phishing-Mail. Ein Paketdienst, eine Rechnung, eine Aufforderung der Bank. Nichts davon ist gefährlich, und niemand verliert Daten. Gemessen wird nur, wie viele Personen den Link geöffnet haben.
Das Ergebnis ist eine einzige Zahl: die Klickrate des Teams. Keine Namensliste, keine Auswertung pro Person, nichts, was auf dem Schreibtisch der Geschäftsleitung landet. Wer klickt, sieht sofort eine kurze Erklärungsseite, die zeigt, woran die Mail zu erkennen gewesen wäre. Das ist der ganze Vorgang.
Warum die erste Zahl nicht das Ergebnis ist
Die Klickrate der ersten Simulation sagt wenig über die Qualität eines Teams. Sie sagt nur, wo es heute steht, bevor jemand darüber gesprochen hat. Bei den meisten Betrieben liegt sie höher, als die Geschäftsleitung erwartet, und das ist normal. Phishing-Mails sind mit künstlicher Intelligenz deutlich besser geworden, der Tippfehler im Betreff ist Geschichte.
Interessant wird die Zahl erst im Vergleich. Nach dem Training und einigen Durchgängen sieht man, ob sich etwas verändert hat. Dieser Verlauf ist der eigentliche Wert der Übung, nicht der Ausgangswert.
Was danach kommt
Auf die erste Simulation folgt ein Training von zwei Stunden, praxisnah und ohne Technikvortrag. Das Team lernt, woran verdächtige Mails, Links und Anfragen zu erkennen sind und was im Zweifelsfall zu tun ist.
Danach laufen über das Jahr verteilt weitere Simulationen, mit wechselnden Szenarien und einem Fortschrittsreport über BullPhish ID. Das ist der Unterschied zur einmaligen Schulung: Wer einmal im Jahr eine Stunde zuhört, vergisst es bis zum Herbst. Wer alle paar Wochen eine Mail bekommt, die er prüfen muss, bleibt aufmerksam.
Die Dokumentation
Am Schluss steht eine Bestätigung mit Durchführungszeitraum, Teilnahmequote und Klickrate. Ein Dokument, mit dem Sie belegen können, was Sie getan haben.
Der eigentliche Punkt
Eine Simulation ist keine Prüfung, sondern eine Übung. Wer klickt, hat nichts falsch gemacht, sondern gezeigt, wo die Lücke liegt. Das ist der Grund, warum sie anonym bleibt. Ein Team, das Angst vor dem Test hat, meldet auch den echten Vorfall nicht.
Wie das Cybersecurity Awareness Paket der RN IT-Unit AG im Einzelnen aufgebaut ist, sehen Sie auf unserer Produkteseite.
Sie möchten wissen, wo Ihr Team heute steht? Kontaktieren Sie Oliver Hunziker, Partner und Geschäftsführer, unter oliver.hunziker@rnitunit.ch oder 044 244 09 29.
RN IT-Unit AG, Ihre persönliche IT Abteilung. Mitdenken inklusive.