So verbessern Sie Phishing-Meldungen, ohne Ihre Sicherheits-Inbox zu überfluten

Das Melden von Phishing klingt erst einmal einfach, doch das ist es nur so lange, bis es in einer ganzen Organisation funktionieren muss.

Mitarbeitende brauchen eine klare und umstandslose Möglichkeit, verdächtige E-Mails zu melden. Sicherheitsteams müssen diese Meldungen mit ausreichenden Kontextinformationen erhalten, um die Triage zu unterstützen. Wenn eine der beiden Seiten dieses Workflows unklar ist, werden die Meldungen inkonsistent: Bedrohungen werden nicht gemeldet, harmlose Nachrichten versetzen Teams unnötig in Alarmbereitschaft, und einige wirklich dringende Fälle kommen ohne die Details an, die für schnelles Handeln erforderlich sind.

Für Sicherheitsverantwortliche besteht die Herausforderung darin, das Melden für die Mitarbeitenden einfach und für das Team, das die Meldungen überprüft, nützlich zu machen. An diesem zweiten Teil scheitern viele Programme.

Der SoSafe-Phishing-Meldebutton bietet Mitarbeitenden eine schnelle Möglichkeit, verdächtige E-Mails direkt aus ihrem Posteingang zu melden. Für Sicherheitsteams werden diese Meldungen zu nützlicheren Signalen: Wer hat etwas gemeldet, wie haben die Nutzenden mit potenziellen Bedrohungen interagiert und wo könnte eine Nachverfolgung erforderlich sein?

Das Melden ist zudem direkt mit praktischen Übungen und Feedback verbunden. Durch SoSafe-Phishing-Simulationen können Mitarbeitende das Erkennen verdächtiger Nachrichten üben, sie mit dem Phishing-Meldebutton melden, sofortiges Feedback erhalten und aus riskanten Interaktionen durch kurze Lernseiten lernen.

So nutzen Sie es richtig.

Schritt 1: Reibungsverluste beim Melden reduzieren

Die meisten Mitarbeitenden sind bereit, verdächtige E-Mails zu melden. Das Problem ist in der Regel der Moment zwischen dem Bemerken von etwas Ungewöhnlichem und der Entscheidung, was als Nächstes zu tun ist.

Wenn für den Meldevorgang zusätzliche Fenster geöffnet werden, brechen die Nutzenden ihn möglicherweise ab. Wer seinen Posteingang verlassen muss, beschließt vielleicht, sich erst später um die Sache zu kümmern. Auch wenn die erste Auswahlmöglichkeit zu technisch wirkt, zögern einige Nutzende möglicherweise, weil sie nicht sicher sind, was nach dem Klick passiert.

Der SoSafe-Phishing-Meldebutton wurde entwickelt, um diesen Moment zu vereinfachen. Mitarbeitende können eine verdächtige E-Mail direkt aus ihrem Posteingang melden. Im aktualisierten Prozess gelangen sie direkt zu den Meldegründen, wählen die Option, die am besten zu dem passt, was sie bemerkt oder getan haben, und senden die Meldung ab.

Für Sicherheitsteams löst dies ein Akzeptanzproblem. Ein einfacherer Prozess erhöht die Wahrscheinlichkeit, dass Mitarbeitende verdächtige E-Mails melden, solange der Kontext noch aktuell und ihnen noch im Bewusstsein ist.

Schritt 2: In einfachen Worten fragen, was passiert ist

Mitarbeitende sollten nicht entscheiden müssen, ob etwas als Vorfall gilt, bevor sie es melden.

Das Wort „Sicherheitsvorfall“ klingt nach etwas sehr Ernstem. Es kann Menschen zögern lassen, besonders wenn sie auf einen Link geklickt oder einen Anhang geöffnet haben und unsicher sind, was als Nächstes passieren wird.

SoSafe vermeidet diesen Druck, indem es Mitarbeitenden ermöglicht, zu beschreiben, was sie getan haben. Sie können angeben, ob sie auf einen Link geklickt, einen Anhang geöffnet, geantwortet, persönliche Daten eingegeben oder auf andere Weise mit der E-Mail interagiert haben.

Dies gibt dem Sicherheitsteam einen besseren Kontext für die Triage. Eine gemeldete E-Mail ohne Interaktion erfordert eine andere Reaktion als eine, bei der Anmeldedaten eingegeben wurden.

Die Mitarbeitenden teilen die Fakten mit. Das Sicherheitsteam entscheidet, was Maßnahmen erfordert.

Schritt 3: Hinweise nutzen, um sichtbare E-Mail-Details zu prüfen

Anweisungen zum Thema Phishing funktionieren am besten, wenn sie Mitarbeitende auf etwas Bestimmtes hinweisen.

Wenn zu viele Nachrichten als „riskant“ eingestuft werden, hören die Nutzenden möglicherweise auf, sie wirklich zu überprüfen, und reagieren nur noch. Sie melden eine E-Mail möglicherweise nur, um die Warnmeldung loszuwerden. Das erzeugt unnötige Informationen für das Sicherheitsteam und schwächt die Gewohnheit, die Sie aufbauen möchten.

SoSafe nutzt Hinweise, um Mitarbeitende durch sichtbare E-Mail-Details zu führen. Diese Hinweise fordern die Nutzenden beispielsweise auf, zu prüfen, ob die Antwortadresse von der Absenderadresse abweicht. Andere Hinweise können die Aufmerksamkeit auf Links, Anhänge oder Absenderinformationen lenken.

Dies hilft den Mitarbeitenden, die E-Mail zu überprüfen, bevor sie sie melden. Die Meldung wird dadurch nützlicher, weil sie auf einer konkreten Beobachtung beruht und nicht auf dem allgemeinen Gefühl, dass etwas nicht stimmt.

Schritt 4: Mit KI-Hinweisen die Nachricht hinterfragen

Manche Phishing-Mails bestehen die erste visuelle Überprüfung.

Der Absender wirkt vertraut. Der Anhang wirkt erwartet. Das Problem liegt oft in der Nachricht selbst: Dringlichkeit, Druck, ungewöhnliche Formulierungen, eine Aufforderung zur Eingabe von Anmeldedaten oder eine Anweisung, die den üblichen Prozess umgeht.

Wo KI-gestützte Hinweise (AI Hints) aktiviert sind, hilft SoSafe den Mitarbeitenden, diese Inhaltsmuster zu überprüfen. KI-gestützte Hinweise können auf mögliche Betrugstechniken in der Formulierung oder Anfrage hinweisen, überlassen die Entscheidung aber weiterhin den Mitarbeitenden.

So erhalten Sicherheitsteams Meldungen, mit denen sie mehr anfangen können. Mitarbeitende melden nicht nur, dass eine E-Mail verdächtig aussah. Sie werden angeleitet, zu hinterfragen, warum die Anfrage selbst riskant sein könnte.

Schritt 5: Jede Meldung als Verhaltenssignal behandeln

Über den Phishing-Meldebutton werden nicht nur verdächtige E-Mails gesammelt. Er hilft Sicherheitsteams zu verstehen, wie Mitarbeitende reagieren, wenn sich etwas nicht richtig anfühlt.

Verfolgen Sie, wer meldet, wie schnell gemeldet wird und ob die Meldung vor oder nach der Interaktion mit der Nachricht erfolgt. Suchen Sie auch nach Mustern auf Teamebene. Eine Abteilung meldet möglicherweise nur selten. Eine andere meldet vielleicht fast alles. Beide Muster sind nützlich.

Nützliche Kennzahlen für Phishing-Meldungen sind die Interaktionsrate, die Klickrate, die Vorfallsmelderate und die Zeit bis zur Meldung. Diese helfen Ihnen zu erkennen, ob Mitarbeitende verdächtige Nachrichten frühzeitig entdecken, sie konsequent melden und sich im Laufe der Zeit verbessern.

Nutzen Sie diese Signale, um Ihr Programm entsprechend anzupassen. Wenn ein Team verspätet meldet, führen Sie eine gezielte Simulation durch. Wenn die Anzahl der Falschmeldungen zunimmt, überprüfen Sie, ob Ihre Aufforderungen zu alarmierend wirken. Wenn Personen oft erst nach dem Klicken melden, integrieren Sie das Coaching früher in den Prozess.

Ihre Phishing-Inbox sollte mehr als nur die Zahl der Meldungen anzeigen. Sie sollte zeigen, wo sich Mitarbeitende sicher fühlen, wo sie zögern und wo sie deutlichere Unterstützung benötigen.

Wenn Sie den Phishing-Meldebutton einführen, halten Sie die Botschaft an die Mitarbeitenden einfach:

„Wenn eine E-Mail verdächtig erscheint, meldet sie mit dem Phishing-Meldebutton.“

Dies gibt den Mitarbeitenden eine klare Handlungsanweisung, an die sie sich erinnern können. Die Details können später durch Simulationen, Lernseiten, Erinnerungen von Vorgesetzten und Informationen des Sicherheitsteams vermittelt werden.

Für Sicherheitsteams sollte sich der Rollout auf drei Punkte konzentrieren:

• Meldeprozess: Stellen Sie sicher, dass die Mitarbeitenden wissen, wo sich der Button befindet und wann sie ihn verwenden sollen.

• Meldegründe: Erklären Sie, dass die Mitarbeitenden lediglich beschreiben müssen, was sie bemerkt oder getan haben.

• Feedback-Schleife: Zeigen Sie den Mitarbeitenden, dass jede Meldung Ihrer Organisation hilft, zu lernen und schneller zu reagieren.

Sobald die neue Benutzeroberfläche in Ihrer Umgebung verfügbar ist, heben Sie die Änderungen für die Mitarbeitenden hervor: weniger Schritte, klarere Meldegründe, unaufdringlichere Hinweise und, falls aktiviert, KI-gestützte Hinweise. Für globale Teams erleichtert die erweiterte Sprachunterstützung zudem die Nutzung über verschiedene Regionen hinweg.

Ein starker Rollout bewirkt mehr als nur eine Erhöhung des Meldeaufkommens. Er hilft den Mitarbeitenden, im entscheidenden Moment Selbstvertrauen aufzubauen, und gibt den Sicherheitsteams validere Daten, auf deren Grundlage sie handeln können.