Niedrige Phishing-Meldezahlen? Dahinter können sich Cyberrisiken verbergen

Security Awareness Training wird oft anhand des Verhaltens gemessen, das die Mitarbeitenden zeigen. Die ersten Kennzahlen, die die meisten Teams überprüfen, sind Klickrate, Melderate und Trainingsabschluss. Das sind nützliche Zahlen, aber sie erfassen nur, was Mitarbeitende aktiv getan haben.

Schwerer wird es, einzuschätzen, wie viele Mitarbeitende verdächtige E-Mails nicht melden. Einige haben eine E-Mail vielleicht als verdächtig erkannt, aber entschieden, dass keine Maßnahme erforderlich ist. Andere waren sich unsicher, ob sie die Mail melden sollten, oder hielten sie für irrelevant für ihre Arbeit.

Ob ein Verdacht gemeldet wird, hängt von mehr ab als nur vom Erkennen einer verdächtigen E-Mail. Eine Studie aus dem Jahr 2024 zum Interventionsverhalten bei Phishing ergab, dass ein als gering wahrgenommener Nutzen, fehlendes Feedback oder mangelnde Kommunikation, Datenschutzbedenken und andere Sorgen Mitarbeitende davon abhalten können, Phishing-E-Mails zu melden.

Das Playbook zur adaptiven Verteidigung von SoSafe weist auf ein ähnliches Problem in der Sicherheitskultur hin. In der Umfrage gaben 42 % der Sicherheitsverantwortlichen an, dass das Melden von Fehlern oder Beinahe-Vorfällen in ihrem Unternehmen eingeschränkt oder vermieden wird. Innerhalb dieser Gruppe sagen wiederum 23 %, dass Mitarbeitende Meldungen begrenzen, weil sie sich Sorgen über die Konsequenzen machen. 19 % sagen, dass Mitarbeitende selten oder gar nicht melden.

Im Webinar „SoSafe Live | In Action – Cyberbedrohungen aktiv begegnen“ lenkte eine Frage aus dem Publikum den Blick auf die „stille Masse“, also Mitarbeitende, die während Simulationen weder klicken noch melden oder reagieren. Während wir dies bei SoSafe für zukünftige Produktfunktionen untersuchen, wirft die Frage ein unmittelbareres Problem für Sicherheitsteams auf. Welche Konsequenzen hat es, wenn Mitarbeitende im Arbeitsalltag verdächtige E-Mails nicht melden?

In diesem Artikel erfahren Sie, wie Sie niedrige Meldezahlen sorgfältiger interpretieren, erkennen, wo Mitarbeitende eventuell zögern, und Phishing-Meldungen so gestalten, dass leichter auf sie reagiert werden kann, ohne eine Flut an unnötigen Informationen für das Sicherheitsteam zu erzeugen.

Warum niedrige Meldezahlen schwer zu interpretieren sind

Niedrige Meldezahlen verursachen eine Lücke darin, was Sicherheitsteams sehen können. Meldungen helfen aufzudecken, welche verdächtigen E-Mails die Mitarbeitenden erreicht haben, welche Muster erkannt wurden und wo das Unternehmen möglicherweise schneller reagieren muss. Wenn nur wenige Personen etwas melden, gibt es weniger Anhaltspunkte, mit denen man arbeiten kann.

Dazu kommt die Motivationsebene. Forschung zu Phishing-Meldungen in Organisationen hat ergeben, dass Mitarbeitende verdächtige E-Mails oft melden, weil sie ihre Organisation und ihre Kollegen schützen wollen. Verantwortungsbewusstsein, das Bewusstsein für mögliche Konsequenzen und Unsicherheit beeinflussen ebenfalls, ob jemand handelt.

Für Sicherheitsteams sind diese Beweggründe auf einem Dashboard schwer zu erkennen. Niedrige Meldezahlen können auf Unsicherheit, fehlendes Vertrauen, Zögern oder einen nicht ausreichend wahrgenommenen Nutzen von Meldungen hindeuten. Daher muss der Meldeprozess mehr als nur die Zahl der Meldungen erfassen.

Ein besseres Ziel ist die Qualität der Meldungen: Meldungen, die genügend Kontext liefern, um die Triage zu unterstützen, weniger vermeidbare Fehlalarme und Panik vermeidende Wege für Mitarbeitende, die mit etwas Verdächtigem interagiert haben.

Wie können Sie die Erkenntnisse aus Meldungen praktischer nutzbar machen?

Ein durchdachter Meldeprozess ist unkompliziert und hilft Mitarbeitenden zu erklären, warum eine E-Mail auf sie verdächtig wirkt. Es wird gefragt, ob es um den Absender, den Inhalt, Links oder Anhänge geht, sodass die Mitarbeitenden ihre Beobachtungen einfach einordnen können. So erhält das Sicherheitsteam zudem mehr Kontextinformationen als bei einer lediglich weitergeleiteten E-Mail.

Wir unterstützen Organisationen dabei unter anderem durch den Phishing-Meldebutton von SoSafe. Mitarbeitende können verdächtige E-Mails direkt aus Outlook oder Google melden, ohne das E-Mail-Postfach zu verlassen.

Kleine Hürden können darüber entscheiden, ob jemand eine Meldung abschließt.

Optionale Hinweise können Mitarbeitenden helfen, bestimmte Details wie Absenderinformationen, Links oder Anhänge zu überprüfen, bevor sie etwas melden. Wenn KI-Hinweise aktiviert sind, kann das System auch den Inhalt der Nachricht überprüfen und verdächtige Muster hervorheben, während die Entscheidung bei den Mitarbeitenden bleibt.

Der Ablauf gibt den Mitarbeitenden auch eine klare Möglichkeit, zu erklären, was passiert ist, falls sie mit der E-Mail interagiert haben. Wenn jemand auf einen Link geklickt, einen Anhang geöffnet, geantwortet oder Daten eingegeben hat, kann er dies in einfachen Worten beschreiben. Sicherheitsteams können den Fall dann je nachdem, was tatsächlich vorgefallen ist, weiterleiten oder priorisieren.

Meldungen müssen sich für Mitarbeitende nicht dramatisch anfühlen. Wichtig ist ein Prozess, der sich klar, schnell und sicher genug anfühlt, um ihn abzuschließen.

Meldemuster nutzen, um zu erkennen, wo Anweisungen fehlen

Muster in den Meldungen können aufzeigen, wo Mitarbeitende mehr Unterstützung benötigen, insbesondere wenn dieselben Verhaltensweisen in verschiedenen Teams und Regionen oder bei wiederkehrenden Bedrohungsarten auftreten.

Analysieren Sie als Erstes den Zeitverlauf. Meldungen, die vor einer Interaktion eingehen, deuten darauf hin, dass die Mitarbeitenden früh genug innehalten, um zu handeln. Meldungen, die eingehen, nachdem jemand geklickt, einen Anhang geöffnet oder Daten eingegeben hat, können zeigen, dass frühere Anweisungen nötig werden.

Betrachten Sie als Nächstes ungleichmäßige Muster zwischen den Teams. Einige melden vielleicht fast alles, während andere dies selten tun. Dieser Unterschied kann Sicherheitsteams bei der Entscheidung helfen, was der nächste Schritt sein sollte, etwa eine klarere Anleitung zum Melden, bessere Aufforderungen, die den Mitarbeitenden helfen, Inhalte vor dem Melden zu prüfen, oder Beispiele, die näher an ihrer täglichen Arbeit sind.

Der Phishing-Meldebutton von SoSafe unterstützt auch das Lernen in Simulationen. Wenn Mitarbeitende eine SoSafe-Phishing-Simulation korrekt melden, wird ihnen sofort bestätigt, dass sie sie richtig erkannt haben. Wenn sie mit einer simulierten Phishing-Mail interagieren, erklärt eine kurze Lernseite, was passiert ist und worauf sie beim nächsten Mal achten sollten.

Bei realen verdächtigen E-Mails schafft dies einen Mehrwert, der entscheidend für den Betriebserfolg sein kann. Mit klareren Meldungen können Sicherheitsteams sehen, was Mitarbeitenden aufgefallen ist, nachvollziehen, was vor der Meldung geschehen ist, und entscheiden, was im Anschluss getan werden muss.