Warum hohe Phishing-Meldezahlen eine bessere Triage erfordern

Im Security Awareness Training werden höhere Phishing-Meldezahlen oft als Zeichen für den Erfolg eines Programms gewertet. Mitarbeitende sind aufmerksam, nutzen den Meldekanal und leiten verdächtige E-Mails an die Sicherheitsabteilung weiter, anstatt sich allein darum zu kümmern.

Für Sicherheitsteams bedeutet das gleichzeitig, dass sie mehr E-Mails überprüfen, klassifizieren und beantworten müssen.

In unserem Webinar „SoSafe Live | In Action – Cyberbedrohungen aktiv begegnen“ beschrieb Kevin Rodriguez Ladino, Product Manager bei SoSafe, wie ein Sicherheitsteam pro Woche etwa 1.000 gemeldete E-Mails erhielt, während nur eine einzige Person für den Posteingang zuständig war.

Jede gemeldete E-Mail muss dennoch geöffnet, geprüft, klassifiziert und beantwortet werden. Wenn dieser Prozess nur auf einer manuellen Überprüfung beruht, können hohe Meldezahlen schnell zu einem weiteren Backlog für das Sicherheitsteam werden.

E-Mail-Sicherheitskontrollen filtern bereits vieles, bevor die Nachrichten die Mitarbeitenden erreichen. Dennoch stellt von Nutzern gemeldetes Phishing eine hohe Arbeitsbelastung für Sicherheitsteams dar. Microsoft beschreibt von Nutzern gemeldete verdächtige E-Mails als eine ständige Belastung für das SOC, wobei jede Meldung potenziell bis zu 30 Minuten manuelle Triage erfordern kann.

Die Frage ist also nicht nur, wie man mehr Mitarbeitende dazu bringt, Verdächtiges zu melden, sondern auch, wie man jede einzelne Meldung einfacher verstehen, priorisieren und nutzen kann.

In diesem Artikel erfahren Sie, wie Sie Meldungen von Mitarbeitenden als eindeutigeres Signal für Triage, Feedback und nachfolgende Trainings behandeln.

Nützliche Informationen aus Meldungen erfassen

Eine nützliche Meldung sollte dem Sicherheitsteam helfen zu verstehen, warum die E-Mail verdächtig aussah und was passiert ist, bevor sie gemeldet wurde.

Dieser Kontext geht oft verloren, wenn Mitarbeitende eine E-Mail einfach an ein geteiltes Postfach weiterleiten. Die Person, die sie analysiert, muss dann immer noch die Grundlagen rekonstruieren: Was hat die Aufmerksamkeit der Mitarbeitenden erregt, wurde etwas angeklickt, wurden Daten eingegeben, gibt es ähnliche Meldungen von anderen Teams?

Wir unterstützen Organisationen dabei unter anderem durch den SoSafe-Phishing-Meldebutton. Mitarbeitende können verdächtige E-Mails direkt aus Outlook oder Google melden und den Grund für die Meldung auswählen. Sie geben an, ob ihre Bedenken den Absender, den Inhalt, die Links oder die Anhänge betreffen.

Dieser kleine Klassifizierungsschritt hilft, dass die Meldung mehr Kontextinformationen umfasst. Dies gibt Mitarbeitenden auch den Anstoß, genauer zu überlegen, warum eine E-Mail auf sie verdächtig wirkt, statt nur einem allgemeinen unguten Gefühl nachzugehen.

Die von SoSafe bereitgestellten Indikatoren für vertrauenswürdige Absender können als weitere hilfreiche Prüfung dienen. Wenn eine E-Mail von einer Domain stammt, die die Organisation normalerweise als sicher einstuft, können Mitarbeitende diesen Kontext sehen, bevor sie eine Meldungerstellen. Sie können die Meldung trotzdem senden, denn eine vertrauenswürdige Domain garantiert nicht, dass jede Nachricht sicher ist.

Hinweise von SoSafe können Mitarbeitende auf sichtbare Details wie Absenderinformationen, Links oder Anhänge hinweisen. Wenn KI-Hinweise von SoSafe aktiviert sind, kann das System auch den Nachrichteninhalt überprüfen und verdächtige Muster hervorheben, wie z. B. Dringlichkeit, ungewöhnliche Formulierungen oder Anfragen, die normale Prozesse umgehen. Die Mitarbeitenden entscheiden weiterhin selbst, ob sie eine E-Mail melden.

Klarere Prozesse für Meldungen nach Interaktion mit verdächtigen Elementen

Einige Meldungen erfordern schnellere Aufmerksamkeit, da die Mitarbeitenden bereits mit der E-Mail interagiert haben.

Eine verdächtige E-Mail, mit der nicht interagiert wurde, unterscheidet sich von einer, bei der jemand auf einen Link geklickt, einen Anhang geöffnet, geantwortet oder persönliche Daten eingegeben hat. Über den SoSafe-Phishing-Meldebutton können Mitarbeitende in einfachen Worten beschreiben, was passiert ist, ohne entscheiden zu müssen, ob es sich um einen Vorfall handelt.

Das hilft den Security-Teams bei der Priorisierung. Der Report enthält die Fakten und das Team entscheidet, welche Maßnahmen erforderlich sind.

Meldungen strukturieren statt in verteilten Posteingängen bearbeiten

Sobald Meldungen eingehen, benötigen die Teams einen strukturierten Ort, um sie zu überprüfen. Andernfalls verteilen sich nützliche Hinweise auf Postfächer, Tickets und manuelle Notizen.

Die SoSafe Threat Inbox ist für diesen Teil des Workflows konzipiert. Sie bietet Teams eine zentrale Ansicht der gemeldeten E-Mails im SoSafe-Dashboard, mit Filtern für Attribute wie Vorfallskennzeichnungen, Links oder Anhänge. Teams können den gesamten Inhalt, Absenderdetails, Links, Anhänge und Header in einer sicheren Umgebung überprüfen.

Nach der Untersuchung können die Teams die E-Mail klassifizieren und eine kurze Antwort an die Mitarbeitenden senden, die sie gemeldet haben. Das schließt den Kreis und sorgt dafür, dass die Mitarbeitenden das Gefühl haben, dass zukünftige Meldungen die Mühe wert sind.

Die SoSafe Threat Inbox befindet sich derzeit in der Beta-Phase (Stand Juni 2026), daher sollte die Verfügbarkeit für jede Umgebung überprüft werden.

Bestätigte Bedrohungen für Folgemaßnahmen nutzen

Meldungen sollten nicht nur als Tickets geschlossen werden. Einige verdienen es, zu Lernmaterial zu werden.

Wenn ein echter Angriff Mitarbeitende erreicht und gemeldet wird, kann dies eine relevante Taktik, ein Formulierungsmuster oder einen workflow-spezifischen Köder aufdecken. Das ist weitaus nützlicher als ein allgemeines Beispiel, das Monate zuvor erstellt wurde.

SoSafe Recreate Attack hilft bei diesem Schritt. Im Webinar zeigte das Team, wie ein Screenshot einer E-Mail in wenigen Minuten in eine Phishing-Vorlage umgewandelt und zu einer Kampagne hinzugefügt werden kann. So können Teams von „Das hat uns erwischt“ zu „Darauf sollten wir unser nächstes Training ausrichten“ übergehen, ohne warten zu müssen, bis eine benutzerdefinierte Vorlage von Grund auf neu erstellt wurde.

Mehr Phishing-Meldungen sind nur dann nützlich, wenn das Team die darin verborgenen Signale praktisch nutzen kann. Die besten Melde-Workflows helfen Mitarbeitenden, zu erklären, was vorgefallen ist, unterstützen Sicherheitsteams bei einer schnelleren Triage und verwandeln echte Angriffe in präzisere Lernmöglichkeiten.