Was funktioniert bei Phishing-Awareness-Trainings? Erkenntnisse zu Warnungen, Feedback und Meldewegen

Kurze Phishing-Warnungen reduzierten die Klickraten in einer 15-monatigen Feldstudie

Lain, Kostiainen und Čapkun untersuchten über 15 Monate hinweg, von Juli 2019 bis Oktober 2020, simuliertes Phishing in einem Unternehmen. Die Studie umfasste 14.733 Mitarbeiter und 117.864 simulierte Phishing-E-Mails.

Warnhinweise bei verdächtigen E-Mails gingen mit weniger Klicks einher. Die Forscher verzeichneten 3.964 Klicks ohne Warnung, verglichen mit 1.427 bei einer kurzen Warnung und 1.289 bei einer detaillierten Warnung. Dies sind absolute Klickzahlen, keine Klickraten, daher sollten sie nicht als direkter Vergleich des Risikos einzelner Mitarbeiter interpretiert werden. Die statistische Analyse der Studie ergab, dass Warnungen effektiv sind, eine detaillierte Warnung jedoch nicht wesentlich effektiver war als eine kurze.

Für Sicherheitsteams ist die praktische Schlussfolgerung, Warnungen auf einen Blick verständlich zu gestalten. Sie sollten dem Mitarbeiter vermitteln, was zu prüfen ist und wie eine Anfrage sicher verifiziert werden kann. Die Studie legt nicht die ideale Formulierung für jede Organisation fest und zeigt auch nicht, dass eine E-Mail-Warnung bei Telefonanrufen, SMS oder Chat-Nachrichten gleichermaßen gut funktioniert.

Eine Schulungsseite nach einer fehlgeschlagenen Simulation verbesserte die Widerstandsfähigkeit nicht

Dieselbe Studie testete freiwillige, eingebettete Schulungen: Nachdem ein Mitarbeiter auf eine simulierte Phishing-Mail hereingefallen war, konnte ihm eine Schulungsseite angezeigt werden. Die Forscher stellten nicht fest, dass diese Intervention die spätere Phishing-Resilienz verbesserte; ihre Ergebnisse gaben Anlass zur Sorge, dass dieses spezifische Format Mitarbeiter sogar anfälliger machen könnte.

Unter den Befragten, die sich an die Seite erinnerten, gaben 43 % an, dass sie sich dadurch sicherer fühlten. Dieses Ergebnis bezieht sich auf eine einzelne Intervention: eine freiwillige Seite nach einem simulierten Fehler. Es ist kein Beweis dafür, dass alle Schulungen zur Sicherheitsaufklärung ineffektiv sind oder dass auf das Verhalten einer Person zugeschnittene Schulungen das gleiche Ergebnis haben.

Die Unterscheidung ist wichtig. Eine Lektion nach dem Klick allein reicht möglicherweise nicht aus. Teams sollten bewerten, ob die Nachricht verstanden wird, ob sie zu einer sichereren nächsten Handlung führt und ob sich das Verhalten in einem späteren Test tatsächlich ändert.

Unmittelbares Phishing-Feedback senkte die Fehlerquote bei einem zweiten Test

Bender, Horn, Loewenstein und Roberts untersuchten zeitnahes Feedback in einer großen US-Gesundheitsorganisation. Sie wählten zufällig 11.802 Mitarbeiter aus; der Teilnehmerkreis der Studie umfasste 10.844 Personen. Nach einer ersten simulierten Phishing-E-Mail erhielten die Mitarbeiter Feedback zu ihrer Reaktion. Zwei Wochen später wurde eine zweite simulierte E-Mail versendet.

Unter den Mitarbeitern, die auf den ersten Test hereingefallen waren, fielen 40 % derjenigen, die Feedback erhalten hatten, auch beim zweiten Mal darauf herein, verglichen mit 50 % in der Gruppe ohne Feedback. Unter den Mitarbeitern, die die erste E-Mail ignoriert hatten, lag die Fehlerquote beim zweiten Test bei 20 % mit Feedback und 22 % ohne.

Für die Mitarbeiter, die die erste E-Mail ignoriert hatten, umfasste die Intervention zudem eine Folgemeldung eine Woche später, die zum Melden aufforderte. Als der zweite Test stattfand, meldeten 10 % dieser Gruppe die E-Mail, verglichen mit 7 % in der Kontrollgruppe.

Dies sind Ergebnisse aus simulierten E-Mails in einer Organisation. Sie unterstützen das Testen von zeitnahem Feedback und positiver Verstärkung, belegen jedoch nicht denselben Effekt in jeder Belegschaft und beweisen keine Reduzierung realer Vorfälle.

Melderate und Meldezeit zeigen, wie Mitarbeiter reagiert haben

In der Studie der ETH Zürich gingen etwa 10 % der Meldungen über simulierte Phishing-E-Mails innerhalb von fünf Minuten ein, 30 % bis 40 % innerhalb von 30 Minuten. Die Forscher fanden zudem heraus, dass positives Feedback zu späteren Meldungen ermutigte.

Für ein Sicherheitsteam können die Melderate und die Meldezeit helfen aufzuzeigen, ob Mitarbeiter den Meldeweg nutzen und wie schnell eine verdächtige Nachricht das Team erreicht. Dies sind operative Kennzahlen, kein alleiniger Beweis dafür, dass eine Organisation geschützt ist. Betrachten Sie diese Werte zusammen mit Zustellungsraten, Klicks, Untersuchungen und Reaktionen und vergleichen Sie vergleichbare Simulationen über einen längeren Zeitraum.

Abschlussquoten beschreiben lediglich, ob Personen einen Kurs beendet haben. Sie verraten einem Team nicht, ob Mitarbeiter eine verdächtige Anfrage erkannt, gemeldet oder einen Verifizierungsprozess befolgt haben, als eine Entscheidung getroffen werden musste.

Was diese Studien für ein Programm zum Umgang mit menschlichen Risiken bedeuten

Die Ergebnisse unterstützen einen fokussierten Ansatz bei der Schulung zum Phishing-Bewusstsein:

• Verwenden Sie prägnante, handlungsorientierte Warnhinweise, wenn das System eine verdächtige E-Mail erkennt. Lain et al. konnten keinen signifikanten Vorteil ausführlicher Warnungen gegenüber kurzen Hinweisen feststellen.
• Geben Sie Feedback zeitnah zur simulierten Entscheidung. In der Studie von Bender et al. führte ein direktes Feedback bei Personen, die zunächst auf eine simulierte E-Mail hereingefallen waren, bei einem zweiten Test zu weniger Fehlern.
• Gestalten Sie das Melden einfach und fördern Sie es aktiv. Bender et al. stellten eine höhere Melderate fest, nachdem eine nachgelagerte Nachricht dazu ermutigt hatte. Lain et al. fanden zudem heraus, dass positives Feedback zu weiteren Meldungen anregt.
• Messen Sie neben dem Abschluss von Schulungen auch das tatsächliche Verhalten. Verfolgen Sie die Melderate, die Zeit bis zur Meldung und das Wiederholungsverhalten in vergleichbaren Tests, während Sie die Grenzen der jeweiligen Kennzahlen im Blick behalten.
• Testen Sie die Kanäle, die Ihre Mitarbeiter tatsächlich nutzen. Beide hier besprochenen Interventionsstudien untersuchten E-Mails. Ihre Ergebnisse lassen keine Rückschlüsse darauf zu, wie dieselben Techniken bei Sprachnachrichten, SMS oder Kollaborationstools wirken.
• Betrachten Sie Simulationen als Erkenntnisse über Simulationen. Bestätigen Sie die Wirkung in Ihrer eigenen Umgebung und werten Sie ein besseres Testergebnis nicht als Beweis dafür, dass reale Angriffe abgewehrt wurden.

Für Zepo ergibt sich daraus eine operative Konsequenz: Verknüpfen Sie reale Bedrohungssignale mit relevanten Simulationen, Feedback, Meldewegen und langfristigen Messungen. Unsere Plattform verbindet Erkennung mit adaptiven Simulationen und Schulungen. Für eine weiterführende Diskussion darüber, warum Übungen über nur einen Kanal einen Teil des Risikos unberücksichtigt lassen, lesen Sie unsere Analyse von Multi-Channel-Phishing-Simulationen.

FAQ

Reduziert Phishing-Awareness-Training die Klickraten bei Phishing-Versuchen?Das hängt von der Art der Intervention ab. In einer 15-monatigen Feldstudie waren Warnhinweise bei verdächtigen simulierten E-Mails mit weniger Klicks verbunden. Eine freiwillige Schulungsseite, die nach einem simulierten Fehler angezeigt wurde, verbesserte die spätere Widerstandsfähigkeit in dieser Studie nicht. Diese Ergebnisse belegen nicht, dass jedes Schulungsformat den gleichen Effekt hat.

Was ist direktes Phishing-Feedback (Just-in-Time)?Direktes Phishing-Feedback ist eine Erläuterung, die unmittelbar nach der Reaktion eines Mitarbeiters auf eine simulierte Phishing-E-Mail angezeigt wird. In einer Studie mit 10.844 Teilnehmern machten Mitarbeiter, die auf eine erste simulierte E-Mail hereingefallen waren und daraufhin Feedback erhielten, bei einem zweiten Test zwei Wochen später weniger Fehler. Die Vergleichsgruppe erhielt kein Feedback.

Sollten Sicherheitsteams das Meldeverhalten bei Phishing messen?Ja. Die Melderate und die Zeit bis zur Meldung zeigen, ob Mitarbeiter den vorgesehenen Meldeweg nutzen und wie schnell verdächtige Nachrichten das Sicherheitsteam erreichen. Sie ergänzen Kennzahlen zu Klicks und Schulungsabschlüssen, beweisen jedoch für sich genommen nicht, dass reale Angriffe verhindert wurden.

Belegen diese Studien, dass Schulungen reale Phishing-Angriffe stoppen?Nein. Beide Studien untersuchten simulierte Phishing-E-Mails. Sie liefern Erkenntnisse über das Verhalten in diesen Tests, aber keinen direkten Beweis dafür, dass dieselben Interventionen reale Sicherheitsverletzungen verhindern oder über E-Mail, Sprache, Textnachrichten und Chat hinweg gleichermaßen wirksam sind.