Warum du vielleicht schon eine Test-Phishing-Mail bekommen hast
Manche Betriebe verschicken bewusst gefälschte, aber ungefährliche Phishing-Mails an die eigene Belegschaft, um zu sehen, wer darauf klickt. Das ist Teil der Schulung, damit alle im Ernstfall vorbereitet sind.
Was du daraus mitnehmen kannst
- Fällst du auf so eine Test-Mail herein, ist das normal. Wichtig ist, was du daraus lernst.
- Melde verdächtige Mails über den vorgesehenen Weg, auch wenn du dir nicht sicher bist. Lieber einmal zu oft gemeldet als einmal zu wenig.
Weiterführend: Phishing erkennen und richtig melden
Schulung auch ohne Schulungsabteilung
Als kleines Team brauchen Sie kein aufwendiges Schulungsprogramm. Kurze, regelmäßige Impulse wirken oft besser als ein einziger langer Termin einmal im Jahr, den ohnehin niemand mehr erinnert.
Was sich leicht umsetzen lässt
- Ein kurzer Hinweis im Team-Chat, wenn eine neue Betrugsmasche gerade häufig auftritt.
- Kostenlose Materialien des BSI für Verbraucherinnen und Verbraucher eignen sich auch für kleine Teams.
- Eine klare Anlaufstelle im Team, bei der jeder ohne Scham eine verdächtige Mail melden kann.
Weiterführend: BSI für Bürger
Warum die jährliche Pflichtschulung allein nicht reicht
Eine einzelne, verpflichtende Online-Schulung im Jahr erfüllt oft die Compliance-Anforderung, verändert aber selten das tatsächliche Verhalten. Menschen vergessen abstrakte Inhalte schnell, besonders wenn sie im Arbeitsalltag nie wieder auftauchen.
Was wirksame Awareness-Arbeit ausmacht
- Regelmäßigkeit statt Einmaligkeit: Kurze, wiederkehrende Formate über das Jahr verteilt bleiben besser im Gedächtnis als ein langer Jahrestermin.
- Simulierte Phishing-Kampagnen: Realistische Testmails zeigen, wo tatsächlicher Handlungsbedarf besteht, nicht nur, was theoretisch bekannt sein sollte.
- Rollenbezogene Inhalte: Die Buchhaltung braucht andere Beispiele als die Produktion oder der Vertrieb.
- Fehlerkultur ohne Bloßstellung: Wer auf eine Testmail hereinfällt oder einen echten Fehler meldet, sollte dafür nicht öffentlich bloßgestellt werden. Sonst hören Meldungen einfach auf.
Erfolg richtig messen
Abschlussquoten einer Online-Schulung sagen wenig über echtes Verhalten aus. Aussagekräftiger sind die Klickrate bei simulierten Phishing-Mails über die Zeit und die Zahl der tatsächlich gemeldeten verdächtigen Mails. Steigt Letzteres, funktioniert Ihre Fehlerkultur.
Unsere Handlungsempfehlungen
- Kadenz festlegen: Kurze monatliche oder quartalsweise Formate statt eines einzelnen Jahrestermins.
- Mit Führungskräften beginnen: Vorbilder in der Leitung wirken glaubwürdiger als eine reine Pflichtübung für die Belegschaft.
- Meldewege sichtbar machen: Ein Phishing-Melde-Button im Mailprogramm senkt die Hürde spürbar gegenüber einer versteckten Weiterleitungsadresse.
- Ergebnisse rückmelden: Zeigen Sie der Belegschaft, was aus gemeldeten Vorfällen wurde. Das motiviert für die nächste Meldung.
Weiterführend: Empfehlungen (BSI)
