Verteidigung gegen Cyber-Bedrohungen
Umfrage: Über 90 Prozent halten Phishing-Tests für sinnvoll
Phishing-Tests sind neben Anti-Phishing-Schulungen und -Trainings der wichtigste Ansatz, der Unternehmen zur Verfügung steht
Von Dr. Martin J. Krämer, Security Awareness Advocate bei KnowBe4
Vor kurzem hat KnowBe4 unter Teilnehmern von Anti-Phishing-Trainings und -Tests eine internationale Umfrage durchgeführt. Befragt wurden Mitarbeiter aus europäischen, nordamerikanischen und afrikanischen Unternehmen. Rund 90 Prozent gaben an, Phishing-Tests für sinnvoll zu halten. Knapp 91 Prozent erklärten, dass die Tests ihr Bewusstsein für das Risiko von Phishing-Angriffen erhöht hätten.
Nach wie vor sind zahlreiche Vorurteile über Phishing-Tests in Umlauf, die deren Sinnhaftigkeit in Frage stellen. Es wird bezweifelt, dass die Tests das Risikobewusstsein der Teilnehmer erhöhen, sie zu den richtigen Schlussfolgerungen befähigen. Sie würden die Tests mehrheitlich ablehnen, da sie nicht ausreichend an ihrem konkreten Arbeitsalltag orientiert seien, die tatsächlichen digitalen Risiken gar nicht oder nur zum Teil realistisch wiedergeben würden. Entsprechend könne das Gelernte von Teilnehmern kaum konkret angewandt werden. Und schließlich stünde der Fortbildungsgedanke zu selten im Fokus der Tests, fehle es am erforderlichen Support, mangele es an Nachbearbeitungsmöglichkeiten, für den Fall, dass ein Teilnehmer einmal auf einen Phishing-Test hereinfallen sollte. Letztlich werde kaum dazugelernt.
Dass diese Vorurteile größtenteils unbegründet sind, zeigen nun die Ergebnisse der jüngsten Umfrage von KnowBe4. Bereits Phishing-Testdaten aus dem KnowBe4 Phishing Benchmarking-Report von 2024 hatten anschaulich demonstriert, dass regelmäßige Tests und Schulungen eine erhebliche Wirkung entfalten können. Innerhalb eines Trainings- und Testzyklus von nur einem Jahr, so der Report, sinkt die durchschnittliche Phishing-Klickrate von 34,3 auf 4,6 Prozent – ein Rückgang um sage und schreibe 86 Prozent.
Dass Mitarbeiter dies zu schätzen wissen, die Tests befürworten und nicht ablehnen, zeigen die Ergebnisse der jüngsten KnowBe4-Befragung. Länder- und branchenübergreifend gaben über 90 Prozent aller Mitarbeiter an, die Phishing-Tests an ihren Unternehmen als relevant für die Stärkung ihres eigenen Phishing-Risikobewusstseins zu sehen.
Auch der bemängelte fehlende Bildungsgedanke wurde in den vergangenen Jahren weitgehend ausgemerzt. Im Durchschnitt erhalten mittlerweile knapp 70 Prozent aller Mitarbeiter im Fall eines gescheiterten Phishing-Tests Nachschulungen – wobei die Zahlen in den USA mit 85 Prozent deutlich besser, in Frankreich mit erst knapp 57 Prozent deutlich schlechter liegen.
Das hängt nicht zuletzt auch mit den zahlreichen Verbesserungen von Phishing-Tests in den vergangenen Jahren zusammen. Moderne Phishing-Trainings, -Schulungen und -Tests lassen sich, KI sei Dank, mittlerweile personalisieren und automatisiert – kontinuierlich – zum Einsatz bringen. Einige auf Anti-Phishing spezialisierte Anbieter haben mittlerweile auch moderne Anti-Phishing-E-Mail-Filter im Angebot. Sie kombinieren KI mit Crowdsourcing, um so selbst neueste Zero Day-Bedrohungen frühzeitig aufspüren und rechtzeitig abzuwehren. Im Gegensatz zu herkömmlichen Lösungen, können diese alle Elemente einer E-Mail ganzheitlich analysieren – einschließlich der Domäne des Absenders, des Inhalts und der Social-Engineering-Taktiken.
Phishing-Tests sind neben Anti-Phishing-Schulungen und -Trainings der wichtigste Ansatz, der Unternehmen zur Verfügung steht, um aus ihrer Belegschaft ihre erste Cyberverteidigungslinie zu formen. Um Phishing wirksam zu bekämpfen, müssen Unternehmen neben fortschrittlichen Technologien auch fortschrittliche Schulungen und Trainings zum Einsatz bringen. Sie müssen ihren Mitarbeitern helfen, die subtilen Anzeichen von Phishing rechtzeitig zu erkennen – bevor es zu spät ist. Nur wenn es gelingt, die eigenen Mitarbeiter effektiv in die Verteidigung gegen Cyber-Bedrohungen einzubinden und sämtliche Human Risks erfolgreich zu managen, werden Unternehmen in Punkto Phishing auf der sicheren Seite stehen. (KnowBe4: ra)
eingetragen: 08.05.25
KnowBe4: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.