200 Milliarden Euro – so gewaltig sind laut Bitkom-Studie jene Schäden, die analoge und digitale Angriffe bei deutschen Unternehmen im Jahr 2023 verursacht haben. In der Tendenz steigt diese Zahl schnell an. Ein wichtiges „Einfallstor“ sind Mails, die unbedacht geöffnet werden. Was tun? Kraus Hardware setzt auf Schulungen über einen langen Zeitraum hinweg!

Neh­men wir mal an, dass ein Unter­neh­men mit „Phis­hing-Mails“ bom­bar­diert wird – und das vier Wochen lang. In die­ser Phase erlebt jeder Mit­ar­bei­ter pro Woche einen die­ser Angriffe per Mail, wobei eine solch hohe Fre­quenz das Risiko für ein­ge­schleppte Schad­soft­ware natür­lich anstei­gen lässt. Wie schnell hat man dann nicht auf­ge­passt, viel­leicht die Mail nur ober­fläch­lich gele­sen und aus Ver­se­hen auf den ent­hal­te­nen Link geklickt oder den Anhang geöff­net? Die ein­fa­che Ant­wort lau­tet: sehr schnell!

Nun ist diese Beschrei­bung tat­säch­lich kein rein fik­ti­ves Bei­spiel, son­dern viel­mehr eine Art „Ver­suchs­an­ord­nung“, die der Secu­rity-Spe­zia­list G DATA Cyber­De­fense anbie­tet – und das im Rah­men sei­ner Online-Schu­lun­gen zum Thema. „Die Idee ist ebenso nah­lie­gend wie bestechend: Alle Mit­ar­bei­ter erle­ben im Rah­men der „Test-Phis­hing-Mails“, wie sich ein sol­cher Angriff anfühlt“, erklärt dazu Sebas­tian Göbel von Kraus Hard­ware. Zusam­men mit einem Kol­le­gen aus dem Unter­neh­men hat er die Mails dabei sogar selbst kon­fi­gu­riert, damit sie beson­ders rea­lis­tisch wir­ken! Dar­un­ter war etwa ein schein­bar nor­ma­les Bewer­bungs­schrei­ben an Kraus Hard­ware inklu­sive Anhang. Wie lässt sich erken­nen, dass so etwas einen Angriff dar­stellt? „Das ist die ent­schei­dende Frage“, sagt Sebas­tian Göbel. „Es ist mit­un­ter sehr schwer und genau des­halb haben wir uns jetzt dafür ent­schie­den, das Unter­neh­men noch bes­ser zu schützen.“

Mit Schu­lun­gen sen­si­bi­li­sie­ren
Kon­kret heißt das: Alle Mit­ar­bei­ter durch­lau­fen in den nächs­ten drei Jah­ren eine sehr umfas­sende Online-Schu­lung mit vie­len klei­nen und große Trai­nings­ein­hei­ten. Die Band­breite reicht hier­bei von Mini-Spie­len für die Mit­tags­pause, bei denen man in weni­gen Minu­ten fer­tig ist, bis zu Video-Tuto­ri­als oder Online-Fra­ge­bö­gen. „Wir wol­len unsere Kol­le­gen Stück für Stück für die­ses Thema sen­si­bi­li­sie­ren und als Unter­neh­men siche­rer agie­ren“, betont Sebas­tian Göbel, der in der ganze Zeit die Fäden in der Hand behält: Im Sys­tem von G DATA kann er zum Bei­spiel sehen, ob Mit­ar­bei­ter län­gere Zeit keine neue Schu­lungs­maß­nahme mehr gemacht haben. „Ich erin­nere sie dann ein­fach daran. Außer­dem sind manch­mal die Schu­lungs­in­halte nicht ganz ein­fach zu ver­ste­hen. Hier helfe ich gerne weiter.“

Bleibt am Ende die Frage nach der „Test-Phis­hing-Mail“, die wir zu Beginn erwähnt hat­ten – was kam dabei raus? Dar­auf gibt Sebas­tian Göbel tat­säch­lich sehr prä­zise Ant­wor­ten, denn G DATA stellt Aus­wer­tun­gen zur Ver­fü­gung. Bei Kraus Hard­ware liest sich das auf den ers­ten Blick schein­bar gut: Die 33 Emp­fän­ger beka­men jeweils vier Mails an unter­schied­li­chen Tagen – zwei mit einem Anhang und zwei mit einem Link. Ins­ge­samt wur­den 39 Pro­zent die­ser Mails geöff­net, was an sich noch kein Risiko dar­stellt. Aller­dings wurde anschlie­ßend auch drei­mal eine unsi­chere Web­seite besucht und zwei­mal sogar ein gefähr­li­cher Anhang geöff­net. „Wenn bei so vie­len Mails nur zwei­mal ein Anhang geöff­net wird, klingt das zunächst noch akzep­ta­bel“, sagt Sebas­tian Göbel. „Bei einer ech­ten Phis­hing-Mail wäre das unter Umstän­den aber bereits kata­stro­phal. Es genügt ja, wenn nur einer den Anhang her­un­ter­lädt. Also arbei­ten wir jetzt daran, dass so etwas über­haupt nicht mehr vor­kommt. Ich bin sehr opti­mis­tisch, dass uns das gelingt.“