Man kann viel Geld für Technik ausgeben und trotzdem an einem Klick scheitern. Der Mensch ist nicht die Schwachstelle — er ist die letzte Instanz, und die einzige, die man nicht patchen kann.
Die gute Nachricht: Wirksame Schulung braucht kein Budget. Sie braucht Kürze und Wiederholung.
Fünf Regeln, mehr nicht
Eine Liste mit zwanzig Punkten merkt sich niemand. Fünf schon:
1. Bei Geld und Zugangsdaten: zweiter Kanal. Anruf unter der bekannten Nummer, nicht unter der aus der Mail. Fängt Rechnungsbetrug und Chef-Masche ab.
2. Niemals über einen Link in einer Mail anmelden. Adresse tippen oder Lesezeichen nutzen.
3. Jedes Konto ein eigenes Passwort, aus dem Manager.
4. Nichts installieren, ohne zu fragen.
5. Im Zweifel melden — immer. Auch wenn schon geklickt wurde. Besonders dann.
Der fünfte Punkt ist der wichtigste
In vielen Betrieben meldet niemand einen Fehler, weil er Ärger befürchtet. Das ist der teuerste Umstand überhaupt: Zwischen dem Klick und der Meldung liegen dann Tage, in denen der Angreifer sich in Ruhe umsieht.
Wer einen Phishing-Klick meldet, hat richtig gehandelt — unabhängig davon, dass er vorher falsch geklickt hat. Wenn das im Betrieb gilt und auch so gesagt wird, verkürzt sich die Zeit zwischen Vorfall und Reaktion von Tagen auf Minuten. Keine Technik der Welt leistet das.
Was praktisch funktioniert
Zehn Minuten in der Teambesprechung, viermal im Jahr. Ein Thema pro Mal. Kein Vortrag, sondern ein echtes Beispiel: eine Mail, die tatsächlich angekommen ist, gemeinsam angesehen.
Ein Blatt Papier neben dem Bildschirm. Die fünf Regeln, dazu die Nummer, die man im Zweifel anruft.
Eine Adresse zum Weiterleiten. verdaechtig@… — niedrigschwelliger als
jemanden anzusprechen, und man bekommt eine Rückmeldung, was es war. Das ist
die beste Schulung, die es gibt: am echten Fall, im richtigen Moment.
Neue Leute am ersten Tag. Zusammen mit dem Schlüssel und dem Zugang. Wer es später nachholt, holt es nie nach.
Was nicht funktioniert
Die jährliche Pflichtschulung mit Klickstrecke. Wird durchgeklickt, nicht gelesen, und ist nach zwei Wochen weg.
Simulierte Phishing-Mails ohne Ankündigung und mit Konsequenzen. Wer seine Leute damit vorführt, bekommt weniger Meldungen, nicht mehr. Als freiwillige Übung mit Rückmeldung und ohne Namen sind sie dagegen nützlich.
Wir übernehmen die zehn Minuten in der Teambesprechung, wenn du willst. Meistens reicht es aber, dass jemand im Betrieb sie einmal im Quartal auf die Tagesordnung setzt.