Über 90 % aller erfolgreichen Cyberangriffe beginnen mit einer Phishing-E-Mail. Technische Schutzmaßnahmen allein reichen nicht — der Mensch bleibt das entscheidende Glied in der Sicherheitskette. Awareness-Training ist keine Nice-to-have-Maßnahme, sondern eine Kernpflicht nach ISO 27001 und NIS2.
Die häufigsten Phishing-Varianten
Standard-Phishing
Massenhaft versendete E-Mails, die bekannte Marken (Microsoft, Bank Austria, DHL) imitieren — mit gefälschten Login-Seiten oder schädlichen Anhängen. Ziel: Zugangsdaten oder Malware-Installation.
Spear-Phishing
Gezielt auf einzelne Personen oder Unternehmen zugeschnitten — mit echten Namen, Titeln und Kontext aus sozialen Netzwerken oder vorherigen Datenlecks. KI-Tools ermöglichen heute die Erstellung überzeugender Spear-Phishing-Mails in Sekunden.
Business Email Compromise (BEC / CEO-Fraud)
Angreifer geben sich als Geschäftsführer, Steuerberater oder Lieferanten aus und fordern Mitarbeiter zur Überweisung von Beträgen oder zur Herausgabe von Zugangsdaten auf. Schaden pro Vorfall oft im fünf- bis siebenstelligen Bereich.
Smishing und Vishing
Phishing via SMS (Smishing) oder Telefonanruf (Vishing) — besonders wirksam durch die vermeintliche Dringlichkeit und Unmittelbarkeit. KI-generierte Stimmen erhöhen die Glaubwürdigkeit von Vishing-Anrufen erheblich.
Warum klassische Schulungen nicht ausreichen
Einmalige jährliche Pflichtschulungen mit PowerPoint-Folien erzielen nachweislich geringe Verhaltensänderungen. Die Gründe:
- Theoretisches Wissen führt ohne praktische Übung selten zu geändertem Verhalten
- Lerneffekte verblassen innerhalb weniger Wochen ohne Wiederholung
- Mitarbeiter unterschätzen systematisch ihr eigenes Risiko ("Das passiert mir nicht")
Simulationsbasiertes Training: Der effektive Ansatz
Phishing-Simulationen — kontrollierte, gefälschte Phishing-E-Mails, die intern versendet werden — sind die wirksamste Methode zur Verhaltensänderung:
- Baseline-Messung: Erste Simulation ohne Vorankündigung — misst die tatsächliche Klickrate im Unternehmen
- Sofortiges Teachable Moment: Wer auf den Link klickt, sieht unmittelbar eine Erklärung — kein Schaden, aber nachhaltiger Lerneffekt
- Regelmäßige Wiederholung: Monatliche oder quartalsweise Simulationen halten die Aufmerksamkeit aufrecht
- Eskalation der Schwierigkeit: Szenarien werden realistischer (spear-phishing-ähnlich) — die Klickrate bleibt dauerhaft niedrig
- Zielgruppenspezifische Inhalte: Finanzteam andere Szenarien als IT-Team; Führungskräfte besonders auf CEO-Fraud vorbereiten
Phishing-Awareness und ISO 27001
ISO 27001:2022 adressiert Awareness explizit:
- Klausel 7.3 — Bewusstsein für die Informationssicherheitspolitik, relevante Risiken und den eigenen Beitrag zur ISMS-Konformität
- Annex A 6.3 — Informationssicherheitsbewusstsein, -ausbildung und -schulung: explizite Anforderung an regelmäßige, rollenspezifische Schulungen
- Annex A 8.7 — Schutz vor Malware: Awareness als komplementäre Maßnahme zu technischen Kontrollen
Im ISMS-Audit wird gefragt: Gibt es ein dokumentiertes Schulungsprogramm? Wird die Wirksamkeit gemessen? Phishing-Simulationsstatistiken sind ein hervorragender Wirksamkeitsnachweis.
Awareness-Programm aufbauen: Empfehlungen
- Jährliche Pflichtschulung für alle Mitarbeiter — dokumentiert mit Nachweis (NIS2- und ISO-27001-Anforderung)
- Phishing-Simulation mindestens vierteljährlich — mit unmittelbarem Feedback
- Zielgruppenspezifische Module: Führungskräfte (BEC), Finanzteam (Überweisungsbetrug), IT (technische Angriffe)
- Meldeprozess kommunizieren: Mitarbeiter müssen wissen, wie und wohin sie verdächtige E-Mails melden — einfacher Button im E-Mail-Client
- Keine Bestrafung bei Simulation — Lernkultur statt Angstkultur
