Phishing-Sensibilisierungsschulung: Anti-Phishing-Schulung für Mitarbeiter

Phishing-Sensibilisierung ist eine fortlaufende Schulung für Mitarbeiter und hilft ihnen dabei, Phishing-Angriffe zu erkennen und bei einem Angriff vorbeugende Maßnahmen zu ergreifen.

Weltweit gehören Phishing-Angriffe zu den weitverbreitetsten und gefährlichsten Cyberbedrohungen für Unternehmen. Der zunehmende Einsatz von Remote-Arbeit hat Betrügern neue Möglichkeiten eröffnet, Menschen zum Klicken auf schädliche Links und zur Preisgabe wichtiger persönlicher Daten zu verleiten.

Laut einem jährlichen Bericht von Cofense, einem führenden Anbieter von Lösungen zur Phishing-Erkennung, hat im Jahr 2022 alle 2 Minuten eine schädliche E-Mail den E-Mail-Schutz eines Kunden umgangen.

In einer weiteren Studie von Tessian wurde festgestellt, dass 1 von 4 Mitarbeitern auf einen Phishing-Link geklickt hat und fast 43 % der Mitarbeiter zugaben, bei der Arbeit einen Fehler mit Auswirkungen auf die Sicherheit ihres Unternehmens gemacht zu haben.

Statistiken wie diese machen es für Unternehmen umso notwendiger, in eine erfolgreiche Cybersicherheitsstrategie zu investieren, die Mitarbeiter darauf vorbereitet, verschiedene Formen von Phishing-Angriffen zu erkennen und kostspielige Datenschutzverletzungen zu vermeiden.

So schulen Sie Mitarbeiter zur Phishing-Prävention

Phishing-Sensibilisierungsschulung ist ein fortlaufender Schulungsprozess für Mitarbeiter, der sie über Phishing-Bedrohungen informiert und ihnen hilft, solche Bedrohungen zu erkennen, bevor sie sich auf ihr Unternehmen auswirken.

Eine erfolgreiche Phishing-Sensibilisierungsschulung umfasst die Aufklärung der Mitarbeiter über Phishing-Bedrohungen und anschließende Tests ihrer Fähigkeiten mit Phishing-Simulationen, um ihr Verständnis von Phishing zu vertiefen und ihnen zu ermöglichen, Warnsignale zu erkennen und die erforderlichen Maßnahmen zu ergreifen.

Die gängigsten Methoden zur Schulung von Mitarbeitern sind Präsenzschulungen, computerbasierte Schulungen und simulierte Phishing-Übungen.

Präsenzschulungen

Dabei handelt es sich um eine traditionelle Schulungsform, bei der Unternehmen Präsenzschulungen nutzen, um ihre Mitarbeiter über Phishing-Angriffe zu informieren und aufzuklären.

Präsenzkurse lassen sich zwar individuell anpassen und um die menschliche Komponente ergänzen, haben aber mehrere Nachteile:

• Sie sind teuer, da Sie einen spezialisierten Trainer benötigen, der die Schulungen durchführt.
• Sie können zeitaufwendig sein, da die Mitarbeiter persönlich anwesend sein müssen.
• Sie können zu einer Informationsüberflutung führen, wodurch die Behaltensleistung eingeschränkt wird.

Computerbasierte Schulungen (CBT)

Computerbasierte Schulungen (CBT) sind ein beliebterer Ansatz zur Mitarbeiterschulung, bei dem Mitarbeiter mithilfe von E-Learning für Phishing sensibilisiert werden. Die Schulung wird über das Internet über ein Lernmanagementsystem (LMS) bereitgestellt.

Der Vorteil dieses Ansatzes besteht darin, dass er schnell und ansprechend ist und vom Nutzer im eigenen Tempo absolviert werden kann.

Weitere Vorteile computerbasierter Schulungen sind:

• Sie sind flexibel, da auf die Kursmaterialien von überall aus zugegriffen werden kann.
• Mitarbeiter können den Kurs nach ihrem eigenen Zeitplan absolvieren.
• Sie eignen sich ideal für Remote- oder Telearbeitskräfte.

Simulierte Phishing-Übungen

Eine simulierte Phishing-Übung bietet Mitarbeitern eine praxisnahe Lernerfahrung mit Phishing-Angriffen und wappnet sie gegen echte zukünftige Angriffe.

Bei dieser Methode wird eine sorgfältig gestaltete Phishing-E-Mail an Mitglieder eines Unternehmens gesendet und deren Reaktionen werden ausgewertet. Mitarbeiter, die den Test nicht bestehen, erhalten zusätzliche Schulungen und aussagekräftiges Feedback.

Die Vorteile simulierter Phishing-Übungen sind:

• Sie liefern wertvolle Erkenntnisse darüber, wie Nutzer auf Cyberbedrohungen reagieren.
• Sie helfen Unternehmen, diejenigen zu identifizieren, die besonders anfällig dafür sind, Opfer von Phishing-Angriffen zu werden.
• Praxisnahes Lernen verbessert in der Regel die allgemeine Behaltensleistung.

Wie lassen sich Mitarbeiter am besten zu Phishing-Angriffen schulen?

Insgesamt ist eine Kombination der oben genannten Methoden der beste Ansatz, um Ihre Mitarbeiter über die Risiken von Phishing-Angriffen aufzuklären. In der heutigen Geschäftswelt sind Präsenzschulungen für viele Mitarbeiter möglicherweise nicht praktikabel. CBT und simulierte Übungen machen dies jedoch mehr als wett und bieten zudem den Vorteil, dass sie nach dem Zeitplan der Mitarbeiter absolviert und jährlich aktualisiert werden können.

Die besten Tools zur Phishing-Sensibilisierung von Mitarbeitern

Es gibt eine Vielzahl von Phishing-Schulungstools, die Sie dem LMS Ihres Unternehmens hinzufügen können – aber sie sind nicht alle gleichwertig. Hier sind einige der besten Anti-Phishing-Schulungstools für Ihre Mitarbeiter.

IRONSCALES Phishing Simulation Testing & Training

IRONSCALES ist ein führendes Unternehmen für Cloud-Sicherheit, das weltweit über 10.000 Unternehmen vor Phishing-Bedrohungen schützt. IRONSCALES nutzt die Leistungsfähigkeit von KI und maschinellem Lernen (ML), um Phishing-Angriffe zu neutralisieren.

Für sein Programm Phishing Simulation Testing & Training nutzt IRONSCALES aktuelle und realistische Simulationen, um Teams im richtigen Umgang mit ausgeklügelten Phishing-, Business-E-Mail-Compromise-(BEC)- und Ransomware-Bedrohungen zu schulen.  

Der umfassende Schulungsplan bietet Mitarbeitern eine große Auswahl an Schulungsvideos zu verschiedenen Kategorien der Cybersicherheit und ermöglicht es ihnen, ihre Fortschritte zu verfolgen und zu bewerten. Die Videos enthalten außerdem Informationen zu verschiedenen Compliance-Anforderungen der Branche, etwa HIPAA, DSGVO, PCI und PII.

IT-Teams und Administratoren können Ergebnisse messen und das Nutzerengagement anhand detaillierter Berichte verfolgen. So können sie Personen identifizieren, die möglicherweise weitere Sicherheitsschulungen benötigen.

Vorteile

• Große Bibliothek mit realen Sicherheitssituationen.
• Kampagnen mit nur einem Klick, um Programme einfach zu starten.
• Feedback von Nutzern in Echtzeit.
• Intuitive Benutzeroberfläche.
• Einfache Integration in cloudbasierte E-Mail-Lösungen.
• Eingeschränkte kostenlose Option verfügbar.

Nachteile

• Für die Simulationen ist eine manuelle Konfiguration erforderlich.

Preise

Eine grundlegende „Starter“-Version der Anti-Phishing-Schulung von IRONSCALES ist für jedes Unternehmen mit bis zu 500 Postfächern kostenlos verfügbar. Sie bietet bis zu 12 Schulungskampagnen pro Jahr mit grundlegenden Schulungsinhalten.

Sie können die E-Mail-Schutzdienste von IRONSCALES auch mit der Schulung zu einer umfassenden E-Mail-Sicherheitslösung bündeln. Diese Pakete beginnen bei 6,00 US-Dollar pro Postfach und Monat für das Email Protect Pack und bei 8,33 US-Dollar pro Postfach und Monat für das Complete Protect Pack.

Größere Unternehmen mit mehr als 500 Postfächern sowie Behörden oder Bildungseinrichtungen können sich schließlich an IRONSCALES wenden, um Sonderrabatte für größere Abnahmemengen und individuelle Lizenzmodelle zu erhalten.

ESET Cybersecurity Awareness Training

ESET ist ein führender Anbieter von Cybersicherheitslösungen und bietet speziell entwickelte Schulungen für Mitarbeiter an, um ihr Verständnis von Cybersicherheit zu verbessern und sie dabei zu unterstützen, Compliance-Anforderungen einzuhalten.

Das Sensibilisierungsprogramm umfasst Phishing-Simulatoren, spielerische Quizze, interaktive Sitzungen und Berichtsfunktionen in Echtzeit, um den Lernprozess so effektiv wie möglich zu gestalten.

Unternehmen können diese Aktivitäten außerdem individuell anpassen, sodass Nutzer sie nach Bedarf und in ihrem eigenen Tempo absolvieren können.

Vorteile

• Simulierte Phishing-Kampagnen lassen sich mithilfe vorgefertigter Vorlagen einfach einrichten.
• Benutzerfreundliches Dashboard zur Verfolgung des Kursfortschritts.
• Für Unternehmen jeder Größe geeignet.
• Einfach zu konfigurieren.

Nachteile

• Etwas teurer als andere Lösungen, die mehr Optionen bieten.
• Der Support könnte verbessert werden.

Preise

Die ESET-Schulung ist in den Varianten Basic und Premium verfügbar.

Das grundlegende Cybersicherheitsschulungsmodul ist kostenlos und dauert 60 Minuten. Es umfasst grundlegende Schulungen zur Cybersicherheit und Best Practices für Remote-Mitarbeiter.

Die Premium-Version, die wir für Anti-Phishing-Schulungen empfehlen, umfasst spielerische Inhalte, Phishing-Simulatoren, ein Berichts-Dashboard, automatische E-Mail-Erinnerungen, Zertifizierungen und LinkedIn-Badges. Die Preise beginnen bei 250 US-Dollar für 10 Nutzer.

KnowBe4 Security Awareness Training

KnowBe4 ist ein äußerst beliebtes und geschätztes Unternehmen, das eine Vielzahl von Schulungstools anbietet. Das Programm Security Awareness Training des Unternehmens ist ein umfassendes Sicherheitsschulungsprodukt mit Basistests, interaktiven Modulen, Spielen und Compliance-Schulungen sowie simulierten Phishing-Tests, um Mitarbeiter darin zu schulen, Phishing-Angriffe zu erkennen und ein sichereres Unternehmen aufzubauen.

KnowBe4 nutzt maschinelles Lernen und schult Ihre Nutzer nicht nur zu den neuesten Cyberbedrohungen, sondern hilft Ihrem Unternehmen auch dabei, Branchenstandards wie SOX, HIPAA, GLBA, PCI und FFIEC einzuhalten.

KnowBe4 bietet:

• Basistests, um den Anteil Ihrer Nutzer zu messen, die für Phishing anfällig sind, und zwar durch simulierte Phishing-Angriffe.
• Eine umfangreiche Bibliothek mit Literatur zur Cybersicherheit, darunter Spiele, Videos und interaktive Module zur Schulung der Nutzer.
• Automatisierte simulierte Phishing-Angriffe mit Tausenden von Vorlagen.
• Erweiterte Berichtsfunktionen für einen präzisen Überblick über die Schulungsfortschritte der Nutzer.

Vorteile

• Einfach zu bedienende Benutzeroberfläche.
• Inhaltsbibliothek mit mehr als 5.000 Beispielen in Dutzenden von Sprachen.
• Funktion „Virtual Risk Officer“ zur Identifizierung von Risiken für Unternehmen und Nutzer.

Nachteile

• Die Verwaltungskonsole ist veraltet.
• Eingeschränkte Integrationen mit Drittanbietern.
• Einige Module sind zu lang, um die Aufmerksamkeit der Nutzer zu halten.
• Nutzer haben von übermäßig bestrafenden Formulierungen berichtet, die mit den gemäßigteren Ansätzen mancher Unternehmen zur Förderung der Compliance kollidieren könnten.

Preise

KnowBe4 bietet eine Vielzahl von Optionen, sodass Unternehmen ihre Lösungen genau auf ihre Größe und Bedürfnisse abstimmen können.

Unternehmen können zwischen Silver, Gold, Platinum und Diamond-Stufen wählen, deren Preis sich jeweils nach der Anzahl der Nutzer richtet. Außerdem können Sie Zusatzoptionen erwerben, um Ihre E-Mail-Sicherheits- und Compliance-Lösung weiter zu stärken.

Ist Phishing-Schulung effektiv?

Ja – auch wenn eine Sensibilisierungsschulung für Mitarbeiter nicht alle Sicherheitsvorfälle verhindern kann, hilft sie den Nutzern, ein größeres Bewusstsein zu entwickeln, und vermittelt ihnen, wie sie Phishing-Links besser nicht anklicken.

Dies wird im 2022 Phishing by Industry Benchmarking Report von KnowBe4 deutlich. KnowBe4 analysierte den „Phish-prone Percentage“ (PPP) von 9,5 Millionen Nutzern aus seiner Kundenbasis.

Die Ergebnisse zeigen, dass der durchschnittliche PPP bei 37,9 % lag, nach 90 Tagen Phishing-Tests jedoch um mehr als 60 Prozent auf 14,1 % gesunken war. Und 12 Monate später war der PPP auf nur noch 5 % gesunken.

Diese Untersuchung bestätigt, dass regelmäßige Phishing-Schulungen für Mitarbeiter und simulierte Phishing-Tests entscheidend sind, um Unternehmen vor sich weiterentwickelnden Cyberangriffen zu schützen.

Phishing-Fakten, die Ihre Mitarbeiter kennen sollten

• Office-Dateien wie .xlsx, docx und .doc bleiben die am häufigsten verwendeten Dateierweiterungen bei Phishing-E-Mail-Anhängen.
• Phishing-Angriffe erreichten einen historischen Höchststand im Jahr 2022, wie aus dem APWG-Bericht „Phishing Activity Trends Report, 3rd Quarter 2022“ hervorgeht.
• Die Verwendung eines Secure Email Gateway (SEG) garantiert keinen Schutz vor Phishing-Angriffen.
• Loader sind inzwischen die bevorzugte Angriffsmethode, gefolgt von Keyloggern.
• 67,4 % der Betrüger lassen die Betreffzeile laut dem Quarterly Threat Report von Expel für das 1. Quartal 2022 leer. Weitere häufige Betreffzeilen sind „Re: Request“ (2 %), „Meeting“ (4,07 %) und „You have (1*) New Voice Message“ (3,46 %).
• Fast 45 % der Mitarbeiter öffnen E-Mails, die sie für verdächtig halten.
• 1 von 8 Mitarbeitern wird voraussichtlich Informationen mit Betrügern teilen.

Fazit: Schützen Sie Ihr Unternehmen mit Phishing-Sensibilisierungsschulungen

Insgesamt verlassen sich Phisher auf das mangelnde Wissen der Menschen über Phishing und nutzen es, um ihre ruchlosen Ziele voranzutreiben. Die Aufklärung der Mitarbeiter über Phishing und Cybersicherheitsmaßnahmen hilft ihnen, Unternehmenswerte zu schützen, und verhindert, dass sie Fehler machen, die zu erheblichen Sicherheitsverletzungen führen können.

Auch wenn keine Schulung 100 % der Phishing-Angriffe verhindern kann, zeigt die Forschung, dass eine effektive Vorbereitung Ihrer Mitarbeiter darauf, wie sie Phishing-Betrugsversuche erkennen, einen erheblichen Unterschied macht.

Hier sind acht weitere Tipps, wie Sie in Ihrem Unternehmen Phishing-Angriffe verhindern können.