Phishing-Schulung

Technische Schutzmaßnahmen halten viel ab – aber nicht die Nachricht, die aussieht wie die Mail des Geschäftsführers und um eine dringende Überweisung bittet. Die Phishing-Schulung setzt an der Stelle an, an der keine Technik mehr greift.

Was die Phishing-Schulung vermittelt

Die Angriffswege. Nicht nur E-Mail: Auch Kurznachrichten, Anrufe und untergeschobene QR-Codes gehören dazu. Gelernt wird an echten Beispielen, nicht an konstruierten – der Unterschied fällt sofort auf, weil echte Angriffe unauffälliger sind, als man erwartet.

Die Erkennungsmerkmale. Absenderadresse, Zeitdruck, ungewöhnliche Zahlungswege, Abweichungen vom üblichen Ablauf. Wichtiger als eine Merkmalsliste ist dabei das Muster dahinter: Angriffe funktionieren über Dringlichkeit und Autorität, nicht über schlechte Rechtschreibung.

Die Reaktion. Was zu tun ist, wenn eine verdächtige Nachricht ankommt – und was zu tun ist, wenn schon geklickt wurde.

Der Kurs richtet sich an alle Positionen und setzt kein Vorwissen voraus. Buchhaltung, Vertrieb, Geschäftsführung, IT: Ziel ist jeder, der Nachrichten empfängt. Erfahrungsgemäß trifft es die Geschäftsführung überdurchschnittlich oft, weil sich der Aufwand für Angreifer dort am ehesten lohnt.

Warum der Meldeweg wichtiger ist als die Erkennungsquote

Eine Schulung, die nur das Erkennen übt, greift zu kurz. Irgendwann klickt jemand – bei ausreichend gut gemachten Angriffen ist das keine Frage der Aufmerksamkeit.

Was dann zählt, sind Minuten. Wer sofort meldet, ermöglicht es, Zugänge zu sperren, bevor Schaden entsteht. Wer aus Scham schweigt, verschafft dem Angreifer den Vorsprung. Und ob gemeldet wird, hängt nicht vom Wissen ab, sondern davon, ob im Haus klar ist, dass eine Meldung keine Konsequenzen für die meldende Person hat.

Deshalb gehören zwei Dinge zur Schulung, die keine Lerninhalte sind: ein bekannter Meldeweg und die ausdrückliche Zusage, dass Melden richtig ist. Was danach passiert – Bewertung, Meldefrist von 72 Stunden nach Art. 33 DSGVO, Dokumentation –, steht unter Datenschutzvorfall.

Schulung, Simulation oder beides

Die Begriffe liegen nah beieinander, die Leistungen unterscheiden sich:

Schulung, Simulation oder beides
Angebot	Was es tut	Wann es passt
Phishing-Schulung	vermittelt Erkennung und Reaktion	als Grundlage, bevor gemessen wird
Phishing-Kampagne	verschickt simulierte Angriffe und misst die Reaktion	um den tatsächlichen Stand zu ermitteln – ab 15 € je 10 Mitarbeitende, einmalig
Security und Awareness	breiter Grundkurs zu Sicherheitsrisiken	wenn es nicht nur um Phishing geht – 7,50 € je Mitarbeitendem

Die wirksamste Reihenfolge ist: erst schulen, dann simulieren, dann gezielt nachschulen, wo es nötig war. Eine Simulation ohne vorherige Schulung erzeugt vor allem Ärger – die Belegschaft empfindet sie dann als Falle, nicht als Übung.

Alle Kurse im Überblick: E-Learning und Kosten.

Kontakt

Sie wissen nicht, wie anfällig Ihr Haus tatsächlich ist? Das lässt sich messen, bevor es jemand anders tut.