Vor zwei Jahren reichte es noch, den Leuten beizubringen, auf seltsames Portugiesisch und schlecht geschriebene E-Mail-Adressen zu achten. Heute ist die Phishing-E-Mail gut geschrieben, der Anruf hat die Stimme des Finanzdirektors und der Notfall-Videoanruf zeigt das Gesicht des CEOs, der um eine Überweisung bittet. Die Betrugstechnologie hat sich verbessert; die Schulung der meisten Unternehmen ist im Jahr 2019 stecken geblieben. Dieser Artikel erklärt, was sich verändert hat und wie man ein Team realistisch schult – ohne zweistündige Sitzungen, die niemand behält, oder Regeln, die niemand einhält.
Was sich verändert hat: von der schlecht geschriebenen Nachricht zur perfekten Imitation
Drei Dinge. Erstens, der Text: Betrügerische E-Mails sind inzwischen in korrektem Portugiesisch verfasst, im Ton und mit der Signatur der Person, die sie imitieren. Zweitens, die Stimme: Mit wenigen Sekunden öffentlichem Audio (ein Interview, ein Video auf LinkedIn) ist es möglich, einen Anruf mit der Stimme eines Geschäftsführers zu generieren, der um “eine dringende Sache” bittet. Drittens, das Bild: Videoanrufe mit in Echtzeit generierten Gesichtern wurden bereits genutzt, um Überweisungen in europäischen Unternehmen zu autorisieren. Der gemeinsame Nenner ist nicht die tecnología — es ist das Dringlichkeit e a BehördeJemand Wichtiges braucht sofort etwas, abseits des normalen Verfahrens.
Regel null: Das Verfahren geht über die Person
Wenn das Training nur beibringt, Betrug zu erkennen, wird es scheitern, weil einige Betrugsfälle unerkennbar sind. Was funktioniert, ist eine Regel, die nicht davon abhängt, irgendetwas zu erkennen: Zahlungsanaufträge, die Änderung von Bankdaten oder das Senden sensibler Daten werden immer über einen zweiten Kanal an einen bereits bekannten Kontakt bestätigt.. Haben Sie eine E-Mail vom Lieferanten mit einer neuen IBAN erhalten? Man ruft die Nummer an, die im Vertrag steht, nicht die in der E-Mail. Der CEO hat per Videoanruf eine Überweisung angefordert? Man ruft ihn unter seiner Telefonnummer zurück, um es zu bestätigen. Wenn die Regel absolut ist und auch vom Management eingehalten wird, spielt die Qualität der Imitation keine Rolle mehr. Diese Regel ist das Zentrum unseres Analyse des Betrugs mit veränderten Rechnungen.
Training, das funktioniert: kurz, häufig und mit realen Beispielen
Eine zweistündige Jahressitzung hat nach einem Monat nahezu null Bindung. Das Gegenteil funktioniert: 15- bis 20-minütige Sessions alle zwei bis drei Monate, jede zu einem Thema (E-Mail, Anrufe, Videoanrufe, soziale Netzwerke, USB-Sticks und Dateien). Immer mit realen Beispielen – idealerweise Betrugsversuchen, die das Unternehmen selbst erreicht haben, anonymisiert. Die Leute erinnern sich an “die E-Mail, die Ana bekommen hat, in der sie sich als EDP ausgab”, nicht an eine generische Folie.
Phishing-Simulationen: ja, aber ohne zu blamieren
Das Versenden simulierter Phishing-E-Mails an das Team ist der effektivste Weg, um dies zu messen und zu verbessern. Zwei Regeln. Erstens: Wer klickt, erhält eine kurze und sofortige Erklärung, niemals einen öffentlichen Tadel – das Ziel ist, dass die Leute ohne Angst melden, und Angst führt zum Verstecken. Zweitens: Gemessen wird die Rate der Bericht, nicht nur die Klickrate. Ein Unternehmen, in dem 5% klicken, aber 60% Meldung erstatten, ist sicherer als eines, in dem 2% klicken und niemand Bescheid gibt. Beginnen Sie mit einer Simulation pro Quartal und steigern Sie den Schwierigkeitsgrad schrittweise.
Der Melde-Button
Das Team braucht eine Möglichkeit, in zwei Sekunden Meldung zu erstatten: einen Button in Outlook oder eine allen bekannte interne Adresse. Und es braucht Feedback: Wer meldet, muss noch am selben Tag wissen, ob es Betrug war oder nicht. Ohne Feedback hören die Leute nach einem Monat auf zu melden. Mit Feedback verwandelt sich das Team in den besten Sicherheitssensor des Unternehmens – schneller als jeder Filter.
Für Deepfakes trainieren: Was man den Leuten sagen sollte
- Ein Anruf oder Videoanruf kann selbst dann gefälscht sein, wenn Stimme und Gesicht stimmen. Das ist keine Paranoia, sondern der aktuelle Stand der Technik.
- Nützliche, aber nicht ausreichende Indizien: verfahrenswidrige Anfrage, Eile, Geheimhaltungswunsch (“sag es niemandem”), Weigerung, den üblichen Kanal zu nutzen.
- Die Antwort ist immer dieselbe: “Ich bestätige es dir gleich über den üblichen Kanal” – und man legt auf. Niemand Seriöses nimmt dies übel. Wenn das Management dies in der Schulungssitzung laut ausspricht, tut es das Team ohne Furcht ebenfalls.
- Mündliches Passwort für Finanzanfragen zwischen Geschäftsführung und Finanzabteilung: einfach, kostenlos und effektiv.
Die Ziele, die zusätzliches Training verdienen
Finanzen und Buchhaltung (Überweisungen), Personalwesen (persönliche Daten, Änderungen des Gehaltskontos), Empfang und Assistenten der Geschäftsführung (Zugriff auf Kalender und Anfragen “im Auftrag von”) sowie die Geschäftsführung selbst – die am stärksten personalisierte Angriffe erhält und am seltensten Schulungen besucht. In den Botschaften, Kliniken und Hotels, mit denen wir zusammenarbeiten, ist der Empfang oft das erste Ziel, da er jeden ankommenden Anruf entgegennimmt.
Der technische Teil, der das reduziert, was bei den Menschen ankommt
Die Schulung ist die letzte Linie, nicht die erste. Davor: E-Mail-Filterung, die externe Nachrichten kennzeichnet und ausführbare Anhänge blockiert, Domain-Authentifizierung (SPF, DKIM und DMARC), um es anderen zu erschweren, E-Mails im Namen des Unternehmens zu versenden, und Multifaktor-Authentifizierung damit ein gestohlenes Passwort nicht ankommt. In unseren Verträgen Geführte Cybersicherheit Diese Schichten sind konfiguriert, und die Sensibilisierung der Teams ist Teil des Dienstes.
Häufig gestellte Fragen
Wie oft sollte man Schulungen durchführen?
Kurze Sitzungen alle zwei bis drei Monate funktionieren besser als eine lange Sitzung pro Jahr. Eine Phishing-Simulation pro Quartal hält das Thema präsent.
Erzeugen die Simulationen kein Misstrauen im Team?
Sie stiften Unruhe, wenn sie zur Bestrafung genutzt werden. Wenn jedem Klick eine zweiminütige Erklärung folgt und der Fokus darauf liegt, diejenigen zu feiern, die melden, ist der Effekt genau umgekehrt: Die Leute fangen an, über das Thema zu sprechen.
Woher weiß ich, ob ein Anruf mit der Stimme meines Chefs gefälscht ist?
Man weiß es nicht genau. Deshalb lautet die Antwort nicht erkennen, sondern bestätigen: auflegen und die bekannte Nummer zurückrufen. Ein vorher vereinbartes verbales Passwort löst die meisten Fälle.
Ist die Schulung gesetzlich vorgeschrieben?
Die DSGVO verlangt angemessene organisatorische Maßnahmen und die NIS2 fordert explizit Schulungen zur Cybersicherheit für die betroffenen Einrichtungen, einschließlich der Geschäftsleitung. Selbst außerhalb dieser Verpflichtungen ist dies die Maßnahme mit dem besten Kosten-Nutzen-Verhältnis.
Möchten Sie mit Ihrem Team beginnen?
Wir haben die erste Sitzung, die erste Simulation und den Meldeknopf vorbereitet sowie E-Mail-Filterung und MFA eingerichtet, damit weniger Betrug bei den Menschen ankommt. Sehen Sie sich unsere Managed Cybersecurity für Unternehmen Oder rufen Sie 211 459 950 an.
