In diesem Artikel
Ein Team 2026 gegen Phishing und Deepfakes zu schulen heißt nicht, Rechtschreibfehler erkennen zu lehren: Es heißt, eine Regel zur Bestätigung über einen zweiten Kanal einzuführen, kurze und regelmäßige Sessions mit echten Fällen abzuhalten, Simulationen ohne Strafe durchzuführen und einen Meldebutton mit Rückmeldung am selben Tag bereitzustellen. Diesen Ansatz integriert DataRoad - IT Services and Consulting in die Managed Cybersecurity seiner Kunden, weil sich der Betrug viel schneller entwickelt hat als die Schulungen der meisten Unternehmen.
Drei technologische Sprünge beim Betrug
- Text Betrügerische E-Mails in korrekter Sprache, mit Tonfall und Signatur der imitierten Person.
- Stimme Wenige Sekunden öffentlich verfügbaren Audios, aus einem Interview oder einem LinkedIn-Video, genügen für einen Anruf mit der Stimme eines Geschäftsführers.
- Bild Videocalls mit in Echtzeit generierten Gesichtern haben in europäischen Unternehmen bereits Überweisungen autorisiert.
Was alle drei verbindet, ist nicht die Technik, sondern Dringlichkeit kombiniert mit Autorität. Jemand Wichtiges will etwas sofort, außerhalb des normalen Ablaufs.
Die Regel, die jede Imitation bedeutungslos macht
Eine Schulung, die nur das Erkennen lehrt, wird scheitern, denn manche Betrugsversuche sind nicht erkennbar. Was funktioniert, hängt nicht vom Erkennen ab: Zahlungen, Änderungen von Bankdaten und das Versenden sensibler Daten werden immer über einen zweiten Kanal an einen bereits bekannten Kontakt bestätigt.
Neue IBAN in einer E-Mail des Lieferanten? Man ruft die Nummer aus dem Vertrag an. Überweisung, die der CEO im Videocall verlangt? Man bestätigt telefonisch unter seiner bekannten Nummer. Ist die Regel absolut – und hält sich auch die Geschäftsleitung daran –, spielt die Qualität der Imitation keine Rolle mehr. Diesen Punkt vertiefen wir in der Analyse des Rechnungsbetrugs mit geänderter IBAN.
Awareness-Plan in vier Bausteinen
1. Kurze, thematische Sessions
Eine jährliche zweistündige Session ist nach einem Monat vergessen. Wirksam sind Sessions von 15 bis 20 Minuten alle zwei bis drei Monate, je ein Thema: E-Mail, Anrufe, Videocalls, soziale Netzwerke, USB-Sticks und Dateien. Immer mit echten Beispielen, am besten anonymisierte Versuche, die im eigenen Unternehmen angekommen sind – die Leute erinnern sich an die gefälschte E-Mail des Energieversorgers EDP, die die Kollegin bekommen hat, nicht an eine generische Folie.
2. Simulationen, die lehren statt bloßzustellen
Wer klickt, erhält eine kurze, sofortige Erklärung, nie eine öffentliche Rüge – Angst führt zum Verschweigen. Und gemessen wird die Meldequote, nicht nur die Klickquote: Ein Unternehmen, in dem 5 % klicken und 60 % melden, ist besser geschützt als eines, in dem 2 % klicken und niemand Bescheid gibt. Beginnen Sie mit einer Simulation pro Quartal und steigern Sie den Schwierigkeitsgrad schrittweise.
3. Melden in zwei Sekunden
Ein Button in Outlook oder eine allen bekannte interne Adresse. Wer meldet, sollte am selben Tag erfahren, ob es Betrug war. Ohne Antwort geben die Leute nach einem Monat auf; mit Antwort wird das Team zum schnellsten Sensor des Unternehmens.
4. Leitfaden für Deepfakes
- Die Realität akzeptieren Richtige Stimme und richtiges Gesicht garantieren nichts; das ist der aktuelle Stand der Technik.
- Warnsignale Anfrage außerhalb des Ablaufs, Eile, Bitte um Verschwiegenheit, Ablehnung des üblichen Kanals. Nützlich, aber nicht ausreichend.
- Standardantwort „Ich bestätige das gleich mit dir über den üblichen Kanal“, und auflegen. Sagt die Geschäftsleitung das in der Schulung laut, tut das Team es ohne Scheu.
- Mündliches Codewort Zwischen Geschäftsleitung und Finanzabteilung für Geldanfragen vereinbart: einfach, ohne Kosten und wirksam.
Wer verstärkte Schulung braucht
- Finanzen und Buchhaltung Überweisungen.
- Personalabteilung Personenbezogene Daten und Änderungen von Gehaltskonten.
- Empfang und Assistenz der Geschäftsleitung Terminkalender und Anfragen im Namen Dritter. In den Botschaften, Kliniken und Hotels, die wir betreuen, ist der Empfang oft das erste Ziel.
- Geschäftsleitung Erhält die am stärksten personalisierten Angriffe und nimmt am seltensten an Schulungen teil.
Die technischen Ebenen vor den Menschen
Schulung ist die letzte Verteidigungslinie. Davor sollten stehen: E-Mail-Filterung, die externe Nachrichten kennzeichnet und ausführbare Anhänge blockiert; SPF, DKIM und DMARC, um den Versand von E-Mails im Namen des Unternehmens zu erschweren; und Multi-Faktor-Authentifizierung, damit ein gestohlenes Passwort nicht genügt. Hinzu kommen Managed Firewalls und der Schutz von Microsoft 365.
Häufige Fragen
Wie oft sollten wir das Team schulen?
Kurze Sessions alle zwei bis drei Monate und eine Simulation pro Quartal wirken besser als eine lange Session pro Jahr.
Erzeugen Simulationen nicht Misstrauen?
Nur wenn sie zum Bestrafen dienen. Mit einer zweiminütigen Erklärung bei jedem Klick und Anerkennung für Meldende wird das Thema offen besprochen.
Wie erkenne ich einen gefälschten Anruf mit der Stimme meines Chefs?
Es gibt keinen sicheren Weg. Deshalb versucht man nicht zu erkennen: Man legt auf und ruft unter der bekannten Nummer zurück oder nutzt das vereinbarte Codewort.
Ist die Schulung Pflicht?
Die DSGVO verlangt geeignete organisatorische Maßnahmen, und NIS2 verlangt Cybersecurity-Schulungen in den betroffenen Einrichtungen, einschließlich der Leitungsorgane. Abgesehen davon bleibt sie die Maßnahme mit dem besten Kosten-Nutzen-Verhältnis.
Beginnen Sie mit Ihrem Team
In der Managed Cybersecurity von DataRoad bereiten wir die erste Session, die erste Simulation und den Meldebutton vor und konfigurieren Filterung und MFA, damit weniger Betrugsversuche die Menschen erreichen. In 11 Jahren hatte DataRoad keinen einzigen Sicherheitsvorfall.
Mehr als 10 Arbeitsplätze · Servicevertrag · Remote-, Vor-Ort- und Telefonsupport
+351 211 459 950* · sales@dataroad.pt
*Anruf ins portugiesische Festnetz.
