Warum „eine Mail für alle“ nicht funktioniert
Aus diesen Ergebnissen leiten die Forschenden eine wichtige Konsequenz ab: Es braucht Differenzierung. „Man sollte nicht identische E-Mails an alle Mitarbeitenden versenden“, so Prof. Lo Iacono. Faktoren wie Inhalt, Ansprache, Personalgruppe oder Versandzeitpunkt sollten gezielt variiert werden, um zielgruppenspezifische Risiken ableiten zu können.
Warnbanner schlagen einfache Kennzeichnungen
Auch verbreitete Anti-Phishing-Maßnahmen zeigen laut Studie nur begrenzte Wirkung. So bot etwa die Kennzeichnung externer E-Mails mit dem Hinweis „[EXTERN]“ nur wenig Schutz vor Betrugsversuchen. Deutlich wirksamer waren hingegen klare Warnbanner mit konkreten Sicherheitshinweisen, die das Interaktionsrisiko um bis zu 94 Prozent senken konnten. Auch leistungsfähige Spamfilter erwiesen sich als effektive Schutzmaßnahme. Das Deaktivieren anklickbarer Links in E-Mails sowie zwischengeschaltete Warnseiten vor potenziellen Phishing-Seiten zeigten zumindest eine gewisse, wenn auch begrenzte Wirkung.
Die unterschätzte psychologische Dimension
Ein weiterer Aspekt betrifft die psychologischen Folgen solcher Tests. In der Studie konnten Beschäftigte, die auf die Phishing-Simulation hereingefallen waren, freiwillig an einer Umfrage teilnehmen – was etwa 29 Prozent auch taten. Die Ergebnisse zeigen deutliche emotionale Reaktionen: Rund 60 Prozent der Befragten berichteten, sich durch die Simulation mäßig bis stark verängstigt gefühlt zu haben. Rund 40 Prozent gaben an, in ähnlichem Maße Scham oder Schuldgefühle empfunden zu haben.
Dr. Jan Tolsdorf vom Max-Planck-Institut für Sicherheit und Privatsphäre betont deshalb: „Diese Erkenntnisse verdeutlichen die psychologischen Herausforderungen solcher Simulationen und zeigen, dass Organisationen die emotionalen Kosten gegen die potenziellen Sicherheitsgewinne sorgfältig abwägen sollten.“
Empfehlung für diakonische Unternehmen
Für diakonische Träger ergibt sich daraus ein besonderer Handlungsbedarf. Einrichtungen im Gesundheits- und Sozialwesen arbeiten mit sensiblen personenbezogenen Daten und sind gleichzeitig auf eine vertrauensbasierte Organisationskultur angewiesen. Phishing-Simulationen sollten nicht primär als „Fehlersuche“ gestaltet werden, sondern als Bestandteil einer umfassenden Sicherheitskultur etabliert werden, um zielgruppenspezifische Risiken und wirksame Gegenmaßnahmen zu identifizieren.
Empfehlenswert sind zielgruppenspezifische Sensibilisierungsmaßnahmen, transparente Kommunikation über Zweck und Ablauf von Simulationen sowie eine konstruktive Fehlerkultur. Technische Schutzmaßnahmen – etwa leistungsfähige Spamfilter, deutliche Warnhinweise in E-Mails und sichere Authentifizierungsverfahren – sollten dabei eine ebenso zentrale Rolle spielen wie kontinuierliche Schulungen sowie Wirksamkeitsmessungen. Nur die Kombination aus Technik, Organisation, Sensibilisierung und fortlaufender Evaluation kann langfristig zu einem wirksamen Schutz vor Phishing-Angriffen beitragen.
Auf Basis dieser Erkenntnisse wurde ein durch das Bundesministerium für Forschung, Technologie und Raumfahrt gefördertes Startup-Projekt ins Leben gerufen, das Organisationen dabei unterstützt, eine kontinuierliche Evaluation von Risiken und der wirksamen Maßnahmenimplementierung durchzuführen. Aktuell befindet sich die Initiative in einer F&E-Phase an der JLU Gießen unter Leitung von Prof. Luigi Lo Iacono.
