Foto: G DATA CyberDefense AG
Security Awareness Trainings zählen zu den wichtigsten Maßnahmen beim Kampf gegen Cyber-Kriminelle. Nur wer Bescheid weiß über aktuelle Bedrohungen kann adäquat darauf reagieren und zum Beispiel einen BEC-Versuch (Business Email Compromise) an bestimmten Merkmalen erkennen und nicht darauf hereinfallen. Aber wie effektiv sind die Schulungen wirklich? Was haben die Mitarbeiter dabei gelernt und was nehmen sie mit in die Praxis? G Data hat eine Phishing-Simulation erstellt, mit der sich diese Fragen beantworten lassen.
"Cyber-Kriminelle suchen immer den Weg des geringsten Widerstands, um mit wenig Aufwand maximalen Profit zu erzielen", sagt Tim Berghoff, Security Evangelist bei G Data CyberDefense. Die in Unternehmen eingesetzten Sicherheitslösungen und Betriebssysteme seien zwar signifikant sicherer geworden. Aber nun seien die Mitarbeiter ein immer beliebteres Ziel von Angreifern.
"Angreifer haben beim Phishing ein klares Ziel vor Augen: Sie wollen vertrauliche Informationen wie etwa Login-Daten abgreifen oder Schadsoftware ins Netzwerk schleusen", erläutert Berghoff. Die Angestellten sollten daher lernen, wie sie Phishing erkennen und richtig damit umgehen.
Auch geeignet für Partner
Die Phishing-Simulation eignet sich nach Angaben von Hendrik Flierman, Global Sales Director bei G Data, nicht nur für Unternehmen. Auch Partner können sie in ihr Repertoire aufnehmen, um die Wirksamkeit ihrer Schulungsmaßnahmen zu überprüfen und damit die IT-Sicherheit ihrer Kunden zu verbessern.
Im Rahmen der Phishing-Simulation müssen sich die Mitarbeiter mit gefährlichen E-Mails auseinandersetzen. Die Übungen richten sich sowohl an Einsteiger, die noch wenig Erfahrung im Umgang mit gefälschten Nachrichten haben, als auch an Fortgeschrittene, die bereits für IT-Awareness sensibilisiert sind. Verschiedene psychologische Trigger sollen Emotionen wie Hilfsbereitschaft, Angst oder Neugier auslösen. Damit kann dann geprüft werden, ob die Mitarbeiter auf Links klicken und etwa ihre Login-Daten hinterlassen.
Anschließend lässt sich ein Management-Report erstellen, der eine detaillierte Auswertung zu den geöffneten E-Mails, dem Anteil an angeklickten Links, kritischen Daten, die preisgegeben und Anhängen, die geöffnet wurden, enthält. IT-Verantwortliche erhalten zudem eine Risikoeinschätzung.