Nach wie vor sind Phishing-, Spear Phishing und Social Engineering-Angriffe der häufigste Ausgangspunkt erfolgreicher Cyberangriffe auf europäische Unternehmen. Anfang Juli hat KnowBe4 die Ergebnisse seines neuesten Phishing by Industry Benchmarking Reports vorgestellt. Eine Auswertung der Ergebnisse zeigt: die Erfolgsquote von Phishing-, Spear Phishing und Social Engineering-Angriffen ist nach wie vor außergewöhnlich hoch. Rund ein Drittel aller Arbeitnehmer fällt auf sie herein.

In Europa sehen wir derzeit innerhalb der Belegschaften einen Phish-prone™ Percentage (PPP)-‚Ausgangswert‘ – vor etwaigen Schulungen und Trainingseinheiten – von 31,1 Prozent. Im internationalen Vergleich stehen europäische Unternehmen damit gar nicht mal so schlecht dar. Für Nordamerika etwa liegt der PPP-Ausgangswert derzeit bei 34,5 Prozent. Auch im Vergleich zum Vorjahr hat sich die europäische Phishing-Anfälligkeit verbessert – wenn auch nur geringfügig, um 1,4 Prozent. Aber: es bedeutet eben auch, dass Phishing-Angriffe auf Arbeitnehmer im Schnitt in jedem dritten Fall für die Cyberkriminellen zum Erfolg führen.

Eine zentrale Rolle scheint dabei die Unternehmensgröße zu spielen. Bei Großunternehmen mit mehr als 10.000 Mitarbeitern liegt der PPP-Ausgangswert besonders hoch – bei knapp 39,5 Prozent. Kleinere Betriebe mit unter 250 Beschäftigten weisen demgegenüber deutlich niedrigere Ausgangswerte aus – im Schnitt nur 24,7 Prozent. Eine Grund: die hohe organisatorische Komplexität entkoppelter Abteilungen und unübersichtliche interne Kommunikationswege spielen den Angreifern in Großkonzernen in die Hände und erschweren die Verifikation verdächtiger Nachrichten.

Besonderen Anlass zur Sorge geben auch in diesem Jahr wieder die Risikowerte zweier Branchen, die zu den tragenden Säulen der europäischen – auch der deutschen – Wirtschaft zählen. Bei Gesundheits- und Pharma-Unternehmen liegt der PPP-Ausgangswert im globalen Schnitt bei mittlerweile über 42,7 Prozent. Dicht dahinter folgt die Versicherungsbranche mit einer Anfälligkeit von 38,1 Prozent. Deutlich besser steht es um die für den Wirtschaftsstandort Deutschland so wichtige Fertigungsindustrie. Hier konnte der Risiko-Ausgangswert auf mittlerweile rund 32 Prozent zurückgefahren werden.

Glücklicherweise zeigt der Bericht aber auch – und dies empirisch nachweisbar: der Risikofaktor Mensch lässt sich durch systematische Schulungen und Trainings effektiv und nachhaltig in den Griff bekommen. Bereits nach 90 Tagen gezielten Trainings und simulierter Phishing-Tests sinkt die PPP-Anfälligkeit in europäischen Unternehmen von über 31 Prozent auf nur noch 21,4 Prozent. Bei Fortführung der Bildungsmaßnahmen über einen Zeitraum von mindestens einem Jahr geht der PPP-Wert in Europa sogar noch weiter zurück – auf dann nur noch 5,4 Prozent. Das entspricht einem nachhaltigen Rückgang des PPP-Risikos um satte 80 Prozent.

Solch ein extremer Rückgang lässt sich natürlich nicht durch starre, standardisierte, einmal im Jahr stattfindende Schulungen und Trainings realisieren. Wenn Unternehmen ihre menschlichen Cyber-risiken effektiv und nachhaltig senken wollen, müssen sie von der reinen Informationsvermittlung, der bloßen Anhäufung von Fachwissen, zu einem verhaltensbasierten Präventionstraining in Echtzeit übergehen. Mit dem Einsatz adaptiver, KI-gestützter Trainingsplattformen können sie ihren Beschäftigten das tatsächlich für ihren individuellen Arbeitsalltag erforderliche Sicherheitsbewusstsein an die Hand geben. Letztere lernen, verdächtige Muster innerhalb ihrer digitalen Kommunikation souverän zu identifizieren und erfolgreich und rechtzeitig an ihre IT-Sicherheit weiterzugeben.