Wie widerstandsfähig ist die eigene Organisation gegenüber Phishing und Social Engineering? Um diese Frage zu beantworten, vergleichen viele Unternehmen ihre Ergebnisse mit Branchenwerten oder ähnlich aufgestellten Organisationen.
Solche Benchmarks können eine erste Orientierung liefern. Sie dürfen jedoch nicht isoliert betrachtet werden: Schwierigkeit, Zielgruppe und Durchführung einer Phishing-Simulation haben erheblichen Einfluss auf das Ergebnis.
Was bedeutet Benchmarking bei Security Awareness?
Beim Benchmarking werden die Ergebnisse eines Security-Awareness-Programms mit früheren eigenen Messungen oder externen Vergleichswerten gegenübergestellt. Unternehmen möchten dadurch erkennen, wie gut Beschäftigte auf verdächtige Nachrichten reagieren und ob sich ihr Sicherheitsverhalten verbessert.
Eine verbreitete Messmethode sind simulierte Phishing-Angriffe. Dabei erhalten Beschäftigte kontrollierte Testnachrichten. Je nach Szenario wird ausgewertet, ob sie:
- einen Link anklicken,
- Zugangsdaten auf einer Testseite eingeben,
- einen Anhang öffnen,
- auf die Nachricht antworten,
- die verdächtige E-Mail korrekt melden oder
- keine Aktion durchführen.
Da die Simulation in einer sicheren Umgebung stattfindet, können Unternehmen problematische Verhaltensweisen erkennen und passende Schulungsmaßnahmen anbieten, ohne einen echten Sicherheitsvorfall zu riskieren.
Wichtige Kennzahlen für Phishing-Simulationen
Fehlerquote
Die Fehlerquote gibt an, welcher Anteil der getesteten Personen eine zuvor definierte riskante Handlung ausgeführt hat. Dazu können das Anklicken eines Links, das Eingeben von Daten oder das Öffnen eines Anhangs gehören.
Eine einfache Berechnung lautet:
Fehlerquote = fehlgeschlagene Tests ÷ getestete Personen × 100
Eine niedrige Fehlerquote wirkt zunächst positiv. Sie sagt allein jedoch wenig darüber aus, ob die Beschäftigten einen Angriff tatsächlich erkannt haben. Möglicherweise wurde die Nachricht lediglich übersehen, automatisch gefiltert oder aus anderen Gründen nicht geöffnet.
Melderate
Die Melderate zeigt, wie viele Empfänger die verdächtige Nachricht aktiv an die zuständige Sicherheitsstelle gemeldet haben. Diese Kennzahl ist besonders wertvoll, weil eine schnelle Meldung nicht nur den einzelnen Mitarbeiter, sondern die gesamte Organisation schützen kann.
Ein Sicherheitsteam kann nach einer frühen Meldung beispielsweise ähnliche Nachrichten aus weiteren Postfächern entfernen, Absender blockieren oder betroffene Benutzer warnen.
Kombinierte Bewertung von Fehlern und Meldungen
Eine aussagekräftigere Bewertung berücksichtigt sowohl riskante Handlungen als auch korrekt gemeldete Nachrichten. Vereinfacht kann dafür die Fehlerquote von der Melderate abgezogen werden:
Bewertungswert = Melderate − Fehlerquote
Ein positiver und im Zeitverlauf steigender Wert deutet darauf hin, dass mehr Beschäftigte verdächtige Nachrichten melden als auf sie hereinfallen. Personen, die weder reagieren noch melden, beeinflussen diese vereinfachte Kennzahl nicht.
Warum externe Benchmarks problematisch sein können
Zwei Phishing-Simulationen sind nur dann sinnvoll vergleichbar, wenn ihre Bedingungen ähnlich sind. Bereits kleine Unterschiede können die Ergebnisse deutlich verändern.
Unterschiedlicher Schwierigkeitsgrad
Eine allgemeine Nachricht mit offensichtlichen Fehlern wird wahrscheinlich seltener erfolgreich sein als ein gezielter Angriff auf eine bestimmte Abteilung. Eine täuschend echte Nachricht an die Buchhaltung ist daher nicht direkt mit einer einfachen, unternehmensweiten Testmail vergleichbar.
Unterschiedliche Zielgruppen
Beschäftigte aus IT, Vertrieb, Personalabteilung oder Buchhaltung erhalten unterschiedliche Nachrichten und verfügen über unterschiedliche Erfahrungen. Auch ihre Zugriffsrechte und typischen Arbeitsabläufe unterscheiden sich.
Personalwechsel und neue Beschäftigte
Eine hohe Fluktuation kann die Ergebnisse verschlechtern. Neue Beschäftigte haben möglicherweise noch nicht an den unternehmensinternen Schulungen teilgenommen oder kennen die vorhandenen Meldewege noch nicht.
Technische Rahmenbedingungen
Spamfilter, E-Mail-Programme, mobile Endgeräte und Sicherheitswerkzeuge beeinflussen, ob eine Testnachricht zugestellt, dargestellt oder automatisch markiert wird. Auch dadurch können Vergleiche verzerrt werden.
Zeitpunkt und Vorankündigung
Wird eine Simulation angekündigt oder immer zur gleichen Zeit durchgeführt, sind Beschäftigte besonders aufmerksam. Das Ergebnis bildet dann möglicherweise nicht ihr Verhalten im normalen Arbeitsalltag ab.
Die Gefahr einer zu starken Kennzahlenorientierung
Wird eine bestimmte Fehlerquote als starres Ziel vorgegeben, kann ein unerwünschter Anreiz entstehen: Die Simulation wird so einfach gestaltet, dass möglichst wenige Personen scheitern.
Typische Möglichkeiten, ein Ergebnis künstlich zu verbessern, sind:
- auffällig viele Warnsignale in die Testnachricht einzubauen,
- die Simulation vorher anzukündigen,
- immer wieder ähnliche Vorlagen zu verwenden,
- unpassende Nachrichten an bestimmte Abteilungen zu senden oder
- Tests zu ungewöhnlichen und leicht erkennbaren Zeitpunkten durchzuführen.
Die Kennzahl sieht anschließend gut aus, obwohl die tatsächliche Widerstandsfähigkeit kaum verbessert wurde. Der Zweck eines Security-Awareness-Programms besteht jedoch nicht darin, möglichst schöne Zahlen zu erzeugen, sondern reales Verhalten sicherer zu machen.
Eine steigende Fehlerquote kann trotzdem Fortschritt bedeuten
Ein reiferes Awareness-Programm sollte seine Phishing-Simulationen schrittweise anspruchsvoller gestalten. Dadurch kann die Fehlerquote vorübergehend steigen, obwohl sich das Sicherheitsniveau insgesamt verbessert hat.
Eine höhere Fehlerquote ist deshalb nicht automatisch ein Rückschritt. Wurde eine deutlich realistischere oder stärker personalisierte Angriffsvorlage eingesetzt, kann sie ein wertvolleres Bild des bestehenden Risikos liefern als ein einfacher Test mit sehr niedriger Fehlerquote.
Interne Entwicklung ist oft wichtiger als der Branchenvergleich
Besonders aussagekräftig ist der Vergleich mit der eigenen Ausgangslage. Dabei können Unternehmen beobachten, wie sich das Verhalten über mehrere Kampagnen hinweg entwickelt.
Sinnvolle Fragen sind beispielsweise:
- Steigt die Melderate im Zeitverlauf?
- Werden verdächtige Nachrichten schneller gemeldet?
- Sinkt die Zahl eingegebener Zugangsdaten?
- Welche Angriffstypen sind besonders erfolgreich?
- Welche Abteilungen benötigen zusätzliche Unterstützung?
- Wie entwickeln sich wiederholt auffällige Benutzergruppen?
- Führt eine Schulungsmaßnahme zu messbaren Verbesserungen?
So werden Benchmarks sinnvoll eingesetzt
Eine Ausgangsmessung durchführen
Zu Beginn sollte eine realistische Basiskampagne durchgeführt werden. Sie zeigt, wie die Organisation vor zusätzlichen Schulungsmaßnahmen auf typische Phishing-Nachrichten reagiert.
Vergleichbare Bedingungen dokumentieren
Zielgruppe, Vorlagentyp, Schwierigkeitsgrad, Versandzeitraum und gemessene Aktionen sollten dokumentiert werden. Nur so lassen sich spätere Ergebnisse sinnvoll einordnen.
Mehrere Kennzahlen betrachten
Klick- oder Fehlerquoten dürfen nicht allein im Mittelpunkt stehen. Melderate, Reaktionszeit, Art der Fehlhandlung und Entwicklung einzelner Benutzergruppen ergeben zusammen ein wesentlich vollständigeres Bild.
Schwierigkeit kontrolliert erhöhen
Sobald Beschäftigte einfache Angriffe zuverlässig erkennen, sollten die Simulationen realistischer werden. Möglich sind personalisierte Inhalte, nachgebildete Geschäftsprozesse und auf bestimmte Abteilungen zugeschnittene Szenarien.
Ergebnisse für Schulungen verwenden
Erkenntnisse aus den Simulationen sollten unmittelbar in das Training einfließen. Wer beispielsweise Schwierigkeiten mit gefälschten Anmeldeseiten hat, benötigt andere Lerninhalte als eine Person, die unerwartete Anhänge öffnet.
Keine persönliche Bloßstellung
Security-Awareness-Messungen sollten der Verbesserung dienen. Werden einzelne Beschäftigte öffentlich kritisiert oder mit unangemessenen Konsequenzen bedroht, kann dies die Meldebereitschaft und das Vertrauen in das Programm beschädigen.
Welche Ziele sind sinnvoll?
Statt ausschließlich eine möglichst niedrige Fehlerquote anzustreben, sollte ein Unternehmen mehrere qualitative und quantitative Ziele miteinander verbinden:
- mehr verdächtige Nachrichten werden korrekt gemeldet,
- Meldungen erfolgen schneller,
- kritische Handlungen wie die Eingabe von Passwörtern nehmen ab,
- Beschäftigte kennen die internen Melde- und Eskalationswege,
- wiederkehrende Risikomuster werden gezielt bearbeitet und
- Simulationen bleiben realistisch und anspruchsvoll.
Fazit
Security-Awareness-Benchmarks bieten eine nützliche Orientierung, sind aber keine absolute Bewertung der Sicherheit. Ergebnisse können nur sinnvoll interpretiert werden, wenn Schwierigkeitsgrad, Zielgruppe und Rahmenbedingungen berücksichtigt werden.
Am wertvollsten ist die langfristige Entwicklung innerhalb der eigenen Organisation. Ein gutes Awareness-Programm misst nicht nur Fehler, sondern fördert vor allem das aktive Erkennen und Melden verdächtiger Nachrichten. Anspruchsvollere Tests dürfen dabei vorübergehend schlechtere Kennzahlen erzeugen – und trotzdem zu einer besseren Sicherheitskultur beitragen.