Warum 90 % der Cyberangriffe mit Phishing beginnen
Phishing ist der mit Abstand häufigste Einstiegsvektor für Cyberangriffe auf Unternehmen. Das ist kein Zufall: Technische Schutzmaßnahmen wie Firewalls und Endpoint-Security werden immer besser, also weichen Angreifer auf den Faktor aus, der sich am schwierigsten patchen lässt: den Menschen. Eine gut formulierte E-Mail, die Neugier, Dringlichkeit oder Angst auslöst, kann selbst erfahrene Mitarbeitende dazu bringen, auf etwas zu klicken oder Zugangsdaten preiszugeben.
Im SOC-Alltag sehe ich das täglich: Ransomware-Infektionen, die mit einer scheinbar harmlosen Rechnung per E-Mail beginnen. Kontozugriffe, die über gefälschte Login-Seiten abgegriffen wurden. Business Email Compromise, bei dem Angreifer monatelang unentdeckt Kommunikation mitlesen. Der Ausgangspunkt ist fast immer eine E-Mail, auf die jemand hereingefallen ist.
Das Problem mit Standard-E-Learnings
Die typische Reaktion auf dieses Risiko: ein jährliches E-Learning-Modul, in dem Mitarbeitende durch Klick auf „Weiter" bestätigen, dass sie verstanden haben, wie eine Phishing-Mail aussieht. Haken gesetzt, Pflicht erfüllt.
Das Problem: Wissen, das nicht aktiv angewendet wird, verblasst schnell. Studien zeigen, dass der Großteil des Gelernten ohne Wiederholung und Anwendung innerhalb weniger Tage vergessen wird. Schlimmer noch: E-Learnings erzeugen oft eine trügerische Sicherheit. Mitarbeitende denken, sie wissen Bescheid, und sind im realen Moment der Entscheidung genauso anfällig wie vorher. Die Checkbox-Kultur, die viele Compliance-Abteilungen antreibt, ist das genaue Gegenteil von nachhaltigem Schutz.
Was eine gute Phishing-Schulung ausmacht
Eine wirksame Schulung arbeitet nicht mit abstrakten Musterlösungen, sondern mit echten Beispielen aus der aktuellen Bedrohungslage. Was waren die tatsächlichen Phishing-Kampagnen der letzten Wochen? Welche Formulierungen und Absenderadressen werden gerade verwendet? Genau diese Konkretheit macht den Unterschied zwischen einer Schulung, die hängen bleibt, und einer, die vergessen wird.
Mindestens genauso wichtig ist das Verständnis der Psychologie dahinter. Angreifer nutzen gezielt kognitive Verzerrungen: Zeitdruck erzeugt Stress und hemmt kritisches Denken. Autoritätssignale, ein scheinbar dringender Auftrag vom CEO, schalten Skepsis aus. Neugier und Angst motivieren zum Klicken, ohne zu überlegen. Wer diese Mechanismen kennt, erkennt auch, wenn er gerade Ziel einer solchen Manipulation ist.
Eine gute Schulung zeigt nicht nur, was verdächtig ist, sondern vermittelt auch, wie man sicher reagiert: kurz innehalten, im Zweifel nachfragen, verdächtige Mails melden. Dieser Reflex entsteht nicht durch Lesen, sondern durch Üben und Diskutieren.
Spear Phishing: Das unterschätzte Risiko
Standardisierte Phishing-Kampagnen sind nur ein Teil der Bedrohung. Weitaus gefährlicher und schwerer zu erkennen ist Spear Phishing: gezielte Angriffe auf einzelne Mitarbeitende oder Führungskräfte. Angreifer recherchieren ihre Opfer vorab, über LinkedIn, die Unternehmenswebsite oder öffentliche Pressemitteilungen, und erstellen dann maßgeschneiderte Nachrichten, die zu Person, Rolle und aktuellem Kontext passen.
Eine E-Mail, die den Namen des echten Vorgesetzten verwendet, auf ein gerade laufendes Projekt Bezug nimmt und in vertrautem Ton geschrieben ist, löst kaum Misstrauen aus. Genau das macht Spear Phishing so effektiv, und genau deshalb müssen Schulungen über das Erkennen generischer Massenangriffe hinausgehen und das Bewusstsein für diese zielgerichtete Variante schärfen.
Fazit: Phishing-Erkennung als Muskeln, nicht als Wissen
Phishing-Schutz ist keine Frage des Wissens, sondern der eingeübten Reaktion. Mitarbeitende müssen nicht jede Phishing-Technik kennen, aber sie müssen den Reflex entwickeln, kurz innezuhalten, wenn etwas ungewöhnlich wirkt. Das entsteht durch Schulungen, die konkrete Beispiele zeigen, Psychologie erklären und Raum für Fragen lassen. Nicht durch jährliche Klick-Übungen.