Bis Ende 2021 ist die Zahl der Ransomware-Angriffe auf einen Versuch alle 11 Sekunden gestiegen. Auch die Zahl der Datenschutzverletzungen ist weiterhin rasant: In der ersten Hälfte des Jahres 2021 wurden fast 19 Milliarden Datensätze missbraucht .

Viele dieser Angriffe nutzen Phishing oder gefälschte Daten an irgendeinem Punkt des Angriffs. Statistiken belegen dies: Phishing ist der Angriffsvektor Nummer eins, dessen Volumen im Jahr 2021 um 161% zunehmen wird.

Warum Phishing Ihrer Benutzer?

Phishing spielt mit der menschlichen Fehlbarkeit und dem menschlichen Verhalten, was diese Taktik heimtückisch und schwer zu schützen macht. Untersuchungen haben ergeben, dass 96 % der Datenschutzverletzungen mit einer Phishing-E-Mail beginnen. Eine Phishing-E-Mail ist weniger wie eine Bombe, die hochgeht, sondern eher wie eine langsam brennende Lunte. Phishing führt zu gestohlenen Anmeldedaten, Malware-Infektionen und kann Ihr Netzwerk über viele Monate hinweg anfällig für langsamen Datendiebstahl und IT-Schäden machen.

Einem Bericht zufolge wurden 74 % der Phishing-E-Mails dazu verwendet, die Anmeldedaten zu stehlen, die Ihre Mitarbeiter für die Anmeldung bei Ihren Unternehmensanwendungen verwenden.

Phishing funktioniert, weil es Menschen dazu verleitet, Dinge zu tun, die dem Cyberkriminellen, der die bösartige E-Mail versendet hat, zum Vorteil gereichen. So werden beim E-Mail-Phishing in der Regel Tricks angewandt, wie z. B. die Angst des Empfängers, dass er Ärger bei der Arbeit bekommen könnte, wenn er nicht auf einen Link klickt. Bedingungen, die Angst, Ungewissheit und Zweifel hervorrufen, sowie Dringlichkeit und andere psychologische Tricks machen Phishing zur Methode Nummer eins, um einen Cyberangriff zu starten.

Mitarbeiter müssen diese raffinierten Phishing-Tricks kennen, um eine Chance zu haben, dem Drang zu widerstehen, auf einen bösartigen Link zu klicken oder einen infizierten Anhang herunterzuladen.

Um zu verhindern, dass Ihr Unternehmen zu einer Nummer in einer Reihe von Phishing-Statistiken wird, können Sie eine Phishing-Simulationsplattform verwenden, um Ihre Benutzer zu phishen. Einen tieferen Einblick in die Funktionsweise von Phishing und eine Hilfestellung für den Einstieg finden Sie im MetaCompliance Ultimate Guide to Phishing.

Was ist eine Phishing-Simulation?

Phishing-Simulationen sind Cloud-basierte Dienste, die simulierte Phishing-E-Mails erzeugen. Diese E-Mails spiegeln aktuelle und neue Phishing-Bedrohungen wider. Die simulierten Phishing-E-Mails werden im Rahmen einer von einem Unternehmen organisierten Kampagne an Empfänger in der gesamten Organisation verschickt, oft mit Hilfe einer erfahrenen Organisation, die sich mit dem Thema Sicherheit beschäftigt.

Die simulierten Phishing-E-Mails helfen dann, die Mitarbeiter darin zu schulen, Phishing-Taktiken zu erkennen.

Wie funktioniert die Phishing-Simulation?

Phishing-Simulationstools sind Teil einer umfassenderen Sicherheitskampagne. Sie fügen sich nahtlos in eine organisierte Strategie der Aufklärung und des Bewusstseins ein, die harmonisch zusammenarbeitet, um die E-Mail-Sicherheit zu verbessern und Cyberangriffe auf ein Unternehmen zu reduzieren.

Phishing-Simulationstools wie MetaPhish sind Cloud-basiert und können über eine Verwaltungs- und Berichterstattungskonsole zentral konfiguriert und verwaltet werden. Die Phishing-Simulation beginnt mit der Konfiguration gebrauchsfertiger Vorlagen, die einen bekannten oder neuen Phishing-Angriff widerspiegeln.

Die Vorlagen sind so gestaltet, dass sie bekannte Marken enthalten, die häufig in echten Phishing-Kampagnen verwendet werden. Zum Beispiel sind Marken wie Microsoft regelmäßig die am häufigsten verwendeten gefälschten Marken in Phishing-Kampagnen.

Eine Phishing-Simulationsvorlage enthält die Phishing-E-Mail und alle zugehörigen gefälschten Zielseiten, die erforderlich sind, um einen Benutzer durch den Phishing-Lebenszyklus zu führen. Wenn ein Mitarbeiter eine simulierte Phishing-E-Mail erhält, die einen bösartigen Link enthält und der Mitarbeiter auf den Link klickt, wird er zu dieser zugehörigen Landing Page weitergeleitet.

Wichtig ist, dass die Phishing-Simulationstools in hohem Maße konfigurierbar sind. Die Phishing-Vorlagen sollten so angepasst werden können, dass sie genau der Umgebung der verschiedenen Branchen entsprechen.

Einige Phishing-Simulationstools, wie MetaPhish, werden mit der Hilfe von Experten Dritter geliefert, um sicherzustellen, dass das Design der Vorlagen echten Phishing-Kampagnen sehr nahe kommt. Dadurch wird sichergestellt, dass sie einem echten Phishing so nahe wie möglich kommen. Auf diese Weise werden die Ergebnisse der simulierten Phishing-Übung genauer.

Phishing-Simulationen als Lernerfahrung

Es ist eine Sache, Ihre Benutzer zu phishen, aber sicherzustellen, dass sie aus dieser Erfahrung lernen, kann kompliziert sein. Daher müssen Phishing-Simulationstools aktives Lernen beinhalten. Wenn ein Mitarbeiter auf die Tricks der simulierten Phishing-E-Mail hereinfällt, muss das Ereignis in etwas Positives umgewandelt werden.

Point-of-Need-Learning holt den Benutzer aus dem Phishing-Lebenszyklus heraus, um ihm zu verdeutlichen, was er falsch gemacht hat und wo seine Schwachstellen liegen. Dies geschieht in der Regel zu einem bestimmten Zeitpunkt, z. B. wenn ein Mitarbeiter auf einen Phishing-Link klickt oder seine Anmeldedaten für eine Phishing-Website eingibt.

Sobald ein Phishing-Betrug auftritt, wird dem Mitarbeiter eine Warnmeldung, eine Infografik oder eine Umfrage auf dem Bildschirm angezeigt, die dem Benutzer erklärt, was passiert ist, was passieren könnte, wenn es sich um eine echte Phishing-E-Mail handelt, und wie er sicherstellen kann, dass er nicht wieder auf diesen Trick hereinfällt.

Erfassen der Ergebnisse der Phishing-Simulation

Metriken sind ein wichtiger Aspekt von Sicherheitsschulungen und Phishing-Simulationen. Die Messung des Erfolgs eines Sicherheitstrainingsprogramms ermöglicht es einer Organisation, die Bereitstellung des Materials fein abzustimmen, um die Ergebnisse zu verbessern.

Phishing-Simulationsplattformen wie MetaPhish bieten ein Reporting-Dashboard, das die Datenergebnisse von Phishing-Simulationen anzeigt: zum Beispiel, wie viele Ihrer Mitarbeiter auf einen Link in einer simulierten Phishing-E-Mail geklickt haben.

Die erstellten Berichte können bis auf die Ebene des Geräts, mit dem auf die Phishing-E-Mail zugegriffen wurde, granularisiert werden, so dass Sie bei der Erstellung von Folgekampagnen für Phishing-Simulationen noch gezielter vorgehen können. Einzelne Abteilungen oder Benutzergruppen können auch einen Trainingsschwerpunkt haben, so dass Ihr Unternehmen bestimmte Unternehmensbereiche, die mit sensiblen oder finanziellen Daten arbeiten, wie die Kreditorenbuchhaltung oder die Personalabteilung, genauer unter die Lupe nehmen kann.

Die Phishing-Simulation ist eine praktische Methode, um Ihre Mitarbeiter über die Gefahren von Phishing und die cleveren Social-Engineering-Taktiken von Cyberkriminellen aufzuklären. Die Technik zur Schulung des Sicherheitsbewusstseins Ihrer Mitarbeiter wird auch von Informationssicherheitsstandards wie der ISO 27001 anerkannt.

Durch den Einsatz einer Cloud-basierten Phishing-Simulationsplattform haben Sie die Möglichkeit, Cyberkriminelle mit ihren eigenen Waffen zu schlagen und zu gewinnen.

Risiko von Ransomware