Der, der's merkt, ist nicht der, der's verbockt hat

Warum eine Meldekultur mehr schützt als die nächste Pflichtschulung

Die Zahl stammt von der UC San Diego Health, einem Universitätsklinikum in Kalifornien. Grant Ho, Ariana Mirian, PhD und ihr Team haben dort 2023 acht Monate lang zehn simulierte Phishing-Kampagnen an 19.789 Beschäftigte verschickt, zufällig verteilt und mit Kontrollgruppe (IEEE Symposium on Security and Privacy, 2025). Als Fehler zählte, wer auf den Link klickte. Ob jemand das jährliche Pflichttraining kürzlich gemacht hatte, hing nicht messbar mit der Klickrate zusammen. Eingebettete Trainings, die direkt nach dem Klick erscheinen, senkten die Fehlerquote im Schnitt um 1,7 Prozentpunkte. Die Beschäftigten schlossen mehr als die Hälfte dieser Trainingsseiten nach höchstens zehn Sekunden.

Ein Team der ETH Zürich kam schon 2022 zu einem ähnlichen Ergebnis. Daniele Lain , Kari Kostiainen und Srdjan Čapkun haben 15 Monate lang mit über 14.000 Beschäftigten eines Unternehmens gearbeitet. Das eingebettete Training machte die Leute nicht widerstandsfähiger und hatte teilweise Nebenwirkungen, die sie anfälliger machten. Gewirkt hat ein Melde-Button im Mailprogramm. Mit ihm erkannte die Belegschaft als gemeinsamer Sensor neue Phishing-Kampagnen schnell, und die Leute meldeten über lange Zeit weiter.

Die Klickrate als Messgröße

Beide Studien zeigen, dass Wissen allein das Verhalten kaum verändert. Nutzlos sind Schulungen deshalb nicht, aber die Klickrate taugt wenig als Messgröße. In der Studie aus San Diego lag sie je nach Köder zwischen 1,82 und 30,8 Prozent. Eine einzelne Kampagne sagt also mehr über die Mail aus als über die Leute. Ersay Öztürk setzt deshalb beim Moment nach dem Klick an.

Hilfe oder Akte

Mein Kollege Ersay nennt diesen Moment in seinem Kreislauf "Erleben". Haltung entsteht für ihn in dem Moment, in dem jemand zum ersten Mal einen Fehler meldet und erlebt, was dann passiert: Hilfe oder Akte. Wer einmal die Akte erlebt hat, meldet beim nächsten Mal später oder gar nicht.

Die Organisationsforscherin Amy Edmondson hat in den 1990ern Krankenhausteams beobachtet. Die besser geführten Teams meldeten mehr Medikationsfehler. Edmondson führte das auf Offenheit zurück: In diesen Teams trauten sich die Leute, Fehler anzusprechen. Daraus entwickelte sie ihr Konzept der psychologischen Sicherheit (Administrative Science Quarterly, 1999).

Florian Jörgens, Chief Information Security Officer der Vorwerk Gruppe, zieht daraus in "The Human Firewall" Konsequenzen, die manchem Sicherheitsteam wehtun dürften. Fällt jemand auf eine Phishing-Simulation herein, hinterfragt sich zuerst die Sicherheitsabteilung, ob sie zu wenig oder falsch geschult hat. Phishing-Tests wertet er nur nach Bereichen aus, nie pro Person, auch mit Blick auf Betriebsrat und Datenschutz. Und eine hohe Zahl gemeldeter Vorfälle kann ein gutes Zeichen sein, weil sie zeigt, dass die Leute hinschauen.

Verizon sieht das ähnlich. Im Data Breach Investigations Report 2024 meldeten 20 Prozent der Beschäftigten eine simulierte Phishing-Mail, und 11 Prozent derjenigen, die geklickt hatten, meldeten das selbst. Verizon wertet steigende Selbstmeldungen als Zeichen eines Kulturwandels.

In Episode 04 ging es darum, warum KI zuerst die Führung verändert. Für Sicherheit gilt das genauso: Eine Melderegel im Handbuch schützt niemanden, wenn die Führungskraft auf eine Meldung mit Ärger reagiert. Bei Lucke nennen wir das "Leadership beats Management", eine der drei Säulen, mit denen wir die Digitale Renaissance beschreiben.

Der falsche Finanzchef im Video

Angreifer nutzen inzwischen auch Video und Telefon. Deepfakes sind mit KI erzeugte, täuschend echte Videos, Bilder oder Stimmen echter Personen. Im Januar 2024 überwies ein Mitarbeiter des Ingenieurbüros Arup in Hongkong nach einer Videokonferenz mit dem vermeintlichen Finanzchef in 15 Transaktionen 200 Millionen Hongkong-Dollar, laut Polizei rund 25,6 Millionen US-Dollar. Alle anderen Personen im Call waren gefälscht. Arup hat den Fall bestätigt.

Fachleute nennen so etwas CEO-Fraud: Betrug, bei dem sich Täter als Geschäftsleitung ausgeben, um Zahlungen auszulösen. Beim Werbekonzern WPP versuchten Betrüger im Mai 2024, CEO Mark Read mit geklonter Stimme in einem Teams-Meeting zu imitieren, ohne Erfolg. Bei Ferrari scheiterte im Juli 2024 ein ähnlicher Versuch an einer simplen Frage. Der angerufene Manager wollte wissen, welches Buch ihm CEO Benedetto Vigna kurz zuvor empfohlen hatte, und danach war die Leitung tot.

In Deutschland richten Deepfakes bisher selten Schaden an. In der Bitkom-Studie "Wirtschaftsschutz 2025" berichten 11 Prozent der 1.002 befragten Unternehmen von Deepfake-Angriffen ohne Schaden und 4 Prozent von Angriffen mit Schaden. Im September 2025 meldete die Polizei in Oberfranken ihren ersten Schockanruf mit KI-Stimme bei einer Seniorin.

Rückruf und Codewort

Das Federal Office for Information Security (BSI) rät bei ungewöhnlichen Zahlungsanweisungen seit Jahren zur Verifizierung per Rückruf oder schriftlicher Rückfrage, über eine Nummer, die ihr schon kennt. Polizei und Landeskriminalämter empfehlen Familien ein Codewort. Der Ferrari-Manager hat so ein Codewort improvisiert.

Jörgens widmet dem privaten Umfeld ein eigenes Kapitel, "Family & Kids". Sein Satz dazu: "Sicherheit basiert auf Kommunikation, nicht auf Technologie." Eine Kaspersky-Umfrage von 2019 unter 8.793 Eltern ergab, dass sich 84 Prozent um die Online-Sicherheit ihrer Kinder sorgen, aber über die ganze Kindheit im Schnitt nur 46 Minuten mit ihnen darüber sprechen. Jörgens' Argument: Wer privat sicher handelt und das mit den eigenen Kindern übt, macht es im Job mit höherer Wahrscheinlichkeit auch.

Wo ich selbst danebenlag

Freitagnachmittag, ich steh schon mit Jacke an der Tür, gleich ist Kita-Abholung, und aufs Handy kommt eine SMS. Mein Paket konnte nicht zugestellt werden, bitte Adresse bestätigen, 1,99 Euro Gebühr. Ich hatte ja wirklich was bestellt, also hab ich auf den Link getippt und war schon im Formular für die Kartendaten, als mir die komische Adresse in der Browserzeile aufgefallen ist. Abgebrochen, Handy weggesteckt.

Abends beim Sit-in mit Freunden wäre die perfekte Gelegenheit gewesen, das zu erzählen. Dieselbe SMS hatten wahrscheinlich ein paar von ihnen auch auf dem Handy. Ich hab's gelassen, weil es mir peinlich war. Bestraft hätte mich keiner, die Akte hab ich mir selbst angelegt. Und mein Schweigen hat keinem geholfen außer meinem Ego.

Für diese Woche

Vereinbart mit eurer Familie ein Codewort, das in keinem Chat und keinem Social-Media-Post auftaucht. Legt im Team eine Rückrufregel für ungewöhnliche Zahlungs- und Freigabewünsche fest, immer über bekannte Nummern. Und fragt eure Führungskraft, was passiert, wenn ihr morgen meldet, dass ihr geklickt habt. Wenn sie zögert, wisst ihr, woran ihr arbeiten müsst.

Quellen

• Ho, G., Mirian, A., Luo, E. u. a. (mit Savage, S. und Voelker, G. M.), "Understanding the Efficacy of Phishing Training in Practice", IEEE Symposium on Security and Privacy 2025, DOI 10.1109/SP61157.2025.00076. Randomisierte Feldstudie, Januar bis Oktober 2023, zehn Kampagnen, 19.789 Vollzeitbeschäftigte. Fehler = Klick auf den Link. Jährliches Training: kein signifikanter Zusammenhang. Eingebettetes Training: 1,7 Prozentpunkte weniger Fehler. 56 % klickten mindestens einmal. Klickraten je Köder 1,82 bis 30,8 %. [PRÜFEN: vollständige Autorenliste]
• Lain, D., Kostiainen, K., Čapkun, S., "Phishing in Organizations: Findings from a Large-Scale and Long-Term Study", IEEE Symposium on Security and Privacy 2022, arXiv:2112.07498. 15 Monate, über 14.000 Beschäftigte, Melde-Button; eingebettetes Training ohne Schutzwirkung, teils Nebenwirkungen; Belegschaft als kollektiver Erkennungsmechanismus.
• Edmondson, A. C., "Learning from Mistakes Is Easier Said Than Done", Journal of Applied Behavioral Science 32(1), 1996; "Psychological Safety and Learning Behavior in Work Teams", Administrative Science Quarterly 44(2), 1999.
• Verizon, Data Breach Investigations Report 2024: 20 % meldeten Phishing in Simulationen, 11 % der Klickenden meldeten selbst.
• Jörgens, F., "The Human Firewall", Springer Vieweg 2023, DOI 10.1007/978-3-658-42757-3, Kap. 3.4, 4.3, 5.1. Zitat "Sicherheit basiert auf Kommunikation, nicht auf Technologie." aus Kap. 4.3 (S. 30).
• Arup: Polizei Hongkong (via RTHK) und Bestätigung eines Arup-Sprechers gegenüber CNN, 16.05.2024. 200 Mio. HK,𝑟𝑢𝑛𝑑25,6𝑀𝑖𝑜.𝑈𝑆, 15 Überweisungen.
• WPP: Medienberichte Mai 2024 (u. a. The Guardian). Ferrari: Bloomberg, Juli 2024 (via Fortune, 27.07.2024).
• Bitkom, "Wirtschaftsschutz 2025", repräsentative Befragung von 1.002 Unternehmen (Selbstauskunft), via Bundesamt für Verfassungsschutz, 18.09.2025.
• Polizei Oberfranken, erster Fall eines KI-Schockanrufs (September 2025), Codewort-Empfehlung; Bayerisches LKA, Interview Radio Oberland (28.09.2026).
• BSI, Warnung CEO-Fraud (10.07.2017): Verifizierung durch Rückruf oder schriftliche Rückfrage beim vermeintlichen Auftraggeber. BSI-Themenseite "Deepfakes: Gefahren und Gegenmaßnahmen".
• Kaspersky, Pressemitteilung 16.09.2019: 84 % der Eltern besorgt, im Schnitt 46 Minuten Gespräch über die ganze Kindheit; Befragung von 8.793 Eltern von 7- bis 12-Jährigen. [PRÜFEN: im Report steht an einer Stelle 85 %]