Die einzige Möglichkeit, wenigstens ein bisschen Vorlaufzeit – zumindest zum Erstellen des dringend benötigten Spickzettels – zu erhalten, bestand in unserer Schule darin, einen Mitschüler nach der großen Pause in der Nähe des damals einzigen Kopierers am Lehrerzimmer zu platzieren. Denn dort vervielfältigten die Lehrer in der Regel die „Ex“-Testbögen für die nachfolgenden Schulstunden. Stand also ein Lehrer/eine Lehrerin nach der Pause am Kopierer, den man nach der Pause noch hatte, so war zumindest die Wahrscheinlichkeit gegeben, dass eine „Ex“ drohte.

Ich muss gestehen, dass dieses Konzept nur selten erfolgreich war, dennoch gab es uns Schülern die Hoffnung, wenigstens irgendetwas gegen die drohende Pleite tun zu können.

Weshalb ich Ihnen diese Anekdote erzähle? Vor einiger Zeit unterhielt ich mich, mit einem IT-Verantwortlichen eines kleinen Maschinenbauunternehmens, der mir erzählte, dass er im letzten Jahr „Phishing-Simulationen“ als Security Awareness-Maßnahme eingeführt hätte, dies aber nach einigen Simulationen wieder eingestellt hätte. Denn irgendwie hatte der „Flurfunk“ im Unternehmen immer dann angeschlagen, wenn eine neue Simulation anstand. Es wurden wohl sogar private Messenger-Dienste genutzt, um die Information weiterzugeben. Ergebnis: Niemand fiel mehr auf die (simulierte) Phishing-Attacke rein. Lerneffekt gleich null!

Es liegt wohl in der Natur des Menschen, alles zu tun, um nicht als derjenige aufzufallen, der „Mist gebaut“ hat. Im Webinar am Freitag erzähle ich von unserem eigenen Cyberangriff. Die Kollegin, die damals auf den Phishing-Link geklickt hat, arbeitet noch heute für uns, möchte aber bis heute nicht mehr an diesen Vorfall erinnert werden. Allerdings gehört sie zu den eifrigsten Verfechtern aller Security Awareness-Maßnahmen, die wir seitdem eingeführt haben.

Die größte Herausforderung liegt wohl in der Tat darin, dem „Risikofaktor Mensch“ klar zu machen, dass es nichts nützt, wenn er Maßnahmen torpediert, die genau diesen „Risikofaktor Mensch“ adressieren. Dies gilt übrigens nicht nur für die Kolleginnen und Kollegen in den Fachabteilungen. Auf einer Veranstaltung erzählte mir ein IT-Leiter in einem mittelständischen Großhandelsunternehmen, dass die Geschäftsleitung zwar positiv auf die Idee von Phishing-Simulationen reagiert hat, sich es aber verbittet, selbst in den entsprechenden E-Mail-Verteiler aufgenommen zu werden, da dies ja der eigenen Reputation schadet. Stellen Sie sich nur vor, der Chef gehört zu denjenigen, die auf so eine Phishing-Simulation reinfallen …