Security-Awareness-Training und Anti-Phishing-Kontrollen

Technische Kontrollen wie Firewalls, Verschlüsselung und MFA sind unverzichtbar, doch der menschliche Faktor bleibt bei den meisten Sicherheitsverletzungen die am häufigsten ausgenutzte Schwachstelle. Security-Awareness-Schulungen sollen eine sicherheitsbewusste Kultur schaffen, in der Mitarbeiter Bedrohungen erkennen, sichere Vorgehensweisen befolgen und die Folgen ihres Handelns verstehen. Die Security+-Prüfung testet Ihr Verständnis dafür, wie wirksame Awareness-Programme konzipiert und gemessen werden – nicht nur, welche Themen darin behandelt werden. Eine ineffektive jährliche Pflichtübung zum Abhaken hat nur minimale Wirkung; ein wirksames Programm ist kontinuierlich, ansprechend und messbar.

Ein wirksames Security-Awareness-Programm besteht aus mehreren aufeinander abgestimmten Komponenten. Rollenbasierte Schulungen passen die Inhalte an bestimmte Aufgabenbereiche an – Führungskräfte benötigen Kenntnisse zu Whaling und BEC, Entwickler zu sicherer Programmierung und Mitarbeiter im Finanzbereich zu Verfahren gegen Überweisungsbetrug. Phishing-Simulationen ermöglichen realitätsnahe Übungen und messen die Klickrate. Just-in-time-Schulungen vermitteln direkt nach einem Fehler in einer Simulation eine Lerneinheit. Security-Newsletter und andere Mitteilungen halten das Thema Sicherheit präsent. Kennzahlen wie Klickraten bei Simulationen, Abschlussquoten von Schulungen und gemeldete Phishing-Versuche messen die Wirksamkeit des Programms im Zeitverlauf.

Eine Phishing-Simulation testet Mitarbeiter mit realistisch gefälschten Phishing-E-Mails, um ihre Anfälligkeit zu messen und Schulungsbedarf zu ermitteln. Plattformen wie KnowBe4, Proofpoint Security Awareness und Cofense bieten vorgefertigte Kampagnen und Analysen. Zu den bewährten Vorgehensweisen gehören: Führen Sie vor der Schulung einen Basistest durch, um die anfängliche Klickrate zu ermitteln; variieren Sie die Phishing-Vorlagen und decken Sie unterschiedliche Vorwände ab (Abgreifen von Zugangsdaten, Anhänge, BEC); führen Sie mit Mitarbeitern, die klicken, sofort eine Schulung durch; gliedern Sie die Ergebnisse nach Abteilungen, um besonders gefährdete Gruppen zu erkennen; und wiederholen Sie die Tests, um zu überprüfen, ob die Klickraten im Laufe der Zeit sinken. Verwenden Sie Simulationen niemals als Strafmaßnahme.

SPF (Sender Policy Framework) ist ein DNS-basiertes Verfahren, das festlegt, welche Mailserver berechtigt sind, E-Mails für eine Domain zu versenden. Der Domaininhaber veröffentlicht einen SPF-Eintrag (einen TXT-Eintrag in DNS), der autorisierte IP-Adressen oder Hostnamen von Servern auflistet. Wenn ein empfangender Mailserver eine E-Mail erhält, die angeblich von example.com stammt, fragt er den SPF-Eintrag von example.com per DNS ab und überprüft, ob die IP-Adresse des sendenden Servers autorisiert ist. E-Mails von nicht autorisierten Servern können als Spam markiert oder abgewiesen werden. SPF allein schützt nicht die sichtbare From-Adresse, sondern nur den Envelope-Absender (Return-Path).

DKIM (DomainKeys Identified Mail) fügt ausgehenden E-Mail-Nachrichten eine kryptografische Signatur hinzu. Der sendende Mailserver signiert die E-Mail-Header und den Inhalt mit dem privaten Schlüssel der Domain und fügt die Signatur in einem DKIM-Signature-Header ein. Der empfangende Server ruft den zugehörigen öffentlichen Schlüssel aus DNS ab (TXT-Eintrag selector._domainkey.example.com) und überprüft die Signatur. DKIM belegt, dass die E-Mail während der Übertragung nicht verändert wurde und von jemandem stammt, der Zugriff auf den privaten Schlüssel hat. Anders als SPF schützt DKIM die Header-From-Adresse und bleibt auch bei der Weiterleitung von E-Mails erhalten.

DMARC (Domain-based Message Authentication, Reporting, and Conformance) baut auf SPF und DKIM auf, indem es festlegt, welche Aktion empfangende Mailserver ausführen sollen, wenn eine E-Mail beide Prüfungen nicht besteht, und indem es Berichte bereitstellt. Eine DMARC-Richtlinie mit p=reject weist Empfänger an, E-Mails zu verwerfen, die die SPF- und DKIM-Ausrichtung für die Domain nicht erfüllen. DMARC führt außerdem die Ausrichtung ein – die Header-From-Domain muss mit der durch SPF bzw. DKIM validierten Domain übereinstimmen. DMARC-Aggregatberichte (rua) zeigen, wer E-Mails unter Verwendung Ihrer Domain versendet, und machen nicht autorisierte Absender sowie aktive Spoofing-Kampagnen sichtbar.

Ein Secure Email Gateway (SEG) untersucht alle eingehenden und ausgehenden E-Mails vor der Zustellung auf schädliche Inhalte. SEGs kombinieren mehrere Erkennungstechnologien: Spamfilter, SPF-/DKIM-/DMARC-Überprüfung, URL-Rewriting (Umwandlung von Links in weitergeleitete Versionen zur sicheren Prüfung), Sandboxing von Anhängen (Ausführung verdächtiger Dateien in isolierten Umgebungen) und Data Loss Prevention (Untersuchung ausgehender E-Mails auf vertrauliche Daten). Zu den bekannten SEG-Anbietern gehören Proofpoint, Mimecast, Microsoft Defender for Office 365 und Cisco Secure Email. SEGs bilden die erste technische Verteidigungslinie gegen E-Mail-basierte Angriffe.

Eine der wertvollsten Folgen von Security-Awareness-Schulungen ist eine Umgebung, in der Mitarbeiter sich sicher fühlen, verdächtige Aktivitäten zu melden, ohne Schuldzuweisungen oder Spott befürchten zu müssen. Wenn Mitarbeiter Angst vor Bestrafung haben, weil sie auf einen Phishing-Link geklickt haben, werden sie den Vorfall eher verheimlichen als melden – und Angreifern dadurch mehr Zeit im Netzwerk geben. Eine vorwurfsfreie Meldekultur bedeutet, Mitarbeitern für das Melden verdächtiger E-Mails zu danken (auch bei Fehlalarmen), Fehler in Simulationen als Lerngelegenheiten statt als Anlass für Bestrafungen zu nutzen und das Melden durch dedizierte E-Mail-Aliase oder Browser-Plugins so einfach wie möglich zu machen. Ziel ist eine schnelle Erkennung, nicht eine fehlerfreie Leistung aller Menschen.

Technische Kontrollen ergänzen Schulungen, indem sie Phishing abfangen, das die Benutzer erreicht. Anti-Phishing im Browser nutzt Echtzeitdatenbanken zur URL-Reputation (Google Safe Browsing, Microsoft SmartScreen), um Benutzer vor dem Aufruf bekannter schädlicher Websites zu warnen. DNS-Sinkholes lösen schädliche Domains in nicht routbare Adressen auf und blockieren den Zugriff auf Netzwerkebene, ohne dass eine Aktion auf dem Client erforderlich ist. Proxy-Filterung ermöglicht das Blockieren von URL-Kategorien. Die Kombination aus Benutzerschulungen und diesen technischen Kontrollen schafft mehrere unabhängige Möglichkeiten, Phishing-Versuche abzufangen, bevor sie zur Kompromittierung von Zugangsdaten oder zur Installation von Malware führen.

Security-Awareness-Programme müssen gemessen werden, um Investitionen zu begründen und kontinuierliche Verbesserungen voranzutreiben. Zu den wichtigsten Leistungskennzahlen gehören: Phishing-Klickrate (Basiswert im Vergleich zur Rate nach der Schulung), durchschnittliche Zeit bis zur Meldung einer Phishing-E-Mail, Abschlussquote der Schulungen nach Abteilung, die Anzahl bestätigter Vorfälle mit menschlichem Fehlverhalten sowie die Reduzierung von Sicherheitsverletzungen durch kompromittierte Zugangsdaten im Zeitverlauf. Managementberichte sollten Trends (Verbesserung oder Verschlechterung) aufzeigen und Abteilungen hervorheben, die gezielte Maßnahmen benötigen. Richten Sie die Kennzahlen am Geschäftsrisiko aus – eine Klickrate von 5 % im Finanzbereich ist riskanter als 5 % im Wartungsbereich.

Awareness-Schulungen müssen durch durchsetzbare Richtlinien unterstützt werden. Eine Richtlinie zur zulässigen Nutzung (Acceptable Use Policy, AUP) legt fest, wie Mitarbeitende die Systeme, Netzwerke und Daten der Organisation nutzen dürfen und wie nicht. Mitarbeitende sollten die AUP jährlich sowie bei Änderungen der Richtlinien durch eine unterzeichnete Vereinbarung bestätigen. Die AUP schafft die rechtliche Grundlage für Disziplinarmaßnahmen bei Verstößen gegen Sicherheitsrichtlinien — das Anklicken eines Phishing-Links ist ein Schulungsfehler; die vorsätzliche Weitergabe von Zugangsdaten ist ein Richtlinienverstoß. Weitere relevante Richtlinien sind beispielsweise eine Social-Media-Richtlinie (was über die Organisation geteilt werden darf), eine Richtlinie zum Umgang mit Medien und eine Clean-Desk-Richtlinie.

In dieser Lektion haben Sie gelernt: Effektive Security-Awareness-Programme kombinieren rollenbasierte Schulungen, Phishing-Simulationen, Just-in-Time-Learning und messbare KPIs, um das durch den Faktor Mensch verursachte Risiko zu reduzieren. SPF, DKIM und DMARC arbeiten zusammen, um die Identität von E-Mail-Absendern zu authentifizieren und Domain-Spoofing zu verhindern. Secure Email Gateways bieten mehrschichtige technische Abwehrmaßnahmen, darunter eine Sandbox-Prüfung von Anhängen, URL-Rewriting und DLP für ein- und ausgehende E-Mails. Als Nächstes sehen wir uns Malwaretypen und ihr Verhalten an.