Cybersicherheitstrainings sind effektiv

KnowBe4 veröffentlicht die Ergebnisse des Phishing-Benchmarking-Berichts 2024. Damit lässt sich der Phish-prone Percentage (PPP) eines Unternehmens messen, der angibt, wie viele seiner Mitarbeiter wahrscheinlich auf Phishing oder Social-Engineering-Betrug hereinfallen.

Der diesjährige Bericht zeigt, dass europäische Arbeitnehmer ohne Security Awareness Training mit 32,6 Prozent einen etwas besseren PPP-Wert aufweisen als der weltweite Durchschnitt mit 34,3 Prozent. Dies deutet darauf hin, dass europäische Arbeitnehmer etwas weniger auf bösartige Links zu klicken oder betrügerischen Anfragen nachkommen.

KnowBe4 hat 54 Millionen simulierte Phishing-Tests analysiert, an denen fast 12 Millionen Benutzer aus 55.675 Organisationen in 19 verschiedenen Branchen teilnahmen. Dabei wurde eine PPP-Baseline ermittelt, die die Klickraten bei Phishing-Tests von Mitarbeitern ohne KnowBe4-Security Awareness Training angibt.

Europäische Organisationen, die nach dem ersten Basistest regelmäßige Security Awareness Trainings und simulierte Phishing-Tests durchführten, verzeichneten innerhalb von 90 Tagen eine durchschnittliche Reduzierung des PPP auf 20,3 Prozent. Nach 12 Monaten fortlaufender Schulungen und Tests sank der PPP weiter auf 5,5 Prozent.

Die langfristigen Ergebnisse sind beeindruckend, aber sie liegen immer noch leicht über dem weltweiten Durchschnitt von 18,9 nach 90 Tagen und 4,6 Prozent nach einem Jahr konsequenter Schulung und Tests. Das zeigt, dass Organisationen in Europa ihre Bemühungen zur Reduzierung des menschlichen Risikos in der Cybersicherheit weiter intensivieren müssen.

Die drastische Reduzierung der Anzahl der Sicherheitsverletzungen sowohl nach drei als auch nach zwölf Monaten beweist, dass die Verbesserung der Sicherheitskultur Wirkung zeigt. Sie erfordert die Änderung bestehender Gewohnheiten und die Förderung neuer sicherer Verhaltensweisen. Wenn Mitarbeiter neue Verhaltensweisen verinnerlichen, werden diese zu Gewohnheiten und entwickeln sich zu Standardpraktiken, die die Organisationskultur prägen und eine Belegschaft schaffen, die Sicherheit instinktiv priorisiert.

Die wichtigsten Erkenntnisse des Berichts sind: 

• Europas kleine und mittelständische Unternehmen werden am häufigsten mit ge-phisht.
• Die öffentliche Verwaltung ist der am häufigsten angegriffene Sektor, gefolgt von Privatpersonen und dem Gesundheitswesen.
• Ransomware ist und bleibt eine der häufigsten per Phishing übertragenden Cyberbedrohungen.
• Die wirtschaftlichen Auswirkungen von Cyberangriffen sind enorm.
• Es lässt sich ein deutlicher Anstieg der Informationsmanipulation erkennen.
• Nur 32 bis 35 Prozent der europäischen Organisationen bewerten ihre Cyberrisiken mehr als einmal im Jahr.
• Die zunehmende Gefahr von Fehlinformationen und Desinformation für Organisationen, die durch Fortschritte in der KI noch verstärkt wird.
• Die zunehmende Raffinesse bei der Formulierung von Phishing und Spear-Phishing, die durch KI-Tools angetrieben werden.

„In Europa wächst das Verständnis und die Erkenntnis, dass alle Mitarbeiter in die Cyberabwehr eines Unternehmens eingebunden werden müssen, unabhängig von der Größe des Unternehmens”, sagt Dr. Martin J. Krämer, Security Awareness Advocate bei KnowBe4. „Obwohl sich die Ansichten zur Cybersicherheit von einer eher Compliance-basierten Aufgabe zu einer strategischen Priorität gewandelt haben, vollzieht sich dieser Wandel nur langsam. Das muss sich ändern. Unternehmen müssen die Bedeutung von kontinuierlicher Security Awareness betonen, um eine starke Sicherheitskultur aufzubauen. Diese ist zusammen mit der Technologie für die Bekämpfung von Cyberbedrohungen unerlässlich.“

(pd/ KnowBe4)