SecurityWeek kommt zu dem Schluss, dass Training für Sicherheitsbewusstsein weiterhin nützlich ist, jedoch scheitert, wenn es zu einem allgemeinen jährlichen Compliance-Kurs wird, der weder mit dem Kontext der Mitarbeitenden noch mit dem Moment der Entscheidungsfindung verbunden ist. Mit der Weiterentwicklung von KI-gestütztem Phishing und Social Engineering sollte wiederholtes Verhaltenstraining mit technischen Kontrollen, Identitätsschutz sowie Melde- und Verifizierungsverfahren integriert werden.
Der Wert des Trainings für Sicherheitsbewusstsein verschwindet nicht, doch die traditionelle Art seiner Vermittlung reicht angesichts von Social-Engineering-Angriffen, die sich schnell verändern und künstliche Intelligenz nutzen, nicht mehr aus. Dies ist die zentrale Schlussfolgerung einer von SecurityWeek veröffentlichten Analyse, für die Meinungen von Sicherheitsexperten und einem Kognitionspsychologen eingeholt wurden.
Das Training konzentriert sich üblicherweise darauf, Fehler von Mitarbeitenden zu reduzieren, die sie zu einer Insider-Bedrohung machen könnten, und sie dabei zu unterstützen, Phishing-Nachrichten und Manipulationstechniken zu widerstehen. Der anhaltende Erfolg der Angriffe trotz der Verbreitung von Trainingsprogrammen wirft jedoch die Frage auf, ob diese Programme das Verhalten tatsächlich verändern oder lediglich den Abschluss eines vorgeschriebenen Kurses nachweisen.
Vom Training zur bloßen Erfüllung von Anforderungen
Stefan Dasic von Malwarebytes ist der Ansicht, dass viele Programme aufgrund ihrer Umsetzung scheitern; sie seien so wiederholend und allgemein, dass sie nutzlos wirkten. Andere Experten fügen hinzu, dass Compliance- und Versicherungsanforderungen Organisationen dazu bringen, allen Mitarbeitenden unabhängig von deren Vorkenntnissen oder der Art der Risiken, denen sie ausgesetzt sind, jedes Jahr denselben Inhalt zu vermitteln.
Diese Praxis kann zu hohen Abschlussquoten führen, ohne dass sich das Verhalten entsprechend verändert. Außerdem kann der Fokus auf Compliance dazu führen, dass das erforderliche Minimum zum Endziel wird, anstatt als eine Ausgangsbasis betrachtet zu werden, die verbessert werden kann. Den in der Analyse angeführten Einschätzungen zufolge spiegeln allgemeine Kurse nicht immer moderne Social-Engineering-Methoden oder Angriffe wider, die künstliche Intelligenz einsetzen.
Was verändert sich in der Praxis?
Training wirkt, wenn es Mitarbeitende auf eine konkrete Situation vorbereitet, doch Angreifer ändern ihre Methoden ständig. Daher schlagen Experten vor, das Training häufiger durchzuführen, stärker an die jeweilige Rolle der Mitarbeitenden anzupassen und klare Anweisungen dazu zu geben, was bei einer verdächtigen Nachricht oder ungewöhnlichen Anfrage zu tun ist, etwa zu melden oder zu verifizieren, statt sich lediglich auf das Erkennen von Phishing-Merkmalen zu beschränken.
Die Teilnehmenden betonen, dass Training nicht die einzige Verteidigungslinie sein kann. Es muss durch eine moderne Sicherheitsarchitektur unterstützt werden, die Identitätsschutz, Multi-Faktor-Authentifizierung, technische Kontrollen und klare Verifizierungsverfahren umfasst. Ein gutes Systemdesign geht von der Möglichkeit menschlicher Fehler aus, statt den Mitarbeitenden die Verantwortung dafür aufzubürden, jeden Angriff zu stoppen.
Die Aufgabe wird durch Angriffe zusätzlich erschwert, die überzeugendere und stärker personalisierte Nachrichten erzeugen, außerdem durch Stimmklonung und die Nutzung mobiler Kanäle wie SMS, WhatsApp und Messaging-Apps. Die Analyse zitiert Mike Aalto von Hoxhunt mit der Einschätzung, dass die Zahl der KI-generierten Phishing-Angriffe beim Übergang von 2025 zu 2026 um das 14-Fache gestiegen sei, wobei sich alte Methoden verbessert hätten, anstatt dass völlig neue Taktiken entstanden seien.
Verhalten und Kontext sind wichtiger als Auswendiglernen
Der Beitrag weist darauf hin, dass simuliertes Phishing-Training die Erfolgsquote von Angriffen vorübergehend senken kann, diese Wirkung jedoch innerhalb weniger Monate nachlassen kann. Daher empfehlen einige Experten ein kontinuierliches Verhaltenstraining, das sich auf eine begrenzte Zahl messbarer Handlungen konzentriert, etwa das Melden von Bedrohungen und die Nutzung der Multi-Faktor-Authentifizierung, ergänzt durch Interventionen und Erinnerungen im passenden Kontext.
Eine der Perspektiven vergleicht Sicherheitsbewusstsein mit digitaler Werbung: Statt allen gleichzeitig dieselbe Botschaft zu senden, kann die Sensibilisierung so gestaltet werden, dass sie Mitarbeitende erreicht, wenn sie mit einer bestimmten Entscheidung oder einem bestimmten Risiko konfrontiert sind. Ziel ist dabei nicht, Mitarbeitende als schwächstes Glied zu betrachten, sondern sie zu einem aktiven Bestandteil des Erkennungs- und Reaktionssystems zu machen.
Grenzen von Gedächtnis und Vorhersage
Jordan Richard Schoenherr, Kognitionspsychologe bei Humanix und Assistant Professor an der University of New South Wales, erklärt die Schwierigkeit des Trainings damit, dass Vergessen der Standardzustand des Gedächtnisses sei und schnell eintrete. Selbst das Erinnern einer Information garantiere nicht, zu wissen, wann und wie sie angewendet werden soll. Deshalb benötigt Lernen regelmäßige Auffrischungen sowie Verhaltensauslöser, die das Wissen im Moment der Entscheidung reaktivieren.
Die Schulung von Mitarbeitenden darin, bekannte Muster zu erkennen, birgt jedoch ein zusätzliches Risiko: Das Fehlen von Rechtschreibfehlern oder traditionellen Warnzeichen könnte als Beleg für die Legitimität einer Nachricht interpretiert werden, obwohl dies nicht der Fall ist. Außerdem kann das heutige Training durch das Auftreten neuer Variablen veraltet sein. Dadurch wird es hilfreicher, mehrere Szenarien zu entwickeln und Entscheidungen unter tiefer Unsicherheit zu treffen, als sich auf eine einzige Zukunftsprognose zu verlassen.
Die redaktionelle Einordnung von certi.news: Die tatsächliche Veränderung besteht nicht in der Abschaffung des Trainings, sondern darin, es von einem jährlichen Compliance-Programm zu einer kontinuierlichen operativen Fähigkeit weiterzuentwickeln, die Verhalten misst und durch Technologie unterstützt. Dennoch belegt der Beitrag nicht, dass ein einziges Modell das Problem gelöst hätte; die Experten räumen ein, dass Training angesichts der Asymmetrie der Risiken, der Geschwindigkeit der Angriffe und der Komplexität des menschlichen Gedächtnisses begrenzt bleiben wird. Daher betreffen die offenen Fragen weiterhin die Messung der Verhaltensänderung, ihre Dauer und die Fähigkeit von Organisationen, das Training schneller zu aktualisieren, als sich Angreifer anpassen.