Angriff der eigenen Mitarbeiter mit Phishing-E-Mails

Als Unternehmen im Flugzeugbau ist es nicht unüblich, das Ziel von Hackerangriffen zu werden. Seit dem Kriegsbeginn am 24. Februar 2022 hat sich die Lage allerdings verschärft, denn vor allem Produktionsunternehmen sind vermehrt das Ziel von Cyberattacken – meist durch Phishing-E-Mails. Um dem gesteigerten Risiko angemessen entgegenzutreten und die eigene IT-Security proaktiv upzugraden, suchte Broetje-Automation nach einem Weg, die eigenen Mitarbeiter passgenau, individuell und nachhaltiger zu schulen.

Die Lösung fand der Maschinenbauer schließlich bei der Sievers-Group aus Osnabrück. In Zusammenarbeit mit Hornetsecurity bietet das IT-Systemhaus eine progressive Security-Awareness-Lösung. Mithilfe fortlaufender Trainingsprozesse in Form von Phishing-Test-E-Mails werden Mitarbeiter so geschult, dass sie tatsächliche Phishing-E-Mails frühzeitig erkennen. Dabei ist jedes Training speziell an das Unternehmen und auch an den jeweiligen Mitarbeiter angepasst. Eines der Kernelemente der Lösung ist eine Künstliche Intelligenz (KI). Nach dem Motto „So viel Training wie nötig, so wenig wie möglich“ entwickelt diese für jeden Mitarbeiter ein individuelles Programm. So ermöglicht das Training jedem Kunden, seinen angestrebten Standard an Security Awareness zu erreichen – so auch der Broetje-Automation GmbH.

Breites Spektrum an Angriffsszenarien

Im fortlaufende Trainingsprozess werden die Mitarbeiter in unregelmäßigen Abständen mit simulierten Phishing-E-Mails konfrontiert. Im Schnitt bekommt jeder Teilnehmer zwischen zwei bis vier „Köder-E-Mails“ pro Monat. Insgesamt gibt es drei Schwierigkeitsstufen oder „Level“ für die E-Mails. Dabei simuliert die KI die komplette Bandbreite an realen Angriffen – von einfachen, breit gestreuten Massen-E-Mails bis hin zu individualisierten Angriffen. Am schwierigsten zu erkennen ist u.a. das sogenannte Spear Phishing. Dabei werden die E-Mails durch im Netz frei verfügbare Informationen personalisiert und wirken dadurch besonders legitim. Indem die Mitarbeiter auch auf solche Angriffe vorbereitet sind, wird das Sicherheitsbewusstsein sukzessive gesteigert.

Das Abschneiden der Mitarbeiter wird über den Employee Security Index (ESI) auf einer Skala von 1 bis 100 festgehalten. Dabei handelt es sich um eine Security-Awareness-Kennzahl, die das IT-Sicherheitsbewusstsein standardisiert messbar und vergleichbar macht. Der Index ist von IT-Seal entwickelt und basiert auf einer wissenschaftlichen Arbeit an der Technischen Universität Darmstadt. Dabei handelt es sich um ein standardisiertes Framework, das verschiedene Angriffstypen berücksichtigt, indem es unterschiedliche Attacken mit unterschiedlicher Vorbereitungszeit simuliert. Neben der KI ist der Employee Security Index damit das Herzstück des Trainings. Der Index bewertet die Mitarbeiterreaktion auf die verschiedenen Angriffstypen und drückt die Gesamt-Awareness anschließend in einer Kennzahl aus. Wie stark sich der Index verändert, hängt dabei vom Schwierigkeitsgrad der E-Mail ab. Anhand des angepassten Werts bestimmt die KI dann die Schwierigkeit und Häufigkeit der zukünftigen Phishing-Angriffe. So richtet sich das System ständig nach dem individuellen Leistungsstand eines jeden Mitarbeiters und trainiert ihn bedarfsgerecht.

Individuelles Dashboard

Über das individuelle Dashboard hat jeder Mitarbeiter einen Überblick über seine bisherige Leistung. Das System zeigt genau an, wie viele und welche E-Mails ihn getäuscht haben. Über ein Diagramm kann er dabei sogar den Schwierigkeitsgrad der jeweiligen E-Mails nachvollziehen. Der ESI ist allerdings aus Datenschutzgründen nur für vordefinierte Gruppen von mindestens zehn Personen einsehbar. So lässt sich beispielweise nachvollziehen, wie bestimmte Teams oder Abteilungen performen. Zeitgleich können einzelne Mitarbeiter nicht wegen ihres Abschneidens an den Pranger gestellt werden – ein Grundsatz, der besonders dem Betriebsrat bei Broetje-Automation zusagte.

Dies ist ein Artikel aus unserer Print-Ausgabe 5/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Dank der beispielhaften Ergebnisse spielt der Maschinenbauer schon jetzt mit dem Gedanken, den Jahresvertrag zu verlängern. Denn das Training ist ein voller Erfolg, wie Ingrid Hellmers, Senior Manager IT bei Broetje-Automation, berichtet: „Als der Service startete, lag der Employee Security Index unserer Mitarbeiter bei unter 60 Prozent. Heute verzeichnen wir einen dauerhaften Wert von über 90, obwohl die Täuschungsversuche sogar schwieriger zu identifizieren sind als zu Beginn.“ Besonders zufrieden ist das Anwenderunternehmen mit dem permanenten Ansatz des Programms: „Durch das kontinuierliche individualisierte Training verebben die Learnings nicht einfach nach einer Weile, sondern werden immer wieder aufgefrischt. Das ist ein extremer Vorteil gegenüber einmaligen Sicherheitsschulungen.“

Broetje-Automation GmbH
Branche: Sondermaschinenbau für Luft- und Raumfahrt
Gründung: Broetje-Automation (BA) ist 1979 aus dem Traditionsunternehmen August Brötje Maschinenbau und Heizungstechnik hervorgegangen
Hauptsitz: Rastede, Niedersachsen
Mitarbeiter: ca. 500 (in der gesamten Gruppe)
Umsatz: ca. 125 Mio. Euro

Bildquelle: Broetje-Automation GmbH