An einem Montagmorgen landet in mehreren Postfächern der Werkstatt eine E-Mail: „Dringendes Update der Maschinensoftware — bitte vor Mittag installieren.“ Der Ton ist drängend, das Logo sieht echt aus. Nur hat Daniel A., der Geschäftsführer, sie selbst in Auftrag gegeben: Es ist eine Phishing-Simulation, eine harmlose Test-Falle per E-Mail. Niemand im Team weiss es bislang — und genau das macht die Übung wertvoll.
Was eine Phishing-Simulation wirklich zeigt
Phishing bezeichnet jene präparierten E-Mails, SMS oder Nachrichten, die einen vertrauenswürdigen Absender nachahmen: einen Lieferanten, die Bank, die IT, manchmal die Chefin oder den Chef persönlich. Das Ziel ist immer dasselbe — Sie sollen auf einen Link klicken, einen Anhang öffnen oder ein Passwort eingeben. Es ist heute das häufigste Einfallstor für Angriffe auf Schweizer KMU, und das Bundesamt für Cybersicherheit (BACS, ehemals NCSC) weist in seinen Warnungen an Unternehmen regelmässig darauf hin.
Eine Phishing-Simulation kehrt diesen Mechanismus einfach zu Schulungszwecken um. Sie senden Ihrem eigenen Team bewusst eine Test-Falle per E-Mail, einem echten Versuch nachempfunden, die aber keinen Schaden anrichtet: kein Virus, kein Datendiebstahl. Nur ein Link, der beim Anklicken eine lehrreiche Meldung anzeigt, etwa „Das hätte ein echter Angriff sein können — daran hätten Sie es erkennen müssen.“
Für eine Zerspanungswerkstatt wie die von Daniel A. hat die Übung einen klaren Nutzen: Sie macht ein abstraktes Risiko greifbar. Solange man keine Kollegin vor einer gefälschten „Maschinen-Update“-Meldung hat zögern sehen, bleibt Cybersicherheit das Problem der anderen — das der IT-Person oder eines fernen Grosskonzerns. Marc K., der die IT halbtags zwischen zwei Notfällen betreut, weiss das genau: Er kann hundertmal „Vorsicht bei Links“ sagen, doch nichts ersetzt die selbst erlebte Erfahrung, an einem Montagmorgen fast hereingefallen zu sein.
Der Mechanismus wirkt umso besser, als die Angreifer keine technischen Lücken ausnutzen, sondern völlig normale menschliche Reflexe: Dringlichkeit („vor Mittag“), Autorität („der Chef verlangt es“), Routine („schon wieder ein Update, ich klicke ohne nachzudenken“). Das sind keine Softwaremängel. Das sind die Reflexe von Menschen, die ihre Arbeit schnell und gut erledigen — und genau deshalb behebt ein einfacher Spamfilter dieses Risiko nicht.
Klartext, von Camille. Eine Simulation „prüft“ nicht, wie klug Ihre Mitarbeitenden sind. Sie misst die Stärke einer gemeinsamen Gewohnheit: eine Sekunde innezuhalten, bevor man klickt, und sich zu trauen zu sagen „diese Nachricht kommt mir seltsam vor“. Diese Gewohnheit baut man auf, sie ist kein angeborenes Talent.
Was die Übung offenbart, ist oft überraschend. Nicht unbedingt die am wenigsten IT-Versierten klicken: Es sind die Beschäftigsten, die es gewohnt sind, rasch grosse Mengen an Nachrichten zu bearbeiten, jene, die hilfsbereit sind, ohne nachzufragen. Mit anderen Worten: Ihre besten Leute. Und in der Werkstatt von Daniel A. kommt eine weitere Tücke hinzu: Die Leitstation läuft auf einem alten System, und eine „dringendes Update“-E-Mail wirkt umso glaubwürdiger, als ein echtes Update tatsächlich überfällig ist. Der Kontext jedes KMU prägt die Fallen, die funktionieren — ein Grund mehr, im eigenen Umfeld zu testen statt an einem Lehrbuchfall.
Was Sie sich merken sollten
Drei Gedanken, bevor Sie überhaupt an „Werkzeug“ oder „Kampagne“ denken.
Eine Simulation misst eine Kultur, keine Schuldigen. Es geht nie darum, eine Kollegin zu ertappen, um mit dem Finger auf sie zu zeigen. Klickt jemand, ist nicht diese Person das Problem: Es ist ein Zeichen, dass eine glaubwürdige Falschmail durchgekommen ist und der gemeinsame Reflex gestärkt werden muss. An dem Tag, an dem die Übung dazu dient, einen Schuldigen zu benennen, wird sie kontraproduktiv — die Leute verbergen ihre Fehler, statt sie zu melden, und Sie verlieren Ihr bestes Frühwarnsystem.
Der wahre Gradmesser ist die Meldung. Der Reflex ist, zu schauen, wer geklickt hat. Aufschlussreicher ist: Wer hat die E-Mail erkannt und gemeldet? Ein Team, in dem Menschen von sich aus melden „ich habe etwas Verdächtiges erhalten“, ist weit widerstandsfähiger als eines, in dem niemand klickt, aber auch niemand Alarm schlägt. Die menschliche Erkennung ist eine eigenständige Verteidigungslinie.
Ein einmaliger Test bringt fast nichts. Eine einzelne Simulation liefert eine Momentaufnahme, die rasch vergessen ist. Erst die Wiederholung — ein paar Mal im Jahr, mit unterschiedlichen Szenarien — verankert die richtigen Reflexe dauerhaft. Das ist genau die Logik einer Feuerübung: Niemand macht sie nur ein einziges Mal in seiner Laufbahn.
Schritte für diese Woche
Gute Nachricht: Sie brauchen weder ein ausgeklügeltes Werkzeug noch ein Budget, um diese Kultur aufzubauen. Hier sind drei konkrete Schritte, machbar ohne IT-Fachkraft.
1. Einen einfachen Meldeweg ohne Vorwürfe schaffen
Legen Sie diese Woche fest, wo und wem eine verdächtige E-Mail gemeldet wird: eine eigene Adresse, eine „Melden“-Schaltfläche im Postfach oder schlicht „sagen Sie es Marc K.“. Die goldene Regel, laut ausgesprochen: Melden kostet nie etwas, auch bei einem Fehlalarm, auch wenn man schon geklickt hat. Wer sich traut, innert fünf Minuten zu sagen „ich habe geklickt, ich glaube, ich habe einen Fehler gemacht“, verschafft Ihnen wertvolle Zeit — mitunter den Unterschied zwischen einem Zwischenfall und einer Katastrophe.
2. Die drei Signale benennen, die stutzig machen
Ohne Ihr Team zu Fachleuten zu machen, bringen Sie ihm bei, drei einfache Auslöser zu erkennen: eine ungewöhnliche Dringlichkeit, eine ungewöhnliche Anfrage (eine Überweisung, ein Passwort, ein unerwarteter Anhang) und eine Absenderadresse, die nicht ganz mit der bekannten übereinstimmt. Der Reflex passt in einen Satz: Im Zweifel über einen anderen Kanal prüfen — ein Anruf, ein Gang ins Nachbarbüro — bevor man handelt. Eine Minute Prüfen ist besser als ein Tag Aufräumen.
3. Die Leitung informieren, nie die getesteten Personen
An dem Tag, an dem Sie eine echte Simulation starten, informieren Sie die Verantwortlichen vorab — aber niemals die betroffenen Personen: Der Wert liegt in der Spontaneität der Reaktionen. Und bereiten Sie im Voraus die Botschaft vor, die auf den Test folgt: jene, die das Vorgehen erklärt, den Meldenden dankt und jene beruhigt, die geklickt haben. Diese wohlwollende Nachbesprechung zählt ebenso viel wie der Test selbst — sie macht aus einer Falle einen Lernmoment.
Wo stehen Sie wirklich?
Eine echte Phishing-Simulationskampagne aufzusetzen — Szenarien, Werkzeug und Häufigkeit wählen, Fortschritte messen, ohne jemanden zu stigmatisieren — verlangt Methode. Genau das legt unser Blueprint „Anti-Phishing-Programm“ dar: die vollständige Schritt-für-Schritt-Anleitung, die Vorlagen für Test-E-Mails und ein einsatzbereites Nachbesprechungsverfahren.
Doch bevor Sie so weit sind, lautet die ehrlichere Frage: Wo steht Ihre Organisation heute? Die Cyber-Passport-Selbsteinschätzung zertifiziert nichts und vergibt keine Note. Frage für Frage zeigt sie Ihnen, was bei Ihnen bereits trägt — Sensibilisierung, Meldereflexe, Prüfung heikler Anfragen — und was noch dem Zufall überlassen bleibt. Das ist der klarste Ausgangspunkt, um zu entscheiden, was zuerst zu stärken ist.
In der Schweiz erwartet das revDSG (das revidierte Datenschutzgesetz) ohnehin von jedem KMU, „angemessene“ Massnahmen zum Schutz der gehaltenen Daten zu treffen: technische Zeichnungen, Kundendaten, Löhne. Das Team für Phishing zu sensibilisieren, gehört klar dazu — nicht um ein Kästchen abzuhaken, sondern weil es oft die wirksamste Massnahme zum besten Preis ist.
