Cybersicherheitstrainings sind effektiv – das zeigt der jährliche Phishing-Benchmarking-Bericht von KnowBe4

5. Juni 2024

Der Bericht belegt einen klaren Zusammenhang zwischen Schulungen zur Sensibilisierung für Sicherheitsfragen und simulierten Phishing-Tests zur Verbesserung der Widerstandsfähigkeit gegen Cyber-Bedrohungen.

KnowBe4 der weltweit größte Anbieter von Security Awareness Trainings und simulierten Phishing-Tests, veröffentlicht die Ergebnisse des Phishing-Benchmarking-Berichts 2024. Damit lässt sich der Phish-prone™ Percentage (PPP) eines Unternehmens messen, der angibt, wie viele seiner Mitarbeiter wahrscheinlich auf Phishing oder Social-Engineering-Betrug hereinfallen.

Der diesjährige Bericht zeigt, dass europäische Arbeitnehmer ohne Security Awareness Training mit 32,6 Prozent einen etwas besseren PPP-Wert aufweisen als der weltweite Durchschnitt mit 34,3 Prozent. Dies deutet darauf hin, dass europäische Arbeitnehmer etwas weniger auf bösartige Links zu klicken oder betrügerischen Anfragen nachkommen.

KnowBe4 hat 54 Millionen simulierte Phishing-Tests analysiert, an denen fast 12 Millionen Benutzer aus 55.675 Organisationen in 19 verschiedenen Branchen teilnahmen. Dabei wurde eine PPP-Baseline ermittelt, die die Klickraten bei Phishing-Tests von Mitarbeitern ohne KnowBe4-Security Awareness Training angibt.

Europäische Organisationen, die nach dem ersten Basistest regelmäßige Security Awareness Trainings und simulierte Phishing-Tests durchführten, verzeichneten innerhalb von 90 Tagen eine durchschnittliche Reduzierung des PPP auf 20,3 Prozent. Nach 12 Monaten fortlaufender Schulungen und Tests sank der PPP weiter auf 5,5 Prozent.

Die langfristigen Ergebnisse sind beeindruckend, aber sie liegen immer noch leicht über dem weltweiten Durchschnitt von 18,9 nach 90 Tagen und 4,6 Prozent nach einem Jahr konsequenter Schulung und Tests. Das zeigt, dass Organisationen in Europa ihre Bemühungen zur Reduzierung des menschlichen Risikos in der Cybersicherheit weiter intensivieren müssen.

Die drastische Reduzierung der Anzahl der Sicherheitsverletzungen sowohl nach drei als auch nach zwölf Monaten beweist, dass die Verbesserung der Sicherheitskultur Wirkung zeigt. Sie erfordert die Änderung bestehender Gewohnheiten und die Förderung neuer sicherer Verhaltensweisen. Wenn Mitarbeiter neue Verhaltensweisen verinnerlichen, werden diese zu Gewohnheiten und entwickeln sich zu Standardpraktiken, die die Organisationskultur prägen und eine Belegschaft schaffen, die Sicherheit instinktiv priorisiert.

Die wichtigsten Erkenntnisse des Berichts sind: 

• Europas kleine und mittelständische Unternehmen werden am häufigsten mit ge-phisht.
• Die öffentliche Verwaltung ist der am häufigsten angegriffene Sektor, gefolgt von Privatpersonen und dem Gesundheitswesen.
• Ransomware ist und bleibt eine der häufigsten per Phishing übertragenden Cyberbedrohungen.
• Die wirtschaftlichen Auswirkungen von Cyberangriffen sind enorm.
• Es lässt sich ein deutlicher Anstieg der Informationsmanipulation erkennen.
• Nur 32 bis 35 Prozent der europäischen Organisationen bewerten ihre Cyberrisiken mehr als einmal im Jahr.
• Die zunehmende Gefahr von Fehlinformationen und Desinformation für Organisationen, die durch Fortschritte in der KI noch verstärkt wird.
• Die zunehmende Raffinesse bei der Formulierung von Phishing und Spear-Phishing, die durch KI-Tools angetrieben werden.

„In Europa wächst das Verständnis und die Erkenntnis, dass alle Mitarbeiter in die Cyberabwehr eines Unternehmens eingebunden werden müssen, unabhängig von der Größe des Unternehmens”, sagt Dr. Martin J. Krämer, Security Awareness Advocate bei KnowBe4. „Obwohl sich die Ansichten zur Cybersicherheit von einer eher Compliance-basierten Aufgabe zu einer strategischen Priorität gewandelt haben, vollzieht sich dieser Wandel nur langsam. Das muss sich ändern. Unternehmen müssen die Bedeutung von kontinuierlicher Security Awareness betonen, um eine starke Sicherheitskultur aufzubauen. Diese ist zusammen mit der Technologie für die Bekämpfung von Cyberbedrohungen unerlässlich.“

Der diesjährige Bericht untersucht auch Phishing-Benchmarks aus Nordamerika, Südamerika, Großbritannien und Irland, Afrika, Asien, Australien und Neuseeland. Sie können ihn hier direkt herunterladen: https://www.knowbe4.com/hubfs/2024-Phishing-by-Industry-Benchmarking-Report-EN_US.pdf