CASE STUDY · GESUNDHEITSWESEN
Sicherheit beginnt damit, dass jemand Bescheid sagt
Eine Einrichtung im Gesundheitswesen wollte wissen, wie gut ihre Belegschaft auf Phishing vorbereitet ist — und sie wollte es belegen können. Ein Bericht über 18 Monate monatliche Simulation: was die erste Messung zutage förderte, warum die Klickrate die weniger wichtige Zahl ist und wie der Nachweis entsteht, ohne dass jemand ihn zusammensuchen muss.
Der Ausgangspunkt
Gemessen in der ersten Kampagne, ohne Vorankündigung. Nicht um jemanden zu ertappen, sondern um einen ehrlichen Wert zu haben, an dem sich später Fortschritt belegen lässt.
Klickrate in der ersten Kampagne. Fast jede dritte Person öffnete den Link in einer Mail, die wie eine gewöhnliche Kursanmeldung aussah - ohne dass jemandem etwas auffiel.
Meldequote. Nur ein Bruchteil meldete den Versuch aktiv an die IT. Der eigentlich alarmierende Wert: Wer nicht klickt, aber auch nicht meldet, schützt die Organisation nicht.
Mitarbeitende im Programm, von der Verwaltung über die Lehre bis zu externen Dozierenden mit Systemzugriff. Ein Personenkreis, der sich laufend verändert.
Wer täglich mit Patientendaten arbeitet, ist ein lohnendes Ziel
Einrichtungen im Gesundheitswesen verarbeiten Daten, die auf dem Schwarzmarkt ein Vielfaches dessen erzielen, was Zahlungsdaten wert sind: Diagnosen, Versichertennummern, Behandlungsverläufe. Gleichzeitig läuft der Betrieb unter einem Zeitdruck, in dem niemand E-Mail-Header prüft.
Dazu kommt eine Struktur, die Angreifern entgegenkommt. Wechselnde Belegschaft, externe Dienstleister mit Systemzugriff, Kommunikation über viele Kanäle nach außen — mit Kostenträgern, Zuweisern, Laboren, Lieferanten. Eine E-Mail, die aussieht wie eine von hundert Routinemails am Tag, fällt niemandem auf. Genau das ist das Problem.
Den Anstoß gab, wie so oft, eine Frage von außen — nach einem Nachweis, den es in dieser Form noch nicht gab. Nicht, weil niemand sensibilisiert hätte, sondern weil niemand dokumentiert hatte. Wer in dieser Lage kurzfristig eine Schulung ansetzt, hat ein Blatt Papier, aber keine Aussage darüber, ob sich etwas verändert.
Die Leitung entschied sich deshalb gegen die naheliegende Lösung. Statt einer einmaligen Maßnahme sollte ein Programm entstehen, das dauerhaft läuft, dessen Wirkung sich messen lässt und dessen Nachweise entstehen, ohne dass jemand sie hinterher zusammensuchen muss.
Drei Bedingungen, die den Lösungsraum eng gemacht haben
Kein eigenes Security-Team
Die IT ist auf Betrieb ausgelegt — Systeme am Laufen halten, Support leisten. Niemand hatte die Kapazität, monatlich Kampagnen zu konzipieren, Szenarien zu schreiben und Ergebnisse auszuwerten. Eine Software-Lizenz zum Selbstkonfigurieren wäre nach vier Wochen ungenutzt liegen geblieben.
Akzeptanz war die Bedingung
Eine Simulation, die Mitarbeitende bloßstellt, hätte das Kollegium gegen das Programm aufgebracht — und wäre nach der zweiten Runde beendet gewesen. In Berufen, in denen Menschen ohnehin unter Druck arbeiten, ist Beschämung keine Methode.
Nachweise mussten mitlaufen
Absehbar würden Auditoren, Kostenträger oder Wirtschaftsprüfer nach dokumentierter Sensibilisierung fragen. Ein Programm, dessen Dokumentation erst im Nachhinein zusammengesucht werden muss, verursacht doppelte Arbeit — und ist regelmäßig lückenhaft.
Erst messen, dann steigern, dann dokumentieren
SCHRITT 01
Eine Baseline statt eines Bauchgefühls
Am Anfang stand eine einzelne Kampagne. Die Belegschaft war vorab informiert, dass ein Programm startet und Simulationen Teil davon sein würden — aber nicht, wann. Der Zweck war nicht, jemanden zu ertappen, sondern einen ehrlichen Ausgangswert zu bekommen.
Gemessen wurden zwei Größen: die Klickrate, also wie viele Personen auf den Köder reagierten. Und die Meldequote, also wie viele den Versuch aktiv gemeldet haben. Die zweite Zahl ist die wichtigere, und sie wird fast überall übersehen. Eine Organisation, in der niemand klickt, aber auch niemand meldet, ist nicht sicher — sie ist nur still. Sicherheit entsteht erst, wenn Auffälligkeiten den Weg zur IT finden.
Ergebnis der ersten Kampagne: Klickrate 28 %, Meldequote 6 %.
Der Wert war unangenehm, aber nicht ungewöhnlich. Er entsprach dem, was wir aus Einrichtungen ohne vorheriges Programm kennen.
SCHRITT 02
Szenarien aus dem eigenen Posteingang
Generische Phishing-Vorlagen scheitern im Gesundheitswesen, weil sie nach nichts aussehen, was dort tatsächlich ankommt. Ein angeblicher Paketdienst erzeugt keine Reaktion, wenn niemand Pakete erwartet. Die Kampagnen arbeiten deshalb mit Ködern aus dem realen Posteingang: Terminbestätigungen, Rechnungen von Lieferanten, Nachrichten von Kostenträgern, Befundmitteilungen, angebliche Meldungen der eigenen IT.
Wer klickt, landet nicht auf einer Tadel-Seite, sondern auf einer kurzen Erklärung: Das waren die drei Merkmale, an denen diese Mail zu erkennen war. Wer meldet, bekommt eine positive Rückmeldung. Diese Asymmetrie ist der eigentliche Hebel. Sie verschiebt das Verhalten in Richtung Melden statt in Richtung Verstecken — und sie ist der Grund, warum die Meldequote überhaupt steigen kann.
SCHRITT 03
Der Schwierigkeitsgrad wächst mit
Eine Simulation, die nach sechs Monaten noch dieselben Muster verwendet, misst nur noch, wer sich die alten Beispiele gemerkt hat. Ab Monat vier stiegen deshalb die Anforderungen. Später kamen Muster dazu, die deutlich schwerer zu erkennen sind: Anfragen, die scheinbar von der Leitung stammten und zum Monatsende eintrafen, also genau dann, wenn alle unter Zeitdruck stehen. Antworten in bestehenden Mail-Verläufen. Absenderadressen, die sich nur in einem Zeichen unterscheiden.
Der Effekt ist beabsichtigt: Die Klickrate steigt bei einer schwierigeren Welle kurzfristig wieder an. Genau deshalb ist die Meldequote die belastbarere Kennzahl — sie bleibt stabil, wenn die Organisation dazugelernt hat.
SCHRITT 04
Der Nachweis entsteht nebenbei
Jede Kampagne erzeugt automatisch Dokumentation: Datum, Teilnehmerzahl, aggregierte Klick- und Meldequoten, Reifegrad im Verlauf, abgeleitete Maßnahmen. Aufbereitet in einem Format, mit dem Geschäftsführung, Wirtschaftsprüfer und Auditoren direkt arbeiten können.
Die Auswertung bleibt durchgängig aggregiert. Es gibt keine Liste, wer geklickt hat — und es hat auch nie eine gegeben. Das ist keine Nettigkeit gegenüber der Belegschaft. Es ist erstens Voraussetzung dafür, dass das Programm auf Basis von Art. 6 Abs. 1 lit. f DSGVO sauber läuft. Und zweitens Voraussetzung dafür, dass Menschen Vorfälle überhaupt melden. Wer fürchtet, dass eine Meldung gegen ihn verwendet wird, meldet nicht.
Was sich nach 18 Monaten verändert hat
Die Klickrate ist zurückgegangen, und das ist die Zahl, nach der in Vorstandssitzungen gefragt wird. Aussagekräftiger ist die andere.
Klickrate. Die Zahl, die im Vorstand abgefragt wird — und die sich auch durch bloße Vorsicht senken lässt.
Meldequote. Knapp die Hälfte der Belegschaft meldet einen Verdacht aktiv, statt ihn stillschweigend zu löschen.
Aufwand pro Monat auf Kundenseite. Konzeption, Versand, Auswertung und Dokumentation liegen bei uns.
„Wir hatten erwartet, dass so ein Programm Widerstand erzeugt. Das Gegenteil ist passiert — inzwischen kommen Kolleginnen von sich aus mit Screenshots und fragen nach. Dass wir dem Träger einfach einen Bericht schicken konnten, war der Nebeneffekt, den wir eigentlich gesucht hatten."
Leitung der Einrichtung
Was sich davon auf Ihre Einrichtung übertragen lässt
Jede Einrichtung ist anders — in Größe, Regulatorik und Systemlandschaft. Drei Muster gelten trotzdem überall im Gesundheitswesen.
Ohne Baseline keine Aussage
Wer nicht weiß, wo er startet, kann später keinen Fortschritt belegen — weder gegenüber der eigenen Geschäftsführung noch gegenüber einem Auditor. Die erste Kampagne ist keine Maßnahme, sondern eine Messung.
Die Meldequote ist die ehrlichere Kennzahl
Klickraten lassen sich kurzfristig durch Angst senken. Meldequoten steigen nur, wenn Menschen darauf vertrauen, dass ihnen nichts passiert. Wer nur die Klickrate misst, misst am Ende das falsche.
Nachweise gehören in den Ablauf
Dokumentation, die erst zum Audit erzeugt wird, kostet ein Vielfaches — und hat regelmäßig Lücken genau dort, wo hingeschaut wird.