Der Angreifer braucht Sie nicht mehr zu kennen. Die KI übernimmt das.
Jahrelang war schlechtes Deutsch das verlässlichste Erkennungsmerkmal einer Betrugsmail. Dieses Merkmal ist weg. Was sich sonst noch verschoben hat, und warum Ihre Firewall die entscheidende Frage nicht beantworten kann.
Angriffe kosteten Zeit
Wer ein Unternehmen gezielt angreifen wollte, musste recherchieren, Texte schreiben, Seiten nachbauen. Das lohnte sich nur bei großen Zielen, kleine Betriebe fielen durchs Raster.
Angriffe kosten fast nichts
Recherche, Textproduktion und Nachbau laufen automatisiert. Dieselbe Mühe, die früher für ein Ziel nötig war, deckt jetzt tausend Ziele ab und trifft damit auch den Handwerksbetrieb mit zwölf Mitarbeitern.
„Zu klein und unbekannt" schützt nicht mehr
Die Annahme, für Angreifer uninteressant zu sein, war schon immer riskant. Sie ist jetzt schlicht falsch, denn es gibt keine Zielauswahl mehr, die Sie schützt.
Was sich konkret geändert hat
Vier Verschiebungen, die alle in dieselbe Richtung wirken: Angriffe werden glaubwürdiger, persönlicher und häufiger.
Die Sprache verrät nichts mehr
Rechtschreibfehler, holprige Grammatik, seltsame Anreden: Das waren die Merkmale, auf die wir alle trainiert wurden. Heute schreibt ein Sprachmodell fehlerfreies Deutsch im Tonfall Ihrer Branche, inklusive korrekter Fachbegriffe und passender Höflichkeitsform.
Der Angriff kennt Ihren Kontext
Impressum, LinkedIn, Handelsregister, Pressemitteilungen, Stellenanzeigen: Öffentlich verfügbare Informationen reichen aus, um zu wissen, wer bei Ihnen Rechnungen freigibt, wer gerade neu ist und welches Projekt gerade läuft. Diese Recherche macht heute keine Person mehr.
Stimme und Gesicht sind kein Beweis mehr
Wenige Sekunden Audio genügen für eine überzeugende Stimmkopie, und das Material liefert jedes Video auf der Firmenwebsite. Der bekannteste Fall: Ein Konzernmitarbeiter überwies rund 25 Millionen US-Dollar nach einer Videokonferenz, in der alle Teilnehmer außer ihm gefälscht waren.
Angriffe laufen in Schritten, nicht als Einzelmail
Erst eine harmlose Kontaktaufnahme, dann ein Rückbezug auf die Antwort, dann die eigentliche Bitte. Solche mehrstufigen Abläufe brauchten früher einen Menschen, der drangeblieben ist. Heute laufen sie automatisiert weiter, auch über Wochen.
Technik kann nicht entscheiden, ob eine Bitte berechtigt ist.
Spamfilter erkennen Muster: bekannte Absender, verdächtige Anhänge, gemeldete Domains. Eine fehlerfrei formulierte E-Mail von einer neu registrierten, unauffälligen Domain, die auf einen echten Vorgang in Ihrem Haus Bezug nimmt und um eine plausible Handlung bittet, enthält kein einziges technisches Merkmal, an dem ein Filter sie stoppen könnte.
Die Frage „Ist es richtig, dass ich diese Zahlung jetzt freigebe?" beantwortet kein Produkt. Sie wird von einem Menschen beantwortet, unter Zeitdruck und zwischen vierzig anderen Mails.
Deshalb ist Awareness keine Ergänzung zur Technik, sondern die Schicht, die dort anfängt, wo Technik strukturell aufhört.
Was Technik zuverlässig leistet
- Bekannte Schadsoftware abfangen
- Gemeldete Absender und Domains blockieren
- Verdächtige Anhänge isolieren
- Zugriffe protokollieren und Backups vorhalten
Was sie nicht leisten kann
- Beurteilen, ob eine Bitte im Kontext plausibel ist
- Erkennen, dass die vertraute Stimme am Telefon synthetisch ist
- Verhindern, dass jemand sein Passwort freiwillig eingibt
- Ersetzen, dass jemand im Zweifel kurz zurückruft
Wie viele Schwachstellen sehen Sie in einem Büro?
Bevor man über Schulungen spricht, hilft es, das Problem einmal zu spüren statt es erklärt zu bekommen. In „Operation ORION" gehen Sie durch ein ganz normales Büro und suchen die Stellen, an denen ein Angreifer ansetzt: den Notizzettel am Monitor, das offene Postfach, den USB-Stick vom Messestand. In fünf Minuten wird greifbar, was sich technisch nicht abstellen lässt und warum es sich lohnt, genau dafür zu trainieren. Genau da setzt eine Awareness-Schulung an.
Operation ORION, das Büro-Spiel
Schlüpfen Sie in die Rolle eines Ermittlers und decken Sie die Sicherheitslücken an einem Arbeitsplatz auf. Ein spielerischer Einstieg ohne Vorwissen, ideal auch zum Weitergeben an Kolleginnen und Kollegen.
Spiel starten →Das eigentliche Ziel ist selten der Rechner
Wer Zugangsdaten hat, braucht keine Schadsoftware. Ein übernommenes Postfach liest mit, kennt Ihre Vorgänge, antwortet in laufenden Verläufen und beantragt in Ihrem Namen weitere Zugänge. Für Kollegen und Kunden sieht das aus wie Sie, weil es technisch Sie ist.
Deshalb steht der Schutz der eigenen Identität im Mittelpunkt meiner Schulung: Passwörter, Zwei-Faktor-Verfahren, Umgang mit Bestätigungsanfragen, und die Frage, was man tut, wenn es doch passiert ist.
Widerstandskraft ist messbar, oder sie ist eine Behauptung.
„Unsere Leute sind sensibilisiert" ist eine Vermutung. Eine Zahl darüber, wie viele in einer realistischen Situation tatsächlich klicken, ist eine Grundlage.
Der Bedarf der deutschen Wirtschaft, hier belastbar zu werden, ist heute strategisch: Das BSI verfolgt mit der Cybernation Deutschland genau dieses Ziel: Resilienz als Normalzustand statt als Projekt nach dem Vorfall. Für den einzelnen Betrieb heißt das: den eigenen Stand kennen, verbessern, erneut messen.
Kostenlos, drei simulierte Angriffe, anonymisierte Auswertung.
Und ja, das ist auch Pflicht.
Zwei Gesetze, eine Konsequenz: schulen und nachweisen. Viele Betriebe verbinden Schulungspflichten nur mit NIS2 und halten sich für nicht betroffen. Die DSGVO gilt aber für jeden, der personenbezogene Daten verarbeitet.
Bestimmte Sektoren ab bestimmter Größe
Die Richtlinie verpflichtet Leitungsorgane betroffener Einrichtungen, an Schulungen teilzunehmen und allen Mitarbeitern regelmäßig Schulungen anzubieten. Die Geschäftsführung ist ausdrücklich adressiert.
Betrifft in der Regel Unternehmen ab 50 Mitarbeitern oder 10 Mio. € Umsatz in den Sektoren Energie, Verkehr, Gesundheit, Wasser, digitale Infrastruktur, IT-Dienstleister, Post, Abfall, Chemie, Lebensmittel, Maschinenbau.
Praktisch jeder Betrieb
Artikel 32 verlangt „geeignete technische und organisatorische Maßnahmen". Schulung und Sensibilisierung des Personals sind organisatorische Maßnahmen, Artikel 39 nennt sie ausdrücklich.
Wer Kundendaten, Bewerbungen oder Personalakten verarbeitet, ist betroffen. Das ist jeder Betrieb.
Was belegbar sein muss
- Dass geschult wurde
- Wer teilgenommen hat
- Wann es stattfand
- Dass es wiederholt wird
Was nicht dokumentiert ist, gilt im Zweifel als nicht geschehen. Bei uns entstehen alle vier Nachweise automatisch als Nebenprodukt des Trainings.
Fünf Fragen, sofortige Einschätzung.