Traditionelle Methoden versagen in der PraxisSimulations-basierte Trainings versprechen höhere Erfolgsquoten

Phishing-E-Mails verstopfen den Posteingang, Smishing-SMS landen auf unseren Smartphones und Vishing-Anrufe umgehen traditionelle Filter. Diese Bedrohungen sind so real wie dauerhaft, und sie werden zusehends raffinierter. Dennoch verlassen Firmen sich bei ihren Mitarbeiterschulungen weiterhin auf veraltete Trainingsmaterialien, garniert mit einigen Quizfragen. Da verwundert es nicht, dass 91 Prozent der Security Manager trotz erheblicher Investitionen wenig bis gar kein Vertrauen in die Wirksamkeit traditioneller Sicherheitstrainings haben.

Die meisten Schulungen orientieren sich derzeit vor allem an Compliance-Anforderungen. Firmen erfüllen eine Vorgabe mit Zertifikaten und Prüfpfaden. Gegen die subtilen Tricks bei einem echten Angriff sind die Nutzer kaum gewappnet. Das typische Schulungsformat besteht häufig in einer statischen Präsentation mit einigen Beispielen für Phishing-E-Mails und einem kurzen, abschließenden Test.

Solche Formate haben den Vorteil, dass sie einfach zu verwalten sind. Auf den Moment der Wahrheit, wenn beispielsweise eine KI-gestützte Spear-Phishing-Nachricht im Posteingang landet, bereiten sie den Anwender nicht vor. Die Zeiten, in denen Angreifer ungeschickt formulierte E-Mails mit fehlerhaften Betreffzeilen verschickt haben, sind vorbei. Inzwischen dominieren automatisiert verschickte Nachrichten, personalisiert und konzipiert auf der Basis von typisch menschlichen Verhaltensweisen etwa unter sozialem Druck.

41 Prozent aller erfolgreichen Phishing-Angriffe nutzen mittlerweile mehrere Kanäle wie etwa E-Mail, SMS, QR-Codes oder Telefonanrufe. Compliance-Schulungen basieren auf Wissensvermittlung. Angreifer machen sich hingegen instinktive Reaktionen zunutze, und die lassen sich nur durch Übung trainieren.

Lernen unter Druck – was die Neurowissenschaften sagen

Ein Blick auf die neurowissenschaftliche Forschung ist eher ernüchternd: Mit Folienpräsentationen und Videos speichert man bestenfalls 10 bis 20 Prozent des vermittelten Wissens. Schon durch das simple Einbinden von Gamification klettern die Werte beim Engagement (48 Prozent) und der Behaltensrate (34 Prozent) signifikant nach oben. Wenn die Anwender über Simulationen trainieren, steigt die Behaltensrate sogar auf 75 Prozent.

In Hochrisikobereichen kommt dieses Prinzip schon lange zum Tragen. Piloten trainieren in Simulatoren, in denen künstlich erzeugter Stress, Dringlichkeit und komplexe Situationen sie zum Handeln zwingen. Chirurgen üben Eingriffe in einer sicheren, kontrollierten Umgebung, bevor sie Patienten operieren. Feuerwehrleute trainieren in Live-Simulationen unter Hitze- und Rauchentwicklung.

Cyber-Sicherheitsschulungen sollten genauso angelegt sein. Mitarbeitende sind tagtäglich mit Täuschung und zeitkritischen Entscheidungen unter Druck konfrontiert. Nutzer sollten sich unbedingt unter realitätsnahen Bedingungen vorbereiten. Die Neurowissenschaft bestätigt: Wenn Menschen mit realistischen, zeitkritischen Entscheidungen konfrontiert sind, aktiviert ihr Gehirn die gleichen neuronalen Bahnen, die sie bei einem realen Vorfall nutzen würden. Jeder Zyklus trainiert das Gedächtnis. Jede Wiederholung baut Vertrauen auf. Und so lassen sich Instinkte trainieren.

Reale Bedrohungen, reale Trainingsbedingungen

Moderne Simulationsplattformen sind so entwickelt, dass sie dem Tempo realer Angriffe entsprechen. Beispielsweise durchlaufen die Schulungsteilnehmer zehnminütige Sessions mit rund einem Dutzend zufälliger Szenarien per E-Mail, SMS und Sprachnachricht. Jede Session kombiniert legitime und böswillig manipulierte Interaktionen, welche die Teilnehmenden blitzschnell beurteilen müssen: Klicken, melden oder beantworten.

Im Idealfall sind Simulationen kurz genug, um in den Arbeitsalltag zu passen und realistisch genug, um relevant zu sein. Vor allem sollten sie so konzipiert sein, dass Firmen sie immer wieder nutzen können.

Simulationen ohne Praxisbezug laufen schnell Gefahr, irrelevant zu sein. Deshalb ist es hilfreich, wenn Anbieter aktuelle und neue Angriffsszenarien integrieren, die bereits „in freier Wildbahn“ beobachtet wurden. KI-generierte Anrufe, Deepfakes und personalisierte Phishing-Nachrichten sind keine abstrakten Bedrohungen, sondern reale Gefahren.

Wenn Simulationen auf Threat Intelligence-Daten in Echtzeit zurückgreifen, üben die Teilnehmer an aktuellen Gefahrensituationen und nicht an überholten Taktiken. Die Ergebnisse sind messbar und lassen sich beispielsweise über ein Analyse-Dashboard nachvollziehen. Legt man Forschungsergebnisse zum erfahrungs- und simulationsbasierten Lernen zugrunde, kann man davon ausgehen, dass die Klickraten bei Phishing-Angriffen sinken und Mitarbeitende besser in der Lage sind, Angriffe instinktiv als solche zu erkennen.

Ähnliches gilt für Smishing- und Vishing-Versuche. Sicherheitsverantwortliche gewinnen zudem einen zuverlässigen Eindruck, wie Einzelne sich in bestimmten Szenarien verhalten, aber auch, an welchen Stellen ein Team mehr Unterstützung braucht. Das Ergebnis ist ein klareres, datengestütztes Bild wie resilient ein Unternehmen tatsächlich ist.

Mehr als Schulungen

Wenn Firmen sich entscheiden auf eine Simulationsplattform umzustellen, geht es immer um die Cyber-Sicherheitskultur im Ganzen. Verhaltensbasierte Sicherheitsschulungen bewirken, dass sich Belegschaft und Sicherheitsteams enger abstimmen. Simulationsbasiertes Lernen schafft ein Bewusstsein, an welchen Stellen genau man die Sicherheitsmaßnahmen ausweiten sollte.

Die in Schulungen gewonnenen Metriken fließen beispielsweise in SOC-Dashboards ein, und die erhobenen Daten beeinflussen die Risikomodelle. Über die Zeit betrachtet, liefern Simulationsplattformen Erkenntnisse dazu, an welchen Stellen man in zusätzliche technische Kontrollmechanismen investieren sollte – vor allem, um die Lücke zwischen menschlicher und maschineller Verteidigung zu schließen. Unternehmen durchlaufen also einen Reifeprozess. Nicht anhand von Compliance-orientierten Schulungen, sondern durch nachhaltiges, erfahrungsbasiertes Lernen, das Sicherheit in alltägliche Verhaltensmuster einbettet.

Zukunft von Sicherheitsschulungen

Die Branche befindet sich an einem Wendepunkt. Angreifer setzen auf KI, Automatisierung und Multi-Channel-basierte Attacken. Sicherheitsschulungen müssen sich dementsprechend weiterentwickeln. Der Wechsel von passiven hin zu interaktiven Schulungsmodulen ist längst überfällig. Traditionelle Ansätze mögen weiterhin Compliance-Anforderungen erfüllen, aber Compliance allein verhindert keine Sicherheitsverletzungen. Echte Resilienz entsteht durch Szenarien-basiertes Lernen, das die instinktive Einschätzung und das Urteilsvermögen fördert, auch unter hohem Druck. Simulationen und erfahrungsorientierte Lernmethoden stellen den notwendigen Übungsraum bereit.

Kontextbezogenes Feedback erleichtert es, aus Fehlern Einsichten zu gewinnen, und Threat Intelligence-Daten in Echtzeit sorgen dafür, dass die User Experience aktuell, glaubwürdig und effektiv bleibt. Hier zeichnet sich ein Transformationsprozess im Schulungssektor ab. Weg von Folienpräsentationen hin zu echten Simulationen. Von Compliance zu Kompetenz.

John Trest ist Chief Learning Officer bei VIPRE.

Simulations Lab