Schulung zur Sensibilisierung für Phishing an hybriden

Schulungen zum Thema „Quishing“ sollten Mitarbeiter dazu anleiten, die Anfrage hinter einem QR-Code zu hinterfragen, dessen Quelle über einen vertrauenswürdigen Kanal zu überprüfen und den Code zu melden, ohne das Ziel zuvor zu öffnen. In einer hybriden Arbeitsumgebung muss dieses Verhalten in E-Mails, Dokumenten, auf Bildschirmen in Besprechungsräumen, auf gedruckten Schildern, in Besucherbereichen und auf Mobilgeräten funktionieren. Ein nützliches Programm testet daher den gesamten Überprüfungs- und Meldeprozess – nicht nur, ob jemand einen Code gescannt hat.

Die operative Herausforderung besteht darin, dass QR-Codes Grenzen überschreiten. Ein Mitarbeiter sieht vielleicht einen Code auf einem firmeneigenen Laptop, scannt ihn mit seinem privaten Smartphone und muss dann ein gedrucktes Schild an die Hausverwaltung melden, anstatt eine E-Mail an den Sicherheitsdienst weiterzuleiten. Käufer sollten prüfen, ob eine Schulungsplattform und ihre internen Prozesse Sicherheit, Datenschutz und aussagekräftige Nachweise über diese Übergänge hinweg gewährleisten können.

Dieser Leitfaden dient der Abwehr. Er enthält keine irreführenden QR-Inhalte, Methoden zur Erfassung von Zugangsdaten, böswillige Weiterleitungen, Techniken zur Umgehung von Sicherheitsmaßnahmen oder Anleitungen für unbefugte Tests.

Beginne mit dem Verhalten, nicht mit dem QR-Code

Einen QR-Code zu generieren ist einfach. Eine kontrollierte Lernübung darum herum aufzubauen, ist die eigentliche Arbeit. Bevor du Inhalte oder eine Plattform auswählst, definiere, was Mitarbeiter tun sollen, wenn ein Code sie auffordert, sich anzumelden, eine Zahlung zu tätigen, eine App zu installieren, sich mit einem Netzwerk zu verbinden, ein Dokument zu öffnen oder ein Konto zu bestätigen.

Ein praktisches Verhaltensmodell lautet:

Innehalten: Behandle eine unerwartete QR-Anfrage wie einen Link, dessen Ziel verborgen ist.
Prüfen: Nutze eine genehmigte Vorschau- oder Scan-Funktion, sofern verfügbar, ohne zu einem unbekannten Ziel weiterzugehen.
Überprüfen: Bestätige die Aufforderung über eine bekannte Website, einen Verzeichniseintrag, den Service Desk oder die Person, die sie angeblich ausgegeben hat.
Melden: Sende genügend Kontext an das richtige Team, ohne Zugangsdaten, persönliche Daten oder sensible Screenshots weiterzugeben.
Wiederherstellung: Falls der Code geöffnet wurde, beende die Interaktion und nutze den festgelegten Weg zur Meldung von Vorfällen.

Diese Schritte geben der Übung einen messbaren Zweck. Ein Scan allein beweist nicht, dass ein Mitarbeiter getäuscht wurde: Ein Smartphone kann die URL automatisch in der Vorschau anzeigen, ein Sicherheitstool kann sie überprüfen oder der Mitarbeiter scannt sie vielleicht nur, um der Sache nachzugehen. Überprüfung und Meldung sind stärkere Signale für das Verhalten, das das Unternehmen erwartet.

QR-Vertrauensflächen im hybriden Arbeitsumfeld erfassen

E-Mails sind nur ein Ort, an dem Mitarbeiter auf QR-Codes stoßen. Bei einer Überprüfung des hybriden Arbeitsumfelds sollten sowohl digitale als auch physische Anwendungsbereiche erfasst werden, bevor die Tests beginnen.

Zu den gängigen Vertrauensflächen gehören:

E-Mails, Chats, Präsentationen und PDF-Dokumente;
Steuerungen in Besprechungsräumen, Bildschirme bei Videokonferenzen und Anleitungen für das Gäste-WLAN;
Workflows für Schreibtischbuchungen, Besuchermanagement, Parken und Gebäudezugang;
Etiketten auf Geräten, Gebrauchsanweisungen, Paketrücksendungen und Support-Hinweise;
Plakate in Küchen, Aufzügen, Empfangsbereichen und Großraumbüros;
Rechnungen, Zahlungsaufforderungen, Spesenbelege und Kommunikation mit Lieferanten.

Geh nicht davon aus, dass jeder legitime Code zentral verwaltet wird. Facility Management, Personalabteilung, IT, Finanzabteilung, Marketing, Vermieter, Veranstaltungsorganisatoren und externe Bürobetreiber können solche Codes erstellen. Erfasse für jede Anwendung mit hohem Vertrauensgrad den Verantwortlichen, den vorgesehenen Einsatzort, die erwartete Lebensdauer und den Ansprechpartner für Rückmeldungen. Diese Bestandsaufnahme hilft Teams dabei, nicht mehr genutzte Codes zu entfernen und verhindert, dass eine Simulation mit einem laufenden Geschäftsprozess kollidiert.

Die physische Platzierung verdient eine eigene Regelung. Ein Aufkleber, der über ein legitimes Schild geklebt wird, kann Besucher und andere Mieter beeinträchtigen, die nie autorisierte Teilnehmer waren. Sichere Schulungen sollten an kontrollierten Orten stattfinden, mit klarer interner Zuständigkeit, festgelegten Start- und Endzeiten sowie einer Überprüfung nach dem Entfernen. Wenn diese Kontrolle nicht gewährleistet werden kann, führe das Pilotprojekt innerhalb eines autorisierten digitalen Kanals durch.

Entwirf eine sichere QR-Phishing-Simulation

Eine kontrollierte Übung sollte den Schaden minimieren, selbst wenn ein Mitarbeiter den Code scannt. Die Zielseite sollte im Besitz der Organisation oder des Schulungsanbieters sein oder von diesen vertraglich kontrolliert werden, HTTPS verwenden, echte Anmeldeseiten vermeiden und niemals Passwörter, MFA-Codes, Zahlungsdaten oder persönliche Informationen abfragen.

Lege vor dem Start folgende Sicherheitsvorkehrungen fest:

einen dokumentierten Zweck, eine autorisierte Zielgruppe und einen namentlich genannten Verantwortlichen;
eine Zieladresse auf der Whitelist, die nach der Genehmigung nicht ohne Überprüfung geändert werden kann;
keine Werbung von Drittanbietern, Tracker, App-Downloads oder unkontrollierte Weiterleitungsketten;
eine neutrale Lernseite, die das erwartete Verhalten nach dem gemessenen Ereignis erklärt;
Datenminimierung bei Geräte-, Netzwerk-, Standort- und Benutzerkennungen;
einen getesteten Stoppmechanismus und ein Ablaufdatum für jeden Code und jedes Ziel;
Sensibilisierung des Service-Desks und des Sicherheitsteams, damit Meldungen einheitlich bearbeitet werden.

Die Aktion sollte auch dann sicher bleiben, wenn der Link von jemandem außerhalb der Zielgruppe kopiert, fotografiert oder geöffnet wird. Vermeide es, Namen von Mitarbeitern, Kampagnendetails oder interne Systeminformationen auf der Zielseite preiszugeben. Verwende eine generische Abschlussseite für unbekannte Besucher und stelle sicher, dass abgelaufene Codes sicher fehlschlagen.

Für eine eingehendere Betrachtung der Kontrollen auf Plattformebene nutze den Quishing-Simulator-Einkaufsratgeber. Darin werden kontrollierte Weiterleitungen, mobile Telemetrie, Datenschutz und Feedback ausführlicher behandelt.

Erstelle Meldewege für digitale und physische Codes

„Verdächtige QR-Codes melden“ reicht nicht aus, wenn die Mitarbeiter nicht wissen, wo und wie. Der Meldeweg hängt davon ab, wo der Code aufgetaucht ist.

Bei einem QR-Code in einer E-Mail oder einem Chat kann die vorhandene Meldefunktion die ursprüngliche Nachricht und die Kopfzeilen beibehalten. Bei einem Code auf einem Plakat oder Bildschirm benötigen Mitarbeiter möglicherweise eine Service-Desk-Kategorie, eine Sicherheitshotline, einen Ansprechpartner der Hausverwaltung oder ein mobiles Meldeformular. Der Arbeitsablauf sollte den Ort und den Kontext erfassen, ohne die Mitarbeiter dazu aufzufordern, den Code erneut zu scannen.

Eine gute Meldung für physische QR-Codes sollte Folgendes erfassen:

wo der Code gefunden wurde;
welchen Geschäftsprozess er angeblich unterstützen sollte;
wann er entdeckt wurde;
ein Foto der umgebenden Beschilderung, sofern die Unternehmensrichtlinien dies zulassen;
ob der Mitarbeiter den Ziel-Link geöffnet oder Informationen eingegeben hat.

Halte das Formular kurz. Lange Fragebögen treiben die Leute dazu, informelle Chat-Nachrichten zu schreiben, während die Angabe einer Ziel-URL ein zweites Scannen erfordern kann. Das empfangende Team sollte außerdem ein Triage-Handbuch haben: Überprüfe, ob der Code autorisiert ist, isoliere oder entferne verdächtiges physisches Material, überprüfe das Ziel sicher mit zugelassenen Tools und schließe den Kreis mit dem Melder.

Der Leitfaden für sichere Quishing-Szenarien kann Teams dabei helfen, geschäftsrelevante Übungen auszuwählen, sobald der Melde-Workflow steht.

Messaufnahmen über die Scan-Rate hinaus

Verwende eine kleine Auswahl an Kennzahlen, die an die zu Beginn definierten Verhaltensweisen geknüpft sind. Nützliche Kennzahlen sind unter anderem:

ohne Scan verifiziert: Mitarbeiter, die vor der Interaktion einen vertrauenswürdigen Kanal genutzt haben;
vor dem Scan gemeldet: frühzeitige Meldungen, die es der Organisation ermöglichten, schnell zu reagieren;
gemeldet nach dem Scannen: Mitarbeiter, die ein Problem erkannt und es eskaliert haben, ohne weiterzumachen;
fortgesetzte Interaktion: Aktivitäten jenseits der kontrollierten Landing-Seite, ohne dass vertrauliche Daten erfasst wurden;
Zeit bis zur ersten Meldung: Wie schnell wurde das Unternehmen auf das Problem aufmerksam?
Qualität der Meldung: Enthielt die Meldung genügend Kontext für die Einstufung?
Feedback-Abschluss: Hat der Mitarbeiter die kurze Schulungsmaßnahme angesehen?
Wiederholtes Verhalten: Verbessern sich Verifizierung und Meldung bei späteren autorisierten Übungen?

Trenne menschliche Handlungen von automatisierten Vorschauen und Zugriffen durch Sicherheitstools. Mobile Browser, URL-Scanner, E-Mail-Gateways und Kollaborationsplattformen können Ziele öffnen, ohne dass ein Mitarbeiter eine Entscheidung trifft. Eine Plattform sollte erklären, wie sie diese Ereignisse identifiziert oder filtert, anstatt jede Anfrage als Scan darzustellen.

Vergleiche Teams oder Standorte mit Bedacht. Die Büroaufteilung, Gerätebesitz, die berufliche Rolle, die Sprache, das Schichtmodell und der Zugang zu Berichtstools können die Ergebnisse beeinflussen. Nutze die Daten, um Lücken im Arbeitsablauf und Schulungsbedarf zu erkennen, nicht um eine öffentliche Rangliste von Einzelpersonen zu erstellen.

Schütze die Privatsphäre auf privaten und verwalteten Geräten

Hybrides Arbeiten bedeutet oft, dass ein auf einem Unternehmensgerät angezeigter Code auf einem privaten Smartphone geöffnet wird. Das rechtfertigt jedoch keine umfassende Geräteverfolgung. Erfasse nur das, was nötig ist, um die Maßnahme zu bewerten, Aufbewahrungsfristen zu dokumentieren, den Zugriff zu beschränken und den Teilnehmern das Programm im Rahmen des normalen Governance-Prozesses der Organisation zu erklären.

Käufer sollten fragen, ob die Plattform Folgendes kann:

das genehmigte Ereignis messen, ohne einen Geräte-Fingerabdruck zu erfassen;
genaue Standortdaten und irrelevante mobile Metadaten vermeiden;
Kampagnenanalysen von rohen Ereignisdaten trennen;
rollenbasierten Zugriff und begrenzte Aufbewahrungsfristen unterstützen;
Berichte gegebenenfalls anonymisieren oder aggregieren;
Nachweise exportieren, ohne unnötige Details auf individueller Ebene preiszugeben;
Kampagnendaten gemäß Richtlinien und Vertrag löschen.

Betriebsräte, Arbeitnehmervertreter, Datenschutzbeauftragte und Rechtsabteilungen müssen das Programm je nach Rechtsordnung und Unternehmenspraxis möglicherweise prüfen. Ihre Einbindung sollte das Betriebsmodell bereits vor dem Pilotprojekt mitgestalten – nicht erst, wenn einzelne Ergebnisse vorliegen.

Plattformen anhand des gesamten Betriebsmodells bewerten

Eine Checkliste für Einkäufer sollte den Weg des Mitarbeiters vom ersten Kontakt über die Reaktion bis hin zum Lernen nachverfolgen. Bitte Anbieter, den Arbeitsablauf mit realistischen Rahmenbedingungen zu demonstrieren, statt nur ein aufpoliertes Dashboard zu zeigen.

Sicherheit und Zielkontrolle

Können alle Ziele und Weiterleitungen vor dem Start überprüft werden?
Können Codes und Zielseiten sofort deaktiviert werden?
Vermeidet die Lernseite das Erfassen von Passwörtern und anderen vertraulichen Daten?
Was passiert, wenn ein abgelaufener oder weitergeleiteter Code geöffnet wird?

Kanal- und Geräteabdeckung

Kann ein Programm zwischen E-Mail-, Dokument-, Bildschirm- und physischen Code-Kontexten unterscheiden?
Können mobile Ereignisse ohne invasives Tracking gemessen werden?
Wie werden automatisierte URL-Prüfungen von den Aktionen der Mitarbeiter getrennt?
Unterstützt die Plattform die Teilnahme mit privaten Geräten im Rahmen eines Modells mit minimaler Datenerfassung?

Berichterstattung und Feedback

Können Mitarbeiter Meldungen machen, ohne zu scannen?
Können Berichte zu physischen Codes die Sicherheits- und Facility-Abteilungen mit nützlichem Kontext erreichen?
Ist das Feedback unmittelbar, kurz, leicht zugänglich und in den erforderlichen Sprachen verfügbar?
Kann das Unternehmen den Berichtsablauf testen, bevor die Kampagne beginnt?

Governance und Nachweismöglichkeiten

Werden Berechtigung, Zielgruppe, Verantwortlicher und Aufbewahrungsdauer pro Übung erfasst?
Kann der Zugriff nach Rolle, Team oder Region eingeschränkt werden?
Zeigt der Prüfpfad Genehmigungen, Änderungen, Start, Unterbrechung und Ablauf an?
Können Berichte neben der Scan-Rate auch das Verifizierungs- und Meldeverhalten anzeigen?

Das Ziel ist nicht maximale Telemetrie. Es geht um ausreichend vertrauenswürdige Nachweise, um das Programm zu verbessern und gleichzeitig die Übung verhältnismäßig zu halten.

Führe vor der Ausweitung ein begrenztes Pilotprojekt durch

Beginne mit einem kontrollierten digitalen Anwendungsfall und einer kleinen autorisierten Gruppe. Überprüfe die Code-Darstellung, die Zielsteuerung, das mobile Verhalten, die Weiterleitung von Berichten, die Filterung automatisierter Scans, das Feedback, die Support-Bearbeitung und das Ablaufen. Beziehe Vertreter aus den Bereichen Sicherheit, IT, Datenschutz, Kommunikation und dem zu simulierenden Geschäftsprozess mit ein.

Füge physische Standorte erst hinzu, wenn die Organisation die Platzierung und Entfernung kontrollieren kann. Zeichne für jeden Code den Standort, den Eigentümer, die Startzeit, die Endzeit und das Überprüfungsergebnis nach der Entfernung auf. Wenn gemeinsam genutzte Gebäude oder Besucher beteiligt sind, schränke die Platzierung ein oder nutze eine digitale Alternative.

Überprüfe nach dem Pilotprojekt, wo der Prozess gescheitert ist. Eine niedrige Melderate könnte auf unklare Anweisungen hindeuten, aber auch darauf, dass das mobile Meldeformular eine Unternehmensauthentifizierung erfordert, die auf privaten Geräten nicht verfügbar ist. Behebe den Workflow, bevor du die Komplexität der Kampagne oder die Zielgruppengröße erhöhst.

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) empfiehlt in ihren Phishing-Leitlinien, Menschen darin zu schulen, verdächtige Nachrichten zu erkennen und umgehend zu melden. Wende dasselbe Prinzip auf QR-Aufforderungen an: Die Meldung muss so einfach sein, dass sie im Moment des Zweifels genutzt werden kann.

FAQ

Was ist ein Quishing-Sensibilisierungstraining?

Es handelt sich um ein Sicherheitstraining mit Schwerpunkt auf Phishing, bei dem QR-Codes verwendet werden, um das Ziel zu verbergen oder zu verschleiern. Ein effektives Training kombiniert kurze Anleitungen, kontrollierte Simulationen, Überprüfungsübungen, Meldemöglichkeiten, Feedback und Messungen über alle Kanäle hinweg, in denen Mitarbeiter auf QR-Codes stoßen.

Sollte ein QR-Phishing-Test Zugangsdaten erfassen?

Nein. Eine sichere Sensibilisierungsübung kann eine genehmigte Interaktion messen und Feedback geben, ohne Passwörter, MFA-Codes, Zahlungsdaten oder persönliche Informationen zu erfassen. Das Ziel sollte kontrolliert, überprüft und leicht zu deaktivieren sein.

Ist die Scan-Rate eine nützliche Kennzahl für Phishing-Tests?

Sie ist ein begrenztes Diagnosesignal, kein vollständiges Ergebnis. Automatisierte Tools können QR-Ziele öffnen, und Mitarbeiter scannen möglicherweise nur, um eine Vorschau der URL zu sehen. Überprüfung, Berichterstattung, fortgesetzte Interaktion, die Zeit bis zur ersten Meldung und die Verbesserung im Laufe der Zeit liefern einen besseren Kontext.

Wie können Mitarbeiter einen verdächtigen gedruckten QR-Code melden?

Biete einen Weg an, der kein Scannen erfordert, z. B. ein kurzes Service-Desk-Formular, eine Hotline, einen Ansprechpartner vor Ort oder einen mobilen Workflow zur Sicherheitsmeldung. Frage nach dem Standort und dem Umfeld, nicht nach der Ziel-URL.

Können Quishing-Simulationen private Handys einbeziehen?

Das ist möglich, aber die Einbindung privater Geräte erfordert klare Richtlinien und strenge Datenminimierung. Das Programm sollte Geräte-Fingerprinting, genaue Standortdaten und unnötige Identifikatoren vermeiden und einen Meldeweg bereitstellen, der ohne aufwendige Registrierung funktioniert.

Mach die QR-Überprüfung zum Teil des Arbeitsalltags

Das beste Programm bringt den Mitarbeitern nicht bei, jeden QR-Code zu fürchten. Es macht die Überprüfung der Quelle und die Meldung zur Routine, wenn ein Code nach Authentifizierung, Zahlung, Softwareinstallation oder einer anderen sensiblen Aktion fragt. Das erfordert kontrollierte Ziele, kanalspezifische Berichterstattung, Datenschutzgrenzen und Kennzahlen, die nützliches Verhalten belohnen.

Prüfe diese Funktionen, bevor du ein Pilotprojekt ausweitest. Wenn du bereit bist, kontrollierte Phishing- und Quishing-Sensibilisierungsübungen durchzuführen, melde dich an für AutoPhish.

Schulung zur Sensibilisierung für Phishing an hybriden Arbeitsplätzen