Jede dritte verdächtige E-Mail stellt sich als Bedrohung heraus

Für eine Studie haben Sicherheitsexperten von F-Secure mehr als 200.000 E-Mails analysiert, die von Mitarbeitern in Unternehmen auf der ganzen Welt in der ersten Jahreshälfte 2021 als verdächtig gemeldet wurden. Sie kommen zu dem Ergebnis, dass von etwa jeder dritten dieser E-Mails auch tatsächlich eine potenzielle Bedrohung ausging. In den meisten Fällen handelte es sich um Phishing-Kampagnen, die den Opfern persönliche Informationen entlocken oder sie dazu bringen sollten, Schadsoftware herunterzuladen.
‍
Die Untersuchung ergab, dass jeder Mitarbeiter im Untersuchungszeitraum im Schnitt 2,14 E-Mails als potenzielle Bedrohung meldete. In einem Unternehmen mit 1000 Mitarbeitern fielen so durchschnittlich 116 Verdachtsfälle pro Monat an. Der häufigste Grund für solch eine Meldung waren Links, die in rund 60 Prozent der Mails enthalten waren. Weitere Anlässe, eine E-Mail zu melden, waren falsche oder suspekte Absenderadressen, verdächtige Dateianhänge und Spam.
‍
Außerdem kamen die Sicherheitsforscher zu dem Ergebnis, dass bestimmte Wörter und Phrasen in den E-Mails auf ein erhöhtes Risiko hinweisen, darunter „Warning“,  „Your funds has“ und „Message is for a trusted“. Das deutet auf einen gemeinsamen Nenner bei vielen Phishing-Kampagnen hin: Es soll mit den Gefühlen der Opfer gespielt werden, damit diese durch eine vermeintliche Gefahr in Alarmbereitschaft versetzt werden und deshalb eher bereit sind, auf verseuchte Links und Dateianhänge zu klicken.
‍
Neben den ganz konkreten Ergebnissen aus den Analysen der gemeldeten E-Mails zeigt die Studie von F-Secure aber auch, dass viele Unternehmen beim Thema Awareness Fortschritte gemacht haben. So scheinen Mitarbeiter lieber eine E-Mail zu viel zu melden, als Opfer einer bösartigen Mail zu werden – prinzipiell ein durchaus legitimes Vorgehen. Übervorsichtige Mitarbeiter können jedoch auch zum Problem werden, wenn die Flut an Meldungen auf eine ohnehin bereits überlastete IT-Abteilung trifft. Unternehmen sollten daraus jedoch nicht die falschen Schlüsse ziehen und die Mitarbeiter zu weniger Vorsicht ermuntern. Im Gegenteil: Sinnvoller wäre es, die IT-Abteilung personell besser auszustatten. Hinzu kommt: Die Bedrohung durch gefälschte E-Mails nimmt weiter zu. Eine frühere Studie zeigte, dass die durchschnittliche Reaktionsrate auf Phishing-Angriffe bei etwa 20 Prozent liegt. Durch eine alarmierende Formulierung oder die Vortäuschung von Autorität konnte diese zusätzlich noch gesteigert werden.