Mitarbeiter fühlten sich durch Phishing-Simulationen oftmals hintergangen, erklärt ein Security-Experte. Dadurch werde das Vertrauen in die Sicherheitsteams untergraben.

In vielen Unternehmen werden heute regelmäßig unangekündigte Phishing-Simulationen durchgeführt, um zu testen, wie zuverlässig Mitarbeiter echte Phishing-Mails erkennen und ob sie auch angemessen darauf reagieren. Matt Linton, ein Security-Manager von Google, hat sich in einem neuen Blogbeitrag gegen diese Praxis ausgesprochen und gleich mehrere problematische Begleiterscheinungen, die diese Simulationen mit sich bringen, benannt.

So behauptet Linton unter anderem, es gebe keine Anzeichen dafür, dass die Tests zu weniger erfolgreichen Phishing-Kampagnen führten. Dabei verweist er auf eine Studie von 2021 (PDF), bei der mehr als 14.000 Studienteilnehmer über einen Zeitraum von 15 Monaten simulierte Phishing-E-Mails in ihrem normalen Arbeitsumfeld erhielten.

Die Forscher kamen damals zu dem Schluss, dass diese Simulationen Mitarbeiter nicht widerstandsfähiger, sondern aufgrund unerwarteter Nebeneffekte sogar noch anfälliger für Phishing machen.