Organisatorische Betrachtung der Durchführung eines Phishing-Awareness-Trainings
Creators: name: Zimmermann, Severin
Publisher: name: ZHAW Zürcher Hochschule für Angewandte Wissenschaften
Year: 2023
Subjects: 005: Computerprogrammierung, Programme und Daten

description: In den letzten Jahren haben Phishing-Angriffe immer mehr zugenommen. Diese Tendenz wird unter anderem durch den Faktor «Mensch» geprägt, welcher für die Mehrheit der Cybersicherheitsvorfälle verantwortlich ist. Um sich vor Phishing-Angriffen zu schützen, wird in der Praxis vermehrt auf das Phishing-Awareness-Training zurückgegriffen. Dementsprechend wird das Thema «Phishing-Awareness-Training» in der wissenschaftlichen Literatur umfangreich diskutiert. Dabei wird mehrheitlich auf die Effektivität oder auf bestimmte Methoden und Tools von Phishing-Awareness-Trainings eingegangen. Hingegen kaum untersucht wird in der wissenschaftlichen Literatur die organisatorische Sicht eines Phishing-Awareness-Trainings.
Die vorliegende Arbeit greift diese Lücke auf und untersucht die Durchführung eines Phishing-Awareness-Trainings aus der organisatorischen Sicht. Zu diesem Zweck wird das Technology-Organization-Environment-Framework kurz TOE-Framework verwendet. Für jeden Blickwinkel aus dem TOE-Framework werden in der Arbeit Chancen und Risiken ermittelt. Ebenfalls wird in der Arbeit untersucht, wie ein Phishing-Awareness-Training bei den Mitarbeitenden aufgenommen wird.
Die Ermittlung der Chancen und Risiken aus den TOE-Blickwinkeln erfolgt zum einen anhand einer systematischen Literaturrecherche, zum anderen anhand von Experten:inneninterviews. Bei beiden Vorgehen werden eine deduktive und eine induktive Kategorienbildung angewendet. Die Untersuchung der Wahrnehmung des Trainings bei den Mitarbeitenden erfolgt anhand eines bereits erhobenen Datensatzes aus dem OptiPhish-Projekt, welcher mittels einer deduktiven und induktiven Kategorienbildung ausgewertet wird. Die Erkenntnisse, die aus der Literaturrecherche, den Experten:inneninterviews und dem Datensatz resultieren, werden einander gegenübergestellt und miteinander verglichen.
Aus der Gegenüberstellung resultierten in allen Bereichen des TOE-Frameworks generelle Chancen und Risiken. Die Chancen beinhalten unter anderem Risikominimierungen, die Sensibilisierung der Mitarbeitenden auch im Privatleben, das Aufzeigen technischer Grenzen bei der Abwehr von Phishing-Angriffen und die Reduzierung rechtlicher Konsequenzen. Ausserdem ergaben sich generelle Risiken, die unter anderem Folgende umfassen: hohe Zeitaufwendungen bei den Mitarbeitenden, Verärgerung der Mitarbeitenden, Erstellungen von Sicherheitslücken bei Freischaltungen als auch weitere Risiken. Neben den generellen Risiken ergaben sich auch gestalterische Chancen und Risiken, welche sich anhand des Aufbaus des Trainings ergeben, wie beispielsweise die Erkennung echter Phishing-Angriffe oder die Überlastung des Servicedecks, wenn eine Meldeplattform integriert wird.
Aufgrund der zunehmenden Bedrohung durch Phishing-Angriffe wird für die Praxis ein kontinuierliches Phishing-Awareness-Training angeraten. Für die Implementierung des Phishing-Awareness-Trainings wird ebenfalls empfohlen, die in dieser Arbeit ermittelten generellen und gestalterischen Chancen und Risiken zu beachten. Jedoch sollten die Chancen und Risiken industrie- und landesspezifisch beurteilt werden.