Technologie
Widerstandsfähigkeit gegen Phishing und verdächtige Nachrichten

Widerstandsfähigkeit gegen Phishing und verdächtige Nachrichten

Diese Umfrage bewertet die Widerstandsfähigkeit von Mitarbeitenden gegenüber Phishing und verdächtigen Nachrichten: wie häufig solche Versuche auftreten, wie sicher sie Risiken erkennen, welche Maßnahmen sie ergreifen, wie klar und bequem der Melde-/Eskalationsprozess ist und welche Maßnahmen das Risiko am besten senken (Schulungen, Hinweise, Tools, Kommunikation).

Vorlage verwenden

Die Umfrage zur Widerstandsfähigkeit gegen Phishing und verdächtige Nachrichten hilft Ihnen einzuschätzen, wie gut Ihr Team auf Social-Engineering-Angriffe vorbereitet ist. Sie zeigt, wie oft Mitarbeitende auf verdächtige E-Mails und Nachrichten stoßen, wie sicher sie diese erkennen und wie sie reagieren. Die Ergebnisse machen sichtbar, wo das Sicherheitsbewusstsein trägt und wo ein einziger Klick zum Einfallstor werden könnte.

Was die Umfrage „Widerstandsfähigkeit gegen Phishing und verdächtige Nachrichten“ misst

Die Umfrage bildet die gesamte Phishing-Expositionskette ab: wie häufig verdächtige Nachrichten auftreten und über welche Kanäle (E-Mail, Unternehmens-Messenger, SMS, Anrufe, soziale Netzwerke, Kollaborationstools), wie sicher die Mitarbeitenden einen Angriff erkennen, bevor sie einen Link anklicken, eine Datei öffnen oder Daten eingeben, und welche Warnsignale sie tatsächlich bemerken — Dringlichkeit und Druck, Abfrage von Zugangsdaten, seltsame Absenderdomains, unerwartete Anhänge, verkürzte Links, Tippfehler oder die Aufforderung, den üblichen Prozess zu umgehen. Sie erfasst außerdem das reale Verhalten bei Verdacht, wie klar und bequem der Meldeprozess ist, was die Eskalation verhindert und welche Maßnahmen priorisiert würden.

Für wen die Vorlage „Widerstandsfähigkeit gegen Phishing und verdächtige Nachrichten“ geeignet ist

Sie passt zu Security- und IT-Teams, CISOs und Verantwortlichen für Awareness-Programme, die vor oder nach Schulungen und Phishing-Simulationen eine Ausgangsbasis brauchen. HR und interne Kommunikation können damit ihre Botschaften schärfen, und Führungskräfte verteilter oder fluktuationsstarker Teams erkennen, wo die menschliche Ebene am schwächsten ist. Geeignet für Unternehmen jeder Größe — vom einzelnen Büro bis zu mehreren Standorten und Remote-Mitarbeitenden.

Wie Sie die Vorlage an Ihre Bedürfnisse anpassen

Passen Sie die Kanalliste an die tatsächlich genutzten Tools an und ersetzen Sie „Security/IT“ durch Ihren echten Melde-Alias oder -Button. Wenn Sie Phishing-Simulationen durchführen, ergänzen Sie eine Frage zu den letzten Ergebnissen; in regulierten Branchen fügen Sie Punkte zu Datenschutzregeln hinzu. Für sehr kleine Teams können Sie die Häufigkeitsfrage entfernen, die Liste der Warnsignale kürzen oder eine Verzweigung einbauen, sodass Personen, die „ich weiß nicht, wo ich melden soll“ angeben, eine Folgefrage erhalten, was das Melden erleichtern würde.

Fragen und Antwortoptionen

Fragetyp: Einzelauswahl.
Antwortoptionen:
— Fast täglich
— Mehrmals pro Woche
— Etwa einmal pro Woche
— Mehrmals pro Monat
— Seltener
— Ist mir nicht aufgefallen
Fragetyp: Mehrfachauswahl.
Antwortoptionen:
— Arbeits-E-Mail
— Unternehmens-Messenger/Chats
— SMS/Textnachrichten
— Anrufe/Sprachnachrichten
— Soziale Netzwerke/öffentliche Messenger
— Kollaborationstools (Aufgaben, Dokumente, Tickets)
Fragetyp: Mehrfachauswahl.
Antwortoptionen:
— Dringlichkeit und Druck („dringend“, „sonst wird der Zugriff gesperrt“)
— Aufforderung, Login/Passwort/Bestätigungscode einzugeben
— Verdächtige Absenderadresse oder Domain
— Unerwartete Anhänge oder Aufforderung, eine Datei herunterzuladen
— Link führt zu einer ungewöhnlichen oder verkürzten Adresse
— Tippfehler, Fehler im Text oder seltsame Formulierungen
— Aufforderung, den üblichen Prozess zu umgehen (zahlen, Bankdaten ändern, Zugriff teilen)
— Thema passt nicht zu Ihrer Rolle/Ihren Aufgaben
Fragetyp: Mehrfachauswahl.
Antwortoptionen:
— Ich öffne keine Anhänge und klicke keine Links an
— Ich prüfe Absender und Linkadresse (Domain/URL)
— Ich verifiziere die Anfrage über einen anderen Kanal (schreiben/anrufen)
— Ich melde es über den offiziellen Kanal an Security/IT
— Ich markiere es als Spam/Phishing (wenn verfügbar)
— Ich lösche die Nachricht
— Ich frage Kolleg:innen/Vorgesetzte, was zu tun ist
Fragetyp: Mehrfachauswahl.
Antwortoptionen:
— Ich weiß nicht, wo/wie ich melden soll
— Es dauert zu lange / ist zu kompliziert, eine Meldung abzugeben
— Ich bin nicht sicher, ob es wirklich Phishing ist
— Ich habe Sorge, dass es ein „Fehlalarm“ ist
— Ich habe keine Zeit, mich damit zu befassen
— Ich sehe nach Meldungen keine Ergebnisse oder Rückmeldung
— Es gibt keinen bequemen Button/kein Tool zum Melden
Fragetyp: Rangfolge.
Antwortoptionen:
— Kurze Anleitung mit Phishing-Beispielen und „was zu tun ist“
— „Phishing melden“-Button in E-Mail/Messenger
— Schnelles Feedback zu gemeldeten Nachrichten (Status/Ergebnis)
— Regelmäßige kurze Trainings/Simulationen (5–10 Minuten)
— Klarer, einheitlicher Meldekanal (Chat/Formular) und dessen Bekanntmachung
— Zusätzliche technische Filter und Warnhinweise für Links/Anhänge
— Klare Regeln: welche Daten niemals geteilt werden dürfen und wie bei solchen Anfragen zu handeln ist

Ähnliche Umfragevorlagen

Häufig gestellte Fragen

Sie listet die Hinweise auf, die Mitarbeitende laut eigener Aussage stutzig machen: Dringlichkeit und Druck, die Aufforderung, Login, Passwort oder Bestätigungscode einzugeben, verdächtige Absenderadressen und Domains, unerwartete Anhänge, ungewöhnliche oder verkürzte Links, Tippfehler und seltsame Formulierungen, die Bitte, den üblichen Prozess zu umgehen, sowie Themen, die nicht zur Rolle der Person passen.
Ja. Eine Frage erhebt gezielt, in welchen Kanälen verdächtige Nachrichten auftauchen — Arbeits-E-Mail, Unternehmens-Messenger und Chats, SMS, Anrufe und Sprachnachrichten, soziale Netzwerke sowie Kollaborationstools wie Aufgaben- oder Ticketsysteme — damit Sie sehen, wo Angriffe ankommen, nicht nur im Posteingang.
Eine Bewertungsfrage misst, wie klar und bequem das Melden empfunden wird, und eine weitere zeigt die Hürden: nicht zu wissen wohin, ein zu langsamer Prozess, Unsicherheit ob es wirklich Phishing ist, Angst vor einem Fehlalarm, Zeitmangel, fehlende Rückmeldung oder das Fehlen eines bequemen Melde-Buttons.
Die letzte Frage lässt Mitarbeitende auswählen, welche Maßnahmen zuerst umgesetzt werden sollen — ein Phishing-Leitfaden, ein „Phishing melden“-Button, schnelles Feedback zu Meldungen, kurze regelmäßige Simulationen, ein einheitlicher Meldekanal, technische Filter oder klare Regeln zum Datenschutz — damit Ausgaben zu dem passen, was die Belegschaft tatsächlich nutzen würde.