Thought Leadership
Eine Gesundheitsbehörde in Kanada hat Mitarbeiter mit einer gefälschten Mail getäuscht, um die Security Awareness zu steigern. Das Ergebnis ist eine Lehrstunde in schlechtem Timing.
Für erschöpfte Klinikmitarbeiter klang das Angebot verlockend: ein zusätzlicher bezahlter freier Tag. Es war jedoch ein kalkulierter Phishing-Test. NL Health Services, die Gesundheitsbehörde der Provinz Neufundland und Labrador, schickte die Nachricht im Rahmen einer Phishing-Übung an Beschäftigte und Ärzte.
Schlechter Zeitpunkt nach aufreibendem Rollout
Die Test-Mail erschien kurz nach der Einführung von CorCare, einem neuen Softwaresystem, das das Personal über Wochen stark beansprucht hatte. In der Nachricht wurde genau darauf Bezug genommen: Die Mitarbeiter wurden für ihren Einsatz beim Rollout gelobt und aufgefordert, einen Button zu klicken, um sich einen Bonustag zu sichern. Wer das tat, hatte den Test nicht bestanden.
Interims-CEO Ron Johnson räumte ein, dass die nötigen Kontrollschritte vor dem Versand nicht stattgefunden hätten. Das Vorgehen entspreche nicht dem Umgang, den man gegenüber den eigenen Mitarbeiter pflegen wolle. In einer Pressemitteilung heißt es zudem:
„Wir erkennen an, dass die Vorgehensweise bei dieser konkreten Übung nicht angemessen war, und entschuldigen uns aufrichtig bei den Mitarbeitern, Ärzten und Gewerkschaftsvertretern. Wir schätzen das Feedback und überprüfen derzeit, wie künftige Sensibilisierungsmaßnahmen konzipiert und kommuniziert werden. Es ist wichtig, dass sie die Perspektiven der Mitarbeiter und Ärzte sowie unsere Unternehmenswerte widerspiegeln, um eine respektvolle und unterstützende Arbeitskultur zu fördern.“
Ron Johnson, Interims-CEO bei NL Health Services
Gewerkschaft: Bewusstsein ja, aber mit Augenmaß
Die Registered Nurses Union reagierte mit scharfer Kritik. Pflegepersonal in der Region leide seit Jahren unter Personalmangel und Überlastung. In diesem Umfeld ausgerechnet freie Tage als Lockmittel einzusetzen, sei nicht nur taktlos, sondern kontraproduktiv. Die Gewerkschaft betonte, dass Schulungen zur Cybersicherheit grundsätzlich sinnvoll seien, aber Rücksicht auf die konkrete Situation der Beschäftigten nehmen müssten.
Wie gut funktionieren solche Tests überhaupt?
Besonders umstritten ist dabei der strafende Charakter vieler solcher Übungen. Wer auf eine simulierte Phishing-Mail klickt, wird in manchen Unternehmen negativ vermerkt oder muss mit Konsequenzen rechnen. Sicherheitsexperten warnen jedoch, dass genau das nach hinten losgehen kann: Wer Fehler fürchtet, meldet sie seltener. Statt einer offenen Fehlerkultur entsteht so ein Klima des Misstrauens gegenüber der IT-Abteilung.
Der Fall in Kanada zeigt, dass schlecht geplante Phishing-Übungen das Vertrauen der Belegschaft eher beschädigen als stärken. Ob mit oder ohne Strafandrohung.
(red)
