Resilienz aufbauen und externe Leistungen gezielt nutzen

Beschaffung und Fähigkeit auseinanderhalten

Eine Organisation kann eine Plattform, ein Trainingsmodul oder externe Unterstützung beschaffen, wenn sie damit einen bestimmten Entwicklungsbedarf bearbeiten will. Ob daraus eine zusätzliche Fähigkeit entsteht, hängt von den Aufgaben ab, für die die Ressource eingesetzt werden soll, und von den Voraussetzungen ihrer Nutzung.

Ich halte deshalb die Frage nach dem vorgesehenen Beitrag für wichtiger als die Bezeichnung eines Produkts. Ein Dashboard kann Informationen zusammenführen. Wer daraus Entscheidungen ableitet, welche Befugnisse dafür bestehen und wie die Umsetzung verfolgt wird, muss zusätzlich geklärt werden.

Was eine konkrete Phishing-Studie untersucht

Grant Ho und Mitautoren untersuchen in „Understanding the Efficacy of Phishing Training in Practice“ (IEEE Symposium on Security and Privacy, 2025) zehn simulierte Phishing-Kampagnen über acht Monate bei UC San Diego Health mit mehr als 19.500 Beschäftigten. Sie betrachten jährlich vorgeschriebenes Sicherheitstraining und unterschiedliche Lernangebote, die nach einem Klick auf eine simulierte Phishing-Nachricht angezeigt wurden.

Für das jährliche Training fanden sie keinen signifikanten Zusammenhang zwischen einem kürzlich erfolgten Abschluss und einer geringeren Anfälligkeit in den Simulationen. Bei den eingebetteten Lernangeboten zeigte der kontrollierte Vergleich zwar einen statistisch signifikanten Vorteil der Trainingsgruppen; dessen absolute Größenordnung blieb jedoch gering. Bei bestimmten statischen Inhalten war häufigeres Abschließen zudem mit schlechteren späteren Ergebnissen verbunden.

Die Untersuchung betrifft diese Trainingsformen und das Klicken auf simulierte Phishing-Links. Für die Auswahl eines Trainings zeigt sie aber, warum Teilnahme und Abschluss allein die gewünschte Verhaltensänderung nicht nachweisen.

Den Beitrag zur Organisation konkretisieren

Widerstandsfähigkeit betrifft das Verhindern und Begrenzen von Störungen. Bewältigungsfähigkeit betrifft das Handeln, wenn die vorhandenen Schutzmaßnahmen nicht ausreichen. Kooperationsfähigkeit betrifft die Zusammenarbeit mit Akteuren, deren Wissen, Ressourcen oder Entscheidungen benötigt werden.

Informationsangebote können alle drei unterstützen. Für ihre Anwendung sind jedoch weitere Voraussetzungen erforderlich: verständliche Zuständigkeiten, verfügbare Ressourcen und erprobte Arbeitsweisen. Eine Schulung zur Zusammenarbeit ersetzt beispielsweise nicht die Abstimmung darüber, welche Unterstützung ein Partner tatsächlich leisten kann.

Die Beschaffung an einer überprüfbaren Aufgabe ausrichten

Ich empfehle, vor der Auswahl festzulegen, welche Aufgabe nach der Einführung anders bearbeitet werden soll. Anschließend ist zu bestimmen, welchen Beitrag das Angebot leistet und welche interne Arbeit verbleibt. Eine Erprobung kann zeigen, ob die vorgesehenen Rollen die neue Ressource unter den betrachteten Bedingungen nutzen können.

Externe Leistungen werden damit nicht abgewertet. Ihr Nutzen lässt sich genauer beurteilen, weil die Beschaffung mit einem konkreten Entwicklungsbedarf verbunden ist. Die Verantwortung für die organisatorische Einbindung und die Entscheidung über verbleibende Lücken bleibt beim Auftraggeber.

Quelle: Ho et al., „Understanding the Efficacy of Phishing Training in Practice“, 2025, insbesondere Abschnitte 3, 4.2, 5.2, 6.2 und 8.

→ Wie Rico Kerstan Resilienzfähigkeiten entwickelt: Leistungen → Das konzeptionelle Modell: Denkansatz