Auf den Punkt: Bestrafung von Phishing-Opfern führt zu Meldungsverzögerungen, die Verweildauer von Angreifern verlängern; psychologische Sicherheit senkt diese kritische Metrik.
Unternehmen, die Mitarbeiter für Phishing-Fehler sanktionieren, treiben diese zur Vertuschung – und beschafften damit Hackern kostbare Zeit im Netzwerk. Psychologische Sicherheit reduziert die Verweildauer messbar.
Der Verizon Data Breach Investigations Report belegt, dass menschliches Handeln bei über 70 Prozent aller erfolgreichen Sicherheitsverletzungen eine zentrale Rolle spielt – meist Phishing-Klicks oder Konfigurationsfehler. In der Reaktion darauf implementieren viele Unternehmen eine Bestrafungskultur: Betroffene Mitarbeiter erhalten formale Abmahnungen, verlieren Systemrechte oder werden öffentlich in Abteilungsversammlungen bloßgestellt. Diese Strategie erzeugt einen kontraproduktiven Effekt – nicht reduzierte Klickquoten, sondern systematische Vertuschung von Vorfällen.
Die zentrale Metrik für Sicherheitswirksamkeit ist die sogenannte Dwell Time (Verweildauer): der Zeitraum zwischen dem Eindringen eines Angreifers und seiner Entdeckung durch das Security-Team. Meldet ein Mitarbeiter einen Phishing-Klick innerhalb von Minuten, können Isolation des Benutzerkontos, Sperrung aktiver Tokens und Netzwerktrennungen den Schaden deutlich begrenzen, bevor der Angreifer administrative Rechte erlangt. Verschweigt der Mitarbeiter den Vorfall aus Angst vor Konsequenzen, fehlt dem Incident-Response-Team diese Frühwarnung – die Entdeckung erfolgt oft erst Wochen später durch automatisierte Alarme, wenn der Angreifer bereits tief im System verankert ist. Eine Bestrafungskultur verlängert die Verweildauer daher um ein Vielfaches.
Das Gegenkonzept basiert auf psychologischer Sicherheit, einem Begriff der Organisationspsychologin Amy Edmondson (Harvard Business School). Psychologische Sicherheit beschreibt ein Arbeitsumfeld, in dem Mitarbeiter überzeugt sind, dass sie für das Äußern von Fragen, Bedenken oder das Eingestehen von Fehlern nicht gedemütigt oder bestraft werden. Übertragen auf IT-Sicherheit bedeutet dies: Mitarbeiter werden als Teil der Verteidigungslinie und als menschliches Sensornetzwerk verstanden. Ein Mitarbeiter, der ohne Angst vor Konsequenzen sofort meldet, dass er auf eine verdächtige Datei geklickt hat, liefert dem Sicherheitsteam wertvolle Telemetriedaten für schnelle Incident Response. Diese Transparenz verringert die Verweildauer nachweislich und ist damit ein direkter Hebel zur Schadensminderung.
Quelle: www.it-daily.net · Erschienen 28. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.