Fast jedes Sicherheitsprogramm misst dasselbe: Wie viele Mitarbeitende haben geklickt? Die Zahl soll runter, Quartal für Quartal. Das klingt vernünftig und ist trotzdem irreführend.
Eine Klickrate lässt sich beliebig senken. Machen Sie den Test erkennbar genug, klickt niemand. Sie messen dann nicht Ihre Widerstandsfähigkeit, sondern die Qualität Ihrer eigenen Vorlage.
Die wichtigere Frage
Was passiert, wenn jemand doch klickt?
Ein Team, in dem jemand klickt und den Vorfall in zwei Minuten meldet, ist sicherer als ein Team, das weder klickt noch meldet. Im Ernstfall zählt nicht, ob ein Mensch getäuscht wurde. Das passiert. Es zählt, wie schnell Sie davon erfahren.
Zwei Zahlen, die mehr sagen
- Die Meldequote. Wer ignoriert, schützt sich selbst. Wer meldet, schützt alle anderen mit.
- Die Reaktionszeit. Die Spanne vom Klick bis zur Meldung ist Ihr echtes Zeitfenster, bevor aus einem Fehler ein Vorfall wird.
Wer nur die Klickrate optimiert, trainiert Vermeidung. Wer Meldequote und Reaktionszeit misst, baut ein Frühwarnsystem aus Menschen.
Der Unterschied zeigt sich nicht im Reporting. Er zeigt sich an dem Tag, an dem der Angriff echt ist.