🔍 Was beobachte ich?

Ich sehe dieses Muster in unterschiedlichen Organisationen. Die IT verschickt außerhalb der Geschäftszeiten eine Mail an alle Beschäftigten: dringend, kritisch, mit einer klaren Handlungsaufforderung. Eine zweite Stimme, die den Vorgang bestätigt, gibt es nicht. Wer die Nachricht öffnet, kann nicht prüfen, ob sie echt ist.

🎯 Was soll eigentlich erreicht werden?

Tempo. Eine kritische Lage duldet keinen Dienstweg, und alle sollen gleichzeitig erfahren, was zu tun ist. ISO 27001 verlangt in A.5.24 genau diese Reaktionsfähigkeit.

⚠️ Warum funktioniert das nicht?

Weil die Nachricht jedes Merkmal trägt, das wir seit Jahren als Warnsignal vermitteln: Zeitdruck, ungewöhnlicher Zeitpunkt, Autorität, Handlungsaufforderung. Die NIST Phish Scale führt genau diese Merkmale als Erkennungshinweise – die eigene Notfallmail sammelt sie alle ein. Damit stellt die Organisation ihre Belegschaft vor eine Wahl, die niemand gewinnen kann: handeln und das Gelernte verlernen. Oder zögern und die Lage verschärfen. Der eigentliche Punkt liegt tiefer. Niemand kann ausschließen, dass genau diese Mail der Angriff ist. Wer ein IT-Postfach übernommen hat, schreibt exakt diese Nachricht.

💡 Was funktioniert besser?

Den zweiten, unabhängigen Kanal vor dem Notfall festlegen, nicht während. Alle müssen vorher wissen, wo sie eine dringende Anweisung überprüfen können: eine Intranetseite, eine Rückrufnummer, eine zweite benannte Person. Und wer nachfragt, statt sofort zu handeln, darf dafür nie kritisiert werden.

Echtheit ist keine Eigenschaft der Nachricht. Sie ist eine Eigenschaft des Weges, auf dem sie ankommt.

📚🔍