Phishing-E-Mails sind nach wie vor eine der größten Bedrohungen im digitalen Alltag – und dennoch setzen viele Unternehmen auf veraltete Abwehrmaßnahmen wie [EXTERN]-Tags, um ihre Mitarbeitenden zu schützen. Eine neue Studie zeigt: Diese Markierung ist nicht nur weitgehend ineffektiv, sondern kann sogar kontraproduktiv wirken.
Phishing bleibt auf dem Vormarsch – trotz technischer Gegenmaßnahmen
Laut dem „State of the Phish 2024“-Report von Proofpoint sahen sich 84 % der Unternehmen im vergangenen Jahr mit mindestens einem erfolgreichen Phishing-Angriff konfrontiert. Die Angreifer nutzen dabei gezielte Social-Engineering-Taktiken, gekaperte legitime E-Mail-Konten und zunehmend KI-gestützte Inhalte. Besonders tückisch: Selbst technikaffine Nutzer lassen sich in stressigen Alltagssituationen leicht täuschen – vor allem, wenn E-Mails scheinbar aus der eigenen Organisation stammen.
Als technische Gegenmaßnahme setzen viele Unternehmen auf das Einfügen eines sogenannten [EXTERN]-Tags im Betreff oder Inhalt eingehender E-Mails von außerhalb des eigenen Netzwerks. Die Intention: Mitarbeitende sollen durch den Hinweis gewarnt und misstrauisch gegenüber potenziell gefährlichen Nachrichten gemacht werden.
Neue Studie: [EXTERN]-Tags bewirken wenig – und können sogar schaden
Eine neue Studie von Forschenden der Carnegie Mellon University und der University of Florida (veröffentlicht im Mai 2024) untersuchte die Effektivität dieser Maßnahme unter realitätsnahen Bedingungen. Im Rahmen kontrollierter Experimente wurden insgesamt 3.000 Büroangestellte in simulierten Phishing-Szenarien getestet – mit und ohne [EXTERN]-Tag.
Das Ergebnis: Der Warnhinweis hatte keinen signifikanten Einfluss auf das Klickverhalten. Tatsächlich erhöhten sich in bestimmten Fällen die Klickzahlen auf Phishing-Links, weil der [EXTERN]-Tag für viele Teilnehmende vertraut wirkte und somit eher als Zeichen für eine überprüfte Mail interpretiert wurde. Besonders alarmierend: Nur 17 % der Befragten konnten den Sinn der Markierung korrekt erklären.
Die Forscher kritisieren, dass [EXTERN]-Tags zu einem „Security Theater“ gehören – also zu Maßnahmen, die oberflächlich Sicherheit vermitteln, faktisch aber keine signifikantere Schutzwirkung entfalten. Statt besserer Aufklärung entstehe so beim Personal eine trügerische Routine im Umgang mit externen Absendern.
Warum [EXTERN]-Markierungen häufig ins Leere laufen
Die Ursachen für die Ineffektivität der Tags sind vielfältig:
- Gewöhnungseffekt: Mitarbeitende sehen den Vermerk täglich und nehmen ihn irgendwann nicht mehr wahr.
- Kognitive Überlastung: In hektischen Arbeitsumgebungen analysieren Nutzer E-Mails nur oberflächlich.
- Fehlende Schulung: Viele Angestellte wissen nicht, was der Hinweis bedeutet oder wie sie darauf reagieren sollen.
Wie Studien zeigen, erreicht Awareness-Training allein oft nur kurzfristige Erfolge. Entscheidend ist deshalb ein ganzheitlicher Ansatz, der auf technischer, organisatorischer und menschlicher Ebene ansetzt.
Erfolgreiche Strategien gegen Phishing: Was wirklich hilft
Statt blind auf Einblendungen wie [EXTERN]-Hinweise zu vertrauen, sollten Unternehmen durchdachte und aufeinander abgestimmte Sicherheitsmaßnahmen ergreifen. Die folgenden Empfehlungen haben sich in der Praxis bewährt:
- Einsatz von E-Mail-Gateways mit KI-basierter Analyse: Moderne Systeme erkennen verdächtige Inhalte, fehlerhafte Header und manipulierte Domains proaktiv – deutlich effektiver als statische Tags.
- Mehrstufige Authentifizierung (MFA): Ein kompromittiertes Passwort allein reicht dadurch nicht mehr aus, um Zugriff auf wichtige Systeme zu erhalten – ein zentraler Schutz auch gegen Phishing-Folgen wie Account-Takeover.
- Simulierte Phishing-Kampagnen mit Feedback: Regelmäßige Tests helfen, Risikogruppen zu identifizieren und gezielt zu schulen. Wichtig dabei: Die Auswertung erfolgt respektvoll und soll lernfördernd sein.
Auch starke E-Mail-Schutzmechanismen wie DMARC, SPF und DKIM sollten konsequent implementiert und überwacht werden. Leider nutzen nach wie vor viele Unternehmen diese Standards nicht vollständig aus. Laut einer Studie von Valimail (Q2/2024) ist nur bei 28 % der untersuchten Domains DMARC vollständig korrekt konfiguriert.
Neuartige Ansätze: Wie sich E-Mail-Sicherheit durch Usability stärken lässt
Eine zukunftsweisende Perspektive bringt die Verbindung von Security by Design und Human-Centered Security. Dabei geht es nicht nur um Technik, sondern auch um Benutzerfreundlichkeit, Klarheit und intuitive Hinweise:
- Visuelle Risikohinweise statt kryptischer Tags: Farbcodierungen, eindeutige Warnsymbole und kurze, kontextsensitive Hinweise helfen Nutzerinnen und Nutzern beim besseren Verständnis.
- Kontextuelle Hilfen „just-in-time“: Systeme zeigen Hinweise oder Schulungsinhalte genau dann an, wenn User Inhalte öffnen – nicht irgendwann in isolierten Schulungen.
- Personalisierte Sicherheitskommunikation: Die Akzeptanz steigt deutlich, wenn Hinweise an Abteilung, Rolle und Erfahrungsgrad angepasst sind.
Ein Beispiel dafür ist das NIST-Framework für benutzerzentrierte Cybersicherheit, das in mehreren Studien (u.a. NIST SP 800-50) ausdrücklich betont, wie entscheidend der Mensch im Sicherheitskonzept ist. Ziel muss es sein, technologische Schutzfunktionen und das Verhalten der Nutzer*innen zusammenzudenken, statt sie gegeneinander auszuspielen.
Zusatztipp: Zero Trust als ganzheitliches Sicherheitsmodell
Phishing-Schutz beginnt nicht erst im Posteingang. Ein moderner Ansatz wie Zero Trust setzt voraus, dass niemals automatisch vertraut wird – weder Geräten noch Nutzern noch Netzwerken. Der Zugriff auf Dienste wird kontextabhängig, risikobasiert und kontinuierlich überprüft, wodurch kompromittierte Accounts oder schädliche Nachrichten deutlich effektiver gestoppt werden können.
In Kombination mit Live-Checks auf ungewöhnliches Verhalten (z. B. Anmeldestandorte, Datenzugriffsvolumen) lassen sich Angriffe frühzeitig erkennen. Unternehmen wie Google und Microsoft haben Zero Trust in ihren internen Architekturen bereits erfolgreich implementiert; diverse Frameworks liegen inzwischen auch KMUs offen.
Fazit: Mehr als kosmetische Warnhinweise
Die Studie zeigt klar: [EXTERN]-Tags sind mehr Symbol als Schutz – und damit keine adäquate Antwort auf hochentwickeltes Phishing. Wer IT-Sicherheit in der E-Mail-Kommunikation ernst nimmt, muss über visuelle Hinweise und statische Markierungen hinaus gehen. Die Kombination aus KI-gestützter Technik, nutzerzentrierter Gestaltung und konsequenter Sicherheitskultur bietet deutlich mehr Potenzial zur Phishing-Vermeidung.
Und nun sind Sie gefragt: Wie gestaltet Ihr Unternehmen Anti-Phishing-Maßnahmen? Welche Erfahrungen haben Sie mit [EXTERN]-Tags gemacht? Diskutieren Sie mit uns in den Kommentaren oder senden Sie uns Anregungen für weiterführende Artikel zum Thema IT-Sicherheit!
