Blog

Eine verdächtige E-Mail zu erkennen, ist nur die halbe Arbeit. Der Mitarbeiter muss sie auch schnell und richtig melden können. Genau an dieser Stelle entsteht bei der Kombination aus HCL Notes und Hornetsecurity eine praktische Lücke: Während sich Meldeschaltflächen in Microsoft Outlook komfortabel integrieren lassen, steht in Notes nicht ohne Weiteres ein vergleichbares Hornet-Plugin bereit.

Auf Security Awareness zu verzichten, wäre deshalb die falsche Konsequenz. Wir haben stattdessen einen HCL Agenten entwickelt, über den Notes-Anwender eine ausgewählte Nachricht direkt aus ihrem Postfach melden können. Damit wird aus einer Schulungsplattform ein nutzbarer Bestandteil des Arbeitsalltags.

Warum Security Awareness mehr als ein jährliches Training ist

Technische Schutzsysteme filtern einen großen Teil unerwünschter Nachrichten. Sie können jedoch nicht jede glaubwürdig formulierte Zahlungsaufforderung, gefälschte Freigabeanfrage oder manipulierte Anmeldung sicher erkennen. Angreifer nutzen bewusst Situationen, in denen Zeitdruck und ein plausibler geschäftlicher Kontext zusammenkommen.

Ein einmal pro Jahr absolviertes Video ändert daran wenig. Gute Security Awareness arbeitet kontinuierlich: Beschäftigte erhalten überschaubare Lerninhalte, begegnen realistischen Simulationen und bekommen eine Rückmeldung zu ihrem Verhalten. Das Ziel ist keine Kultur der Schuldzuweisung. Mitarbeiter sollen wissen, wie sie reagieren können, ohne bei jeder ungewöhnlichen Nachricht den IT-Support anrufen zu müssen.

Der organisatorische Rahmen bleibt trotzdem relevant. Meldewege, interne Ansprechpartner und der Umgang mit echten Vorfällen gehören zu einem belastbaren Sicherheitskonzept. Mehr dazu behandeln wir auch im Bereich Firewall und IT-Sicherheit.

Was der Security Awareness Service abdeckt

Der Security Awareness Service von Hornetsecurity kombiniert bedarfsgerechte E-Trainings mit simulierten Spear-Phishing-Kampagnen. Die Simulationen sollen typische Angriffsmuster möglichst realitätsnah abbilden und werden automatisiert ausgespielt. Dadurch sinkt der administrative Aufwand gegenüber Kampagnen, die jedes Mal manuell geplant und ausgewertet werden.

Zum Funktionsumfang gehören nach Herstellerangaben unter anderem:

• automatisiert zugewiesene E-Learning-Inhalte,
• simulierte und abgestufte Spear-Phishing-Angriffe,
• Auswertungen für Personen, Gruppen und das Unternehmen,
• ein Awareness Dashboard für Administration und Überblick,
• der Security Hub als zentrale Anlaufstelle für Mitarbeiter sowie
• eine Meldefunktion für verdächtige Nachrichten in unterstützten Mailumgebungen.

Automatisierung darf dabei nicht mit einem Selbstläufer verwechselt werden. Benutzerzuordnung, Datenschutz, interne Kommunikation und der Umgang mit gemeldeten Nachrichten müssen vor dem Start geklärt sein. Eine technisch aktive Kampagne ist noch keine gelebte Sicherheitskultur.

Der Employee Security Index macht Verhalten sichtbar

Mit dem Employee Security Index, kurz ESI®, bildet Hornetsecurity das beobachtete Sicherheitsverhalten als Kennzahl ab. Einbezogen werden Interaktionen mit Awareness-Maßnahmen, beispielsweise das Verhalten bei simulierten Phishing-Nachrichten. Die Auswertung ist auf Ebene einzelner Personen, definierter Gruppen und des gesamten Unternehmens möglich.

Damit lässt sich erkennen, wo weitere Lernimpulse sinnvoll sind. Eine Abteilung mit vielen externen Kontakten hat möglicherweise ein anderes Risikoprofil als ein internes Technikteam. Der Index sollte allerdings nicht als Rangliste für vermeintlich gute und schlechte Mitarbeiter missverstanden werden. Sinnvoll ist er als Steuerungsinstrument für Training und Risikobewertung.

Auch das aktive Melden einer verdächtigen oder simulierten Nachricht ist fachlich relevant. Wer eine Phishing-Mail erkennt und über den vorgesehenen Weg meldet, zeigt ein anderes Verhalten als jemand, der sie lediglich löscht. Damit dieses Signal in einer HCL-Notes-Umgebung genutzt werden kann, braucht es einen verlässlichen technischen Meldeweg.

Die Lücke zwischen Outlook und HCL Notes

Im Microsoft-Outlook-Umfeld können Anwender verdächtige Nachrichten über passende Erweiterungen direkt melden. Der Ablauf ist verständlich: Nachricht auswählen, Schaltfläche betätigen, Rückmeldung erhalten. Bei einer simulierten Nachricht kann die Plattform das gewünschte Verhalten entsprechend verarbeiten.

Für HCL Notes fehlt eine gleichwertige Standardintegration. Ein allgemeines Weiterleiten an ein Sicherheitspostfach löst das Problem nur teilweise. Dabei können Kopfzeilen verändert werden, Anhänge anders verpackt sein oder wichtige Informationen zum ursprünglichen Transportweg verloren gehen. Außerdem fehlt dem Anwender eine eindeutige Rückmeldung, ob seine Meldung verarbeitet wurde.

In der Praxis muss die Notes-Lösung deshalb mehr leisten als ein hart codiertes „Weiterleiten an“. Sie muss die ausgewählte Nachricht sauber erfassen, den vorgesehenen Empfänger verwenden und Fehler verständlich behandeln. Gleichzeitig darf der Agent nicht selbst zum unnötigen Sicherheitsrisiko werden.

Unser HCL Agent als Meldeweg

Der von uns entwickelte HCL Agent wird aus dem Notes-Client heraus für eine ausgewählte Nachricht aufgerufen. Er bereitet die Meldung für den definierten Verarbeitungsweg auf und gibt dem Benutzer eine nachvollziehbare Rückmeldung. Die konkrete Zieladresse und weitere Parameter werden nicht unkontrolliert im persönlichen Postfach gepflegt, sondern zentral für die jeweilige Umgebung festgelegt.

Bei der Entwicklung eines solchen Notesagenten sind einige Details wichtiger, als der überschaubare Dialog zunächst vermuten lässt:

• Der Agent darf nur auf tatsächlich ausgewählte Dokumente zugreifen.
• Relevante MIME-Inhalte und Mailheader müssen möglichst unverändert erhalten bleiben.
• Mehrfachmeldungen und versehentliche Aufrufe benötigen eine klare Behandlung.
• Konfigurationen wie Empfänger oder Absenderlogik sollten zentral änderbar sein.
• Fehler dürfen nicht still verschwinden, sondern müssen verständlich gemeldet werden.
• Signierung, Ausführungsrechte und ECL-Einstellungen sind vor dem Rollout zu prüfen.

Gerade der Umgang mit MIME-Nachrichten ist in LotusScript ein möglicher Stolperstein. Wird eine Mail einfach als neues Notes-Dokument aufgebaut und versendet, kann sich ihre technische Struktur verändern. Das fällt im normalen Mailverkehr kaum auf, erschwert aber unter Umständen die Analyse einer echten Phishing-Nachricht. Der Agentencode sollte deshalb immer mit Nachrichten aus der konkreten Notes- und Domino-Umgebung getestet werden.

Technische Einrichtung und kontrollierter Rollout

Vor der Einführung werden die Benutzer beziehungsweise Gruppen für den Hornetsecurity-Dienst eingerichtet und die vorgesehenen Trainingsparameter abgestimmt. Parallel klären wir, wie gemeldete Nachrichten verarbeitet werden und welche Rückmeldung der Mitarbeiter erhält. Erst danach wird der Notes-Agent passend konfiguriert, signiert und über die vorhandene Client- oder Mailtemplate-Struktur verteilt.

Aus unserer Erfahrung lohnt sich ein Pilot mit unterschiedlichen Notes-Clients, Berechtigungen und Mailformaten. Eine intern erzeugte Notes-Mail verhält sich anders als ein externer HTML-Newsletter mit eingebetteten Bildern oder eine Nachricht mit signiertem Anhang. Auch simulierte Hornetsecurity-Mails und echte verdächtige Nachrichten müssen getrennt betrachtet werden.

Zum Test gehören außerdem ECL-Abfragen, eingeschränkte Benutzerrechte, Replikation und der Betrieb über verschiedene Domino-Mailserver. Wer den Agenten lediglich mit einem administrativen Testkonto prüft, übersieht häufig genau die Berechtigungsprobleme, die später bei normalen Anwendern auftreten. Solche Integrationen gehören daher in einen sauberen Prozess für individuelle Applikationsentwicklung.

Fachliche Einordnung: Training braucht einen kurzen Meldeweg

Der Security Awareness Service liefert einen sinnvollen Rahmen, um Sicherheitsverhalten kontinuierlich zu trainieren und auszuwerten. Sein Nutzen hängt aber davon ab, ob die Beschäftigten die vorgesehenen Handlungen in ihrem tatsächlichen Arbeitswerkzeug ausführen können. Drei Menüs, ein manuell einzutragender Empfänger und eine unklare Rückmeldung sind für einen Vorgang unter Zeitdruck zu viel.

Unser Rat ist deshalb, die Notes-Integration nicht als kosmetische Ergänzung zu behandeln. Der Meldeagent muss technisch verlässlich sein, zur Hornetsecurity-Konfiguration passen und in den internen Reaktionsprozess eingebunden werden. Der LotusScript-Code kann dabei überschaubar bleiben; Konzeption, MIME-Behandlung, Rechte und Tests machen den eigentlichen Unterschied.

Drei kurze Fragen zu HCL Notes und Hornetsecurity

Ersetzt der Notesagent einen Spam- oder Malwarefilter?

Nein. Der Agent ist ein Meldeweg für Anwender. Mailfilter, Endpoint-Schutz, sichere Authentifizierung und organisatorische Prozesse bleiben weiterhin erforderlich.

Kann der Agent in jedes Notes-Mailtemplate eingebaut werden?

Ja

Ist die Auswertung einzelner Mitarbeiter datenschutzrechtlich unkritisch?

Das lässt sich nicht pauschal beantworten. Zweck, Zugriff, Aufbewahrung und interne Beteiligungsrechte sollten vor dem Start mit den zuständigen Datenschutz- und gegebenenfalls Arbeitnehmervertretungen abgestimmt werden.