In Frankreich hat ein Mitarbeiter während einer unternehmensinternen Phishing-Kampagne gleich mehrfach auf verdächtige Links geklickt. Nicht aus Versehen. Nicht aus Neugier. Mit Absicht. Und mit Ansage, denn bei den anschließenden (für den Test) nachgebauten Loginseiten gab er als Benutzernamen so Dinge wie »fuckPhishMe« oder »Spam-Warnung stinkt« ein. Anschließend flog er raus. Und spätestens jetzt beginnt die juristische Comedy. Denn der Mann hielt die Kündigung für unzulässig. Und auf seine Begründung, warum die Entlassung nichtig sein soll, muss man erst einmal kommen.

Die Argumentation des (jetzt ehemaligen) Arbeitgebers für die Kündigung des frechen Mitarbeiters hat hingegen durchaus Charme. Woher soll der Mitarbeiter wissen, ob er gerade eine interne Übung auf dem Schirm hat oder einen echten Angriff? Der Computer macht da keinen Unterschied. Der Schadcode ebenfalls nicht. Deshalb, so die Argumentation, hat der widerspenstige Kollege die internen Systeme gefährdet. Absichtlich. Wenn jemand konsequent auf alles klickt, was blinkt, gratis aussieht oder »Dringend!« im Betreff stehen hat, dann ist das bei einem echten Angreifer ungefähr so einladend wie eine Haustür mit dem Schild: »Schlüssel steckt.«

Phishing-Simulationen sind kein Computerspiel. Niemand bekommt Bonuspunkte fürs Anklicken. Die Idee ist genau umgekehrt. Man soll lernen, misstrauisch zu sein. Wer absichtlich auf verdächtige Links klickt, um zu demonstrieren, dass er sich von keiner Awareness-Kampagne bevormunden lässt, fährt vermutlich auch mit verbundenen Augen Auto und beruft sich anschließend darauf, dass der Baum überraschend kam.

Die Dreistigkeit des Mitarbeiters im Umgang mit Phishing-Tests erklärt vielleicht auch die absurde Verteidigungstaktik gegen seine Entlassung. Er argumentiert (Achtung!) mit der DSGVO. Der Datenschutzgrundverordnung. Sein Ex-Arbeitgeber hat die Phishing-Simulationen nämlich nicht selbst, sondern von einem darauf spezialisierten Drittanbieter durchführen lassen. Und dass der die (absichtlichen) Klicks und Daten speichert und verarbeitet, dem hätte der Mann schließlich niemals zugestimmt. Die Beweise für die Kündigung seien demnach widerrechtlich erlangt worden und dürfen gar nicht gegen ihn verwendet werden – so die Argumentation. Wie ein Bankräuber, der moniert, dass die Überwachungskamera keine Datenschutzerklärung am Eingang hängen hatte und er der Aufzeichnung seines Gesichts während des Raubes niemals zugestimmt hätte.

Ausgerechnet jemand, der mit einem Mausklick ein potenzielles Einfallstor für Cyberkriminelle öffnet, beruft sich anschließend auf ein Gesetz, das Menschen digital schützen soll. Datenschutz würde damit zur Airbag-Ausrede nach einem absichtlichen Frontalcrash. Die DSGVO schützt personenbezogene Daten. Sie war allerdings nie als Sicherheitsgurt für Menschen gedacht, die freiwillig auf »Jetzt Virus installieren« klicken. Zum Glück hat das auch ein französisches Gericht erkannt und die Kündigung für rechtmäßig erklärt. Der minimale Verstoß gegen die DSGVO wiegt weniger, als der Schutz des Unternehmens durch anerkannte Awareness-Maßnahmen.

Und spätestens an dieser Stelle gilt auch ein Grundsatz, den jede Firewall versteht: Nicht jeder Klick ist schützenswert.