Ist eine Phishing-Simulation rechtlich zulässig?
Das hängt vom Einzelfall ab und ist rechtlich zu beurteilen. In der Praxis gehören ein Auftrag der Geschäftsführung, ein klarer Zweck und eine datenschutzkonforme Auswertung dazu. Diesen Rahmen planen wir mit Ihnen, bevor das erste Szenario startet, einschließlich der Frage, ob Ihre Datenschutzverantwortlichen und, wo vorhanden, der Betriebsrat einzubinden sind. Die rechtliche Beurteilung liegt bei Ihnen bzw. Ihrer Rechtsberatung; wir leisten keine Rechtsberatung, liefern aber die Informationen zu Szenario, Ablauf und Auswertung, die Sie für diese Entscheidung brauchen.
Werden einzelne Mitarbeitende bloßgestellt?
Nein, das Ziel ist nicht, Einzelne vorzuführen, sondern Abläufe und Schutzmaßnahmen zu verbessern. Wer auf eine gut gemachte Simulation hereinfällt, zeigt vor allem, wo Prozesse und Awareness nachgeschärft werden sollten. Wir empfehlen deshalb eine Auswertung nach Bereichen oder Standorten statt nach Personen. Wie detailliert ausgewertet wird und wer welche Ergebnisse sieht, legen wir vor dem Start gemeinsam mit Ihnen fest.
Wie oft sollten wir Phishing-Simulationen durchführen?
Das hängt von Ihrem Ziel ab: Eine einzelne Kampagne zeigt den Ist-Stand, wiederholte Kampagnen zeigen, ob Ihre Awareness-Maßnahmen wirken. Sinnvoll ist ein erneuter Test vor allem nach Schulungen und nach größeren Veränderungen, etwa neuen Prozessen, Standorten oder Werkzeugen. Für vergleichbare Ergebnisse sollten Szenarien im Schwierigkeitsgrad ähnlich sein, im Inhalt aber variieren, damit nicht nur ein bekanntes Muster wiedererkannt wird.
Was ist der Unterschied zu einer Awareness-Schulung?
Eine Awareness-Schulung vermittelt Wissen, ein Social Engineering Assessment misst, wie Ihr Unternehmen auf echte Täuschungsversuche reagiert. Das Assessment ersetzt keine Schulung, sondern zeigt, wo sie ansetzen sollte und ob sie wirkt. Optional binden wir die Ergebnisse in Ihre Security-Awareness-Kampagnen ein und geben Empfehlungen zur Awareness-Stärkung, abgestimmt auf die Bereiche und Szenarien, in denen die Simulation am häufigsten erfolgreich war.
Was wird bei einer Simulation gemessen?
Bei Spear-Phishing messen wir Öffnungen, Klicks und Eingaben, bei Media-Drop-Tests den Anschluss des Mediums, das Öffnen von Inhalten und die Ausführung von Skripten. Aus diesen Kennzahlen wird sichtbar, an welcher Stelle eine Täuschung greift: schon beim Öffnen, erst beim Klick oder bei der Eingabe von Daten. Diese Einordnung ist die Grundlage für Empfehlungen, die gezielt an Prozessen und Awareness ansetzen statt pauschal.
Wer führt die Simulationen durch?
Bei snapSEC planen und begleiten erfahrene Red Teamer die Simulationen, mit technischem Know-how und psychologischem Feingefühl. Unser Team bringt über 20 Jahre Erfahrung in IT-Sicherheit mit und simuliert gezielte Angriffe realistisch, aber kontrolliert. Jedes Szenario entsteht individuell für Ihr Unternehmen und berücksichtigt Kultur, Prozesse und Risiken. Ansprechpersonen auf Ihrer Seite sind während der Durchführung eingebunden, damit jederzeit klar ist, was gerade läuft.
Worin unterscheidet sich das Assessment vom Red Teaming?
Ein Social Engineering Assessment konzentriert sich auf den Menschen als Einfallstor und misst die Reaktion auf Täuschung. Red Teaming verfolgt dagegen ein definiertes Ziel und kombiniert Social Engineering und Phishing mit Lateral Movement und Angriffen auf das Active Directory, um zu prüfen, ob ein Angreifer sein Ziel erreicht und ob Ihre Erkennung anschlägt und ob Ihre Reaktion greift. Das Assessment eignet sich daher als fokussierter Einstieg, Red Teaming als umfassender Test der gesamten Verteidigung.
Können Sie auch Standorte testen, an denen Sie nicht vor Ort sind?
Ja, präparierte USB-Sticks, QR-Codes oder ähnliche Medien können wir gezielt in Büroumgebungen platzieren oder an Ihre Standorte versenden. Phishing-Kampagnen sind ohnehin ortsunabhängig. So lassen sich auch verteilte Organisationen mit mehreren Niederlassungen einheitlich prüfen und Standorte miteinander vergleichen. Welche Standorte teilnehmen und wie die Medien verteilt werden, legen wir in der Planung gemeinsam mit Ihnen fest.
