Social Engineering und Phishing-Simulation

Wann ein Social-Engineering-Test sinnvoll ist

• Sie wollen wissen, wie viele Mitarbeitende auf eine gut gemachte Phishing-Mail hereinfallen und wie viele sie melden.
• Zahlungen, Kontoänderungen oder Passwort-Resets werden per E-Mail oder Telefon angestoßen.
• Es gab einen Vorfall mit gefälschten Rechnungen oder einem angeblichen Anruf der Geschäftsführung.
• Eine Awareness-Schulung soll auf echten Ergebnissen aufbauen statt auf allgemeinen Folien.

Leistungen

Phishing-Simulation

Kampagnen mit Szenarien, die zu Ihrem Unternehmen passen und vorher abgestimmt werden. Gemessen wird nicht nur, wer klickt, sondern auch, wer die Mail meldet und wie schnell das Team reagiert.

Vishing und Pretexting

Telefonische Täuschungsversuche: ein angeblicher IT-Support, ein Lieferant mit neuer Bankverbindung, eine dringende Bitte von oben. Diese Tests zeigen, ob Rückfrage- und Freigabeprozesse im Alltag greifen.

Prüfung von Freigabe- und Rückrufprozessen

Ich prüfe die Prozesse, auf die sich Angreifer verlassen: Zahlungsfreigaben, Änderungen von Stammdaten, Passwort-Resets am Helpdesk. Oft ist eine kleine Prozessänderung wirksamer als jede Schulung.

Awareness-Schulung auf Basis der Ergebnisse

Die Schulung greift auf, was im Test tatsächlich funktioniert hat, und zeigt konkrete Erkennungsmerkmale. Das wirkt nachhaltiger als ein Standardkurs.

Fair und abgestimmt

• Jede Kampagne wird vorher schriftlich mit der Geschäftsführung und, wo vorhanden, mit dem Betriebsrat abgestimmt.
• Die Auswertung stellt keine einzelnen Mitarbeitenden bloß. Ergebnisse gibt es auf Ebene von Teams und Prozessen.
• Ziel ist ein Team, das Angriffe erkennt und meldet, nicht eine Liste von Schuldigen.

Wo die Technik nachhelfen kann, etwa mit phishing-resistenter Anmeldung per YubiKey oder Passkey, finden Sie das unter IT-Security & IAM. Ist bereits ein Konto übernommen worden, hilft die IT-Forensik.