In vier von fünf Fällen aller Security Breaches sind Menschen involviert. Angreifer nutzen dabei gezielt alltägliche Verhaltensmuster wie Hilfsbereitschaft, Vertrauen oder Zeitdruck aus, um über gefälschte E-Mails an sensible Daten zu gelangen. Phishing-Simulationen helfen Unternehmen dabei, ihre Abwehrkräfte gezielt zu testen und zu verbessern.

Sinn und Zweck von simulierten Phishing-Angriffen

Phishing-Simulationen liefern Unternehmen wertvolle Erkenntnisse über ihren tatsächlichen Sicherheitsstand. Die Kampagnen verfolgen dabei klare Ziele:

• Sicherheitsbewusstsein messen: Realitätsnahe E-Mails zeigen sachlich, wie wachsam die Belegschaft im Alltag agiert.
• Meldeprozesse auf die Probe stellen: Der Weg von der Erkennung bis zur internen Warnung der IT wird unter realen Bedingungen getestet.
• Nachhaltigen Lerneffekt schaffen: Direktes Feedback schärft das Bewusstsein dauerhaft, ohne die Mitarbeitenden zu verunsichern.
• Schulungserfolge überprüfen: Die Auswertung zeigt transparent, wie wirksam bereits eingeführte Massnahmen tatsächlich sind.
• Fundierte Argumente liefern: Security-Verantwortliche erhalten belastbare Zahlen, um Budgets und Massnahmen gegenüber der Geschäftsleitung zu begründen.

Der Ablauf einer Phishing-Kampagne

Eine erfolgreiche Kampagne folgt einem klar strukturierten Prozess:

1. Kickoff: Zu Beginn wählen Sie eines von dreizehn Standard-Szenarien aus und legen die genaue Terminplanung fest.
2. Vorbereitung: Wir bereiten das gewählte Szenario technisch und inhaltlich vor.
3. Testing: Gemeinsam mit Ihnen testen wir das Szenario vorab, um eine reibungslose Durchführung zu garantieren.
4. Durchführung: Wir versenden die Phishing-Mails über einen definierten Zeitraum an die Zielgruppe, während die Reaktionen (Klicks, Meldungen) kontinuierlich erfasst werden.
5. Report: Nach Abschluss der Kampagne erstellen wir einen Bericht mit allen wichtigen Ergebnissen (Anzahl geöffneter Mails – Anzahl geklickter Links – Anzahl übermittelter Daten) und daraus resultierenden Handlungsempfehlungen.
6. Abschlussbesprechung: Auf Wunsch besprechen wir die Resultate persönlich und diskutieren zusammen mit Ihnen Ihre Optionen.

Auswahl des passenden Szenarios

Die Wahl des richtigen Szenarios richtet sich nach dem Ziel und dem aktuellen Wissensstand und Erfahrungen der Belegschaft. Ein starkes Phishing-Szenario nutzt meist Neugier, Hilfsbereitschaft oder Dringlichkeit aus. Zwei typische Klassiker verdeutlichen diese Muster besonders gut:

• IT-Umstellung: Eine gefälschte E-Mail im Namen der internen IT fordert die Mitarbeitenden auf, ihre Zugangsdaten über einen Link zu bestätigen. Weil IT-Benachrichtigungen zum Alltag gehören, ist die Hemmschwelle extrem niedrig. Angreifer nutzen hier das Grundvertrauen in die eigenen IT-Prozesse gezielt aus.
• Microsoft Teams Einladung: Eine Nachricht im gewohnten Microsoft-Teams-Design meldet die angebliche Aufnahme in ein hochrangiges Gremium wie den Verwaltungsrat. Hier greift die psychologische Falle aus der Vermutung eines Berechtigungsfehlers, Neugier und dem blinden Vertrauen in alltägliche Tools.

Neben diesen Klassikern deckt das Portfolio eine breite Palette an weiteren Angriffsmustern ab. Zu den Szenarien gehören nachgeahmte Systembenachrichtigungen bekannter Tools wie Microsoft Teams, OneDrive oder Confluence von Atlassian. Ebenfalls beliebt sind gefälschte HR-Mitteilungen zu Pflichtschulungen, Ferienkalendern oder attraktiven Mitarbeiterangeboten wie Gutscheinen und internen Geräteverkäufen. Für Einsteiger eignen sich vereinfachte Varianten mit offensichtlichen Fehlern, um das Melden von Vorfällen ohne Überforderung zu üben.

Mit diesem strukturierten Ablauf steigern Sie die Cyber-Resilienz Schritt für Schritt.

Haben Sie Fragen oder benötigen Sie Unterstützung bei der Planung und Durchführung einer simulierten Phishing-Kampagne? Wir freuen uns über Ihre Kontaktaufnahme. Weitere Services aus diesem Bereich finden Sie auf unserer Webpage «Security Awareness».

---

Mini-Handout Awareness für Mitarbeitende: Phishing und co. erkennen, verhindern oder deeskalieren