Messen Ihre Phishing-Tests nur Klicks oder auch, ob und wie schnell ein Angriff gemeldet wird?
Ein Security-Awareness-Test zeigt, ob Mitarbeitende Phishing und unbefugte Personen im Gebäude bemerken und melden und ob die Meldung an der zuständigen Stelle ankommt. Wir nutzen standardisierte Phishing-E-Mails, die die Technik T1566 aus MITRE ATT&CK nachbilden, und Vor-Ort-Szenarien, ausgewertet nach Klick-, Eingabe- und Melderate. Gemessen wird die Zeit bis zur ersten Meldung und bis zur Bearbeitung.
Ob jemand auf einen Link klickt, ist nur die halbe Aussage. Für die Abwehr zählt, ob ein Angriff gemeldet wird und wie schnell die Meldung ankommt. Wer nach NIS2 Schulungen zur Cybersicherheit nachweisen muss, kann die Wirkung mit einer Messgröße belegen, etwa der Melderate.
Wir prüfen Meldewege und Eskalationsketten bei Phishing und unbefugtem Zutritt. Die Bearbeitung eines echten Sicherheitsvorfalls, etwa mit Forensik, gehört nicht dazu. Hier zählt nicht, wie weit ein Angreifer kommt, sondern ob jemand ihn bemerkt und ob die Meldung etwas auslöst. Wie weit ein Angreifer kommt, zeigt die Leistung Social Engineering & Phishing.
Standardisierte Mails ohne Personalisierung messen das Ausgangsniveau: Klicks, Eingaben und Meldungen als belastbare Vergleichsgröße.
Wir erfassen, wie viele Mitarbeitende einen Angriff melden, über welchen Weg und wie schnell.
Eine fremde Person bewegt sich ohne Legitimation im Gebäude. Wir beobachten, ob Empfang, Mitarbeitende und Führungskräfte sie bemerken, ansprechen oder melden.
Wir verfolgen, ob Meldungen bei der zuständigen Stelle ankommen, dort bearbeitet werden und die gewünschten Reaktionen auslösen.
Ein Security-Awareness-Test misst mit standardisierten Phishing-Mails und Vor-Ort-Szenarien, ob Mitarbeitende einen Angriff melden und über welchen Weg eine Meldung bis zur zuständigen Stelle gelangt. Gedacht ist er für Unternehmen, die Awareness-Maßnahmen und Meldewege belegen wollen. Wie weit ein gezielter Angreifer kommt, zeigen Social Engineering und Physische Infiltration. Eine spätere Wiederholung macht Fortschritt sichtbar, bei Bedarf folgt eine realistische Kampagne.
Wir legen Szenarien, Zielgruppen, Standorte und Zeitfenster fest und stimmen den Test mit Geschäftsführung, Datenschutz und Betriebsrat ab.
Wir führen die Phishing-Kampagne, den Vor-Ort-Test oder beides kontrolliert durch, mit jederzeit erreichbarem Eskalations-Ansprechpartner.
Wir werten aggregiert aus: Kennzahlen zu Klicks, Meldungen und Reaktionszeiten, ohne einzelne Personen bloßzustellen.
Wir besprechen die Ergebnisse mit Ihnen und geben konkrete Empfehlungen zu Meldewegen, Eskalation und Awareness-Maßnahmen.
Zuerst die Ergebnisse aus Phishing-Kampagne und Vor-Ort-Test, dann das Gesamtbild in Kennzahlen, dann Empfehlungen und Actionplan und auf Wunsch der Nachweis für Dritte. Eine Management Summary gehört nicht zu diesem Einzelcheck.
Klick-, Eingabe- und Melderaten aus der Phishing-Kampagne und die dokumentierten Reaktionen auf unbefugte Präsenz vor Ort, jeweils mit Zeitpunkt und Meldeweg.
Aggregierte Kennzahlen als belastbare Baseline, ohne einzelne Personen bloßzustellen, als Grundlage für Awareness-Maßnahmen in den Fachbereichen.
Konkrete Verbesserungen an Meldewegen, Zuständigkeiten und Eskalation und der passende Zeitpunkt für die Wiederholungsmessung.
Die Bestätigung des durchgeführten Awareness-Tests, ohne Einzelpersonen oder Details preiszugeben. Für ISMS-Audits und Ihre Cyberversicherung.
„Vielen Dank für die Unterstützung, unsere IT sicherer zu machen und unsere MitarbeiterInnen für die Risiken der unterschiedlichen Cyberangriffsmöglichkeiten zu sensibilisieren!“
Wolfgang Schlags, Inhaber, Reichskronen-Apotheke Dr. Schlags
Diese Prüfung misst Bemerken und Melden mit standardisierten Szenarien. Wie weit ein gezielter Angreifer kommt, zeigt sie bewusst nicht. Das leisten die folgenden Prüfungen.
Wenn die Baseline steht und Sie wissen wollen, wie weit eine personalisierte Kampagne kommt, schließt Social Engineering & Phishing an.
Zur LeistungKombinierbar, sobald neben der Reaktion auf fremde Personen auch die Wirksamkeit Ihrer Zutrittskontrollen zählt.
Zur LeistungWenn Meldungen im Security-Team ankommen, zeigt die Purple-Team-Übung, ob dort auch die technischen Spuren des Angriffs erkannt werden.
Zur LeistungSchildern Sie kurz, worum es geht. Den Zuschnitt erarbeiten wir mit Ihnen im Scoping. Für das Beratungsgespräch müssen
Sie sich nicht vorbereiten, wir führen Sie fachlich Schritt für Schritt. Ausgehend von Ihren Unternehmensabläufen und IT-Systemen ermitteln wir gemeinsam das passende Testkonzept.
Diese Fragen erreichen uns zu dieser Leistung am häufigsten. Was fehlt, klären wir gern persönlich im Beratungsgespräch.
Nein. Die Auswertung ist aggregiert. Weil Phishing-Tools Daten einzelnen Personen zuordnen können, stimmen wir den Test vorab mit Betriebs- oder Personalrat und Datenschutz ab. Reaktionen vor Ort, etwa am Empfang, fassen wir nach Funktion zusammen.
Wenn Sie einen Betriebsrat haben, sollte er in der Regel vorab eingebunden werden. Tests, die das Verhalten von Mitarbeitenden erfassen, können nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig sein. Eine aggregierte Auswertung schließt das nicht aus, wenn das Tool die Daten einzelnen Personen zuordnen kann. Wir beschreiben Ablauf, erhobene Daten und Auswertung so, dass Betriebsrat und Datenschutz sie vorab prüfen können.
In der Regel bis zu acht Stunden aktive Testzeit. Die Laufzeit einer Phishing-Kampagne stimmen wir im Scoping ab.
Nein. Die Phishing-Simulation unter Social Engineering & Phishing zeigt mit realistischen, auch personalisierten Kampagnen, wie weit ein Angreifer über den Menschen kommt. Der Security-Awareness-Test nutzt standardisierte Mails ohne Personalisierung und misst vor allem, ob gemeldet wird und wie schnell die Meldung bearbeitet wird. Das ergibt eine vergleichbare Baseline für Ihre Awareness-Maßnahmen.
Sinnvoll ist eine Wiederholung, sobald Maßnahmen an Meldewegen oder Schulungen umgesetzt sind. Erst der Vergleich mit der Baseline zeigt, ob sich etwas verändert hat. Den Abstand legen wir im Scoping passend zu Ihren Maßnahmen fest.
Wir erheben nur, was für die aggregierte Auswertung nötig ist: Klicks, Eingaben, Meldungen und Zeitpunkte. Umfang der Protokollierung, Umgang mit Eingaben und Löschfristen stimmen wir vorab mit Ihnen, Ihrem Datenschutz und bei Bedarf dem Betriebsrat ab.
Nein, sonst ließe sich die Reaktion nicht messen. Eingeweiht ist nur ein kleiner, von Ihnen benannter Personenkreis, der im Ernstfall eingreifen kann. Die Testperson trägt eine schriftliche Beauftragung bei sich, die den Auftrag belegt.
Nein. Geprüft wird, ob ein Angriff bemerkt, gemeldet und an der zuständigen Stelle bearbeitet wird, also der Meldeweg bis zur ersten Reaktion. Die Bewältigung eines echten Sicherheitsvorfalls mit Forensik und Wiederherstellung gehört nicht zum Umfang.
