Phishing-Simulation, die testet, was Angreifer wirklich tun

Sie kann es, und sie sollte alles blockieren, was sie nicht kennt — das ist die Kontrolle bei der Arbeit. Die Lösung ist eine eng gefasste Ausnahme und kein Loch: die erweiterte Zustellrichtlinie von Microsoft für Phishing-Simulationen, die unsere Absenderdomains, unsere Absenderadressen und unsere Simulations-URLs benennt und nur für Simulationsverkehr gilt.

Für Microsoft-365-Mandanten gibt es außerdem eine Möglichkeit, Ausnahmen im Mailfluss für interne Empfänger ganz zu vermeiden: Simulationen werden über Microsoft Graph direkt in die Postfächer gelegt. Wenn Ihr Mailteam sich gegen einen mandantenweiten Eintrag für sichere Absender wehrt, hat es recht — und wir würden das ohnehin nicht vorschlagen.

Ihre eigene ja, und das ist oft der lehrreichste Test überhaupt — gegenüber den Systemen, die sie täglich nutzen, sind Menschen am wenigsten misstrauisch.

Fremde Marken stehen als Markenvorlagen zur Verfügung. Ob Sie einen bestimmten Lieferanten oder Partner nachahmen, ist eine Entscheidung für Sie und Ihre Rechtsabteilung, nicht für uns; wir legen die Abwägung dar, und in der Praxis vermittelt eine markenlose Nachbildung meist dieselbe Lektion ohne die Diskussion.

Nicht in verwendbarer Form, und Sie entscheiden, wie wenig aufbewahrt wird. Möglich ist: gar nichts speichern, nur unkritische Felder wie den Benutzernamen speichern, oder den Eintrag mit maskiertem Passwort speichern, das allein als schwach, normal oder stark bewertet wird.

Der Zweck des Tests ist zu wissen, dass Zugangsdaten preisgegeben wurden — und, wenn Sie die Prüfung gegen Ihr Verzeichnis einschalten, ob es ein echtes war. Das Passwort selbst vorzuhalten würde genau das Risiko schaffen, das die Simulation misst.

Monatlich passt für die meisten Organisationen: oft genug, dass eine Gewohnheit entsteht, nicht so oft, dass es zum Hintergrundrauschen wird, das niemand mehr liest.

Automatisierte Kampagnen machen das aufwandsarm, weil in jedem Zyklus ein zufälliger Anteil der Belegschaft ein anderes Szenario erhält, statt dass alle dieselbe Mail am selben Morgen bekommen. In unserem Managed-Programm ist Monat eins eine unangekündigte Basismessung, und jeder Monat danach verbindet ein Thema mit einer Simulation.

Ja, und es lohnt sich meistens. Kampagnen lassen sich auf jede Gruppe, Abteilung oder Einzelperson richten, und die Szenarien können um die Köder herum gebaut werden, die Führungskräfte tatsächlich erhalten — geteilte Vorstandsunterlagen, juristische Schreiben, Zahlungsfreigaben — statt um die Paketbenachrichtigung, die alle anderen bekommen.

Die Ergebnisse lassen sich getrennt ausweisen, damit die Leistung einer kleinen Gruppe nicht im Unternehmensdurchschnitt verschwindet — daran scheitert es sonst meistens.