Jedes Postfach ein Sensor. Jede Meldung beantwortet.

War es eine unserer Simulationen, wird es der Person gutgeschrieben und hebt ihren Meldewert — genau dieses Verhalten soll das Programm erzeugen. War es eine echte Mail, geht sie in die Untersuchungsplattform: zuerst regelbasierte Prüfungen, dann Links und Anhänge gegen mehrere Reputationsquellen, danach die Kopfzeilen — SPF, DKIM, DMARC, die Received-Kette — sowie die Reputation von Absenderdomain und Mailserver. Die endgültige Einschätzung trifft ein Mensch, und die Maßnahme wird auf jedes Postfach angewendet, das die Mail erhalten hat: finden, löschen, in Quarantäne verschieben oder umlegen. Wer gemeldet hat, erfährt in der eigenen Sprache, was daraus wurde.

Weil die Prüfungen Zeit brauchen — und gerade die, die Zeit brauchen, sind die wertvollen. Threat-Intelligence-Abfragen, Regelabgleich und alle automatischen Maßnahmen müssen abgeschlossen sein, bevor ein Fall vollständig ist, und genau dann wird er als abgeschlossen markiert.

Eindeutige Fälle schließen sich über Playbooks automatisch. Der Rest wartet auf eine Analystin, und das ist Absicht und kein Rückstau.

Sie sehen auf unterschiedliche Daten, und zu unterschiedlichen Zeitpunkten. Dieselbe URL kann in einer Quelle unbedenklich sein, in einer zweiten unbekannt und in einer dritten bösartig — am häufigsten in den ersten Stunden einer neuen Kampagne, also genau dann, wenn eine Meldung am meisten zählt.

Deshalb wird das Ergebnis zu einem einzigen Risiko-Score verbunden statt als Reihe von Urteilen gezeigt, und deshalb sieht sich ein Mensch alles an, was nicht eindeutig ist.

Eine App-Registrierung mit Administratorzustimmung, einschließlich mandantenweitem Lesen und Schreiben von Postfächern.

Das ist eine weitreichende Berechtigung, die man verstehen und nicht nur freigeben sollte: Sie erlaubt es, eine Phishing-Mail in jedem Postfach zu finden und zu entfernen, das sie erhalten hat, und nicht nur im Postfach der meldenden Person. Ohne sie kann der Service eine Meldung analysieren, aber auf das Ergebnis nicht reagieren. Wir gehen die vollständige Berechtigungsliste mit Ihrem Sicherheitsteam durch, bevor etwas erteilt wird.

Nein. Die Analyse funktioniert für sich: Meldebutton, Auswertung und Entfernung hängen nicht davon ab, dass Simulationen laufen, und manche Kunden kaufen nur das.

Zusammen verstärken sie sich allerdings, und zwar sichtbar — Menschen melden deutlich mehr, wenn sie gesehen haben, dass Melden zu etwas führt.