Awareness-Test: Phishing-Kampagne, Level 2

Phising ist die Methode für Angreifer an Benutzernamen und Passwörter zu gelangen oder Viren und Trojaner in Ihre IT-Systeme einzuschmuggeln.

Klicken Ihre Mitarbeiter auf den Link mit der Aufforderung, dass Passwort zu ändern? Öffnet die Personalabteilung die interessante, aber gefakete Bewerbung? Wird der spannende Link angeklickt - und damit ggf. eine Sicherheitslücke im Browser ausgenutzt?

Mit dem Awareness-Test "Phishing-Kampagne" erfahren Sie, wie aufmerksam und geschult Ihre Mitarbeiter sind, an welchen Stellen Sie nachschulen sollten, um Risiken für Ihr Unternehmen abzumildern

Level 2

Level 2 bedeutet besonders individualisiert auf Ihre Organisation und sensibilisiert in Richtung Spear-Phishing. Gezielt wird versucht, Ihre Mitarbeiterinnen und Mitarbeiter zur Preisgabe von Informationen über Ihre Organisation, also z. B. die Firmenpasswörter zu bringen.

Die "Legende" mit der gearbeitet wird, ist konkret auf Ihre Organisation angepasst. Auf diese Weise wird die Glaubwürdigkeit der Kampagne und damit der Erfolg in Bezug auf die Sensibilisierung massiv erhöht.

Eingesetzt werden nur Informationen, die öffentlich verfügbar sind, die also jeder Angreifer, der es auf Ihre Passwörter abgesehen hat, auch nutzen könnte. Das bedeutet, es wird ein reales Angriffsszenario simuliert, dass ein Erpresser leicht nachbauen könnte.

Mit dem Awareness-Test: Phishing-Kampagne, Level 2, erreichen wir erfahrungsgemäß, dass über 2/3 der Benutzer Ihre vertraulichen Daten eingeben! Wir zeichnen die vertraulichen Daten selbst selbstverständlich nicht auf - obwohl wir das natürlich könnten. Wir protokollieren lediglich soweit, dass wir sicherstellen können, dass die vertraulichen Daten eingegeben wurden.

Der Ablauf

Unser "Awareness-Test: Phishing-Kampagne, Level 2" läuft nach dem Kauf wie folgt ab:

1. Sie erhalten einen Vertrag zur Auftragsverarbeitung. Da wir mit den personenbezogenen Daten Ihrer Mitarbeiter arbeiten (Anrede, Name, Vorname, E-Mail-Adresse) verarbeiten wir personenbezogene Daten.
2. Wir definieren in einem Gespräch, wie die Kampagne individualisiert aufgebaut werden kann, welche Art von Login-Webseite nachgebaut werden soll, ggf. z. B. Ihre Intranet-Seite.
   
3. Die teilen uns die Daten der Mitarbeiter mit, die eingebunden werden sollen (Anrede, Name, Vorname, E-Mail-Adresse) und die Informationen zur Individualisierung mit.
   
4. Sie definieren, ob die Mitarbeiter fast gleichzeitig oder zu stark unterschiedlichen Terminen die Phishing-Mails erhalten sollen und ob die Mitarbeiter, wenn Sie "reingefallen sind", direkt auf eine Schulungswebseite geführt werden sollen oder das Ergebnis erst einmal verborgen werden soll.
   Beide Varianten haben Vor- und Nachteile: Ein direktes Feedback an die Mitarbeiter fördert den Lerneffekt, hat aber den Nachteil, dass die Kollegen via Flurfunk "gewarnt" werden.
   
5. Am Ende der Phishing-Kampagner erhelten Sie einen Ergebnisbericht, in dem Sie erfahren, auf welche Phishing-Mail wie viele Ihrer Mitarbeiter reingefallen sind.
   Die Namen und Mailadressen der Mitarbeiter selbst teilen wir Ihnen nicht mit. Denn unser gemeinsames Ziel ist es, Ihr Unternehmen besser aufzustellen, nicht einzelne Mitarbeiter bloß zu stellen.
   

Was wird individualisiert

Je individueller, desto effektiver ist eine Grundregel des Phisings. Aus diesem Grund sind auch die Phishing-Mails des zweiten Levels individuell auf Ihr Unternehmen konstruiert:

• die Phishing-Mails sind individuell auf Ihr Unternehmen zugeschnitten, die Absender sind z. B. Personen aus Ihrer IT-Abteilung oder der Geschäftsleitung,
• die Webseiten, auf die die Besucher zur Eingabe vertraulicher Daten gelotst werden, sind optisch "Ihre" Webseiten, also die Login-Seite Ihres Intranets, die Seite Ihrer Web-Applikation, oder die Login-Seite eines Dienstleisters, die Ihre Mitarbeiter üblicherweise täglich nutzen,
  
• die Mailzugriffs-Phishing-Mails beziehen sich auf Ihren Mailserver,
• die URLs zu Abgreifen von Benutzernamen und Passwörter sind auf Ihr Unternehmen individualisiert.
  

Das Ergebnis

Als Ergebnis erhalten Sie einen Bericht, in dem Sie erfahren, auf welche Phising-Mail wie viele Ihrer Mitarbeiter reingefallen sind, in welchen Unternehmensbereichen geschult oder informiert werden sollte.

Ihre Mitarbeiter, die "reingefallen" sind, erfahren dies ggf. direkt nach dem falschen Klick und haben dadurch direkt den gewünschten Lerneffekt.

Wirkungen und Nebenwirkungen

Sie erhalten einen Überblick über die Sensibilität Ihrer Mitarbeiter.

Ihre Mitarbeiter werden aufmerksamer gegenüber Phishing-Mails und IT-Gefahren.

Die Grenzen der Technik