Zum Inhalt springen

Cybersecurity · Social Engineering & Awareness

Üben statt Folien. Mit messbarem Ergebnis.

Wir prüfen mit abgestimmten Phishing-Mails und Täuschungsanrufen, wie gut Ihr Unternehmen Täuschung erkennt, und schulen Mitarbeitende und Geschäftsleitung anhand Ihrer eigenen Abläufe. Ausgewertet wird auf Organisationsebene, ohne Einzelne bloßzustellen.

Erstgespräch anfragenZum Projekt

kostenlos · 30 Minuten · telefonisch oder online

Akuter Sicherheitsvorfall?02151-4547786

Herausforderung

Technik allein reicht nicht.

Viele Angriffe beginnen nicht mit einer technischen Lücke, sondern mit einer glaubwürdigen Nachricht oder einem Anruf.

Glaubwürdige Täuschung

Gefälschte Mails und Anrufe wirken echt, nennen Namen, Projekte und Abläufe aus Ihrem Unternehmen.

Pflichtschulung ohne Wirkung

Einmal im Jahr durchgeklickt, danach vergessen. Ob sich etwas ändert, misst niemand.

Unklare Meldewege

Wer etwas Verdächtiges bemerkt, weiß nicht, wohin damit, oder meldet es aus Sorge vor Vorwürfen nicht.

Aus einem Projekt

Gemessen statt vermutet.

Social Engineering & Awareness

Automobilzulieferer · Mittelstand · mehrere Werke

Ausgangslage
Die Geschäftsführung ging davon aus, dass bei ihnen niemand auf Phishing hereinfällt. Geschult wurde bis dahin mit jährlichen Compliance-Folien, Simulationen gab es nicht. Auslöser war ein knapp abgewehrter CEO-Fraud bei einem Wettbewerber in der Region.
Vorgehen
Die Szenarien haben wir vorab mit Geschäftsführung, Betriebsrat und Datenschutz abgestimmt. Danach folgten mehrere Wellen von Phishing-Mails, gezielte Mails an einzelne Funktionen (Spear Phishing) und Täuschungsanrufe (Vishing). Es schlossen sich sechs Monate Awareness-Begleitung an, danach ein erneuter Test.

Ergebnis

  • Klicks auf den Link in der Phishing-Mail

    Vorher
    34 %
    Nach dem erneuten Test
    8 %

  • Eingabe von Zugangsdaten

    Vorher
    12 %
    Nach dem erneuten Test
    unter 2 %

  • Meldungen verdächtiger Mails

    Vielfaches des Ausgangswerts

    Vorher
    Ausgangswert
    Nach dem erneuten Test
    sechsmal so viele

  • Erfolgreiche Täuschungsanrufe

    Vorher
    2 von 2
    Nach dem erneuten Test
    0 von 2

Werte aus einem Projekt. Was in Ihrem Unternehmen erreichbar ist, hängt von der Ausgangslage ab.

Szenarien

Getestet wird, was Angreifer tatsächlich tun.

Welche Szenarien und welche Bereiche einbezogen werden, legen wir vorab gemeinsam fest. Gemessen wird immer dasselbe: Wird die Täuschung erkannt, und wird sie gemeldet?

  • Phishing-Wellen

    Gefälschte Mails an die Belegschaft, in mehreren Wellen und mit unterschiedlicher Schwierigkeit.

    GemessenKlicks, Eingabe von Zugangsdaten, Meldungen

  • Spear Phishing

    Gezielte Mails an einzelne Funktionen, zum Beispiel Buchhaltung, Einkauf oder Assistenz, mit Bezug auf deren Arbeit.

    GemessenKlicks, Eingaben, Meldungen in der jeweiligen Funktion

  • Täuschungsanrufe (Vishing)

    Anrufe, in denen sich jemand als Kollege, Dienstleister oder Vorgesetzter ausgibt.

    GemessenOb Informationen oder Zugänge herausgegeben werden

  • CEO-Fraud-Simulation

    Eine angebliche Anweisung der Geschäftsführung zu einer dringenden Zahlung, per Mail oder Telefon, an die Funktionen, die Zahlungen auslösen.

    GemessenOb die Anweisung hinterfragt, geprüft und gemeldet wird

Schulungen

Für die Belegschaft. Und für die Geschäftsleitung.

MitarbeitendePraxisnah und auf Ihre Abläufe bezogen: welche Anfragen bei Ihnen typisch sind, woran man eine Täuschung erkennt und wohin man einen Verdacht meldet. Die Ergebnisse der Tests fließen direkt in die Inhalte ein. Auf Wunsch auch in mehreren Sprachen.
GeschäftsleitungEin eigenes Format für die Geschäftsleitung: Risiken, Entscheidungen und die eigene Rolle im Ernstfall, in verständlicher Sprache. Die Geschäftsleitung ist häufig selbst Ziel, etwa wenn ein Angreifer in ihrem Namen eine Zahlung anweist. Über die Teilnahme erhalten Sie einen Nachweis.

Unter NIS2 billigt die Geschäftsleitung die Sicherheitsmaßnahmen, überwacht ihre Umsetzung und muss sich selbst schulen lassen.

Weitere Formate

Über das Postfach hinaus. Am Tisch, vor Ort, im Alltag.

Phishing-Mails und Anrufe zeigen, wie gut Täuschung erkannt wird. Drei weitere Formate zeigen, ob Ihre Abläufe im Ernstfall tragen, wie gut Ihr Gebäude geschützt ist und ob das Thema im Alltag präsent bleibt.

  • Tabletop-Übung

    Geschäftsleitung und Schlüsselpersonen gehen einen angenommenen Sicherheitsvorfall am Tisch Schritt für Schritt durch: Wer entscheidet, wer informiert wen, wer gibt eine Meldung frei? So zeigen sich Lücken in den Abläufen vor dem Ernstfall.

  • Tests vor Ort

    Zum Beispiel, ob jemand ohne Berechtigung ins Gebäude gelangt oder ob ein gefundener USB-Stick angeschlossen wird. Wie alle Szenarien stimmen wir physische Tests vorab mit der Geschäftsführung ab.

  • Spielerisch lernen

    Mit spielerischen Elementen (Gamification) bleibt das Thema über das Jahr präsent, statt einmal jährlich durchgeklickt zu werden. Auch hier stellen wir niemanden bloß.

Tabletop-Übungen eignen sich auch, um die Meldewege unter NIS2 zu proben. → NIS2

Ablauf

Erst messen, dann schulen.

  1. 1

    Ziele und Szenarien abstimmen

    Mit der Geschäftsführung und, wo vorhanden, mit Betriebsrat und Datenschutz: welche Szenarien, welche Bereiche, welche Zeiträume.

  2. 2

    Erste Messung

    Abgestimmte Phishing-Mails und Täuschungsanrufe zeigen, wo Ihr Unternehmen heute steht.

  3. 3

    Schulen

    Mitarbeitende und Geschäftsleitung, mit Beispielen aus der ersten Messung.

  4. 4

    Begleiten

    Über mehrere Monate, damit das Gelernte im Alltag ankommt. Im Projekt beim Automobilzulieferer waren es sechs Monate.

  5. 5

    Erneut testen

    Dieselben Messgrößen, damit der Vergleich trägt.

  6. 6

    Auswerten und nachjustieren

    Ergebnisse besprechen, Meldewege schärfen, nächste Runde planen.

Grundsätze

Fair getestet. Vorher abgestimmt.

Abgestimmt

Nichts startet ohne Freigabe der Geschäftsführung. Betriebsrat und Datenschutz beziehen wir vorher ein, wo es sie gibt.

Keine Bloßstellung

Ausgewertet wird auf Organisationsebene. Ziel ist, dass Menschen Angriffe erkennen und melden, nicht Schuldige zu finden.

Melden zählt

Die Zahl der Meldungen ist ein Erfolgsmaß. Wer einen Verdacht meldet, hat alles richtig gemacht, auch wenn er vorher geklickt hat.

Ein solcher Test kann ein Thema für die Mitbestimmung sein. Wir stimmen das vorher mit Ihnen ab. Eine Rechtsberatung ersetzt das nicht.

Ergebnis

Was Sie am Ende haben.

  • Eine Messung vorher und nachher, ausgewertet auf Organisationsebene
  • Schulungen, abgestimmt auf Ihre Abläufe, auch für die Geschäftsleitung, mit Teilnahmenachweis
  • Klare Meldewege für Verdachtsfälle
  • Auf Wunsch: Tabletop-Übung und Tests vor Ort, mit den Erkenntnissen für Ihre Abläufe und Meldewege
  • Empfehlungen für technische und organisatorische Maßnahmen

Klar geregelt

  • Einzeln buchbar.

    Jede Leistung ist einzeln buchbar, ein Paket ist nicht nötig.

  • Abgestimmt.

    Nichts startet ohne Freigabe der Geschäftsführung.

Begriffe

Begriffe, kurz erklärt.

Social Engineering
Angriffe, die Menschen täuschen statt Technik zu überwinden, etwa per Mail, Telefon oder vor Ort.
Phishing
Gefälschte Nachrichten, die zu einem Klick, einer Eingabe von Zugangsdaten oder einer Zahlung verleiten sollen.
Spear Phishing
Gezieltes Phishing an einzelne Personen oder Funktionen, mit Wissen über deren Arbeit.
Vishing
Täuschung per Telefon („Voice Phishing“), etwa durch einen angeblichen Kollegen oder Dienstleister.
CEO-Fraud
Eine angebliche Anweisung der Geschäftsführung, meist zu einer dringenden Zahlung.
Meldequote
Anteil der Empfänger, die eine verdächtige Nachricht melden. Steigt sie, erkennt Ihr Unternehmen Angriffe früher.
Tabletop-Übung
Eine Übung am Tisch: Die Beteiligten gehen einen angenommenen Sicherheitsvorfall Schritt für Schritt durch und prüfen, ob Zuständigkeiten und Abläufe tragen. Kein System wird dabei angegriffen.
Gamification
Spielerische Elemente in Schulungen, damit Lernen nicht nur Pflicht ist.

FAQ

Häufige Fragen zu Awareness und Tests.

Alle Leistungen im Bereich Cybersecurity

Verwandte Seiten

Security Consulting und HärtungReihenfolge und Umsetzung, wenn die Lage unklar ist.NIS2Pflichten, auch zur Schulung der Geschäftsleitung.ISO 27001Awareness als Teil des Managementsystems.24/7 Managed SecurityWenn trotzdem etwas durchkommt.

Wie gut erkennt Ihr Unternehmen eine Täuschung?

Im kostenlosen Erstgespräch klären wir Ziele, Szenarien und wer vorab einbezogen werden sollte. Danach erhalten Sie auf Wunsch ein Angebot. Auf Ihre Anfrage meldet sich unser Team.

Erstgespräch anfragenZum Projekt

kostenlos · 30 Minuten · telefonisch oder online

Lieber anrufen: 02151-4547786

Aktive Sicherheitsforscher im Team · Mitglied der Allianz für Cyber-Sicherheit · Zertifizierungen im Team