Wie funktioniert eine Phishing Simulation?

1. Planung der Simulation
 

• Zieldefinition: Zunächst werden die Ziele der Simulation festgelegt. Möchte man das Bewusstsein für spezifische Bedrohungen (wie Spear-Phishing oder Fake-Anhänge) schärfen oder die Effektivität der bisherigen Schulungsmaßnahmen testen?
   

• Segmentierung der Teilnehmer: Es wird entschieden, wer an der Simulation teilnehmen soll. Oft wird eine Auswahl von Mitarbeitern aus verschiedenen Abteilungen gewählt, um unterschiedliche Reaktionen zu untersuchen.
   

• Phishing-Szenarien entwickeln: Die Simulation muss realistisch wirken. Szenarien könnten eine gefälschte E-Mail von der Personalabteilung enthalten ("Ihr Passwort läuft ab, klicken Sie hier zur Verlängerung") oder von einem vermeintlichen Partnerunternehmen.
   

2. Erstellung der Phishing-E-Mails
 

• Die E-Mails werden so gestaltet, dass sie realistisch und zielgerichtet wirken. Dies kann durch die Verwendung von Logos des Unternehmens, Namen von echten Kollegen und ähnlichem erreicht werden.
   

• A/B-Testen verschiedener Szenarien: Verschiedene Versionen der Phishing-E-Mail können getestet werden, um zu sehen, welche Arten von Nachrichten die meisten Mitarbeiter täuschen.
   

3. Durchführung der Simulation
 

• Versand der Phishing-E-Mails: Die simulierten E-Mails werden an die ausgewählten Mitarbeiter verschickt. Dabei sollte das Timing berücksichtigt werden – z.B. nach einer internen Ankündigung, damit die Simulation realistisch erscheint.
   

• Tracking des Verhaltens: Es wird überwacht, wie die Empfänger reagieren:

  • Klicken sie auf den Link?

  • Geben sie möglicherweise sensible Informationen ein?

  • Melden sie die E-Mail an die IT-Abteilung?
     

4. Analyse und Auswertung
 

• Ergebnisanalyse: Die Reaktionen der Mitarbeiter werden analysiert, z.B. die Klickrate, die Anzahl der Eingaben von Daten und die Häufigkeit des Meldens der E-Mail. Dies hilft dabei zu identifizieren, welche Bereiche Schulung benötigen.
   

• Risikobewertung: Es wird ermittelt, welche Gruppen oder Einzelpersonen besonders anfällig waren. Auch spezifische Muster können erkannt werden, etwa wenn bestimmte Abteilungen besonders oft klicken.
   

5. Feedback und Schulung
 

• Individuelle Rückmeldung: Mitarbeiter, die auf die Phishing-E-Mail hereingefallen sind, sollten informiert werden, oft direkt mit einer erklärenden Nachricht, die erklärt, dass dies eine Simulation war und was sie hätten erkennen sollen.
   

• Unternehmensweites Feedback: Die Ergebnisse werden anonymisiert und in aggregierter Form dem gesamten Unternehmen präsentiert. Dies soll helfen, das Bewusstsein zu schärfen und Schwachstellen zu adressieren.
   

• Zielgerichtete Schulungen: Mitarbeiter, die besonders anfällig sind, erhalten gezielte Nachschulungen, um ihr Bewusstsein für solche Angriffe zu erhöhen.
   

6. Wiederholung der Simulation
 

• Phishing-Simulationen sollten regelmäßig durchgeführt werden, um sicherzustellen, dass das Bewusstsein kontinuierlich geschärft wird und Mitarbeiter sich nicht in falscher Sicherheit wiegen.
   

Warum die Simulation wichtig ist:
 

• Realitätsnahe Tests: Die Simulation bringt das echte Verhalten der Mitarbeiter zum Vorschein und zeigt, wie sie unter realen Bedingungen reagieren würden.
   

• Verbesserung der Resilienz: Es wird nicht nur das aktuelle Wissen getestet, sondern auch auf die Notwendigkeit hingewiesen, regelmäßig auf aktuelle Bedrohungen vorbereitet zu sein.
   

Eine solche Simulation hilft, sowohl die Effektivität der bisherigen Schulungsmaßnahmen zu messen als auch gezielte Verbesserungen für zukünftige Schulungen vorzunehmen. Die Mitarbeiter sollen dadurch nicht bestraft, sondern sensibilisiert und sicherheitsbewusster gemacht werden.