Gemeinsam legen wir fest, was der simulierte Angriff überprüfen soll, welche Gruppen von Mitarbeitenden einbezogen werden und welche Grenzen während des Tests nicht überschritten werden dürfen. Zudem definieren wir Regeln zum Schutz der Mitarbeitenden, sensibler Daten und des regulären Betriebs.

Wir erstellen ein glaubwürdiges Szenario, das auf Ihre Branche, Ihr Arbeitsumfeld und die ausgewählten Zielgruppen abgestimmt ist. Bei gezielten Angriffen können wir auch öffentlich zugängliche Informationen über das Unternehmen und seine Mitarbeitenden nutzen.

Wir starten den vereinbarten Phishing-, Vishing-, Smishing- oder einen anderen Social-Engineering-Angriff. Die Simulation erfolgt kontrolliert und ohne tatsächlich schädliche Inhalte, damit Unternehmenssysteme, sensible Daten und der reguläre Betrieb nicht gefährdet werden.

Wir beobachten, wie Mitarbeitende auf den simulierten Angriff reagieren. Dabei bewerten wir, ob sie eine betrügerische Nachricht geöffnet, auf einen Link geklickt, angeforderte Informationen bereitgestellt oder verdächtige Aktivitäten erkannt und korrekt an das Sicherheitsteam gemeldet haben.

Wir fassen die Ergebnisse in einem verständlichen Bericht zusammen, in dem wir die größten Risiken, besonders gefährdete Gruppen und Schwachstellen interner Prozesse identifizieren. Darüber hinaus empfehlen wir konkrete Maßnahmen, Schulungen und weitere Schritte zur Erhöhung der Widerstandsfähigkeit Ihrer Organisation.

Ja. Auf Grundlage der Testergebnisse können wir gezielte Cybersicherheitsschulungen entwickeln, die sich auf die häufigsten Fehler, risikoreichen Situationen und konkreten Angriffsarten konzentrieren. Mit einem anschließenden Test lässt sich überprüfen, ob sich das Sicherheitsbewusstsein und die Widerstandsfähigkeit der Mitarbeitenden verbessert haben.

Das Ergebnis umfasst eine Übersicht über die Reaktionen der Mitarbeitenden, die Identifikation besonders gefährdeter Gruppen und die Bewertung interner Prozesse. Der Bericht zeigt beispielsweise Öffnungsraten betrügerischer Nachrichten, Klicks, die Preisgabe von Informationen und korrekt gemeldete Angriffsversuche. Darüber hinaus enthält er konkrete Empfehlungen zur Verbesserung des Sicherheitsbewusstseins, der Schulungen und interner Verfahren.

Spear Phishing ist ein gezielter Phishing-Angriff, der für eine bestimmte Person oder Gruppe von Mitarbeitenden vorbereitet wird. Dabei werden Informationen über Positionen, Kollegen, Projekte oder Geschäftsbeziehungen genutzt, wodurch der Angriff glaubwürdiger wirkt als Massen-Phishing. Ja, wir testen Spear Phishing sowohl eigenständig als auch im Rahmen umfassender Red-Teaming-Übungen.

Damit der Test tatsächliche Reaktionen abbildet, werden die getesteten Mitarbeitenden in der Regel nicht vorab über das konkrete Szenario informiert. Nur bestimmte, von der Organisation benannte Personen wissen über den Test Bescheid. Umfang, Regeln, Auswertungsmethode und Schutz der Mitarbeitenden werden immer vor Beginn des Tests festgelegt.

Ja. Der Test erfolgt nach einem zuvor genehmigten Szenario und ohne tatsächlich schädliche Inhalte. Wir legen die Grenzen so fest, dass Unternehmenssysteme, sensible Daten, Mitarbeitende und der reguläre Betrieb nicht gefährdet werden.

Wir testen Phishing, Spear Phishing, Whaling, Vishing, Smishing, Spoofing, Pretexting und ausgewählte Szenarien des physischen Social Engineerings, beispielsweise Tailgating. Die einzelnen Techniken können wir entsprechend der Umgebung, Risiken und Sicherheitsziele der Organisation kombinieren.

Social Engineering ist ein Oberbegriff für Angriffe, die Menschen manipulieren. Phishing ist eine der häufigsten Formen und erfolgt hauptsächlich per E-Mail. Zu den weiteren Formen gehören Vishing, Smishing, Pretexting und Tailgating.

Ja. Wir können den Test auf bestimmte Teams, Positionen oder Mitarbeitende mit Zugriff auf sensible Daten und Systeme ausrichten. Häufig getestete Zielgruppen sind die Geschäftsleitung, IT-Administratoren, Finanzabteilungen, Helpdesks und Rezeptionsmitarbeitende.

Die geeignete Häufigkeit hängt vom Risikoprofil der Organisation, den Ergebnissen des ersten Tests und Veränderungen im Arbeitsumfeld ab. Wir empfehlen regelmäßige Wiederholungen sowie zusätzliche Tests nach Schulungen, wesentlichen Prozessänderungen oder der Einstellung einer größeren Zahl neuer Mitarbeitender. Ein Folgetest zeigt, ob die umgesetzten Maßnahmen tatsächlich wirksam sind.

Ja. Wir entwickeln das Szenario auf Grundlage Ihrer Branche, Ihres Arbeitsumfelds, Ihrer internen Prozesse und der ausgewählten Zielgruppen. Bei gezielten Tests können wir auch öffentlich zugängliche Informationen über das Unternehmen und seine Mitarbeitenden nutzen, damit die Simulation realen Bedrohungen entspricht.

Social-Engineering-Tests konzentrieren sich vor allem auf den menschlichen Faktor, die Reaktionen von Mitarbeitenden und die Meldung verdächtiger Aktivitäten. Red Teaming überprüft die Widerstandsfähigkeit der gesamten Organisation und kann Social Engineering mit digitalen Angriffen, physischem Eindringen und der Reaktion des Sicherheitsteams kombinieren.