PhishingVerhalten prüfen.
Phishing Simulation prüft, wie Menschen, Meldewege und E-Mail-Schutz auf kontrollierte Social-Engineering-Szenarien reagieren. Sie misst nicht bloss Klicks, sondern auch Meldung, Behandlung und nachhaltige Verhaltensänderung.
Marktbild: Der Markt umfasst spezialisierte Human-Risk-Plattformen, integrierte Microsoft-Funktionen und Open-Source-Werkzeuge. Entscheidend sind Zielgruppenschutz, Ausnahmen, Reporting und die Verbindung zu sinnvoller Nachbearbeitung.
Prüfen, was
tatsächlich wirkt.
Für wiederkehrende, verhältnismässige Tests von Meldeverhalten und Awareness, insbesondere bei E-Mail- und Identitätsrisiken.
Eine Simulation darf keine Blossstellung sein. Sie ersetzt weder technische E-Mail-Sicherheit noch eine faire, datenschutzgerechte Personal- und Kommunikationspraxis.
Hersteller und
Werkzeuge.
| Hersteller und Produkt | Einordnung | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|
| KnowBe4 · Security Awareness Training | Phishing Simulation und Training | Breite Kampagnen- und Trainingsprogramme | Datenschutz, Zielgruppen und Reportingmodell |
| Hoxhunt · Human Risk Platform | Adaptive Phishing Simulation | Verhaltensbasiertes Lernen und Melden | Integration in E-Mail- und Identity-Umgebung |
| Microsoft · Attack Simulation Training | Integrierte M365-Simulation | Microsoft-365- und Defender-Umgebungen | Lizenz, Freigaben und Grenzen ausserhalb M365 |
| Proofpoint · Security Awareness | Human-Centric Security | Phishing, Awareness und Reporting | Abgrenzung zu bestehendem E-Mail-Schutz |
| Cofense · PhishMe | Phishing Simulation und Reporting | Meldeverhalten und Phishing-Programme | Einbindung in SOC- und Meldeprozesse |
| Gophish · Gophish | Open-Source-Framework | Eigene, kontrollierte Kampagnen | Betrieb, Datenschutz und fehlender Herstellersupport |
Fair testen,
Melden stärken.
- Programm vorab mit Personalabteilung, Datenschutz und, wo vorhanden, Personalvertretung festlegen: Zweck, Auswertungsebene, Aufbewahrung und Verzicht auf individuelle Sanktionen.
- Szenarien aus echten Meldungen und aktuellen Angriffsmustern ableiten, im Schwierigkeitsgrad stufen und neben Links auch QR-Codes und gefälschte Anmeldeseiten abdecken.
- Zustellung über eng begrenzte, dokumentierte Ausnahmen für Absender und Simulationsinfrastruktur freischalten, ohne Schutzfunktionen generell zu deaktivieren.
- Gemeldete Simulationen beim Meldeknopf automatisch erkennen und dem Meldenden sofort Rückmeldung geben; so übt die Belegschaft das Melden, ohne das SOC zu belasten.
- Verhältnis von Meldungen zu Klicks je Kampagne und Schwierigkeitsstufe
- Median der Zeit vom Versand bis zur ersten Meldung
- Anteil wiederholter Klicks über drei Kampagnen, nur aggregiert ausgewertet
Security Awareness verantwortet Programm und Szenarien, das SOC die Behandlung echter und simulierter Meldungen. Personalabteilung und Datenschutz legen fest, welche Auswertungen auf Personenebene zulässig sind.
ISO/IEC 27001:2022 Annex A 6.3 (Sensibilisierung, Ausbildung und Schulung) und 6.8 (Meldung von Informationssicherheitsereignissen); DORA Art. 13 Abs. 6 verlangt obligatorische Sensibilisierungsprogramme für alle Beschäftigten und die Geschäftsleitung.
In der Schweiz begrenzen Art. 328b OR und Art. 26 ArGV 3 die Bearbeitung von Personaldaten und die Verhaltensüberwachung; in Deutschland ist bei personenbezogener Auswertung das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG zu prüfen.
Eine sinkende Klickrate beweist keinen Lernerfolg. Sie sinkt auch, wenn Szenarien leichter werden oder sich Vorlagen herumsprechen; aussagekräftiger ist die Melderate bei gleichem Schwierigkeitsgrad.
Vom Test
zum Nachweis.
- Zielgruppen, Ausschlüsse, Datenschutz und Eskalationsregeln vor dem Versand klären.
- Meldung einer Simulation genauso messen wie Klick oder Eingabe.
- Training passend zum Szenario zuweisen und Fortschritt mit einer späteren Simulation prüfen.
E-Mail Security · MFA · Incident Response
Die Herstellerangaben beschreiben Produktfunktionen. Ob ein Produkt den eigenen Scope abdeckt, zeigt erst ein kontrollierter Test mit den relevanten Datenquellen, Kontrollen und Betriebsgrenzen.
Security Tool Navigator · Gebiet 10
Im Gebiet Security Testing und Validation einordnen.
Diese Werkzeugklasse gehört zum Gebiet Security Testing und Validation. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.