Die eine Mail,die niemandhinterfragt.
Eine Phishing-Simulation zeigt nicht, wer unaufmerksam ist. Sie zeigt, welche Maschen bei Ihnen funktionieren und wo eine kurze Erklärung mehr bewirkt als eine weitere Richtlinie.
Warum viele Simulationen mehr schaden als nützen
Vier Fehler, die eine gute Idee verbrennen.
Alle bekommen dieselbe Mail am selben Tag
Nach zehn Minuten weiß es das ganze Haus, und ab dann misst die Simulation nur noch, wie schnell sich Nachrichten im Flur verbreiten.
Die Testmail ist zu offensichtlich
Wer nur plumpe Fälschungen verschickt, bestätigt das falsche Gefühl von Sicherheit. Angreifer verschicken keine plumpen Fälschungen.
Wer klickt, wird gemeldet
Sobald eine Auswertung Namen an Vorgesetzte trägt, entsteht Angst statt Aufmerksamkeit. Vorfälle werden danach nicht mehr gemeldet, sondern verschwiegen.
Nach dem Klick passiert nichts
Eine Simulation ohne anschließende Erklärung ist eine Statistik. Der Lerneffekt entsteht erst in dem Moment, in dem jemand versteht, woran es zu erkennen gewesen wäre.
So läuft eine Simulation bei Conbool
Vorbereiten, streuen, erklären.
1. Kreis und Masche wählen
Sie legen fest, welche Abteilungen teilnehmen und an welchen Maschen sich die Nachrichten orientieren sollen.
2. Zeitlich verteilt versenden
Die Nachrichten gehen gestreut über Tage hinaus, damit sich die Simulation nicht selbst ankündigt.
3. Sofort erklären
Wer reagiert hat, bekommt unmittelbar eine kurze Einheit zu genau dieser Masche, ohne Meldung an Dritte.
Was die Simulation ausmacht
Sechs Punkte, die über die Wirkung entscheiden.
Realistische Vorlagen
Die Nachrichten orientieren sich an Maschen, die tatsächlich im Umlauf sind, und nicht an offensichtlichen Testmails.
Streuung über die Zeit
Versand verteilt statt gebündelt, damit das Ergebnis den Alltag abbildet und nicht die Flurfunkgeschwindigkeit.
Erklärung statt Meldung
Auf die Reaktion folgt eine kurze Einheit, keine Benachrichtigung an Vorgesetzte.
Auswertung auf Gruppenebene
Ergebnisse je Abteilung und Zeitraum, ohne Rangliste einzelner Beschäftigter.
Ihr Postfach hat das Speicherlimit erreicht
it-service@postfach-verwaltung.net
Das war eine Simulation
Die Absenderdomäne gehört nicht zu Ihrem Unternehmen. Bei echten Meldungen dieser Art hilft ein Blick auf die Adresse hinter dem Anzeigenamen.
Wer nicht reagiert hat, bekommt nichts. Es gibt keine Rangliste und keine Meldung an Vorgesetzte.
Erst die Nachricht, dann die Erklärung.
Die Simulation endet nicht mit einem Klick, sondern mit einer kurzen Erklärung. Der Lerneffekt entsteht genau in dem Moment, in dem jemand versteht, woran es zu erkennen gewesen wäre.
Vorlagen orientieren sich an echten Maschen
Versand über Tage verteilt
Erklärung sofort, ohne Meldung an Dritte
Auswertung nur auf Gruppenebene
Simulation gegen reine Unterweisung
Was beide Wege leisten.
Mit Simulation | Nur Unterweisung | |
|---|---|---|
| Verhalten im Alltag wird sichtbar | ja | nein |
| Schulung trifft die tatsächliche Schwäche | ja | nein |
| Entwicklung über die Zeit messbar | ja | nein |
| Nachweis über eine Anwesenheitsliste hinaus | ja | nein |
| Abstimmung mit dem Betriebsrat nötig | ja | in der Regel nicht |
Die letzte Zeile ist bewusst keine Wertung. Eine Simulation wertet Verhalten aus und ist deshalb mitbestimmungsrelevant, eine reine Unterweisung meist nicht.
Häufige Fragen
Ist eine Phishing-Simulation überhaupt erlaubt?
Was passiert mit jemandem, der klickt?
Woran misst man den Erfolg?
Wie oft sollte simuliert werden?
Kann man ganze Abteilungen ausnehmen?
Was ist der Unterschied zum Phishing-Schutz?
Verwandte Lösungen
Security Awareness Training
Schulung, die sich gegenueber einer Pruefung belegen laesst.
NIS2-Schulungspflicht
Was Paragraf 30 und Paragraf 38 BSIG konkret verlangen.
Phishing-Schutz
Die technische Abwehr, bevor eine Nachricht den Menschen erreicht.
NIS-2 E-Mail-Sicherheit
Alle E-Mail-Anforderungen nach Paragraf 30 BSIG im Ueberblick.
Erste Runde gemeinsam planen
Wir legen Empfängerkreis, Maschen und Auswertung mit Ihnen fest und besprechen das Ergebnis danach.