Social Engineering & Phishing-Simulation
Menschen sind das häufigste Angriffsziel, und die meisten Sicherheitsvorfälle beginnen damit, dass jemand dazu gebracht wird, zu klicken, zurückzurufen oder einen Code herauszugeben. Wir führen autorisierte Phishing-, Spear-Phishing-, Vishing- und Smishing-Kampagnen durch, um dieses menschliche Risiko zu messen und zu prüfen, ob Ihre Erkennung und Ihre Meldewege tatsächlich greifen. Es ist eine Lernübung, die Widerstandsfähigkeit aufbauen soll, nicht Menschen vorführen.
Die menschliche Angriffsfläche
Social Engineering zielt auf Menschen, und zwar über die Kanäle, die Angreifer tatsächlich nutzen. Wie ein echter Angreifer stützen wir uns auf OSINT und entwerfen realistische, autorisierte Szenarien für E-Mail, Telefon und SMS. Wir messen sowohl die Anfälligkeit als auch, wie gut Ihr Erkennungs- und Reaktionsprozess funktioniert.
- Phishing: breite, realistische E-Mail-Kampagnen, die Klick- und Übermittlungsraten messen
- Spear-Phishing: gezielte, OSINT-gestützte Köder gegen benannte Rollen
- Vishing: Anrufe mit Sprach-Vorwand (z. B. Help-Desk- und MFA-Reset-Szenarien)
- Smishing: SMS-basierte Vorwände und Zustellung schädlicher Links
- Realismus von Payload und Landing-Page (Anmeldedaten-Erfassung, Anhang, MFA-Prompt)
- Erkennung und Meldung: Haben die Controls und die Menschen reagiert?
Realistisch, autorisiert, ATT&CK-abgebildet
Jede Kampagne ist ausdrücklich autorisiert und läuft innerhalb vereinbarter Rules of Engagement. Mit OSINT entwerfen wir glaubwürdige Vorwände und bilden die Techniken auf die MITRE-ATT&CK-Taktiken Initial Access und Reconnaissance ab. Ziel ist der Lerneffekt: Wir berichten über Muster und Prozesse, um Awareness und Reaktion zu verbessern, und stellen niemals Einzelne heraus.
- 1
Scoping & Autorisierung
Wir vereinbaren Ziele, Kanäle, Zielgruppen und Rules of Engagement, mit ausdrücklicher schriftlicher Autorisierung und einem NDA.
- 2
OSINT & Vorwand-Design
Wir sammeln Open-Source-Intelligence und entwerfen glaubwürdige, im Scope befindliche Szenarien für jeden Kanal.
- 3
Kampagnen-Durchführung
Wir führen die Phishing-, Vishing- und Smishing-Kampagnen innerhalb des vereinbarten Fensters und der Regeln durch.
- 4
Messung der Reaktion
Wir messen die Anfälligkeit und ob Erkennung, Blockierung und Nutzermeldung tatsächlich ausgelöst haben.
- 5
Berichterstattung & Awareness
Wir liefern aggregierte Ergebnisse und Empfehlungen, formuliert für Awareness und Prozessverbesserung.
Was Sie erhalten
Ein klares, aggregiertes Bild des menschlichen Risikos und der Reaktion, mit Daten und Empfehlungen zur Verbesserung von Schulung und Erkennung. Der Bericht soll Widerstandsfähigkeit aufbauen, nicht Schuld zuweisen.
- Executive Summary zur menschlichen Risiko- und Reaktionslage
- Aggregierte Kampagnen-Metriken: Klick-, Übermittlungs- und Meldequoten pro Kanal
- Ergebnisse zu Erkennung und Meldung: Haben Controls und Menschen reagiert?
- Techniken abgebildet auf MITRE ATT&CK (Initial Access, Reconnaissance)
- Priorisierte Empfehlungen für Awareness-Schulungen und Controls
- Aggregierte, nicht sanktionierende Berichterstattung (keine individuelle Schuldzuweisung)
Gegründet auf MITRE ATT&CK & autorisierten Tests
Kampagnen sind auf MITRE ATT&CK abgebildet (Taktiken Initial Access und Reconnaissance) und laufen nur mit ausdrücklicher schriftlicher Autorisierung und vereinbarten Rules of Engagement. Social Engineering ist eine Lernübung: Die Ergebnisse werden aggregiert berichtet, um Awareness, Controls und Reaktion zu verbessern, und nie, um Einzelne herauszustellen. Die Szenarien werden mit OSINT realistisch gestaltet und bleiben dabei streng im vereinbarten Scope.
Testen Sie Ihre menschliche Angriffsfläche.
Sagen Sie uns, welche Teams und Kanäle zum Scope gehören und was Sie herausfinden möchten. Wir entwerfen realistische, autorisierte Kampagnen, führen sie nach vereinbarten Regeln durch und berichten so, dass es Ihre Widerstandsfähigkeit stärkt, unter NDA. Die Erstberatung ist kostenlos.