Phishing

Sinn des Scoping-Meetings ist es, die Ziele der Kampagne zu definieren und mögliche Szenarien abzusprechen, damit auf deren Basis dann die Offerte erstellt werden kann. Die Fragen drehen sich dabei meistens um die Anzahl Mitarbeitenden und Stand der Awareness.

Auf Basis des Scoping-Meetings wird die Offerte erstellt. Nebst den Zielen, Methoden, Preis und Rahmenbedingungen enthält dieser auch einen Durchführungsvorschlag. Dabei ist selbstverständlich nichts in Stein gemeisselt und die Offerte wird gerne den Bedürfnissen angepasst. Verrechnet wird grundsätzlich immer nach tatsächlichem Aufwand.

Auf Basis der vorhandenen Informationen und dem Awarenessstand der Mitarbeitenden werden Vorschläge für das Phishig-E-Mail ausgearbeitet und besprochen. Dies kann in mehreren Iterationen erfolgen, bis alle mit dem Phishing-E-Mail einverstanden sind.

Die Zustellung der E-Mails wird in einem Testlauf geprüft. Allfällige Sicherheitsmechanismen, welche die Zustellung verhindern könnten, werden für diese spezifische Kampagne aufgeweicht. So wird sichergestellt, dass wirklich die Awareness und nicht die technischen Massnahmen geprüft werden. Technische Massnahmen können effizienter in einer Attack Simulation untersucht werden.

Die Phishing-E-Mails werden in mehreren Wellen versendet, damit es keine Überlastung des Mail-Servers oder Probleme bei der Zustellung gibt. Idealerweise werden die Abstände aber möglichst kurz gehalten, damit es keine Verfälschung der Resultate durch erste Reaktionen gibt.

Die Landing-Page wird bis zur Auflösung aktiv gehalten (meistens einige Tage). Dabei werden sämtliche Klicks oder Interaktionen registriert und statistisch aufbereitet. So wird eine möglichst detaillierte Auswertung der Resultate möglich. Die Resultate können zum Beispiel auch nach Abteilung oder Standort ausgewertet werden. Dies erlaubt ein noch gezielteres Vorgehen zur Verbesserung der Awareness.

Eine Phishing-Kampagne eignet sich perfekt als Grundlage für eine Schulung. Nichts erzielt wohl einen grösseren Lerneffekt, als tatsächliche Phishing-E-Mails, welche erfolgreich waren. Es gibt auch sehr gute Lernmodule von unseren Partnern, welche für ein interaktives Lernen verwendet werden können.

Eine Phishing-Kampagne kann als Grundlage für eine Schulung oder als Augenöffner dienen, einen nachhaltigen Effekt erzielt man dadurch aber selten. Idealerweise werden regelmässig Phishing-Kampagnen und Schulungen durchgeführt. Genau das bieten wir in Phishing-as-a-Service an.