Wir prüfen unter realen Bedingungen, wie Ihr Team auf Phishing, gefälschte Zahlungsanweisungen und Anrufe reagiert. Danach wissen Sie, wo Sie stehen, statt es zu vermuten.
Reale Szenarien · Auswertung nach Abteilung
Professionelle Angreifer umgehen jede Firewall, indem sie anrufen, eine glaubwürdige E-Mail schicken oder sich als Techniker ausgeben. Dagegen hilft keine Software.
der untersuchten Sicherheitsvorfälle haben eine menschliche Komponente: Fehler, Missbrauch von Zugängen oder Täuschung.
Verizon Data Breach Investigations Report 2025
Eine Schulung einmal im Jahr vermittelt Wissen. Wer nie eine echte Simulation erlebt hat, erkennt den gezielten Angriff auf das eigene Unternehmen trotzdem nicht.
Wie viele klicken, wie viele melden, welche Abteilung ist am stärksten betroffen: Ohne Simulation bleibt das unsichtbar, bis ein echter Angriff die Antwort liefert.
Gefälschte Zahlungsanweisungen im Namen der Geschäftsführung treffen genau dann ein, wenn niemand nachfragen kann. Sie brauchen keine Lücke im System, nur eine im Ablauf.
Jedes Szenario wird auf Ihr Unternehmen zugeschnitten: Ihre Branche, Ihre internen Abläufe, aktuelle Vorgehensweisen von Angreifern.
Breit gestreute E-Mails, die auf Zugangsdaten abzielen.
Personalisierte Nachrichten im Namen der Geschäftsführung oder eines Lieferanten.
Vorgetäuschter IT-Support oder Techniker, der am Telefon Zugang erbittet.
Nachrichten aufs Handy und aufgeklebte Codes, die auf gefälschte Anmeldeseiten führen.
Eine typische Phishing-Nachricht, wie sie täglich verschickt wird. Die entscheidenden Stellen sind hervorgehoben.
Sehr geehrte Frau Wagner,
unser System hat festgestellt, dass Ihr Unternehmenskonto in 24 Stunden gesperrt wird, sofern Sie Ihre Zugangsdaten nicht umgehend bestätigen.
Bitte bestätigen Sie Ihr Konto über den folgenden Link:
ihr-unternehmen-portal.helpdesk-login.net/verify
Mit freundlichen Grüßen
IT-Support
Die Adresse enthält Ihren Firmennamen, endet aber auf einer fremden Domain. Viele Programme zeigen nur den Anzeigenamen, nicht die tatsächliche Adresse.
Zeitdruck ist das wirksamste Mittel. Wer unter Druck handelt, prüft nicht nach. Genau das ist beabsichtigt.
Der Anfang der Adresse sieht bekannt aus, entscheidend ist aber das Ende. Dort steht die echte Domain, und die gehört dem Angreifer.
Niemand klickt aus Dummheit.
Sondern weil es plausibel aussah.
Deshalb werten wir nach Abteilung aus, nicht nach Person. Es geht darum, besser zu werden, nicht darum, jemanden zu überführen.
Die Simulation zeigt, wo das Risiko liegt. Das Training behebt es. Die Dokumentation belegt beides gegenüber Prüfern.
Kurzfassung für die Geschäftsführung, ausführlicher Teil zur Kampagne, Klickraten je Abteilung und Empfehlungen in drei Dringlichkeitsstufen.
Wir stellen die Zahlen persönlich vor: wo die Risiken liegen, welche Gruppen betroffen sind und was daraus folgt. Ohne Fachsprache.
Das Training setzt an den echten Ergebnissen an. Die Teilnehmer sehen, wie ihre eigene Abteilung abgeschnitten hat, und lernen die Merkmale und das richtige Verhalten.
Alle Teilnehmer erhalten eine Bestätigung. Datum, Teilnehmer, Inhalte und Ergebnisse werden NIS2-konform dokumentiert und sind als Compliance-Nachweis verwendbar.
Auf Wunsch prüfen wir nach dem Training erneut. Sie sehen schwarz auf weiß, wie sich Klickrate und Meldequote verändert haben.
Vorlagen von der Stange erkennt jeder. Was zählt, ist ein Szenario, das Ihre Leute für echt halten.
Die Kampagne läuft unangekündigt. Nur so entstehen echte Zahlen statt Vorsichtswerten einer vorbereiteten Gruppe.
Firmenname, Branche, typische interne Abläufe und aktuelle Vorgehensweisen fließen ein. Es wirkt echt, weil es echt gebaut ist.
Klickrate, Meldequote und betroffene Gruppen werden dokumentiert. Sie sehen, was sich verbessert hat, nicht nur ob.
Vollständige Dokumentation für die Behörde, keine personenbezogene Auswertung ohne Abstimmung mit der Personalabteilung, konform mit österreichischem Arbeitsrecht.
Nein, das würde das Ergebnis wertlos machen. Die Geschäftsführung und die nötigen Ansprechpartner in Personalabteilung und IT werden vorab eingebunden, die Belegschaft nicht.
Ja. Umfang und Ausnahmen legen wir vorher gemeinsam fest, etwa besonders sensible Rollen oder Personen in Karenz.
Die Person landet sofort auf einer neutralen Seite, die erklärt, was gerade passiert ist und woran die Nachricht zu erkennen gewesen wäre. Es werden keine echten Zugangsdaten gespeichert. Ziel ist Lernen, nicht Überführen.
Ausgewertet wird auf Abteilungsebene, nicht als Liste einzelner Personen. Wer den Bericht erhält, legen wir vorher gemeinsam fest.
Ja. NIS2 verpflichtet betroffene Unternehmen zu regelmäßigen Schulungen zur Sensibilisierung und zu deren Dokumentation. Simulation, Training und vollständige Dokumentation liefern wir so, dass sie als NIS2-Nachweis eingesetzt werden können.
Mindestens einmal jährlich, besser zwei- bis dreimal. Angreifer ändern ihre Methoden laufend, und die Wirkung einer Schulung lässt nach einigen Monaten spürbar nach.
Eine Simulation zeigt in wenigen Wochen, wo die echten Risiken liegen. Ohne Theorie und ohne Schätzung.
