Wir schicken realistische Phishing-Mails an eure Mitarbeitenden und werten aus, wer öffnet, wer klickt, wer Zugangsdaten eingibt und wer meldet.
Quellen: Verizon DBIR 2026/2024, KnowBe4 2026 (Herstellerdaten). Was bei euch passiert, zeigt die eigene Kampagne.
Sieht aus wie M365, VPN-Portal oder euer Intranet. Wahlweise auch eine reine Hinweisseite: Das war ein Test.
Eine Domain, die eurer ähnelt, oder ein bekannter Dienst wie Microsoft oder DHL. Wir richten sie selbst ein.
Er entscheidet, ob die Mail überhaupt geöffnet wird. Daran bewerten wir, wie gut er gewirkt hat.
Wer den Link aufruft, ist erfasst. Die zentrale Kennzahl.
Word, Excel oder PDF mit simulierten Makros. Kein Schadcode, aber wir sehen, wer öffnet.
Wer hier Benutzername und Passwort tippt, zeigt das reale Datenleck-Risiko. Echte Passwörter speichern wir nicht.
Die Melderate. Wer den Versuch an die IT gibt, statt ihn zu ignorieren, macht aus einem Vorfall eine Warnung für alle anderen. Sie ist die einzige Rate, die steigen soll, und sie sagt mehr über eure Sicherheitskultur aus als jede Klickzahl.
Versand an alle oder an ausgewählte Bereiche. Liefert die Gesamtklickrate als Ausgangswert.
Personalisiert mit Name, Rolle und echten Projektbezügen. So arbeiten APT-Gruppen.
Simulierter Zahlungsauftrag vom Vorstand. Zeigt, ob Vier-Augen-Prinzip und Rückrufpflicht gelebt werden.
Nach dem Klick folgt die täuschend echte Login-Maske. Wir erfassen jede Eingabe.
Makros und Links im Dokument, ohne Schadcode, voll getrackt.
Mail, Login-Seite, Erfassung, simulierter Lateral Move.
Awareness-Maßnahmen sind in mehreren Regelwerken gefordert. Der Bericht belegt, ob sie wirken, und kann direkt in die Audit-Unterlagen wandern.
Bereiche, Szenarien, Ausnahmen und der rechtliche Rahmen.
Mails, Domains, Landingpages und Tracking für eure Umgebung.
Versand nach Zeitplan. Wir überwachen laufend und melden uns sofort.
Alle Tracking-Daten nach Abteilung, Standort und Szenario aufgeschlüsselt.
Auditfähig, mit Branchenvergleich, Risikogruppen und Maßnahmen.
Klick-, Eingabe- und Melderate, aufgeschlüsselt nach Abteilung, Standort und Szenario
Branchenvergleich und die Risikogruppen, bei denen ihr zuerst ansetzen solltet
Zeitverlauf der Klicks: morgens, unter Zeitdruck, kurz vor Feierabend
Management-Summary und konkrete Maßnahmen, für Audit-Unterlagen verwendbar
Wir liefern die Simulation und den Nachweis, keine Rechtsberatung.
Beispiel aus dem Berichtsaufbau, keine Messwerte (bis auf den KnowBe4-Vergleich). Die Melderate von 8 % wäre der erste Ansatzpunkt, das Ziel liegt über 60 %.
Zwei bis vier Simulationen pro Jahr mit wechselnden Szenarien halten das Bewusstsein hoch. Für Audits zählt, dass ihr Awareness regelmäßig messt und nachsteuert.
Die Klickrate allein ändert nichts. Wir besprechen die Zahlen mit euch und leiten ab, was als Nächstes sinnvoll ist: eine Auffrischung für alle, eine Schulung für die auffälligen Bereiche oder ein Live-Hacking, in dem genau diese Mail nachgestellt wird. Mehr dazu unter access-granted.de/de/training.
Ja, darin liegt der Sinn: Angekündigt misst der Test nur die Vorsicht direkt danach, nicht den Alltag. Zulässig ist er mit sauberem Rahmen: Betriebsrat beteiligt, Auswertung nur auf Gruppenebene.
Wir schreiben sie von Hand und recherchieren vorab eure Toollandschaft, Sprache und laufenden Projekte über OSINT. Vorlagen taugen dafür nicht.
Plattformen verschicken Massen-Simulationen aus Vorlagen. Bei uns entsteht jedes Szenario für eure Organisation, und am Ende steht ein auditfähiger Bericht statt eines Dashboards.
Ja. Mail, Credential-Eingabe, physischer Zugang mit den erbeuteten Daten, Bewegung im Netz. Solche Ketten bauen wir auf Anfrage.
Im kostenlosen Erstgespräch klären wir Scope und Szenarien.
