Firewalls, EDR und SIEM schützen vor automatisierten Angriffen. Aber ein Mitarbeiter, der auf einen Link klickt und seine Zugangsdaten eingibt, umgeht all das in Sekunden — und kein System schlägt Alarm. Phishing ist der meistgenutzte Einstiegspunkt für Ransomware, Datendiebstahl und CEO-Fraud.
Ein Klick auf einen Phishing-Link erzeugt in den meisten Umgebungen keinen Security-Alert. Der Angreifer ist im Netz, bevor irgendjemand es bemerkt.
Wer Credentials abgreift, braucht keine Exploits. Mit einem gültigen VPN-Login oder O365-Account ist die gesamte IT offen.
NIS2, ISO 27001, TISAX und DORA schreiben regelmäßige Awareness-Tests vor. Unser Bericht ist direkt als Compliance-Nachweis verwendbar.
Awareness-Training ohne vorherigen Test ist Blindflug. Erst wenn ihr wisst, wo die Schwachstellen liegen, könnt ihr gezielt trainieren.
Wir passen jede Simulation an eure Umgebung, Sprache und Toollandschaft an. Je realistischer die Mail, desto aussagekräftiger das Ergebnis.
Massenversand an alle oder ausgewählte Mitarbeiter. Realistische Absender wie IT-Support, Microsoft, DHL oder euer eigenes Unternehmen. Ideal für den ersten Awareness-Check und den Überblick über die Gesamtklickrate.
Gezielte Angriffe auf einzelne Personen oder Abteilungen — personalisiert mit Name, Rolle, Abteilung und echten Projektbezügen. Das ist die Methode echter APT-Gruppen und deckt Risiken auf, die Massenversand nie findet.
Simulierter Zahlungsauftrag oder dringende Anfrage vom Vorstand — klassisches Business Email Compromise. Wir testen, ob Prozesse wie Vier-Augen-Prinzip und Rückrufpflicht wirklich gelebt werden.
Nach dem Klick landet der Mitarbeiter auf einer täuschend echten Login-Seite — Microsoft 365, VPN-Portal, Unternehmens-Intranet. Wir erfassen, wer Zugangsdaten eingibt, und zeigen damit das reale Datenleck-Risiko.
Word-Dokumente, Excel-Dateien oder PDFs mit simulierten Makros oder Links — wir messen, wer Anhänge öffnet und wie viele die Ausführung bestätigen. Ohne echten Schadcode, aber mit vollem Tracking.
Phishing-Mail → gefälschte Login-Seite → Credential-Erfassung → simulierter Lateral-Move. Die vollständige Angriffskette zeigt, wie weit ein echter Angreifer nach dem ersten Klick kommt.
Unsere Simulation misst nicht nur, wer auf den Link klickt. Wir erfassen jeden Schritt der Angriffskette und liefern euch ein vollständiges Bild des Risikos.
Wer hat die Mail überhaupt geöffnet? Wichtig für die Bewertung der Betreff-Wirksamkeit.
Wer hat auf den Link oder Anhang geklickt? Die zentrale Kennzahl jeder Simulation.
Wer hat auf der Fake-Login-Seite Benutzername und Passwort eingegeben? Das reale Datenleck-Risiko.
Wer hat die Mail als verdächtig gemeldet? Das ist die wichtigste Kennzahl für eure Sicherheitskultur.
Wo sind die Risikogruppen? Buchhaltung, Einkauf, Führungskräfte — wir liefern den Drill-Down.
Wann wurde geklickt? Morgens, unter Zeitdruck, kurz vor Feierabend — Muster werden sichtbar.
Eine Phishing-Simulation ist kein Tool-Rollout, sondern ein manuell geplanter Test. Wir passen jeden Schritt an eure Organisation an.
Welche Abteilungen? Welche Szenarien? Welche Systeme werden simuliert? Wir klären Scope, Zielgruppen, Ausnahmen und rechtliche Rahmenbedingungen gemeinsam.
Wir entwickeln die Phishing-Mails, Absender-Domains, Landing-Pages und Tracking-Infrastruktur — maßgeschneidert auf eure Umgebung und Sprache.
Versand nach vereinbartem Zeitplan. Wir überwachen die Kampagne in Echtzeit und eskalieren sofort, falls unerwartete Reaktionen auftreten.
Vollständige Auswertung aller Tracking-Daten: Klickraten, Credential-Eingaben, Melderaten — aufgeschlüsselt nach Abteilung, Standort und Szenario.
Auditfähiger Bericht mit Branchenvergleich, Risikogruppen, konkreten Maßnahmenempfehlungen und Management-Summary. Direkt verwendbar für NIS2, ISO 27001 und DORA.
Think like an Attacker, Act as a Partner