Leistung · Social Engineering
Social Engineering: Der Mensch als Angriffsfläche – fair getestet
Phishing, Anrufe vom falschen IT-Support, der Lieferant am Empfang: Die meisten erfolgreichen Angriffe beginnen bei Menschen, nicht bei Technik. Wir testen, wie Ihre Organisation reagiert – mit realistischen Szenarien, klaren Ethikregeln und Ergebnissen, aus denen Ihr Team lernt, statt sich zu schämen.
Worum es geht
Nicht die Klickrate zählt, sondern die Meldekette
Laut Mandiant M-Trends 2026 ist Vishing – Betrug per Telefon – mit elf Prozent der zweithäufigste Weg in Unternehmensnetze. KI-generierte Stimmen und perfekt formulierte Mails machen die Täuschung glaubwürdiger denn je. Die Frage ist nicht, ob jemand klickt. Irgendjemand klickt immer. Die Frage ist, ob es jemand meldet – und wie schnell Ihre Organisation reagiert.
Deshalb messen wir mehr als Klicks: Wie viele Mitarbeitende melden den Vorfall? Wie schnell? Verifiziert der Helpdesk Anrufer, bevor er Passwörter zurücksetzt? Greift die Freigabe im Vier-Augen-Prinzip, wenn der „Geschäftsführer“ eine eilige Überweisung verlangt? Hält der Empfang den Besucher ohne Termin auf?
Jedes Szenario entsteht aus echter Aufklärung Ihres Unternehmens – öffentliche Informationen, Organigramme, Dienstleister, aktuelle Projekte –, so wie es ein realer Angreifer tun würde. Und jedes Szenario wird vorab mit Ihnen, Ihrem Datenschutz und bei Bedarf Ihrem Betriebsrat abgestimmt.
Szenarien
- Spear-PhishingIndividuelle Mails mit glaubwürdigem Anlass: Bewerbung, Rechnung, Projektdokument, Microsoft-365-Anmeldung mit MFA-Umgehung.
- VishingAnrufe als IT-Support, Dienstleister oder Kollege: Passwort-Reset, MFA-Code, Fernwartungszugang. Auf Wunsch mit KI-Stimme.
- Business E-Mail CompromiseDer eilige Zahlungsauftrag der Geschäftsführung – prüft Freigabeprozesse im Finanzbereich.
- Pretexting vor OrtLieferant, Techniker, Bewerber: Zutritt und Zugang ohne Termin. Übergang zum Physical Red Teaming.
- USB-Drop und QR-CodesPräparierte Datenträger und Aushänge am Standort – was wird eingesteckt, was gescannt?
Ethikregeln
Fair gegenüber den Menschen, die wir testen
Social Engineering greift Vertrauen an. Deshalb gelten bei uns Regeln, die über das rechtlich Notwendige hinausgehen.
Anonyme Auswertung
Ergebnisse nur aggregiert nach Abteilung, Standort oder Szenario. Keine Namenslisten, keine Konsequenzen für Einzelne.
Keine Tabuthemen
Keine Drohungen, keine Behörden-Vortäuschung, nichts zu Gesundheit, Kündigung, Gehalt oder Privatleben.
Dienstliche Kanäle
Nur dienstliche E-Mail-Adressen und Telefonnummern. Private Konten und soziale Netzwerke bleiben außen vor.
Mitbestimmung
Frühzeitige Einbindung von Betriebsrat und Datenschutz mit vollständiger Beschreibung des Vorgehens.
Sofortiger Abbruch
Zeigt eine Person Belastung oder eskaliert eine Situation, beenden wir das Szenario und klären auf.
Lernen statt Strafen
Jeder Test endet mit Aufklärung und konkreten Hinweisen – auf Wunsch mit Schulung „vom Angreifer lernen“.
Kennzahlen
Was wir messen – und warum
Die Klickrate allein sagt wenig. Diese Kennzahlen zeigen, ob Ihre Organisation einen echten Angriff überstehen würde.
| Kennzahl | Bedeutung | Zielwert |
|---|---|---|
| Meldequote | Anteil der Empfänger, die den Vorfall melden | über 30 %, steigend |
| Zeit bis zur ersten Meldung | Wie schnell das Sicherheitsteam vom Angriff erfährt | unter 15 Minuten |
| Eingabequote | Anteil, der Zugangsdaten oder MFA-Codes preisgibt | unter 5 %, sinkend |
| Helpdesk-Verifikation | Anteil der Anrufe, bei denen die Identität geprüft wird | 100 % |
| Reaktionszeit | Zeit von Meldung bis zu Gegenmaßnahme (Sperrung, Warnung) | unter 60 Minuten |
Werden einzelne Mitarbeitende bloßgestellt?
Nein, niemals. Ergebnisse werden ausschließlich aggregiert berichtet – nach Abteilung, Standort oder Szenario, nie nach Person. Wer geklickt hat, erfährt niemand außerhalb des Tests. Ziel ist es, Prozesse und Schulung zu verbessern, nicht Schuldige zu finden.
Muss der Betriebsrat zustimmen?
In vielen Unternehmen ja, da Social-Engineering-Tests das Verhalten von Beschäftigten betreffen. Wir empfehlen die frühzeitige Einbindung von Betriebsrat und Datenschutzbeauftragten und liefern dafür eine Beschreibung des Vorgehens, der Datenverarbeitung und der Schutzmaßnahmen. Erfahrungsgemäß stimmt der Betriebsrat zu, wenn Anonymität und Lernziel klar sind.
Welche Szenarien schließen Sie aus?
Keine Drohungen, keine Vortäuschung von Behörden, Polizei oder Gerichten, keine Themen wie Krankheit, Kündigung oder Gehalt, keine privaten Kanäle der Mitarbeitenden. Wir täuschen Rollen vor, die ein echter Angreifer nutzen würde – IT-Support, Dienstleister, Bewerber, Lieferant – innerhalb der vereinbarten Grenzen.
Was ist der Unterschied zu einer Awareness-Plattform?
Plattformen versenden standardisierte Massen-Phishing-Mails und liefern Klickstatistiken. Wir bauen individuelle Szenarien auf Basis echter Aufklärung Ihres Unternehmens, kombinieren E-Mail, Telefon und bei Bedarf physische Elemente und prüfen die ganze Kette bis zur Reaktion Ihres Teams. Beides hat seinen Platz; wir helfen auch bei der Einordnung Ihrer Plattform-Ergebnisse.
Weitere Leistungen
Passende Ergänzungen
Red Teaming
Realistische Angriffssimulation gegen Ihr gesamtes Unternehmen – Technik, Menschen und Gebäude.
02Penetrationstest
Systematische Schwachstellenprüfung für Netzwerke, Webanwendungen, APIs und Cloud.
03Assumed Breach
Der Angreifer ist schon drin: Wie weit kommt er von einem kompromittierten Arbeitsplatz?
04Purple Teaming
Angriff und Verteidigung am selben Tisch – Erkennung messbar verbessern.
06Physical Red Teaming
Zutritt, Zugang, Zugriff: Wir testen Gebäude, Schleusen und Empfang.
07TIBER-EU & DORA TLPT
Bedrohungsgeleitete Tests nach TIBER-EU und DORA für Finanzunternehmen.
08Ransomware-Simulation
Wie weit käme eine Ransomware-Gruppe? Vom Erstzugang bis zur Verschlüsselung – ohne Schaden.
09Active Directory & Cloud
Identitäten, Berechtigungen, Entra ID, AWS und Azure im Fokus.
Unverbindliches Erstgespräch
Wie würde ein Angreifer bei Ihnen vorgehen?
In 30 Minuten klären wir Ziel, Reifegrad und das passende Format – vertraulich, ohne Verkaufsdruck, mit einer ehrlichen Einschätzung, ob Red Teaming für Sie schon der richtige Schritt ist.