Ein Mitarbeiter erhält eine E-Mail bezüglich einer überfälligen Rechnung. Wenige Minuten später ruft jemand an, der wie sein Vorgesetzter klingt, und bittet ihn, die Rechnung zu genehmigen. Ein Phishing-Simulationsprogramm, das lediglich verdächtige Links in einer E-Mail überprüft, deckt eine solche Situation nicht ab.
Mit Phishing-Simulationstools können Mitarbeiter den Umgang mit solchen Anfragen in kontrollierten Übungen einüben. Die richtige Plattform hilft den Mitarbeitern dabei, ungewöhnliche Anweisungen zu hinterfragen und verdächtige Aktivitäten zu melden. Außerdem liefert sie Sicherheitsteams wertvolle Erkenntnisse darüber, wo Mitarbeiter Unterstützung benötigen. Die folgenden neun Tools decken unterschiedliche Anforderungen ab – von maßgeschneiderten E-Mail-Kampagnen über adaptive Übungen bis hin zu koordinierten Identitätsbetrugsübungen.
{{cta}}
Welche Phishing-Simulationstools sollten Sie in die engere Wahl ziehen?
Wenn Sie Simulationen nach Rolle differenzieren möchten
- Noon Security: Passt Phishing-, Sprach- und Deepfake-Übungen individuell an die jeweilige Rolle und den Werdegang jedes einzelnen Mitarbeiters an.
- Adaptive Security: Führt koordinierte Kampagnen durch, die sich – genau wie echte Angriffe – über E-Mail, Telefon und Chat erstrecken.
Wenn Sie die Mitarbeiterübung mit einem Live-Schutz kombinieren möchten
- Noon Security: Integriert Simulationen in eine Plattform, die zudem E-Mail-Postfächer, Geräte und den Einsatz von KI schützt.
- IRONSCALES: Kombiniert seine Simulationen und Schulungen mit eigenen E-Mail-Sicherheitskonzepten.
Wenn Sie Szenarien erstellen möchten, die Ihre Organisation widerspiegeln
- Noon Security: Nutzt einen KI-Szenario-Generator, um Übungen so zu gestalten, dass sie genau die Entscheidungen widerspiegeln, vor denen Ihr Team tatsächlich steht.
- KnowBe4: Bietet editierbare Vorlagen und Landingpages mit AIDA-Koordination für wiederkehrende Kampagnen.
Falls Sie auf eine bestehende Microsoft-Investition zurückgreifen müssen
- Microsoft Defender for Office 365: Führt im Defender-Portal „ Angriffssimulation “-Schulungen für Teams durch, die den Plan 2 oder E5 nutzen.
Wenn Sie Kampagnen auf einer Infrastruktur durchführen möchten, die Sie selbst kontrollieren
- Gophish: Bietet technischen Teams die Möglichkeit, E-Mail-Kampagnen selbst zu hosten – vorausgesetzt, Sie übernehmen die Wartung und die Sicherheit.
Wo Phishing-Simulationstools oft zu kurz greifen
Die Übung ist zu allgemein gehalten.
Eine gefälschte E-Mail über eine Paketzustellung vermittelt einem Mitarbeiter so gut wie keine Erkenntnisse darüber, wie die neuen Bankdaten eines Lieferanten genehmigt werden sollten. Die Übung, die es sich zu durchführen lohnt, zielt darauf ab, zu prüfen, ob jemand tatsächlich den in Ihrem Unternehmen bereits bestehenden Verifizierungsprozess befolgt. Für die Finanzabteilung könnte dies bedeuten, den Lieferanten unter einer Nummer zurückzurufen, die Sie vor Eingang der Anfrage notiert haben. Für den Helpdesk könnte es bedeuten, sich zu weigern, die Überprüfungen zur Kontowiederherstellung für einen Anrufer zu überspringen, der es eilig hat.
Der Angriff endet im Posteingang
Eine Anfrage, die per E-Mail beginnt und dann per Telefon, SMS oder einer Nachricht in Slack fortgesetzt wird, gewinnt durch den zweiten Kontakt an Glaubwürdigkeit. Ein Programm, das sich auf E-Mails beschränkt, kann das niemals nachstellen. Die Unterstützung mehrerer Kanäle ist zwar hilfreich, doch das Versenden von zusammenhanglosen Nachrichten über jeden einzelnen Kanal ist etwas ganz anderes als eine koordinierte Abfolge, bei der eine vertraute Stimme an das anknüpft, was bereits im Posteingang angekommen ist.
Jeder Klick wird gleich gewertet
Eine Klickrate ohne Kontext sagt nicht viel über einen Phishing-Angriff aus. Eine rollenspezifische Anfrage und ein offensichtlicher allgemeiner Köder sind nicht dasselbe, doch viele Tools behandeln sie identisch. Die „Phish Scale“ des NIST bietet Teams die Möglichkeit, zu bewerten, wie schwierig eine simulierte E-Mail tatsächlich war, wodurch die Ergebnisse aussagekräftig werden. Wie schnell die Nutzer einen Vorfall melden und wie sie sich nach einem Fehler wieder fangen, ist genauso wichtig wie die Frage, ob sie geklickt haben.
Das Training muss alles leisten
Übungen sind wertvoll, aber keine noch so intensive Übung kann einen Mitarbeiter dazu befähigen, jeden Angriff abzufangen. Technische Schutzmaßnahmen müssen weiterhin die gefährlichen Nachrichten, die schädlichen Dateien und die Zugriffsanfragen abwehren, die niemals hätten gewährt werden dürfen. Ein Simulationsprogramm sollte als Ergänzung zu umfassenderen Maßnahmen zum Schutz der Belegschaft dienen, die das auffangen, was die Mitarbeiter übersehen.
So haben wir diese Tools bewertet: Jeder der folgenden Einträge stützt sich auf die Produkt- und Dokumentationsseiten des Anbieters, die zum Zeitpunkt der Erstellung dieses Artikels eingesehen wurden, sowie auf unsere eigenen praktischen Erfahrungen, sofern vorhanden. Wenn eine Funktion von einer bestimmten Lizenzstufe oder vom Selbsthosting abhängt, haben wir dies entsprechend vermerkt.
Vergleich von Phishing-Simulationstools
Die Tabelle beschreibt die im Folgenden behandelten Konfigurationen. Die Verfügbarkeit der Kanäle, die Schulungsinhalte und zusätzliche Schutzmaßnahmen können vom gewählten Abonnement oder den ausgewählten Diensten abhängen.
Die 9 besten Tools zur Phishing-Simulation
1. Noon Security
Funktionsweise: Noon ist die Plattform für Mitarbeitersicherheit v Aikido Security. Die Angriffssimulationen gehen über Phishing-E-Mails hinaus und umfassen auch Vishing, Smishing und Deepfake-Identitätsbetrug, wobei jede Simulation individuell auf die Rolle und das bisherige Verhalten des jeweiligen Mitarbeiters zugeschnitten ist. Dank mehrstufiger Kampagnen und eines KI-gestützten Szenario-Generators können Teams mehr tun, als nur allen Mitarbeitern dieselbe, leicht zu erkennende Vorlage zu schicken.
Was es auszeichnet: Es ist so konzipiert, dass es der Art und Weise entspricht, wie Menschen bei der Arbeit tatsächlich Entscheidungen treffen. Ein Finanzteam kann die Überprüfung einer dringenden Zahlungsanforderung üben, und ein Mitarbeiter, der einen scheinbaren Helpdesk-Anruf entgegennimmt, lernt, wie er überprüfen kann, wer wirklich am Telefon ist – so wird eine reproduzierbare Reaktion gewährleistet, selbst wenn die Nachricht überzeugend wirkt. Kampagnen können automatisch basierend auf der Rolle und dem bisherigen Verhalten gestartet werden, oder ein Administrator kann das Szenario auswählen. Bei einem Fehlversuch wird die Lektion privat über Noon, Slack, Teams oder Google Chat übermittelt. Ergänzt werden die Simulationen durch E-Mail-Schutz, Geräteschutz vor Schadsoftware sowie KI-Governance, die anzeigt, welche Tools die Mitarbeiter nutzen, und die Teamrichtlinien durchsetzt.
Was Sie wissen sollten: „Noon“ befindet sich derzeit in der Early-Access-Phase. Informieren Sie sich daher, welche Artikel heute verfügbar sind und wann der Rest ausgeliefert wird.
2. KnowBe4-Schulungen zur Sensibilisierung für Sicherheitsfragen
Funktionsweise: KnowBe4 kombiniert Phishing-Übungen mit Lerninhalten und Berichtsfunktionen. Mithilfe von editierbaren Vorlagen und Landingpages können Sie auf Ihr Unternehmen zugeschnittene Szenarien erstellen, und die Funktion „Simulated Vishing“ erweitert die Übungen von E-Mails auf Telefonanrufe.
Was es auszeichnet: Die AIDA-Orchestrierung ist das Hauptargument für Teams, die Automatisierung wünschen, ohne dabei die Kontrolle abzugeben. Administratoren legen die Gruppen und die gesperrten Inhalte fest, und AIDA passt die Aktivitäten jedes Einzelnen dann entsprechend seinem individuellen Risiko an. Diese Kombination eignet sich für ein Programm, das groß genug ist, um Kampagnen automatisch ablaufen zu lassen, aber gleichzeitig so streng geregelt ist, dass explizite Beschränkungen hinsichtlich der Inhalte, die einzelne Mitarbeiter erhalten, erforderlich sind.
Was Sie wissen sollten: AIDA Orchestration ist im AIDA- oder SAT Advanced-Abonnement enthalten. Überprüfen Sie daher Ihre Berechtigungen für Sprach- und Rückrufdienste im vorgeschlagenen Paket. KnowBe4 bietet außerdem Defend und PhishER Plus an, doch dabei handelt es sich um Live-E-Mail-Sicherheitsfunktionen, die in einer separaten Budgetzeile von den Schulungen selbst erfasst werden sollten.
3. Hoxhunt – Adaptives Phishing-Training
Funktionsweise: Hoxhunt passt den Schwierigkeitsgrad, das Tempo und die Art jeder Übung anhand der Rolle und des bisherigen Verhaltens des Mitarbeiters an. Das Angebot umfasst E-Mail-, SMS-, Sprach- und Rückruf-Übungen sowie Microsoft Teams und Deepfake-Videos.
Was es auszeichnet: Der Schwerpunkt liegt auf wiederkehrenden Übungen und Coaching, das sofort ansetzt, sobald jemand einen Fehler macht – und nicht auf einer vierteljährlichen Kampagne, die Sie von Hand erstellen. „ Bedrohungsaufklärung “ und tatsächlich gemeldete Phishing-Vorfälle bilden die Grundlage für die Szenarien, und jede Runde von Klicks und Meldungen bestimmt, wie es weitergeht. Damit eignet sich das System besonders für Sicherheitsteams, die ein kontinuierliches Lernprogramm wünschen und weniger Zeit damit verbringen möchten, jede Kampagne von Grund auf neu vorzubereiten.
Was Sie wissen sollten: Klären Sie , welche Kanäle Ihr Paket tatsächlich umfasst und inwieweit Sie Einfluss auf den Ablauf einer einzelnen Kampagne nehmen können. Die „Email Incident Response Automation“ von Hoxhunt ist ein eigenständiges Produkt, sodass Sie durch den alleinigen Erwerb einer Schulung keinen vollständigen Service für die Beantwortung von E-Mails erhalten.
4. Adaptive Sicherheit
Funktionsweise: Adaptive Security führt Kampagnen per E-Mail, Telefon, SMS und Chat durch, einschließlich synthetischer Audio- und Video-Imitationen. Die Szenarien können auf öffentlich zugänglichen Informationen und dem Kontext der Mitarbeiter basieren, wobei Sie die Nachrichten und die Landing-Seiten individuell anpassen können.
Was die Plattform auszeichnet: Ihr „Auto-Phish“-Workflow erstellt und führt Simulationen durch, sobald Sie die Häufigkeit und die Zielgruppe festgelegt haben, und die KI-generierten Profile geben Ihnen echte Kontrolle darüber, wer der Angreifer zu sein scheint. Die Plattform spielt ihre Stärken besonders dann aus, wenn Sie eine Anfrage simulieren möchten, die per E-Mail eingehend und durch einen anschließenden Anruf an Glaubwürdigkeit gewinnt – genau jene Abfolge, die Menschen bei echten Vorfällen oft in die Falle lockt.
Was Sie wissen sollten: Legen Sie klare Grenzen für die Verwendung personenbezogener Daten bei der Erstellung von Szenarien fest und legen Sie fest, wer sensible Identitätsbetrugs-Simulationen vor deren Durchführung genehmigen muss. Das E-Mail-Sicherheitsangebot von Adaptive ist von den hier beschriebenen Simulationen getrennt, und eine Nachschulung ist nicht dasselbe wie die Beseitigung einer echten Bedrohung.
5. Fischkorb
Funktionsweise: Der Phishing-Simulator von Keepnet ergänzt separate Produkte zur SMS- und Sprachsimulation. Teams erhalten realistische Vorlagen, KI-gestützte Szenarioerstellung und Kampagnenberichte, um zu testen, wie Mitarbeiter über mehrere Kanäle hinweg reagieren.
Was es besonders auszeichnet: Der Vishing-Simulator ist der interessante Teil. Er führt interaktive KI-Sprachgespräche durch, die sich an die Antworten des Mitarbeiters anpassen, während der Smishing-Teil kontrollierte SMS-Übungen mit Rückmeldung zu den Antworten abwickelt. Dies eignet sich für ein Programm, das über reine E-Mail-Tests hinausgewachsen ist und Ergebnisse nach einzelnen Kanälen aufgeschlüsselt sehen möchte.
Was Sie wissen sollten: Klären Sie genau, welche Simulatoren und welche Lerninhalte tatsächlich im Kauf enthalten sind. Wenn Sie beispielsweise eine koordinierte Kommunikation per E-Mail und Telefon benötigen, lassen Sie sich genau diese Abfolge vorführen, denn einzelne Funktionen pro Kanal ergeben noch nicht automatisch eine einzige, abgestimmte Kampagne. Tools zur Vorfallreaktion bilden wiederum einen eigenen Bereich.
6. Cofense-Phishing-Schulung
Funktionsweise: Cofense Phishing Training, das einigen Lesern unter dem Namen PhishMe bekannt ist, nutzt echte Phishing-Daten, um seine Simulationen und Sensibilisierungsinhalte zu gestalten. Die Plattform stützt sich auf die nachgewiesenen Kompetenzen der Mitarbeiter und deren Meldeverhalten sowie darauf, Schwachstellen in der Schulungsabdeckung aufzudecken.
Was das Produkt auszeichnet: Es umfasst Szenarien für SMS-, Sprach- und QR-Code-Phishing. Für Programme, die speziell die „E-Mail-zum-Telefon“-Übung erfordern, übernimmt der separat bestellbare „Callback Phishing“-Dienst die Zustellung und Nachverfolgung. Cofense kann Simulationen zudem dann versenden, wenn die Nutzer gerade aktiv ihren Posteingang bearbeiten, wodurch reale Arbeitsabläufe in den Zeitablauf eines Tests einfließen.
Was Sie wissen sollten: Klären Sie, wie die einzelnen von Ihnen benötigten Kanäle bereitgestellt werden und welche Leistungen tatsächlich im Paket enthalten sind. Die Meldung und Schulung von Mitarbeitern umfasst nicht automatisch die separaten Leistungen von Cofense in den Bereichen Untersuchung, Abhilfe oder Managed Defense. Beziehen Sie diese daher in den Umfang ein, falls Ihr Programm darauf angewiesen ist.
7. IRONSCALES
Funktionsweise: IRONSCALES „Human Risk Management“ vereint Simulationen, Sensibilisierungsschulungen und eine benutzerspezifische Risikobewertung. In Kombination mit dem „Email Protect“-Tarif werden das Verhalten der Mitarbeiter und der Schutz des Posteingangs in Echtzeit auf einer einzigen Plattform vereint.
Was es auszeichnet: Der „Phishing Simulation Agent“ nutzt Informationen aus dem öffentlichen Internet, um gezielte Übungen zu erstellen, und die Ergebnisse, Schulungsergebnisse sowie gemeldete Nachrichten fließen alle in die Risikobewertung jedes einzelnen Benutzers ein, woraufhin automatisch entsprechende Schulungsaufgaben folgen. Das eignet sich für Teams, die die Berichte der Mitarbeiter und die Übungsergebnisse als Grundlage für ein fortlaufendes E-Mail-Sicherheitsprogramm nutzen möchten, anstatt sie in einem separaten Sensibilisierungsbereich ungenutzt liegen zu lassen.
Was Sie wissen sollten: Geben Sie sowohl den E-Mail-Tarif als auch die HRM-Funktionen an, die Sie im Rahmen des Kaufs erwarten, da Managed-Service-Anbieter HRM auch separat anbieten. Prüfen Sie den Tarif und die Zusatzmodule in den Bereichen, in denen Ihr Lehrplan mehr Inhalte benötigt, und denken Sie daran, dass ein Simulationsergebnis und die tatsächliche Beseitigung einer Bedrohung zwei getrennte Messgrößen sind.
8. „ Microsoft Defender for Office 365 “ – „Angriffssimulation “-Schulung
Funktionsweise: Mit der „ Angriffssimulation “-Schulung von Microsoft können Administratoren eine E-Mail-Angriffstechnik und eine Nutzlast auswählen, Empfänger festlegen, Schulungen zuweisen und die Ergebnisse im Defender-Portal auswerten. Zu den angebotenen Techniken gehören Anfragen nach Anmeldedaten, Szenarien mit Anhängen und Anfragen zur Einwilligung für Anwendungen.
Was es auszeichnet: Die Simulationsautomatisierungen übernehmen wiederkehrende Kampagnen und die damit verbundenen Schulungen. Der eigentliche Reiz liegt in der Nähe. Wenn E-Mail-Übungen Ihren unmittelbaren Bedarf decken und Sie bereits über die entsprechenden Lizenzen verfügen, ist die Durchführung innerhalb eines Portals, das Ihr Team ohnehin bereits verwaltet, der Weg des geringsten Widerstands.
Wissenswertes: Für „ Angriffssimulation “ ist entweder Microsoft 365 E5 oder der „Defender for Office 365 Plan 2“ erforderlich, sodass diese Funktion nicht in jedem Microsoft-Abonnement enthalten ist. Bei lokal gehosteten Postfächern stehen nur eingeschränkte Berichtsfunktionen zur Verfügung, und die E-Mail- und QR-Code-Payloads sollten nicht mit Sprach- oder Chat-Simulationskanälen verwechselt werden, da diese Funktion diese nicht abdeckt.
9. Gophish
Funktionsweise: Gophish ist ein Open-Source-Framework für autorisierte Phishing-Übungen. Ein Team verwaltet die Empfängergruppen, E-Mail-Vorlagen, Landingpages, den geplanten Versand und die Kampagnenereignisse auf einer Infrastruktur, die es selbst betreibt.
Was es auszeichnet: Der Reiz liegt in der Kontrolle über Hosting und Konfiguration. Ein Team mit den entsprechenden technischen Fähigkeiten kann eine begrenzte E-Mail-Kampagne durchführen und eigene Folgemaßnahmen entwickeln, ohne dass dabei ein Anbieter eingeschaltet werden muss. Diese Kontrolle bedeutet jedoch auch, dass Sie für die Versandinfrastruktur, den Umgang mit Daten, die Berichterstellung und die Wartung selbst verantwortlich sind.
Was Sie wissen sollten: Die Sicherheitspflege stellt die eigentliche Einschränkung dar. Auf der Release-Seite des Projekts wird Version 0.12.1 als aktuellste Version aufgeführt, und in der von GitHub geprüften Sicherheitsempfehlung zu CVE-2022-45003 werden alle Versionen bis einschließlich 0.12.1 als betroffen eingestuft, ohne dass eine gepatchte Version genannt wird. Beheben Sie diese Sicherheitslücke, bevor Sie das Projekt einsetzen. Eine kostenlose Lizenz allein ist kein ausreichender Grund, sich für dieses Projekt zu entscheiden.
So wählen Sie ein Tool zur Phishing-Simulation aus
Beginnen Sie mit einem Geschäftsszenario
Wählen Sie zwei oder drei Entscheidungen aus, die Ihre Mitarbeiter tatsächlich richtig treffen müssen. Die Überprüfung einer geänderten Bankverbindung, das Hinterfragen einer unerwarteten Aufforderung zur Kontowiederherstellung, das Melden einer unangebrachten Einladung, eine Verbindung zu einem KI-Tool herzustellen. Legen Sie fest, welche Maßnahmen Sie erwarten, bevor Sie sich überhaupt mit einer Vorlage oder einem Kanal befassen, denn das Szenario ist das, was bei dieser Übung wirklich getestet wird.
Passen Sie die Automatisierung an die Kapazitäten Ihres Teams an
Die Erstellung von Szenarien, die Auswahl der Teilnehmer, die Terminplanung, die Anpassung des Schwierigkeitsgrades und das anschließende Lernen sind allesamt separate Aufgaben, wobei ein Tool einige davon automatisieren kann, während der Rest einem Administrator überlassen bleibt. Überlegen Sie, welche Aufgaben Ihre Mitarbeiter manuell steuern müssen und welche automatisch ablaufen sollten.
Machen Sie die Reaktion messbar
Prüfen Sie, ob die Berichterstellung des Tools einen Klick von einer abgeschlossenen Aktion unterscheidet, ob Mitarbeiter verdächtige Vorfälle über ein Tool melden können, das sie ohnehin bereits nutzen, und wie die Ergebnisse im Zeitverlauf verglichen werden. Berücksichtigen Sie dabei den Schwierigkeitsgrad des Szenarios und die Person, an die es gerichtet war. Prüfen Sie, wie der Anbieter automatisierte Link-Scanner aus den Zahlen herausrechnet, damit die Aktivitäten eines Sicherheitstools nicht einem Mitarbeiter zugerechnet werden.
Planen Sie Schutzmaßnahmen rund um die Übung
Ein spezialisierter Simulator ist die richtige Wahl, wenn Ihre bestehenden Schutzmaßnahmen bereits ausreichen. Eine umfassendere Plattform ist sinnvoller, wenn dasselbe Team auch mit Bedrohungen im Posteingang, mit den Geräten der Mitarbeiter und dem Einsatz von KI zu kämpfen hat.
Integrieren Sie realistische Übungen in ein Programm, das die gesamte Belegschaft schützt
Eine gute Phishing-Übung endet damit, dass der Mitarbeiter genau weiß, was als Nächstes zu tun ist. Rufen Sie den Lieferanten unter einer Nummer zurück, der Sie bereits vor Eingang der Anfrage vertraut haben. Überprüfen Sie die unerwartete Anfrage über einen zweiten Kanal. Melden Sie die Nachricht, bevor Sie darauf reagieren. Die Lektion muss so konkret sein, sonst lässt sich das Gelernte nicht auf den entscheidenden Moment übertragen.
Noon verbindet diese Vorgehensweise mit den technischen Schutzmaßnahmen, für die dasselbe Sicherheitsteam bereits zuständig ist. So werden das Urteilsvermögen der Mitarbeiter sowie die Kontrollmechanismen für E-Mail-Postfächer, Geräte und den Einsatz von KI gemeinsam geplant, anstatt sie Stück für Stück einzukaufen. Vereinbaren Sie eine Noon-Demo, um die personalisierten Simulationen, die Lerneffekte für Mitarbeiter nach einem Fehltritt und den umfassenden Schutz der Belegschaft aus einer Hand zu erleben.
