Was muss ich vorbereiten, bevor die erste Phishing-Simulation startet?
Drei Schritte, die Sie einmalig erledigen – danach läuft der Phishing Simulator ohne weiteres Zutun.
Bevor Sie starten, sollten Sie zwei Dinge klären und einen technischen Schritt erledigen. Das klingt nach mehr Aufwand, als es ist: Für die Technik brauchen Sie etwa 15 Minuten Ihrer IT, der Rest ist eine Entscheidung und eine kurze interne Ankündigung.
1. Simulationen bei Ihrer E-Mail-Sicherheit anmelden
Phishing-Simulationen sehen absichtlich aus wie echte Angriffe. Ihr Spamfilter tut also genau das, wofür er gedacht ist: Er hält sie auf, verschiebt sie in den Junk-Ordner oder markiert den Absender als nicht vertrauenswürdig.
Damit die Simulationen im normalen Posteingang ankommen, meldet Ihre IT sie einmalig als vertrauenswürdig an – das nennt sich Allowlisting. Ohne diesen Schritt messen Sie nicht das Verhalten Ihrer Mitarbeitenden, sondern die Trefferquote Ihres Spamfilters.
Die passende Anleitung hängt von Ihrer E-Mail-Umgebung ab:
- Microsoft 365 (Outlook) → Wie richte ich Microsoft 365 für Phishing-Simulationen ein?
- Google Workspace (Gmail) → Wie richte ich Google Workspace für Phishing-Simulationen ein?
💡 Nutzen Sie einen zusätzlichen Filter? Wenn ein Sicherheitsprodukt wie Mimecast, Proofpoint oder Barracuda Ihre E-Mails prüft, bevor sie bei Microsoft oder Google ankommen, muss die Freigabe auch dort eingetragen werden. Die Plattform-Anleitungen gehen darauf ein.
2. Entscheiden, wie detailliert ausgewertet wird
Der Phishing Simulator kann Ergebnisse entweder nur auf Abteilungsebene zeigen oder bis zur einzelnen Person. Diese Entscheidung fällt deutlich leichter, solange noch keine Ergebnisse vorliegen – klären Sie sie also vor der ersten Kampagne.
Wenn Ihr Betriebsrat eingebunden werden muss, starten Sie dieses Gespräch am besten parallel zur technischen Einrichtung. Mehr dazu im Artikel Welche Daten werden verarbeitet und wie wähle ich den passenden Reporting-Modus?
3. Das Programm intern ankündigen
Kündigen Sie an, dass in Zukunft Phishing-Simulationen kommen – ohne Termine oder Szenarien zu verraten. Sagen Sie dazu, was mit den Ergebnissen passiert und was nicht. Das nimmt die häufigste Sorge und verhindert, dass sich Mitarbeitende überwacht fühlen.
Briefen Sie außerdem Ihren Helpdesk, damit gemeldete Simulationen dort richtig eingeordnet werden. Was Ihre Mitarbeitenden erleben, lesen Sie im Artikel Was erleben meine Mitarbeitenden bei einer Phishing-Simulation?
Wie prüfe ich, ob alles funktioniert?
Senden Sie nach der Einrichtung zuerst eine kleine Testkampagne an ein oder zwei Postfächer – nicht gleich an die ganze Belegschaft. Prüfen Sie dabei, ob die E-Mail im Posteingang landet und ob Warnhinweise oder Banner angezeigt werden.