Social Engineering
Wir prüfen, wie Ihr Unternehmen auf kontrollierte Versuche reagiert, Daten, Geld oder Zugang zu erhalten. Gemeinsam legen wir Kanäle, Szenarien und Grenzen fest und bewerten anschließend Entscheidungen, Meldungen und die IT-Reaktion. Die Ergebnisse dienen besseren Schutzmaßnahmen und Abläufen, nicht der Bloßstellung von Beschäftigten.
Kunden
Ein Test ist dort sinnvoll, wo eine einzelne Anfrage eine Zahlung, Änderung der Bankverbindung, Passwortzurücksetzung, Softwareinstallation oder Datenweitergabe auslösen kann. Wir stimmen den Umfang auf Branche, Prozesse und frühere Vorfälle ab, auch bei mobiler und hybrider Arbeit sowie im Umgang mit Lieferanten. Der Test kann ausgewählte Rollen, Abteilungen, Standorte oder das gesamte Unternehmen erfassen. Neben dem Verhalten prüfen wir E-Mail-Schutz, Identitätsprüfung bei Anrufen und die Reaktionsfähigkeit von Helpdesk und Sicherheitsteam.
Aus den Ergebnissen können Schulungen, technische Änderungen oder Verbesserungen der Vorfallbearbeitung entstehen. Den Umfang dieser Arbeiten vereinbaren wir gesondert.
Das Informationssicherheitsmanagementsystem von Virtline ist durch TÜV NORD Polska nach PN-EN ISO/IEC 27001:2023-08 zertifiziert. Geltungsbereich und Gültigkeit stehen im veröffentlichten Zertifikat. Das Zertifikat gilt für das Managementsystem von Virtline, nicht für die Compliance des getesteten Unternehmens.
Zertifikat von Virtline ansehenVor Freigabe der Regeln versenden wir keine Nachrichten und beginnen keine Anrufe. Zeitpunkt und Intensität der Kampagne stimmen wir auf den Geschäftsbetrieb ab.
Mit Geschäftsleitung oder einer befugten Person klären wir Ziele, Kanäle, Gruppen, Szenarien, Ausschlüsse, Datenverarbeitung und Kommunikation. Wir benennen einen Notfallkontakt und legen Abbruch- und Eskalationsbedingungen fest.
Wir prüfen öffentliche Informationen zum Unternehmen innerhalb vereinbarter Datenschutzgrenzen. Wir bereiten Szenarien, kontrollierte Zielseiten und die Ereignismessung vor, ohne echte Passwörter zu erfassen. Auch die Reaktion auf eine erfolgreiche Testinteraktion wird festgelegt.
Wir führen genehmigte Nachrichten- und Telefonszenarien durch. Dabei beobachten wir das Verhalten, die Schutzmaßnahmen und die IT-Reaktion sowie die Weiterleitung von Meldungen. Unerwartete Auswirkungen auf den Betrieb behandeln wir nach den vereinbarten Abbruch- und Eskalationsregeln.
Wir übergeben den Bericht, besprechen Erkenntnisse mit Leitung und IT und bereiten die Kommunikation für Teams ohne Bloßstellung Einzelner vor. Maßnahmen, Verantwortlichkeiten und der spätere Ergebnisvergleich werden abgestimmt.
Praktischer Umfang
Der Bericht trennt Beobachtungen zu Menschen, Schutzmaßnahmen und Abläufen. Ergebnisse gelten für die geprüften Szenarien; sie belegen keine Widerstandsfähigkeit gegen jede Betrugsform.
Genehmigter Umfang, Freigaben, Ausschlüsse, Kampagnenverlauf und wesentliche Risiken. Wir benennen Entscheidungen für Prozessverantwortliche und Grenzen der Messung, statt das Unternehmen allein anhand einer Klickrate zu bewerten.
Zustellung, Klicks, simulierte Eingabeversuche von Zugangsdaten, Umgang mit Anhängen, Weiterleitungen, Meldungen und Meldezeit. Vereinbarte Auswertungen nach Rollen oder Gruppen zeigen wiederkehrende Risiken, ohne Personen öffentlich zu benennen.
Sicherheitspostfach, Meldebutton, Helpdesk, Vorgesetzte und SOC. Wir beschreiben Vollständigkeit der Meldungen, gesichertes Material, Bewertung des Verdachts, Eskalationszeit und Rückmeldung an Beschäftigte sowie Beobachtungen zu Filtern, Warnhinweisen und Quarantäne.
Prioritäten für MFA, E-Mail-Schutz, Zahlungs- und Lieferantenprüfung, Zugangswiederherstellung, Vorfallmeldung und Krisenkommunikation. Wir liefern Schulungsthemen, Materialien, Checklisten für Risikorollen und einen Wiederholungstestplan; dringende Schritte trennen wir von weiteren Arbeiten.
Wir wählen Phishing-E-Mails, SMS (Smishing), Messenger, QR-Codes und Telefonanrufe (Vishing) aus. Szenarien können falsche Rechnungen, Anhänge, Einladungen, Microsoft-365-Hinweise, Kurzlinks, Datenänderungen oder Zugangswiederherstellung betreffen. Geprüft wird das Auftreten als Kunde, Lieferant, Service, Helpdesk oder interne Abteilung, einschließlich Code-Abfragen und wiederholter MFA-Freigabeaufforderungen. Finanzen, Personal, Geschäftsleitung, Vertrieb, Kundenservice, Empfang, Administration und Systemverantwortliche benötigen unterschiedliche Szenarien. Entscheidend sind Risiko und bisherige Schulungen; nicht jede Kampagne umfasst alle Kanäle. MFA-Szenarien erfordern Testkonten oder eine vereinbarte Simulation, ohne echte Zugangsdaten der Beschäftigten zu erfassen.
Ein Vertrag und eine Szenariofreigabe ersetzen nicht die Prüfung nach geltendem Recht. Vor dem Start klärt das Unternehmen mit den für Recht und Datenschutz zuständigen Personen die Grundlage und Bedingungen der Verarbeitung. Wir vereinbaren erforderliche Daten, Ergebniszugriffe, Aufbewahrung und Anonymisierung der Auswertungen. Echte Passwörter erfassen wir nicht. Zeitpunkt, Mitarbeiterinformation und Kommunikation nach dem Test werden abgestimmt; wir setzen nicht voraus, dass jeder Test unangekündigt sein muss.
Ein Test bewertet vereinbartes Verhalten, Kanäle und Reaktionen in konkreten Szenarien. Schulungen vermitteln die Regeln und ermöglichen es den Teilnehmenden, ihre Anwendung zu üben; SAT verbindet wiederholte Messungen, kurze Module und Wissensvertiefung. Eine Kampagne kann Teil von SAT oder eine eigene Prüfung nach einem Vorfall oder einer Schulung sein. Nachbesprechung und Lernplan umfassen nicht automatisch ein vollständiges Schulungsprogramm.
Wir betrachten Klicks zusammen mit Meldungen, Meldegeschwindigkeit und Reaktionsqualität. Bei Folgekampagnen berücksichtigen wir die Vergleichbarkeit von Gruppen und Szenarien; eine vereinbarte Programmbewertung kann auch Schulungsabschlüsse und durch Beschäftigtenmeldungen erkannte Vorfälle einbeziehen. Umfang, Freigaben, Ergebnisse und Maßnahmen können Prüfungen zu NIS2, ISO 27001, DORA, KSB 315 und Kundenaudits unterstützen, soweit relevant. Sie bestätigen weder allein die Compliance noch die Erkennung jedes Betrugsversuchs.
Ja, in einem gesondert vereinbarten Umfang. Wir können bei MFA, Zahlungs- und Zugangswiederherstellungsverfahren, Meldungsbearbeitung, Schulungen und Wiederholungstests helfen. Beim E-Mail-Schutz betrachten wir unter anderem Microsoft 365 und Defender, Filter, Quarantäne sowie SPF, DKIM und DMARC zur Authentifizierung der beim Versand verwendeten Domänen. Diese Mechanismen ersetzen weder Inhaltsanalyse noch Aufmerksamkeit der Nutzer. Änderungen richten sich nach Umgebung, Testergebnissen und verfügbaren Funktionen.
Nennen Sie Nutzerzahl, Branche, Rollen, Standorte und bestehende Meldewege. Beschreiben Sie Testziel, erlaubte Kanäle und wichtige Ausschlüsse. Senden Sie keine Passwörter oder Beschäftigtendaten; die Übermittlung notwendiger Angaben stimmen wir vor Arbeitsbeginn ab.
Social-Engineering-Test besprechen