Wir empfehlen, allen Nutzerinnen und Nutzern vor dem Start des Security-Awareness-Trainingsprogramms einen unangekündigten simulierten Phishing-Test zu senden. Dadurch erhalten Sie eine erste Einschätzung hinsichtlich der Situation in Ihrer Organisation.

Die Ergebnisse dieses Baseline Phishing-Tests geben Auskunft über den anfänglichen Phish-prone Percentage in Ihrer Organisation. Der Phish-prone Percentage gibt den Prozentsatz an Nutzerinnen und Nutzern wieder, die wahrscheinlich auf eine Phishing-E-Mail klicken. Betrachten Sie den anfänglichen Phish-prone Percentage als „Baseline“ oder Ausgangspunkt für Ihre Organisation. Der Phish-prone Percentage insgesamt für Ihre Organisation oder der kontospezifische durchschnittliche Phish-prone Percentage basiert auf dem Phish-prone Percentage Ihrer aktiven Nutzerinnen und Nutzer, die mindestens einen Phishing Security Test erhalten haben. Vergleichen Sie den anfänglichen Phish-prone Percentage mit den Werten, die Ihre Organisation nach regelmäßiger Durchführung von Phishing-Tests erzielt, um den Erfolg Ihres Security-Awareness-Trainingsplans zu messen.

Warum sollte ich den Test nicht ankündigen?

Wir empfehlen, den Baseline Phishing-Test nicht anzukündigen, um möglichst genaue Ergebnisse zu erhalten. So können Sie ermitteln, wie verwundbar Ihre Organisation bei einem tatsächlichen Phishing-Angriff wäre. Mit den Erkenntnissen aus dem Baseline Phishing-Test können Sie sich die Unterstützung Ihrer Entscheidungsträger sichern. Weitere Informationen finden Sie hier: Wie kann ich Entscheidungsträger für meinen Security-Awareness-Trainingsplan gewinnen?

Empfohlene Einstellungen für die Baseline Phishing-Kampagne

Tipp:Wir empfehlen, nach dem Whitelisting und vor dem Erstellen der Baseline Phishing-Kampagne mindestens eine Testkampagne mit einer kleinen Gruppe von Nutzerinnen und Nutzern durchzuführen. Weitere Informationen finden Sie unter Vorläufige Testkampagne in unserer Schnellstartanleitung für die Implementierung.

Um eine Baseline Phishing-Kampagne zu erstellen, navigieren Sie zu Phishing > + Phishing-Kampagne erstellen. Folgende Einstellungen werden für Baseline Phishing-Kampagnen empfohlen:

Hinweis: Phishing-Kampagnen werden standardmäßig lokalisiert.

1. Kampagnenname: Geben Sie Ihrer Kampagne einen aussagekräftigen Namen, z. B. „Baseline-Test“.
2. Senden an: Wählen Sie Alle Nutzer aus.
3. Häufigkeit: Wählen Sie Einmalig aus.
4. Startzeit: Wählen Sie aus den Drop-down-Menüs das gewünschte Datum und die Uhrzeit für Ihren Baseline-Phishing-Test aus. Wählen Sie eine Uhrzeit, die innerhalb der Geschäftszeiten Ihrer Organisation liegt, da Ihre Nutzerinnen und Nutzer hauptsächlich in dieser Zeit E-Mails abrufen und lesen.
5. Sendezeitraum: Wählen Sie Alle E-Mails beim Start der Kampagne senden aus. Wenn diese Einstellung ausgewählt ist, werden E-Mails gesendet, sobald die Kampagne startet. Der Zeitpunkt der Sendung und Zustellung ist abhängig von der Anzahl der Nutzerinnen und Nutzer in der Kampagne. In den meisten Kampagnen werden alle E-Mails innerhalb von einer Stunde nach dem Start der Kampagne gesendet.
6. Aktivität tracken: Wir empfehlen, Phishing-Test-Fehler mindestens drei Tage lang zu tracken. Weitere Informationen zu Sende- und Tracking-Zeiträumen finden Sie im Artikel So überwachen und prüfen Sie Phishing-Kampagnen.
7. Antworten auf Phishing-E-Mails tracken: Aktivieren Sie diese Einstellung, wenn Sie die Antworten Ihrer Nutzerinnen und Nutzer auf die Phishing-Test-E-Mails tracken möchten. Weitere Informationen finden Sie im Artikel Reply-to Phishing.
8. Vorlagenthemen: Wählen Sie aus dem Drop-down-Menü die Kategorie Phishing nach sensiblen Daten aus.
9. Vorlagensprache festlegen: Sofern aktiviert, wird die in den Profilen der Nutzerinnen und Nutzer festgelegte Phishing-Sprache überschrieben. Weitere Informationen über Spracheinstellungen finden Sie in unserem Leitfaden für die Lokalisierung.
10. Schwierigkeitsgrad: Einschätzung, wie komplex eine Vorlage ist und wie wahrscheinlich es ist, dass Ihre Nutzerinnen und Nutzer auf diese hereinfallen. Belassen Sie für den Zweck dieser Kampagne den Schwierigkeitsgrad bei Alle Grade.
11. Vorlagenauswahl: Wählen Sie im Drop-down-Menü die Option Spezifische Vorlage (eine Vorlage auswählen) aus.
12. Spezifische Vorlage: Wählen Sie die Vorlage IT: Sofortige Passwortüberprüfung erforderlich aus. 
    1. Vorschau: Wenn Sie auf Vorschau klicken, wird die Phishing-Vorlage angezeigt, die Sie Ihren Nutzerinnen und Nutzern senden.
13. Domain des Phishing-Links: Wählen Sie eine Domain aus, die für den Phishing-Link verwendet werden soll. Hierbei handelt es sich um die Domain, die Ihren Nutzerinnen und Nutzern angezeigt wird, wenn sie den Mauszeiger über den Phishing-Link bewegen. Wählen Sie eine Domain aus, die sicher erscheint.
14. Landingpage: Behalten Sie die Auswahl Standard-Landingpages bei.
15. Klicker hinzufügen zu: Für den Zweck dieser Kampagne müssen Sie keine Auswahl treffen.
16. Nach jedem Phishing-Test einen Report per E-Mail an Kontoadministratoren senden: Aktivieren Sie dieses Kontrollkästchen, um nach Abschluss des Tests eine E-Mail an alle Kontoadministratoren zu senden. Dieser E-Mail-Report wird gesendet, wenn der unter Aktivität tracken festgelegte Zeitraum abgelaufen ist.

Schritte nach dem Baseline-Phishing-Test

Nach dem Baseline Phishing-Test sind Ihre Nutzerinnen und Nutzer aufgrund der erhaltenen E-Mail möglicherweise verwirrt oder besorgt. Wir empfehlen Ihnen, in einer nachfolgenden E-Mail zu klären, dass ein Phishing-Test durchgeführt wurde. In dieser E-Mail können Sie auch den Phish-prone Percentage Ihrer Organisation angeben, um die Bedeutung von Security Awareness Trainings zu betonen. Eine Vorlage, die Sie für diese E-Mail verwenden können, finden Sie hier: Vorlage für E-Mail im Anschluss an den Baseline Phishing-Test.

Registrieren Sie Ihre Nutzerinnen und Nutzer kurz nach dem Baseline Phishing-Test für ein Security Awareness Training. Weitere Informationen finden Sie im Best-Practice-Leitfaden: So erstellen Sie Ihre erste Trainingskampagne.

Führen Sie, nachdem Ihre Nutzerinnen und Nutzer das erste Security Awareness Training abgeschlossen haben, regelmäßig Phishing-Tests durch. So können sie die während des Trainings erlernten Fähigkeiten direkt anwenden. Weitere Informationen über regelmäßige Phishing-Tests finden Sie in unserer Anleitung zu bewährten Methoden.