Bevor ein echter Angriff Ihr Team testet, tun wir es.
Viele Angriffe beginnen mit einer E-Mail, die durch jeden Filter kommt. Mit unserer Phishing-Simulation übt Ihr Team diesen Moment: harmlose Übungsmails in Abständen und kurze Schulungen von wenigen Minuten. Sie sehen, wie viele eine verdächtige Mail melden und wie viele ihre Schulung abgeschlossen haben.
Betreut vom Team · Frage nach dem Betriebsrat beim Buchen · nie sichtbar, wer geklickt hat
Guten Tag, aus Sicherheitsgründen müssen Sie Ihr Konto sofort bestätigen, sonst wird die Zustellung ausgesetzt.
Konto jetzt bestätigen3- 1 Absender-Domain stimmt nicht („kjelio")
- 2 Künstlicher Zeitdruck & Drohung
- 3 Link führt ganz woanders hin
Angreifer hacken nicht. Sie schreiben eine Mail.
Spamfilter, Firewall und EDR fangen das Meiste ab. Aber die eine überzeugende Phishing-Mail, die durchkommt, trifft auf einen Menschen in einem unaufmerksamen Moment – oft flankiert von Social Engineering. Das ist die Lücke, die keine Technik schließt.
kostet den Angreifer nichts und erreicht jeden im Betrieb.
kann reichen, damit Schadsoftware startet oder Zugangsdaten abfließen.
warnt alle anderen – eine nur ignorierte Mail warnt niemanden.
Wie Phishing funktioniert und woran man es erkennt, erklärt auch das BSI.
Ein Klick – und der Ernstfall läuft
Das Unangenehme an Phishing ist nicht die Mail. Es ist, was auf den Klick folgt – und wie schnell. Die häufigsten Folgen, von einer Ransomware-Infektion bis zum Datenabfluss, beginnen mit demselben Moment. Ohne Übung ist der erste echte Test zugleich der Ernstfall.
Verschlüsselte Systeme, tagelanger Betriebsausfall, teure Wiederherstellung.
Abgeflossene Daten, 72-Stunden-Meldepflicht, unangenehme Fragen der Aufsicht.
Gefälschte Überweisungen (CEO-Fraud) und Rechnungen, die echt aussehen.
Geschäftsführer-Haftung, verlorenes Vertrauen bei Kunden und Partnern.
Eine Phishing-Simulation ist die Feuerübung fürs Postfach: gefahrlos, wiederholbar – und danach weiß Ihr Team, wohin eine verdächtige Mail gehört.
In vier Schritten – offen statt heimlich
Buchen und klären
Beim Buchen fragen wir, ob es bei Ihnen einen Betriebsrat gibt. Ohne diese Angabe geht keine Übungsmail raus.
Belegschaft informieren
Sie bekommen einen Mustertext zur Vorabinformation und bestätigen, dass Ihr Team vor der ersten Übung Bescheid weiß.
Übungsmails in Abständen
Erst eine Testgruppe, dann die Belegschaft. Wer klickt, sieht sofort, worauf er hätte achten können.
Kurz schulen, Quote sehen
Schulungen dauern wenige Minuten, nicht eine Stunde. Sie sehen Melde- und Abschlussquote.
Aufmerksamkeit, die man sehen kann
Sie sehen zwei Zahlen. Die Meldequote zeigt, wie viele eine Übungsmail als verdächtig gemeldet haben – das ist die Zahl, auf die es ankommt. Die Abschlussquote zeigt, wie viele ihre Schulung erledigt haben.
- Schulungen von wenigen Minuten, nicht eine Stunde
- Übungsmails in Abständen, damit das Hinsehen bleibt
- Die Abschlussquote ist Ihr Schulungsnachweis, etwa für Versicherung und Audit
Beispielzahlen. Kein Zeugnis fürs Team, sondern ein Verlauf: Wer geübt hat, meldet eher.
Trainieren, ohne jemanden bloßzustellen
Der häufigste Einwand gegen Phishing-Tests: „Niemand will am Ende auf einer Liste stehen." Berechtigt. Deshalb sehen Sie bei den Übungsmails nur Summen. Und die erste Übung startet erst, wenn die Frage nach dem Betriebsrat geklärt ist.
- Nur Summen Sie sehen nie, wer einzeln geklickt hat – nur Summen, und erst ab fünf Personen. Das lässt sich nicht umstellen.
- Vorab informiert Beim Buchen bekommen Sie einen Mustertext zur Vorabinformation und bestätigen, dass Ihr Team vor der ersten Übung Bescheid weiß.
- Frage nach dem Betriebsrat Die Mitbestimmung nach § 87 BetrVG fragen wir beim Buchen ab. Erst wenn sie geklärt ist, gibt es Übungen und personenbezogene Auswertungen – und die nur zum Schulungsabschluss.
Awareness ist längst keine Kür mehr
NIS2 (die EU-Richtlinie), Cyber-Versicherer und Zertifizierungen erwarten heute regelmäßige Sensibilisierung – nachweisbar. Die Abschlussquote der Schulungen ist dieser Beleg. Zusammen mit EDR, MFA und regelmäßigen Updates entsteht ein Schutz aus Technik und Mensch.
Wie Angriffe funktionieren – und wie man vorbeugt
Sicherheit, die im Alltag ankommt
Awareness ist ein Baustein von vielen. Dieser Fall zeigt, wie aus einer ehrlichen Risikoanalyse ein belastbarer Schutz wurde – aus Technik, Prozessen und geschulten Menschen.
Medizintechnik Von über 24 Stunden Wartezeit zu festen Ansprechpartnern: ein Medizintechnik-Betrieb wechselt den IT-Dienstleister
IT-Dienstleister wechseln: Ein Medizintechnik-Unternehmen meldete keine IT-Probleme mehr, weil Hilfe über 24 Stunden brauchte. So drehte es sich um.
- 2 + 1
- feste Ansprechpartner: zwei aus der Technik, einer kaufmännisch
- 1 Std
- Cyber-Risikoanalyse vor dem Wechsel
- 5 Jahre
- Herstellergarantie auf den neuen Server
Phishing-Simulation – häufige Fragen
Was bringt eine Simulation, was eine Schulung nicht schon leistet?
Eine Schulung erklärt Phishing. Eine Übungsmail lässt es einmal gefahrlos passieren – und dieser Moment bleibt hängen. Deshalb gehört bei kjello beides zusammen: kurze Schulungen von wenigen Minuten und Übungsmails in Abständen. Woran Sie den Fortschritt sehen: Mehr Menschen melden eine verdächtige Mail.
Ist das nicht unfair gegenüber den Mitarbeitern?
Nein, wenn man es offen macht. Ihre Belegschaft wird vor der ersten Übung informiert – dafür bekommen Sie beim Buchen einen Mustertext. Wer klickt, sieht eine Erklärung, keine Rüge. Und niemand wird bloßgestellt: Bei den Übungsmails sehen Sie nur Summen, nie, wer geklickt hat.
Sehen wir als Arbeitgeber, wer geklickt hat?
Nein. Bei den Übungsmails sehen Sie nur Summen, und erst ab fünf Personen – das lässt sich nicht umstellen. Personenbezogen sehen Sie nur, wer seine Schulung abgeschlossen hat; das ist Ihr Schulungsnachweis. Eine Übung misst Verhalten am Arbeitsplatz und berührt damit die Mitbestimmung nach § 87 BetrVG. Deshalb fragen wir beim Buchen nach dem Betriebsrat. Erst wenn das geklärt ist, startet die erste Übung.
Werden dabei Passwörter oder Eingaben abgegriffen?
Nein. Die Übungsmail ist harmlos: Wer auf den Link klickt, sieht, worauf er hätte achten können. In die Auswertung geht nur ein, wie viele geklickt und wie viele gemeldet haben – als Summe, ab fünf Personen. Es geht um den Lerneffekt, nicht ums Sammeln von Daten.
Wie oft sollte man das machen – und was kostet es?
Nicht einmal, sondern laufend: Die Übungsmails kommen in Abständen über das Jahr, damit das Hinsehen zur Gewohnheit wird. Das Paket heißt „Schulung & Phishing-Übungen" und wird je Person mit Postfach und Monat berechnet. Den Betrag nennen wir Ihnen im Angebot. Am meisten bringt es zusammen mit Virenschutz, Zwei-Faktor-Anmeldung und regelmäßigen Updates.
Üben Sie den Ernstfall, bevor er Sie übt.
Erzählen Sie uns kurz, wie groß Ihr Team ist – wir schlagen einen sinnvollen Rahmen vor: fair, anonym und mit dem Betriebsrat im Boot.
- Unverbindlich
- monatlich kündbar
- Antwort in der Regel innerhalb eines Werktags
- [email protected]
