DE

Offensive Services

Social Engineering

Technik lässt sich härten. Menschen kann man nur vorbereiten. Ein Social Engineering Assessment prüft, wie Ihre Organisation reagiert, wenn jemand freundlich fragt statt einzubrechen. Daraus entsteht die Grundlage, um daraus zu lernen.

01

Was wir prüfen

Wir bilden nach, wie Angreifer tatsächlich vorgehen: nicht mit einer generischen Massenmail, sondern mit dem, was über Ihr Unternehmen öffentlich auffindbar ist. Stellenanzeigen verraten eingesetzte Software, LinkedIn die Berichtslinien, eine Pressemitteilung den Zeitpunkt, an dem eine erfundene Dringlichkeit glaubwürdig wirkt.

  • Phishing: zielgerichtete E-Mails auf Basis öffentlich verfügbarer Informationen
  • Spear Phishing: einzelne Empfänger in Schlüsselrollen, mit passendem Vorwand
  • Vishing: Anrufe im Namen von IT-Support, Wirtschaftsprüfung oder Geschäftsleitung
  • Smishing: Kurznachrichten mit Handlungsdruck auf dienstliche Mobilgeräte
  • Physischer Zutritt: Test von Empfang, Ausweispflicht und Besucherführung
  • Köder: präparierte USB-Medien an Orten, an denen sie gefunden werden sollen
Eine massive, sonst geschlossene Betonwand. Eine einzelne schmale Tür steht einen Spalt offen, kühles Licht fällt daraus auf den Boden.

Wie wir vorgehen

Wichtig ist uns der letzte Punkt. Ein Test, der nur eine Klickquote hinterlässt, verbessert nichts. Er erzeugt Misstrauen. Deshalb endet jedes Assessment mit einer Auswertung für die Belegschaft, die zeigt, woran der Angriff zu erkennen gewesen wäre. Dauerhaft ausgebaut wird das im Security Awareness Training.

  1. 01

    Abstimmung

    Ziele, Grenzen und Eskalationswege werden vorab schriftlich festgelegt

  2. 02

    Aufklärung

    Auswertung öffentlich zugänglicher Quellen zu Unternehmen und Belegschaft

  3. 03

    Durchführung

    die vereinbarten Szenarien, in abgestimmten Zeitfenstern

  4. 04

    Auswertung

    Quoten je Szenario und Abteilung, ohne Namensnennung

  5. 05

    Nachbereitung

    Schulung genau zu den Mustern, die funktioniert haben

Was Sie erhalten

  1. 01

    Bericht mit Quoten je Szenario, Abteilung und Zeitverlauf, anonymisiert

  2. 02

    Beispielhafte Angriffsketten mit den tatsächlich genutzten Vorwänden

  3. 03

    Bewertung der technischen Schutzmaßnahmen

    Mailfilter, Meldeweg, Reaktionszeit

  4. 04

    Konkrete Empfehlungen, getrennt nach Technik, Prozess und Schulung

  5. 05

    Auf Wunsch eine Wiederholungsmessung nach sechs bis zwölf Monaten

02

Rechtlicher Rahmen

Ein Social Engineering Assessment berührt Persönlichkeitsrechte und Mitbestimmung. Wir arbeiten ausschließlich auf Grundlage einer schriftlichen Beauftragung, stimmen den Umfang mit Datenschutzbeauftragtem und Betriebsrat ab und werten grundsätzlich nicht personenbezogen aus. Kein Ergebnis unseres Tests eignet sich als Grundlage für arbeitsrechtliche Maßnahmen. Das ist so beabsichtigt.

03

Wann sich das lohnt

Vor einer Zertifizierung nach ISO 27001, als wiederkehrender Nachweis unter NIS2, nach einem tatsächlichen Vorfall, oder wenn nach einer Fusion zwei Sicherheitskulturen aufeinandertreffen. Ergänzend prüft das Penetration Testing die technische Seite, das Red Teaming beides im Verbund.

Offensive Services

Weitere Leistungen in diesem Bereich

Penetration Testing

Wir greifen Ihre Systeme mit Ihrer Erlaubnis an, extern oder intern. Sie erhalten einen Bericht nach Schweregrad und na…

Ansehen

Vulnerability Scanning

Außenhaut, Innennetz, Webanwendungen und Cloud fortlaufend gegen CVE geprüft. Bewertet wird nach Ihrer Lage statt nach …

Ansehen

Red Team Assessment

Sechs bis acht Wochen Angriff auf ein vereinbartes Ziel, über Technik, Menschen und Gebäude. Wir messen, ob und wann Ih…

Ansehen

Kontakt

Reputation braucht Jahre. Zerstörung nur Sekunden.

Sprechen Sie mit uns, bevor es jemand anderes tut. Erstgespräch kostenlos, Rückmeldung am selben Werktag.

Anfrage stellen Im Notfall anrufen