Ein Angriff,
den Ihr Team selbst löst
Ein inszenierter Ransomware-Vorfall in vier Akten: 75–90 Minuten, im Browser, moderiert von welabs. Ihr Team enttarnt die Phishing-Mail, wird selbst zum Angreifer — und begrenzt am Morgen den Schaden, während ein Countdown läuft.
Vier Akte, eine Nacht,
ein Unternehmen
Die Akte sind narrativ verzahnt — und genau das ist der Lerneffekt. Die Domain, die in Akt I hinter dem gefälschten Link steckt, steht in Akt III im Proxy-Log. Die Backup-Software, die man in Akt II aus einem Karriereprofil abliest, ist in Akt IV der Server, den man schützen muss.
Der Köder — zwei von sechs Mails sind gefälscht
Das Team sitzt in einem fremden Posteingang. Zwei Mails sind Fälschungen, vier sind echt — und zwei der echten sind bewusst so gebaut, dass sie verdächtig wirken. Wer nach Bauchgefühl markiert, liegt daneben. Gelöst wird über Return-Path, Received-Kette und das echte Linkziel in der Statuszeile.
- Kernkompetenz: Absender, Link und Header technisch prüfen
- Am Ende steht die Domain, die dem Angreifer gehört — der erste Beweis
Die Gegenseite — jetzt sind Sie der Angreifer
Der Perspektivwechsel ist der Moment, in dem es klickt. Das Team wählt aus der Beute des Phishing-Kits den brauchbaren Sitzungscookie, sucht im Verzeichnis nicht den höchsten Rang, sondern die höchsten Rechte, leitet aus öffentlichen Quellen das Benutzernamensschema ab, korreliert zwei alte Leaks zum aktuellen Kennwort — und setzt den MFA-Push genau dann ab, wenn er reflexhaft bestätigt wird.
- Themen: OSINT, Credential Stuffing, Adversary-in-the-Middle, MFA-Fatigue
- Danach diskutiert niemand mehr, ob „MFA reicht"
Die stille Stunde — die Wahrheit steht im Log
Nachts im SIEM: 27 Einträge, davon sieben, die zählen. Das Team bestimmt den Erstzugang, findet das Konto, das der Angreifer sich selbst angelegt hat, ordnet die Angriffskette und rechnet die Verweildauer aus. Die IP dafür stand schon im Mail-Header aus Akt I — wer dort sauber gearbeitet hat, ist hier schneller.
- Ableiten statt auswählen: IP, Konto und Verweildauer werden abgelesen und gerechnet
- Die Kette zeigt die beiden Stellen, an denen der Vorfall noch vermeidbar war
Die Krise — jede Minute kostet ein System
Ein Countdown läuft, drei Systeme melden Verschlüsselung. Das Team entscheidet für acht Systeme zwischen isolieren, überwachen und abschalten, wählt den letzten sauberen Wiederherstellungspunkt, rechnet die Meldefristen an BSI und Datenschutzaufsicht aus und beantwortet die Frage, auf die es am Ende hinausläuft: zahlen oder nicht.
- Wer den Domain Controller abschaltet, vernichtet die Forensik — und merkt es sofort
- Meldefristen: 24 Stunden Frühwarnung nach NIS2/BSIG, 72 Stunden nach DSGVO
Hier wird nicht
geraten
Ein Escape Room, in dem man Codes errät, unterhält — und lehrt nichts. Deshalb steht über jedem Schritt ein Briefing mit Ziel, Vorgehen und verfügbaren Werkzeugen, und hinter jeder Entscheidung eine Auflösung: auch hinter den falschen. Ein Fehlversuch erklärt die Methodik mit, statt nur Strafzeit zu vergeben.
- Jede freigespielte Erklärung landet im Erkenntnis-Protokoll — nichts geht verloren
- Auch die echten Mails werden aufgelöst: warum sie trotz Frist und Link harmlos waren
- Zwei Fragen bleiben bewusst unbewertet — sie sind der Einstieg in die Nachbesprechung
Wir führen
durch den Abend
Auf dem Beamer läuft die Spielansicht, auf einem zweiten Gerät das Moderator-Dashboard: aktueller Akt, woran das Team gerade arbeitet, Punktestand und Ereignisprotokoll. Von dort werden Hinweise in drei Stufen freigegeben, wenn eine Gruppe hängt — und die Pause-Funktion friert Countdown und Eingaben ein, wenn jemand einen Kaffee braucht.
- Drei Hinweisstufen je Akt, sequenziell freigeschaltet (10, 20 und 35 Punkte)
- Mehrere Teams parallel: jede Gruppe bekommt ihren eigenen Sitzungscode
- Auf Wunsch moderieren wir — oder wir schulen jemanden bei Ihnen darauf ein
Die Nachbesprechung
ist schon geschrieben
Am Ende steht keine Punktzahl allein, sondern eine Auswertung zum Mitnehmen: die vollständige Angriffskette mit Zeitstempeln, der Verlauf je Akt, die beiden offenen Entscheidungen mit ihrer Einordnung und sämtliche Auflösungen, die das Team unterwegs freigespielt hat. Ausdruckbar — und die Vorlage für das Gespräch am nächsten Tag.
- Sechs Lernpunkte, formuliert als Maßnahme statt als Merksatz
- Auf Wunsch übersetzen wir die Erkenntnisse in konkrete Punkte für Ihre Roadmap
Ein Termin, alles dabei
Vorbereitung & Moderation
Wir stimmen Gruppengröße, Teams und Ablauf ab, richten die Sitzungen ein und moderieren den Termin — bei Ihnen vor Ort oder per Videokonferenz.
Szenario auf Ihr Haus
Auf Wunsch läuft der Fall nicht bei einem fiktiven Logistiker, sondern unter Ihrem Unternehmensnamen und Ihrer Domain — mit Systemen, die Ihre Leute wiedererkennen.
Auswertung & Debriefing
Die Auswertung je Team zum Ausdrucken, dazu eine moderierte Nachbesprechung — und auf Wunsch eine Einordnung, was davon für Ihre Organisation zu tun ist.
Der Escape Room öffnet die Tür — messbar wird es mit Simulationen
Ein Termin verändert die Haltung, aber keine Kennzahl. Wer wissen will, ob die Aufmerksamkeit auch in drei Monaten noch da ist, misst sie: mit regelmäßigen Phishing-Simulationen, sinkender Klickrate und steigender Meldequote. Viele Kunden nutzen den Escape Room als Auftakt und WePhish als Dauerlauf.
Ein Raum, ein Bildschirm, kein Ticket an die IT
Der häufigste Grund, warum Awareness-Formate scheitern, ist der Aufwand drumherum. Deshalb braucht dieser hier praktisch keinen.
- Läuft im Browser — keine Installation, keine Rechte, keine IT-Änderung
- Ein geteilter Bildschirm oder Beamer fürs Team, ein zweites Gerät für die Moderation
- Kein Vorwissen nötig — jede Aufgabe bringt ihre Anleitung mit
- Keine personenbezogenen Daten der Teilnehmenden: eine Sitzung braucht nur einen Teamnamen
- Niemand wird einzeln bewertet — gespielt und ausgewertet wird als Team
- Barrierefrei nach WCAG 2.2 AA, vollständig per Tastatur bedienbar; reduzierte Bewegung wird respektiert
Stimmen aus 10+ Jahren Security-Praxis
Empfehlungen von Kund:innen und Kolleg:innen aus DAX-Konzernen, Mittelstand und Beratung — öffentlich auf LinkedIn.
Was Jens auszeichnet, ist die seltene Kombination aus tiefem technischem Know-how und dem Gespür dafür, komplexe Sicherheitsthemen verständlich und praxisnah zu vermitteln. Ob ISMS-Aufbau, ISO 27001, KRITIS-Compliance oder NIS2 — Jens bringt nicht nur das fachliche Fundament mit, sondern auch die Erfahrung, regulatorische Anforderungen wirklich in der Organisation zu verankern.
Wir haben zusammen in drei Jahren mehrere globale IT-Security-Projekte in einem DAX-Konzern überaus erfolgreich umgesetzt. Jens ist nicht nur ein hervorragender Security Consultant mit exzellentem, technischen Know-how, sondern er schaut auch immer über den Tellerrand, geht die Extra Meile, ist äußerst zuverlässig — und dann einfach noch so ein herzensguter Mensch mit tollem Charakter.
Jens ist ein sehr kompetenter Berater, der ein breites Spektrum von Tätigkeiten im Bereich Informationssicherheit abdecken kann. Dort beschränkt er sich nicht nur auf reine Beratung, sondern packt bei Bedarf auch bei der Umsetzung mit an. Als Projektleiter oder Verantwortlicher für Arbeitspakete agiert er dezent, aber dennoch wirkungsvoll — und erreicht so bei Kunden und Kollegen eine hohe Wertschätzung.
Ich empfehle Jens Thekkeveettil als äußerst kompetenten und zuverlässigen Experten im Bereich Data Loss Prevention (DLP), Microsoft Purview und Data Labeling. Er verbindet tiefes fachliches Know-how mit einer strukturierten, lösungsorientierten Arbeitsweise und überzeugt durch Professionalität sowie eine sehr angenehme Zusammenarbeit.
Häufige Fragen zum Escape Room
Für alle, die im Alltag mit E-Mail und Unternehmensdaten arbeiten — nicht nur für die IT. Der Fall funktioniert für gemischte Teams aus Fachabteilungen genauso wie für Führungskreise, und er funktioniert auch dann, wenn niemand in der Runde je ein Log gesehen hat. Für IT- und Security-Teams lohnt er sich trotzdem: Akt III und IV lassen sich als Trockenübung für die eigene Incident Response fahren.
Ein Team spielt an einem geteilten Bildschirm; erfahrungsgemäß bleibt die Diskussion bis etwa acht Personen lebendig. Größere Gruppen teilen wir in mehrere Teams auf, die parallel mit eigenen Sitzungscodes spielen — das erzeugt nebenbei einen kleinen Wettbewerb, weil am Ende jede Gruppe ihre Punktzahl auf dem Tisch hat.
Einen Raum, einen Beamer oder großen Bildschirm mit Browser und Internetzugang — und ein zweites Gerät für die Moderation. Sonst nichts: Es wird nichts installiert, es braucht keine Administratorrechte und keine Freigabe durch Ihre IT. Remote läuft es genauso, dann teilt die Moderation den Bildschirm in der Videokonferenz.
Ja. Standardmäßig spielt der Fall bei einem fiktiven mittelständischen Logistikunternehmen, was den Vorteil hat, dass niemand sich angegriffen fühlt. Auf Wunsch läuft er stattdessen unter Ihrem Unternehmensnamen und Ihrer Domain, und wir passen die Systeme im Lagebild an Ihre Umgebung an. Das erhöht die Wirkung deutlich — will aber vorher mit der Geschäftsführung abgestimmt sein.
Der Preis richtet sich nach Gruppengröße, Format und danach, ob das Szenario auf Ihr Unternehmen zugeschnitten wird. Ein einzelner moderierter Termin ist eine überschaubare Position — deutlich unter dem, was ein klassisches Teamevent kostet. Sagen Sie uns im Formular kurz, wie viele Leute mitspielen, dann bekommen Sie eine konkrete Zahl statt einer Preisliste.
Nein. Gespielt wird als Team, gepunktet wird als Team, ausgewertet wird als Team. Für eine Sitzung braucht es nur einen Teamnamen — keine Namensliste, keine Konten, keine personenbezogenen Daten der Teilnehmenden. Das macht die Abstimmung mit Datenschutzbeauftragten und Betriebsrat in aller Regel zu einem kurzen Gespräch.
Es ersetzt sie nicht, aber es rettet sie. Ein Escape Room erzeugt Aufmerksamkeit und ein gemeinsames Erlebnis, an das sich Leute ein Jahr später noch erinnern — er misst aber nichts und wiederholt sich nicht. Nachhaltig wird es in Kombination: der Termin als Auftakt, danach regelmäßige Phishing-Simulationen mit WePhish als messbare Routine.
Spielen Sie den Ernstfall durch
Sagen Sie uns in einer Minute, wer mitspielt und wann — wir melden uns mit einem Terminvorschlag und einem konkreten Preis. Kein Vertrieb, kein Rückrufkarussell.
- Antwort innerhalb von 24 Stunden
- Moderation übernehmen wir — Sie brauchen nur einen Raum und einen Bildschirm
- Keine Installation, keine Personendaten der Teilnehmenden nötig
Oder direkt: hello@welabs.de | +49 6134 5079570