Phishing-Kampagnen scheitern selten an der Technik, sondern an fehlender Zeit für Vorbereitung, Abstimmung und Auswertung. Wir übernehmen die Kampagne als Projekt auf unserer Plattform WePhish, vom Scoping bis zum Abschlussbericht. Sie erhalten keinen Tool-Zugang, sondern ein Ergebnis.
Die meisten Unternehmen, die zu uns kommen, haben eine Phishing-Simulation bereits eingeplant. Das Hindernis ist selten das Werkzeug.
Die Lizenz ist gebucht und der Zugang eingerichtet, doch dann hat das Tagesgeschäft Vorrang. Ein Self-Service-Tool setzt die Kampagne nicht von allein auf, und intern fehlt die Kapazität, diese Aufgabe zu übernehmen.
Ohne sauberes Whitelisting filtert Ihr eigener Spamschutz die Simulation aus. Das Ergebnis ist eine Klickrate nahe null und damit eine Zahl, aus der sich nichts ableiten lässt.
Ohne Abstimmung mit Betriebsrat und Datenschutz und ohne Kommunikationsplan fühlt sich die Belegschaft anschließend bloßgestellt, und das Thema ist auf Jahre belastet.
Sie möchten zunächst Ihren Stand einschätzen? Phishing-Risiko-Check starten (fünf Minuten, ohne Anmeldung).
Wir arbeiten wie in jedem anderen Security-Projekt: fester Ansprechpartner, klarer Ablauf, ein Ergebnis, das Sie Geschäftsführung und Auditor vorlegen können. Ihre IT muss dafür nichts betreiben und nichts lernen.
Wir wählen die Szenarien gemeinsam mit Ihnen aus, statt Ihnen lediglich eine Bibliothek bereitzustellen: passend zu Branche, Abteilung und zu den Nachrichten, die in Ihrem Unternehmen realistisch eingehen könnten.
Terminierung, Versand verteilt über ein Zeitfenster, Monitoring während der Laufzeit und Reaktion, wenn etwas anders läuft als geplant: Diese Aufgaben übernehmen wir vollständig.
Klick- und Meldequote sind schnell erhoben. Wertvoll werden sie erst mit der Einordnung: Was ist für Ihre Branche normal, was ist auffällig, und was folgt daraus?
Von der Beauftragung bis zum Abschlussbericht vergehen typischerweise vier bis sechs Wochen. Der größte Teil davon ist Vorbereitung, also genau der Teil, für den intern häufig die Kapazität fehlt.
Wer wird getestet, was soll die Kampagne beantworten, welche Rahmenbedingungen gelten? Wir klären Ziel, Zielgruppen und Zeitpunkt und sagen Ihnen offen, wenn eine Simulation aktuell nicht der richtige nächste Schritt ist.
Wir begleiten Ihre IT beim IP-Whitelisting in Spamfilter und Mail-Gateway (dem zentralen E-Mail-Eingangssystem), richten die Absender-Domains ein und prüfen per Testversand, dass die Mails tatsächlich in den Postfächern ankommen.
Gemeinsam legen wir Szenarien und Schwierigkeitsgrad fest, passen die Texte an Ihre Realität an und entscheiden, was Mitarbeitende nach einem Klick zu sehen bekommen. Betriebsrat und Datenschutz binden wir hier ein.
Versand verteilt über ein Zeitfenster statt auf einen Schlag, Monitoring während der gesamten Laufzeit und eine direkte Abstimmung mit Ihrem Service Desk, falls dort Rückfragen eingehen.
Öffnungs-, Klick- und Meldequote nach Zielgruppen, anonymisiert. Wir ordnen die Zahlen ein, statt sie nur zu zeigen: Wo ist der Wert erwartbar, wo lohnt sich ein genauerer Blick?
Ein Bericht, den Sie so weitergeben können: Ergebnis, Einordnung, Empfehlungen und der Nachweis für die Audit-Ablage. Auf Wunsch stellen wir ihn in Ihrer Runde persönlich vor.
Simulierte Phishing-Mails sehen für Ihren Spamfilter aus wie echte und werden entsprechend aussortiert. Wer die Kampagne allein aufsetzt, misst am Ende die Qualität des Spamfilters statt das Verhalten der Belegschaft.
Wir liefern Ihrer IT die konkreten Angaben für Spamfilter und Mail-Gateway, begleiten die Einrichtung in einem gemeinsamen Termin und prüfen vor dem Start mit Testversand, dass die Mails wirklich in den Postfächern ankommen. Für Microsoft 365 und die gängigen Gateways haben wir ein erprobtes Vorgehen.
Wir mieten für Ihre Kampagne keine fremde Software, sondern nutzen unsere eigene: WePhish. Sie müssen sie weder lizenzieren noch bedienen, sehen aber jederzeit, was darin geschieht. Drei Einblicke:
Sieben Kategorien über alle Schwierigkeitsstufen: Paket-Zustellung, Konto-Sperrung, E-Signatur und CEO-Fraud (gefälschte Zahlungsanweisungen im Namen der Geschäftsführung). Im Workshop wählen wir gemeinsam aus und passen die Texte auf Ihre Realität an: Ihre Abläufe, Ihre Absender, Ihre Formulierungen. Sie sehen jede Mail vor dem Versand.
Während der Laufzeit sehen Sie Öffnungs-, Klick- und Meldequote in Echtzeit, aufgeschlüsselt nach Zielgruppen. Bedienen müssen Sie nichts: Versand, Monitoring und Betrieb liegen bei uns. Auf Wunsch bekommen Sie einen eigenen Lesezugriff für Ihr Security-Team.
WePhish liefert die Kennzahlen fertig aufbereitet: Zeitverlauf, Zielgruppenvergleich, Melde- gegen Klickquote. Wir setzen die Einordnung und die Empfehlungen darauf und liefern den Bericht so, dass er ohne Nacharbeit in die Geschäftsführungsrunde und in die Audit-Ablage geht.
Treten während Ihrer Kampagne Probleme auf, sitzt die Entwicklung im selben Haus wie Ihr Ansprechpartner. Möchten Sie später selbst Kampagnen durchführen, übernehmen Sie WePhish ohne Migration und ohne neuen Anbieter.
Wir kalkulieren nach Aufwand, nicht nach Lizenzplätzen. Entscheidend sind Mitarbeiterzahl, Anzahl der Zielgruppen und ob mehrere Standorte oder Sprachen dazukommen.
Eine Zielgruppe, ein abgestimmtes Szenario, eine Auswertung. Der übliche Einstieg, meist als einmalige Standortbestimmung vor dem ersten Audit.
Mehrere Zielgruppen mit unterschiedlichem Schwierigkeitsgrad, Auswertung nach Bereichen und eine begleitete Abstimmung mit Betriebsrat und Datenschutz.
Mehrere Standorte und Sprachen, rollierende Wellen über das Jahr und ein Reporting, das auch auf Konzern- oder Holding-Ebene funktioniert.
Ein Angebot erstellen wir nach dem Scoping, da eine seriöse Kalkulation vorher nicht möglich ist. Sie erhalten dann einen Festpreis für das Projekt mit vorab klar definiertem Leistungsumfang. Kampagne anfragen
Eine einzelne Simulation liefert eine Standortbestimmung. Verhalten ändert sich erst durch regelmäßige Maßnahmen über das Jahr.
Deshalb begleiten wir Phishing-Simulationen auf Wunsch dauerhaft: mehrere Wellen mit steigendem Schwierigkeitsgrad, flankiert von Awareness-Kampagnen, Schulungen und einem Security-Portal. Auch das erfolgt betreut, mit Jahresplan statt Tool-Abonnement.
Laufende Awareness-Programme ansehenEmpfehlungen für unseren Inhaber von Kund:innen und Kolleg:innen aus DAX-Konzernen, Mittelstand und Beratung, öffentlich einsehbar auf LinkedIn.
Wir haben zusammen in drei Jahren mehrere globale IT-Security-Projekte in einem DAX-Konzern überaus erfolgreich umgesetzt. Er ist nicht nur ein hervorragender Security Consultant mit exzellentem, technischen Know-how, sondern er schaut auch immer über den Tellerrand, geht die Extra Meile, ist äußerst zuverlässig — und dann einfach noch so ein herzensguter Mensch mit tollem Charakter.
Ein äußerst kompetenter und zuverlässiger Experte im Bereich Data Loss Prevention (DLP), Microsoft Purview und Data Labeling. Er verbindet tiefes fachliches Know-how mit einer strukturierten, lösungsorientierten Arbeitsweise und überzeugt durch Professionalität sowie eine sehr angenehme Zusammenarbeit.
Was ihn auszeichnet, ist die seltene Kombination aus tiefem technischem Know-how und dem Gespür dafür, komplexe Sicherheitsthemen verständlich und praxisnah zu vermitteln. Ob ISMS-Aufbau, ISO 27001, KRITIS-Compliance oder NIS2 — er bringt nicht nur das fachliche Fundament mit, sondern auch die Erfahrung, regulatorische Anforderungen wirklich in der Organisation zu verankern.
Ein sehr kompetenter Berater, der ein breites Spektrum von Tätigkeiten im Bereich Informationssicherheit abdecken kann. Dort beschränkt er sich nicht nur auf reine Beratung, sondern packt bei Bedarf auch bei der Umsetzung mit an. Als Projektleiter oder Verantwortlicher für Arbeitspakete agiert er dezent, aber dennoch wirkungsvoll — und erreicht so bei Kunden und Kollegen eine hohe Wertschätzung.
Bei einer Phishing-Simulation erhalten Mitarbeitende kontrollierte, ungefährliche Test-Mails, die einem echten Angriff nachempfunden sind. Gemessen wird, wer öffnet, wer klickt und, besonders wichtig, wer die Mail meldet. Daraus ergibt sich ein realistisches Bild davon, wie Ihre Organisation im Ernstfall reagieren würde. Ziel ist der Lerneffekt, nicht das Ertappen Einzelner: Die Auswertung erfolgt anonymisiert und nach Zielgruppen.
Weil die Arbeit nicht im Klicken der Oberfläche steckt, sondern in Whitelisting, Szenarien-Auswahl, Abstimmung mit Betriebsrat und Datenschutz, Kommunikation und Auswertung. Genau diese Schritte werden im Tagesgeschäft häufig zurückgestellt. Deshalb sehen wir regelmäßig Lizenzen, die seit Monaten ungenutzt laufen. Wir führen die Kampagne als Projekt durch und übergeben ein Ergebnis. Wenn Sie später selbst übernehmen wollen, können Sie WePhish jederzeit weiternutzen.
Unsere eigene: WePhish, entwickelt und betrieben in Mainz, gehostet in Deutschland. Für Sie hat das drei praktische Vorteile: Wir passen Szenarien an, statt an eine fremde Vorlagen-Bibliothek gebunden zu sein; bei Rückfragen während der Kampagne sitzt die Entwicklung im selben Haus; und wenn Sie später selbst Kampagnen durchführen möchten, übernehmen Sie die Plattform ohne Anbieterwechsel. Alle Details zur Plattform finden Sie auf der WePhish-Produktseite.
Simulierte Phishing-Mails sehen für Ihren Spamfilter aus wie echte Phishing-Mails und werden entsprechend aussortiert. Damit die Simulation überhaupt in den Postfächern ankommt, müssen die Versandserver in Spamfilter und Mail-Gateway freigegeben werden. Wir liefern Ihrer IT die nötigen Angaben, begleiten die Einrichtung und prüfen vor dem Start per Testversand, dass die Zustellung funktioniert. Ohne diesen Schritt misst die Kampagne die Qualität Ihres Spamfilters statt das Verhalten Ihrer Belegschaft.
In der Regel ja, denn Phishing-Simulationen verarbeiten Verhaltensdaten von Beschäftigten und sind daher mitbestimmungspflichtig. Wir adressieren das bewusst früh im Projekt und gestalten die Kampagne so, dass sie auf Lerneffekt statt auf das Bloßstellen Einzelner zielt: anonymisierte Auswertung, faire Kommunikation vorab und danach. Auf Wunsch begleiten wir die Abstimmung mit Betriebsrat und Datenschutzbeauftragten direkt.
Von der Beauftragung bis zum Abschlussbericht rechnen Sie mit vier bis sechs Wochen. Der Versand selbst läuft je nach Zielgruppengröße über wenige Tage; der Großteil der Zeit entfällt auf die Vorbereitung: Whitelisting, Szenarien-Konzeption und Abstimmungen. Steht das Whitelisting bereits, geht es schneller.
Der Aufwand staffelt sich nach Mitarbeiterzahl, Anzahl der Zielgruppen sowie zusätzlichen Standorten und Sprachen. Eine einzelne Kampagne für unter 100 Mitarbeitende ist anders kalkuliert als rollierende Wellen für mehrere tausend. Ein belastbares Angebot machen wir nach dem kostenlosen Scoping-Gespräch, dann als Festpreis für das Projekt.
Drei kurze Schritte genügen für eine erste Einschätzung. So kann das Scoping-Gespräch gezielt an Ihrer Situation ansetzen. Unverbindlich und ohne Verkaufsgespräch.
Oder direkt: hello@welabs.de | +49 6134 5079570