Phishing-Simulation

Die Durchführung von Cyberangriffen wird stetig weiterentwickelt und effizienter. 

Phishing-Angriffe gehören dabei nach wie vor zu den häufigsten und gefährlichsten Bedrohungen. Behörden sind verpflichtet, ihre Sicherheitsvorkehrungen kontinuierlich zu verbessern und diese auch zu überprüfen.

Um dieser Verpflichtung nachzukommen, sind neben dem technischen Schutz zur Verbesserung der E-Mail-Sicherheit, die Maßnahmen zur Stärkung des Sicherheitsbewusstseins der Mitarbeiter unverzichtbar. Der Faktor Mensch wird immer entscheidender, weshalb hier zusätzliche Sensibilisierungsmaßnahmen umgesetzt werden müssen:

1. Wissensaufbau
Wissen über die Bedrohung vermitteln
In Online-Schulungen u.a. im digitalcampus.bayern.de werden die Grundlagen der Angriffe erklärt und es wird der Umgang mit IT-Sicherheitsereignissen vermittelt. Stichwort positive Fehlerkultur. 

2. Üben eines Angriffes durch Phishing-Simulation
Üben eines Angriffs unter Zuhilfenahme eines Simulationswerkzeuges.
Die eingeübten Meldewege bei einem Angriff werden angewendet.

3. Messen der Ergebnisse eines Phishing-Angriffs
Bei der Durchführung der Kampagnen wird das Verhalten der Mitarbeiter anonymisiert aufbereitet. Die Auswertung der Kampagne zeigt die Wirksamkeit der Schulungsmaßnahmen.

Das LSI hat eine Installationsanleitung für das OpenSource-Phishing-Framework „gophish“ erarbeitet.
Durch den Einsatz dieser Plattform können Behörden eigene Phishing-Angriffe simulieren und so die Reaktion der Mitarbeitenden testen. Potenzielle Schwachstellen können so besser erkannt und beseitigt werden. 
Hierbei wären Szenarien wie Aufforderung zur Passwortänderung am Exchange, Teams-Einladungen oder Zugriffe auf MS365 Dokumente denkbar. 

Im Gegensatz zu externen Lösungen bietet diese Lösung neben der Kontrolle über die Benutzerdaten auch das speziell auf die einzelnen Behörden angepasste Design. 
Ebenfalls ein Vorteil ist, dass keine Freischaltungen von Mail-Systemen des Phishing-Dienstleisters notwendig (whitelisting) sind, da das Produkt intern, hinter den eigenen Sicherheitsinstanzen läuft. Dies ist vor allem auch dann vorteilhaft, wenn die Mails über das Bayerische Behördennetz zugestellt werden.

Bereiten Sie Ihre Organisation optimal auf Phishing-Angriffe vor. 
Die aktuelle Version 1.2 der Installationsanleitung kann über beratung-kommunen@lsi.bayern.de angefragt werden.

Wir freuen uns auf Ihr Feedback.

Bei Fragen können Sie sich gerne an uns wenden.