Ein Red Team Phishing Engagement unterscheidet sich grundlegend von einer regulären Phishing Simulation. Es geht nicht um Statistiken über das Klickverhalten vieler Mitarbeitender – sondern um die Frage, ob ein motivierter Angreifer über Phishing Zugang zu Ihren Systemen erlangen kann.
Wie wir vorgehen
Wir greifen wenige, gezielt ausgewählte Personen an. Es gibt kein Whitelisting auf dem Mailgateway, keine Vorankündigung. Die Bedingungen entsprechen einem realen Angriff.
- Recherche über Social Media und öffentliche Quellen zur Vorbereitung der Szenarien
- Erster Kontakt über einen plausiblen Vorwand, um Informationen zu gewinnen
- Aufbau einer dedizierten Mailer-Infrastruktur mit eigenem Mailserver für zuverlässige Zustellung
- Professionelle Phishing-Seiten mit Cloudflare Turnstile zum Schutz vor automatischen Scannern
- MFA-Token-Interception für Microsoft 365 mit Evilginx Professional – die derzeit effektivste Methode zur Umgehung von Multi-Factor Authentication
Warum das relevant ist
Reguläre Phishing-Kampagnen werden meist automatisiert durchgeführt und auf dem Mailgateway gewhitelistet. Sie messen, wie viele Mitarbeitende auf standardisierte Szenarien reagieren. Das hat seinen Wert – zeigt aber nicht, was ein gezielter Angreifer erreichen kann.
Erfahrungswerte aus unseren Engagements zeigen eine Credential-Rate von ca. 10% bei gezielten Angriffen. Das bedeutet: Bei 10 versendeten Mails ist statistisch mit mindestens einem erfolgreichen Zugangsgewinn zu rechnen. In einer Organisation mit Hunderten von Mitarbeitenden reicht ein einziger kompromittierter Account.
Ergebnis
Sie erhalten einen detaillierten Bericht mit dem Ablauf jedes Angriffsszenarios, den erzielten Ergebnissen und konkreten Empfehlungen zur Verbesserung. Der Bericht zeigt auf, wo Ihre Abwehr greift und wo Lücken bestehen.
Kontaktieren Sie uns für ein unverbindliches Gespräch.