Human-Risk-Management-Plattform
PhishGun: Phishing-Simulation und Security-Awareness-Training für Ihr Team
Die meisten Vorfälle beginnen noch immer bei einem Menschen, nicht bei einem offenen Port. PhishGun schickt Ihren eigenen Leuten realistisches, aber harmloses Phishing, macht aus einem riskanten Klick eine Schulung, solange der Fehler noch frisch ist, und liefert Ihnen eine Kennzahl zum menschlichen Risiko, die Sie einer Geschäftsführung vorlegen können.
Entwickelt von Haxoris aus dem, was unsere Ethical Hacker in echten Social-Engineering-Projekten sehen — die Szenarien sind lokalisiert, nicht übersetzt.
PhishGun wird von Haxoris entwickelt und betrieben. Das Produkt selbst finden Sie auf phishgun.com.
Überblick
Was PhishGun leistet
PhishGun führt simuliertes Phishing gegen Ihre eigenen Mitarbeitenden durch und misst, was danach passiert: wer geöffnet hat, wer geklickt hat, wer etwas eingegeben hat — und die Kennzahl, die die meisten Programme nie erheben: wer gemeldet hat.
Beim Klick hören die meisten Werkzeuge auf. PhishGun behandelt ihn als Anfang: Es öffnet eine kurze, kontextbezogene Lektion, die durch die Signale führt, die diese Nachricht tatsächlich enthielt — genau in dem einen Moment, in dem die Aufmerksamkeit garantiert da ist.
Heraus kommt ein messbarer Trend je Team statt eines Teilnahmezertifikats — und ein Satz Aufzeichnungen, den eine Prüfung nach NIS2, ISO 27001 oder DORA als Nachweis akzeptiert, dass Awareness-Schulung stattgefunden hat.
Eine belastbare Kennzahl zum menschlichen Risiko, im Zeitverlauf verfolgt, und die Nachweise, um Geschäftsführung oder Aufsicht zu zeigen, was sich verändert hat.
Benutzer aus Microsoft 365 oder Google Workspace importiert, Kampagnen, die ihr eigenes Tempo drosseln, und kein zusätzliches Verzeichnis zu pflegen.
Datierte Aufzeichnungen der Awareness-Aktivität je Person — genau das Artefakt, nach dem eine Prüfung fragt, wenn ein Richtliniendokument nicht genügt.
Funktionen und Nutzen
Vier Dinge, die die Plattform tatsächlich tut
Keine Inhaltsbibliothek mit angehängtem Quiz. Jeder dieser vier Punkte ist da, weil er eine Kennzahl verändert, die Sie im Quartal darauf nachmessen können.
Gezielte Phishing-Simulationen
Kampagnen segmentiert nach Abteilung, Risikostufe, Sprache und fachlichem Kontext — ein Rechnungsköder an die Buchhaltung und eine MFA-Aufforderung an die Entwicklung, statt einer generischen Vorlage an alle gleichzeitig am Dienstagmorgen.
Schulung im Moment des Klicks
Ein riskanter Klick öffnet eine kurze Lektion, die die Signale benennt, die die Nachricht enthielt — der Anzeigename, der nicht zur Domain passte, die Dringlichkeit, der Link, der woanders hinführte. Ausgeliefert, solange der Fehler frisch ist, und das ist der einzige Zeitpunkt, an dem es hängen bleibt.
Melden mit einem Klick
Mitarbeitende melden eine verdächtige Nachricht direkt aus ihrem Mail-Client. Aus einem stillen Nicht-Ereignis wird so ein messbares Signal, wer richtig gehandelt hat bekommt Bestätigung, und der Weg von einem echten Angriff bis zur Kenntnis Ihres Teams wird kürzer.
Auswertungen, die standhalten
Klickrate, Melderate, Schulungsabschlüsse, wiederkehrendes Risiko und Kampagnenfortschritt — je Team und im Zeitverlauf. Das Ergebnis ist der Trend; die Klickrate einer einzelnen Kampagne sagt für sich genommen sehr wenig.
Vorlagenbibliothek
Vorlagen, die lokal aussehen — weil sie es sind
Ein Köder funktioniert nur, wenn er dazugehört. Die Bibliothek enthält die Absender, von denen Ihre Leute tatsächlich Post bekommen — Slovenská pošta, Finančná správa, Tatra banka, VÚB, Packeta, Alza — neben den globalen, die jede Belegschaft kennt: Microsoft, Google, Atlassian, Zoom.
Jede Vorlage ist danach markiert, worauf sie zielt — Zugangsdaten, Kartendaten, personenbezogene Daten — und ob sie eine öffentliche Marke oder etwas Internes imitiert. Genau das erlaubt es, eine Kampagne auf ein bestimmtes Risiko auszurichten, statt zu hoffen, dass ein generischer Köder trifft.
Auswertung
Der ganze Funnel, nicht nur die Klickrate
Gesendet, geöffnet, geklickt, abgesendet — mit dem Abfall auf jeder Stufe. Eine Klickrate für sich verdeckt die Zahl, auf die es am meisten ankommt: wie viele Personen über den Klick hinausgingen und tatsächlich etwas herausgegeben haben.
Dieser letzte Prozentsatz gehört vor die Geschäftsleitung, denn er ist der messbar nächste Näherungswert dafür, womit ein echter Angreifer davongekommen wäre.
Mit einer kostenlosen Kampagne starten
Der schnellste Weg herauszufinden, ob das in Ihrer Organisation ein Problem ist, besteht darin, es einmal zu tun. Eine Kampagne, Ihre eigenen Leute, Ihre eigenen Zahlen — vor jeder Verpflichtung.
- Starten Sie mit einer Abteilung — das gesamte Verzeichnis muss nicht importiert werden.
- Wählen Sie ein lokalisiertes Szenario oder passen Sie es an einen Köder an, den Ihre Branche gerade sieht.
- Am Ende des Laufs erhalten Sie Klickrate, Melderate und eine Aufschlüsselung je Team.
So funktioniert es
Fünf Schritte vom leeren Konto zum berichtsfähigen Trend
Die erste Kampagne kostet einen Nachmittag. Alles danach ist dieselbe Schleife in kürzeren Abständen.
Benutzer anbinden
Teams aus Microsoft 365 oder Google Workspace importieren oder eine Liste hochladen. Personen nach Abteilung, Seniorität oder Risikoprofil gruppieren, damit eine Kampagne gezielt läuft statt breit gestreut.
Szenario wählen
Eine lokalisierte Vorlage auswählen — Rechnung, Lieferbenachrichtigung, HR-Mitteilung, MFA-Aufforderung, interne IT-Anfrage — oder sie an einen Köder anpassen, den Ihre Branche in diesem Quartal tatsächlich sieht.
Sicher starten
Schutzmechanismen, gedrosselter Versand und kontrollierte Landing Pages verhindern, dass eine Simulation den Betrieb stört oder Ihre eigene Detektion auslöst. Zeitfenster und Umfang werden festgelegt, bevor etwas hinausgeht.
Im Moment des Klicks schulen
Wer klickt, bekommt die kurze Lektion. Wer meldet, bekommt Bestätigung statt Schweigen — und genau das macht aus dem Melde-Button eine Gewohnheit statt einer Funktion.
Den Trend berichten
Klickrate, Melderate und Schulungsabschlüsse je Team, über Kampagnen hinweg verfolgt. Das geht an die Leitung — und es ist derselbe Datensatz, der die Prüfungsfrage beantwortet, wie Awareness-Schulung nachgewiesen wird.
Human-Risk-Scoring
Ein Score für jede Person — und der Grund dahinter
Jede Person trägt einen Score, der sich aus dem tatsächlichen Verhalten über Kampagnen hinweg ergibt — kompromittiert, gemeldet, ignoriert — und nicht aus einem Quizergebnis am Ende einer Präsentation.
Die Expositionsaufschlüsselung zeigt, gegen welche Angriffsvektoren und welche Absichten diese Person getestet wurde. Ein niedriger Score ist damit nie ein Rätsel, und ein hoher kommt direkt mit der konkreten Lücke, die zu schließen ist.
Leistungsumfang
Was enthalten ist
PhishGun wird als gehostete Plattform bereitgestellt, getrennt von den Beratungsprojekten von Haxoris und mit eigenem Abonnement.
| Bereich | Enthalten |
|---|---|
| Kampagnen | Lokalisierte E-Mail-Vorlagen, kontrollierte Landing Pages, Zielsteuerung nach Abteilung, Risikostufe, Sprache und fachlichem Kontext, gedrosselter Versand und Schutzmechanismen |
| Schulung | Sofortschulung ausgelöst durch einen riskanten Klick, kontextbezogene Erklärung der Signale in der Nachricht, Abschlussverfolgung je Person |
| Melde-Button | Melden einer verdächtigen Nachricht mit einem Klick aus dem Mail-Client der Mitarbeitenden, Bestätigung für korrekte Meldungen, Verfolgung der Melderate |
| Benutzer und Verwaltung | Benutzerimport aus Microsoft 365 oder Google Workspace, Gruppierung nach Team, Abteilung und Risikoprofil |
| Auswertung | Klickrate, Melderate, Schulungsabschlüsse, wiederkehrendes Risiko und Kampagnenfortschritt, je Kampagne und je Team |
| Compliance-Nachweise | Aufzeichnungen der Awareness-Aktivität, die bei Prüfungen nach NIS2, ISO 27001 und DORA vorgelegt werden können |
Aktuelle Pakete, Grenzen und Preise finden Sie auf der PhishGun-Preisseite.
Regulatorischer Kontext
Warum Awareness-Schulung heute eine benannte Pflicht ist
Drei europäische Rahmenwerke schreiben Security Awareness ausdrücklich fest, statt sie dem guten Willen zu überlassen. In allen dreien liegt die Last beim Nachweis — nicht bei einer Richtlinie, die festhält, dass Schulungen existieren.
NIS2
Artikel 20 Absatz 2 verlangt, dass Mitglieder der Leitungsorgane an Schulungen teilnehmen und regelmäßige Schulungen für Beschäftigte fördern. Artikel 21 Absatz 2 Buchstabe g führt grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit unter den Basismaßnahmen auf. Wiederkehrende Simulationen und datierte Abschlussnachweise sind der Weg, das zu belegen. NIS2-Tests bei Haxoris.
ISO/IEC 27001
Maßnahme 6.3 in Anhang A verlangt Awareness, Aus- und Weiterbildung passend zur jeweiligen Rolle und regelmäßig aktualisiert. Eine Prüfung fragt nach personenbezogenen Nachweisen über die Zeit, die eine einmalige Onboarding-Präsentation nicht liefert. ISO-27001-Tests bei Haxoris.
DORA
Artikel 13 Absatz 6 verlangt von Finanzunternehmen, Programme zur IKT-Sicherheitsaufklärung und Schulungen zur digitalen operationalen Resilienz als verpflichtende Module zu führen — ausdrücklich einschließlich der Geschäftsleitung, nicht nur des technischen Personals.
Wo PhishGun neben einem Haxoris-Projekt steht
Sie beantworten unterschiedliche Fragen, und die meisten Organisationen wollen am Ende beides. Ein Social-Engineering-Assessment ist ein Projekt zu einem Zeitpunkt: Unsere Ethical Hacker bauen maßgeschneiderte Vorwände, führen Phishing, Vishing und Smishing gegen einen vereinbarten Umfang durch und berichten, wie weit ein entschlossener Angreifer gekommen ist.
PhishGun ist das Programm, das zwischen diesen Projekten läuft — fortlaufend, in Ihrer eigenen Regie, und darauf gerichtet, das Grundniveau zu verschieben statt einen einzelnen Angriffspfad zu belegen.
In der Praxis:
- Erst das Assessment, dann die Plattform — ein Projekt zeigt, welche Vorwände bei Ihren Leuten tatsächlich funktionieren; genau die lohnen sich als wiederkehrende Szenarien.
- Die Plattform für den Trend — Klick- und Melderate je Team, Quartal für Quartal, ist die Kennzahl, die zeigt, dass das Programm wirkt.
- Schulung für die Lücken, die die Zahlen offenlegen — siehe Mitarbeiterschulungen zur Cybersicherheit mit Trainer, aufgebaut auf den Ergebnissen Ihrer eigenen Kampagnen.
- Und erneut ein Assessment zur Prüfung — ein frisches Projekt gegen eine geschulte Belegschaft ist der ehrliche Test, ob sich die Zahl bewegt hat.
Häufige Fragen
01 Ist PhishGun ein Produkt von Haxoris?
Ja. PhishGun wird von Haxoris entwickelt und betrieben, und die Szenarien stammen von demselben Team, das unsere Social-Engineering-Projekte durchführt. Es hat eine eigene Website und ein eigenes Abonnement auf phishgun.com, weil es eine Plattform ist und keine Beratungsleistung — aber es ist unser Produkt, kein weiterverkauftes Fremdwerkzeug.
02 Worin unterscheidet es sich von einem Social-Engineering-Assessment von Haxoris?
Ein Assessment ist ein Projekt: maßgeschneiderte Vorwände, Phishing zusammen mit Vishing und Smishing, durchgeführt von unseren Testern gegen einen vereinbarten Umfang, mit einem Bericht darüber, wie weit ein Angreifer gekommen ist und warum. PhishGun ist eine Plattform, die Sie selbst und fortlaufend betreiben, um zwischen diesen Projekten das Grundniveau zu verschieben. Das Assessment sagt Ihnen, was bei Ihren Leuten funktioniert; die Plattform ist der Weg, es zu beheben und die Behebung zu belegen.
03 Sind die simulierten Nachrichten für echte Mitarbeitende sicher?
Ja — eine Simulation ist darauf ausgelegt, eine Reaktion zu messen, nicht etwas zu kompromittieren. Es gibt keine Schadsoftware und keine Payload. Kampagnen laufen mit Schutzmechanismen und gedrosseltem Versand, damit eine Simulation den Betrieb nicht stört, und Umfang, Zeitfenster sowie das, was genau aufgezeichnet wird, werden vor der ersten Nachricht festgelegt.
04 In welchen Sprachen stehen die Szenarien zur Verfügung?
Auf Slowakisch, Tschechisch und Englisch. Sie sind lokalisiert und nicht maschinell übersetzt, und das wiegt schwerer, als es klingt: Ein Köder, der wie eine Übersetzung klingt, wird aus dem falschen Grund erkannt — die Kampagne misst dann das Gespür Ihrer Mitarbeitenden für holprige Formulierungen statt ihr Gespür für Phishing.
05 Müssen wir zum Start das gesamte Verzeichnis importieren?
Nein. Beginnen Sie mit einer Abteilung. Benutzer lassen sich aus Microsoft 365 oder Google Workspace importieren oder als Liste hochladen, und der Umfang kann wachsen, sobald Sie sehen, was die erste Kampagne zurückgibt.
06 Macht uns PhishGun NIS2-, ISO-27001- oder DORA-konform?
Kein Werkzeug macht eine Organisation konform, und einem Anbieter, der das behauptet, sollten Sie mit Misstrauen begegnen. Was PhishGun erzeugt, ist der Nachweis für eine bestimmte Pflicht innerhalb jedes dieser Rahmenwerke — dass Security-Awareness-Schulung stattfindet, die richtigen Personen einschließlich der Leitung erreicht und sich wiederholt. Das ist eine Maßnahme unter vielen, und zugleich eine, die sich sonst nur sehr schwer belegen lässt.
Sehen Sie, wie Ihre eigene Klickrate aussieht
Starten Sie mit einer kostenlosen Kampagne oder buchen Sie eine Demo — wir gehen die Plattform mit Blick auf Ihre Umgebung durch.
Zugang anfragenDemo buchen