Social-Engineering-Rollenspiel

Erkennen und widerstehen Sie Phishing, Pretexting, Smishing und Social-Engineering-Angriffen, indem Sie sie üben. Joy spielt den Angreifer auf Grundlage Ihres eigenen Awareness-Materials und bespricht danach mit Ihnen, welche Warnsignale Sie erkannt und welche Sie übersehen haben.

Für Alle Mitarbeiter Sicherheitsteams Finanz- und Führungsteams Compliance-Verantwortliche
Beispiel-Prompt für den Joy-Assistenten

/roleplay einen Social-Engineering-Angriff aus unserem Security-Awareness-Playbook: [ein dringender Anruf eines Lieferanten, der die Bankdaten ändert]. Spielen Sie den Angreifer und besprechen Sie danach mit mir, welche Warnsignale ich erkannt und welche ich übersehen habe.

So kann es aussehen

/roleplayeinen Social-Engineering-Angriff aus unserem Security-Awareness-Playbook: ein dringender Anruf eines Lieferanten, der die Bankdaten ändert. Spielen Sie den Angreifer und besprechen Sie danach mit mir, welche Warnsignale ich erkannt und welche ich übersehen habe.

Sie sind in der Finanzabteilung am Telefon; ich spiele Joy, einen Anrufer, der sich als Ihr Lieferant ausgibt, aus Ihrem Security-Awareness-Playbook und den Angriffen, die Ihr Team protokolliert hat. Ich bleibe in der Rolle und bespreche danach mit Ihnen. Es ist Monatsabschluss, und der Anrufer klingt ruhig und gut vorbereitet.

Joy von Ihrem Lieferanten
Kurz vor Ihrem Abschluss. Wir haben die Bank gewechselt, daher braucht die heutige Rechnung ein neues Konto. Ich lese Ihnen die Daten vor; können Sie den Zahlungsempfänger vor dem Lauf aktualisieren?
Ich kann Bankdaten nicht per Anruf ändern. Jede Kontoänderung wird über den hinterlegten Kontakt verifiziert, bevor etwas bezahlt wird.
Joy
Natürlich, aber der Lauf schließt in einer Stunde und Ihre Kreditorenleitung weiß bereits Bescheid. Können Sie die Änderung einfach vornehmen und vermerken?

Coaching

  • Sie haben das zentrale Warnsignal erkannt, eine nicht verifizierte Änderung der Bankdaten unter Zeitdruck, genau das Muster der Business-E-Mail-Compromise-Fälle, die Ihr Team letztes Jahr protokolliert hat.
  • Auf der Regel zu bestehen, den bekannten Kontakt zurückzurufen, statt die vom Anrufer genannte Nummer zu nutzen, ist der Schritt, der diesen Angriff tatsächlich stoppt. Lassen Sie sich davon nicht durch "Ihre Kreditorenleitung weiß bereits Bescheid" abbringen.
  • Eines haben Sie übersehen: Der Vorwand stützte sich auf echten Monatsabschluss-Kontext, der Anrufer hatte also Hausaufgaben gemacht. Melden Sie diese Ausspähung der Sicherheit; oft bedeutet das, dass das Konto bereits ausgekundschaftet wird.

Möchten Sie denselben Vorwand als ausgefeilten E-Mail-Verlauf statt als Anruf?

Richten Sie es auf Ihre eigene Phishing-Bibliothek und führen Sie eine Smishing-Runde für die mobil-lastigen Rollen durch.

Ein anschauliches Beispiel. Ihr Ergebnis hängt von Ihren Quellen, Daten und Anfragen ab. Dies ist ein gekürztes Beispiel. Ein Live-/roleplay läuft Zug für Zug und geht so lange weiter, wie Sie üben.

Lernen durch (sichere) Erfahrung von Angriffen

Ihre Mitarbeiter klicken auf Phishing-Links und schämen sich dann, wenn sie erwischt werden. Klassisches Training zeigt Videos, die sie vergessen. Echte Angreifer nutzen ausgefeiltes Pretexting, Dringlichkeit und Autorität, und darauf bereitet keine Präsentation vor. Sie brauchen Übung.

  1. Geben Sie Joy Ihr Material

    Laden Sie Ihren Security-Awareness-Leitfaden, echte Angriffe, die Ihr Team erfasst hat, und Ihre Verifizierungsverfahren in das Knowledge Center hoch oder verbinden Sie die Quelle. Joy stützt jeden Vorwand und jede Nachbesprechung auf Ihr Material.

  2. Starten Sie das Rollenspiel

    Nutzen Sie Joys Befehl /roleplay und nennen Sie den Angriff, dem Sie sich stellen möchten: eine Phishing-Mail, ein dringender IT-Anruf, ein vorgetäuschter Lieferant. Joy baut die Szene auf und spielt den Angreifer.

  3. Live üben

    Joy bleibt in der Rolle, nutzt echte Manipulationstaktiken (Dringlichkeit, Autorität, einen glaubwürdigen Vorwand) und reagiert auf jeden Ihrer Züge. Sie treffen die Entscheidungen, und nichts steht auf dem Spiel.

  4. Nachbesprechung erhalten und neu starten

    Nach dem Austausch tritt Joy aus der Rolle und bespricht nach: welche Warnsignale Sie erkannt haben, welche Sie übersehen haben und wie Sie sie melden. Wechseln Sie Vorwand oder Kanal und starten Sie neu.

  5. Als Team-Befehl speichern

    Speichern Sie diese Anfrage als eigenen Befehl im Assistenten, den Ihr Team bereits nutzt, damit alle sie mit einem Klick verwenden können.

Machen Sie es sich zu eigen

Realistische Simulationen

Joy spielt überzeugende Angreifer mit echten Manipulationstaktiken aus Phishing, Pretexting und Smishing.

Feedback zu jedem Austausch

Nach jedem Austausch sehen Mitarbeiter, welche Warnsignale sie erkannt und welche sie übersehen haben.

Variieren und wiederholen

Üben Sie denselben Vorwand, bis Sie ihn automatisch erkennen, und wechseln Sie dann den Kanal (E-Mail, SMS, Anruf) für jedes Mal eine neue Übung.

Adaptive Szenarien

Die Szenarien reagieren in Echtzeit auf das, was Mitarbeiter tun, sodass jede Sitzung anders verläuft.

Phishing-E-Mail-Übung

Üben Sie das Erkennen bösartiger E-Mails: gefälschte Absenderadressen, verdächtige Links und Dringlichkeitstaktiken.

Smishing (SMS-Phishing)

Üben Sie das Erkennen bösartiger Textnachrichten, die vorgeben, von Banken, Lieferdiensten oder der IT zu sein, und wissen, wann man nicht klickt.

Pretexting-Szenarien

Üben Sie, ausgeklügelten Tarngeschichten zu widerstehen, die darauf abzielen, Vertrauen aufzubauen, bevor sensible Informationen angefordert werden.

Executive-Impersonation

Üben Sie das Erkennen von CEO-Betrug und Business-Email-Compromise-Versuchen, die falsche Dringlichkeit erzeugen.

Häufig gestellte Fragen

Wie hilft Joy beim Phishing-Awareness-Training?

Joy spielt realistische Angreifer mit echten Manipulationstaktiken. Mitarbeiter üben in einer sicheren Umgebung, auf Phishing-, Pretexting- und Social-Engineering-Versuche zu reagieren, und erhalten Feedback dazu, was sie richtig und falsch gemacht haben.

Ist das wirksamer als Phishing-Simulationen?

Es erfüllt eine andere Aufgabe. Ein Phishing-Test zeigt, wer klickt; das Rollenspiel gibt Menschen Übung im Erkennen der Taktiken und eine Nachbesprechung der übersehenen Warnsignale, sodass Sie beides zusammen nutzen können.

Welche Arten von Social-Engineering-Angriffen können Mitarbeiter üben?

Phishing-E-Mails, Smishing (SMS-Phishing), Pretexting (ausgeklügelte Tarngeschichten), CEO-Betrug, Business-E-Mail-Compromise, vorgetäuschter IT-Support und vorgetäuschte Lieferanten.

Wie mache ich das für mein ganzes Team verfügbar?

Speichern Sie das Rollenspiel als benutzerdefinierten Befehl auf dem Assistenten, den Ihr Team ohnehin nutzt, sodass jede und jeder dieselbe Übung mit einem Klick starten kann. Richten Sie Hochrisiko-Rollen wie Finanzen oder Führungskräfte auf die Vorwände aus, die sie betreffen, und nutzen Sie es so oft, wie die Übung hilft.

Nutzt das Training echte Angriffsbeispiele?

Ja. Laden Sie echte Angriffe hoch, die Ihre Organisation erlebt hat, branchenspezifische Bedrohungen und häufige Muster. Joy baut Szenarien aus den Taktiken, die Angreifer verwenden.

Verwandte Vorlagen

IT & Sicherheit

Datenverarbeitungs-Szenarien

Üben Sie ordnungsgemäße Datenverarbeitung in realistischen Situationen mit Feedback.
Recht

Compliance-Szenario-Übung

Spielen Sie Compliance-Situationen mit Feedback von Joy durch.
IT & Sicherheit

IT-Wissensdatenbank

Beantworten Sie häufige IT-Fragen aus der Dokumentation sofort.

Testen Sie Social-Engineering-Rollenspiel, sobald JoySuite startet

Melden Sie sich für die Warteliste an und probieren Sie diesen Workflow bei der Einführung von JoySuite als Erste aus.

Zur Warteliste Alle Vorlagen durchsuchen