SMS-Phishing-Test für Mitarbeiter: Checkliste für verwaltete

Ein SMS-Phishing-Test für Mitarbeiter sollte überprüfen, ob die Mitarbeiter verdächtige Textnachrichten erkennen, verifizieren und melden können, ohne dabei Passwörter, MFA-Codes, Zahlungsdaten oder persönliche Informationen preiszugeben. Auf unternehmensverwalteten Handys sollte der Test außerdem die Geräteregistrierung, die genehmigte Nutzung von Telefonnummern, die Zustellung durch den Mobilfunkanbieter, die mobile Berichterstattung und die Genauigkeit der Ereignisse überprüfen. Käufer sollten diese betrieblichen Kontrollmaßnahmen vergleichen, bevor sie Vorlagenbibliotheken vergleichen.

Verwaltete Geräte vereinfachen zwar einige Aspekte, machen eine Smishing-Simulation dadurch aber nicht automatisch autorisiert, vertraulich oder nützlich. Eine Unternehmensrufnummer kann in mehreren Systemen gespeichert sein, mobile Sicherheitstools können Links automatisch prüfen, und Mitarbeiter können das Gerät dennoch für begrenzte private Aktivitäten nutzen. Ein sicheres Programm braucht einen dokumentierten Zweck, eine kontrollierte Empfängerquelle, einen funktionierenden Berichtsweg und klare Grenzen für die gesammelten Daten.

Dieser Leitfaden dient der Abwehr. Er enthält keine betrügerischen SMS-Vorlagen, Techniken zur Absenderfälschung, Anleitungen zum Umgehen der Zustellung, Methoden zum Sammeln von Zugangsdaten oder Anleitungen für nicht autorisierte Tests.

Definiere, was der SMS-Test nachweisen soll

Beginne mit einem Verhalten, das das Unternehmen verbessern möchte. „Messe, wer darauf tippt“ ist zu vage, da ein Antippen versehentlich erfolgen, von einem Sicherheitsscanner ausgelöst werden oder nichts damit zu tun haben kann, ob der Mitarbeiter wusste, wie er sicher reagieren sollte.

Ein sinnvolles Ziel könnte sein, ob Mitarbeiter:

innehalten, bevor sie auf eine unerwartete Anfrage per Handy reagieren;
die Anfrage über einen genehmigten Unternehmenskanal überprüfen;
eine verdächtige SMS über den dokumentierten Prozess melden;
vermeiden, eine sensible Genehmigung per SMS zu erledigen; oder
wissen, was nach dem Umgang mit einer verdächtigen Nachricht zu tun ist.

Wähle ein Hauptziel für das Pilotprojekt aus und definiere, welche Nachweise den Erfolg belegen. Zum Beispiel erfordert das Meldeverhalten eine bekannte Meldestelle, eine Bestätigung, einen Triage-Eintrag und einen Eintrag im Schulungsbericht. Das ist ein aussagekräftigerer Akzeptanztest als die Bestätigung, dass ein SMS-Anbieter einen Zustellstatus zurückgemeldet hat.

Wenn mobile Tests Teil eines umfassenderen Programms sind, nutze den Leitfaden für den Einkauf von Phishing-Sensibilisierungsschulungen, um Simulationen, Unterweisung, Vertiefung und Steuerung aufeinander abzustimmen.

Autorisierung und Eigentumsverhältnisse bei Telefonnummern bestätigen

Die Tatsache, dass ein Mobiltelefon dem Unternehmen gehört, beantwortet nicht alle Fragen zur Autorisierung. Vertreter aus den Bereichen Sicherheit, IT, Datenschutz, Personalwesen, Recht und der Belegschaft müssen sich möglicherweise darauf einigen, wer in den Geltungsbereich fällt, wie die Mitarbeiter informiert werden und welche Ergebnisse für Führungskräfte einsehbar sind. Die Anforderungen variieren je nach Organisation und Rechtsraum.

Dokumentiere vor der Anschaffung oder einem Pilotprojekt:

welche Gruppen von verwalteten Geräten in Frage kommen;
welches System die maßgebliche Quelle für geschäftliche Telefonnummern ist;
wer den Test und die Empfängerliste genehmigt;
welche Rollen, Regionen, Urlaubsstatus oder sensible Gruppen ausgeschlossen sind;
ob für Auftragnehmer und Zeitarbeitskräfte gesonderte Bedingungen gelten;
wie Mitarbeiter eine veraltete oder neu zugewiesene Nummer korrigieren können; und
wie schnell eine Nummer nach der Rückgabe eines Geräts oder beim Ausscheiden entfernt wird.

Verwende keine Notfallkontaktnummern oder privaten Nummern aus den Personalunterlagen für andere Zwecke. Die Plattform sollte nur genehmigte geschäftliche Kontaktdaten importieren und eine klare Dokumentation der Ein- und Ausschlussentscheidungen führen.

Vergleiche die Integration verwalteter Geräte, ohne zu viele Daten zu erfassen

Eine SMS-Phishing-Plattform benötigt selten umfassenden Zugriff auf das Mobilgerät. Sie benötigt eine genehmigte Nummer, genügend Identitätsdaten, um das Lernereignis zuzuordnen, sowie einen begrenzten Satz an Zustell- und Antwortereignissen. Das Mobilgeräte-Management sollte weiterhin die Zuständigkeit für die Gerätebestandsaufnahme und die Einhaltung von Vorschriften behalten, anstatt als Vorwand für die Erfassung zusätzlicher Verhaltensdaten zu dienen.

Bitte die Anbieter, Folgendes zu demonstrieren:

kontrollierte Synchronisierung oder Import zulässiger Telefonnummern;
Trennung von geschäftlichen Nummern und privaten Kontaktdaten;
Überprüfung von Nummernänderungen, Neuzuweisungen und doppelten Datensätzen;
rollenbasierten Zugriff auf mobile Identifikatoren und Ergebnisse;
konfigurierbare Aufbewahrungsfristen und Löschvorgänge;
Prüfprotokolle für Importe, Kampagnenfreigaben, Exporte und administrative Änderungen; und
eine Möglichkeit, das Programm auszuführen, ohne den Inhalt von SMS-Nachrichten, Kontakte, App-Daten oder Gerätedaten der Mitarbeiter zu lesen, die nichts mit der Maßnahme zu tun haben.

Die sicherste Integration ist eng gefasst und nachvollziehbar. Ein Anbieter sollte darlegen können, welche Datenfelder er erhält, warum jedes Feld benötigt wird, wo die Daten verarbeitet werden, wie lange sie aufbewahrt werden und wie die Löschung überprüft wird.

Testzustellung als betriebliche Voraussetzung

Die SMS-Zustellung unterscheidet sich von Unternehmens-E-Mails. Netzbetreiber, Länder, Absendertypen, Filterung, Handyeinstellungen, Roaming und Nummernänderungen können alle beeinflussen, ob eine Nachricht ankommt und wie sie angezeigt wird. Zustellungsergebnisse müssen daher separat validiert werden, bevor das Verhalten der Mitarbeiter interpretiert werden kann.

Überprüfe während eines begrenzten technischen Tests:

unterstützte Länder, Netzbetreiber und Absenderformate;
wie die Absenderidentität in den verwalteten iOS- und Android-Konfigurationen im Untersuchungsumfang angezeigt wird;
wie verzögerte, blockierte, doppelte oder fehlgeschlagene Nachrichten dargestellt werden;
ob Anforderungen von Netzbetreibern oder Telekommunikationsanbietern zusätzlichen Text oder eine Abmeldefunktion vorschreiben;
ob die Plattform einen Test umgehend abbrechen kann;
wie Sicherheitsscanner, Link-Vorschauen und Tools zum Schutz mobiler Geräte Ereignisse beeinflussen; und
ob Zustellprotokolle in Routineberichten abgeglichen werden können, ohne dass vollständige Telefonnummern offengelegt werden.

Bitte einen Anbieter nicht, Schutzmaßnahmen von Netzbetreibern zu umgehen oder den Datenverkehr zu verschleiern. Wenn ein Test darauf beruht, Sicherheitsvorkehrungen zu umgehen, ist er keine geeignete Sensibilisierungsmaßnahme.

Stelle einen mobilen Meldeweg bereit, den Mitarbeiter nutzen können

E-Mail-Meldeschaltflächen lösen das Problem der SMS-Meldung nicht. Mitarbeiter könnten aufgefordert werden, eine Nachricht weiterzuleiten, einen Screenshot zu machen, ein Serviceportal zu öffnen, einen Helpdesk anzurufen oder eine mobile Sicherheits-App zu nutzen. Jede Methode bringt unterschiedliche Kompromisse hinsichtlich Benutzerfreundlichkeit und Datenschutz mit sich.

Bevor du eine Simulation versendest, lege einen primären Meldeweg und einen Ausweichweg fest. Teste dann den gesamten Ablauf:

Ein Mitarbeiter meldet die verdächtige SMS von einem unterstützten, verwalteten Smartphone aus.
Die Meldung gelangt in die richtige SOC- oder Helpdesk-Warteschlange.
Analysten können eine Simulationsmeldung von einem echten Vorfall unterscheiden, ohne dabei eines von beiden zu ignorieren.
Der Mitarbeiter erhält eine Bestätigung und eine Anleitung für die sicheren nächsten Schritte.
Die Schulungsplattform protokolliert die Meldung genau.
Das Unternehmen kann eine echte mobile Bedrohung, die während der Übung entdeckt wurde, eskalieren.

Screenshots und weitergeleitete Nachrichten können irrelevante Benachrichtigungen, Kontaktnamen oder andere Kontextinformationen enthalten. Der Meldeprozess sollte den Mitarbeitern erklären, wie sie unnötige Daten minimieren können, und sie nicht dazu zwingen, geschäftliche Inhalte über ein privates Konto zu versenden.

Lege strenge Sicherheitskontrollen für jede Simulation fest

Ein verwaltetes Smartphone ist immer noch ein Gerät, das für den Mitarbeiter bestimmt ist, und SMS können persönlicher und dringender wirken als E-Mails. Die Szenario-Kontrolle sollte daher im Produkt sichtbar sein und nicht nur auf einem informellen Versprechen beruhen.

Verlang Kontrollen, die Folgendes verhindern:

das Sammeln echter Passwörter, MFA-Codes, Zahlungsdaten, Tokens oder persönlicher Daten;
Links zu unkontrollierten Seiten Dritter;
Aufforderungen zur Installation von Apps oder zur Schwächung der Gerätesicherheit;
das Vortäuschen der Identität echter Führungskräfte oder Kollegen ohne ausdrückliche Genehmigung;
Themen, die große Belastung auslösen, wie Gesundheit, Entlassungen, Einwanderung, Notfälle oder persönliche Finanzen;
Bestrafungs-Ranglisten oder die öffentliche Identifizierung von Personen; und
unkontrollierte Bearbeitungen oder Starts durch Administratoren, denen die Genehmigungsbefugnis fehlt.

Das Ziel der Simulation sollte eine genehmigte HTTPS-Seite sein, die nur die für das Lernziel erforderlichen Mindestdaten erfasst und anschließend sofortiges pädagogisches Feedback gibt. Einen Überblick über sichere, auf Mobilgeräte ausgerichtete Simulationsfunktionen findest du auf der AutoPhish-Smishing-Plattform.

Bewerte das Feedback auf dem Gerät, das die Mitarbeiter tatsächlich nutzen

Der Lernmoment muss auf dem verwalteten Mobilgerät funktionieren, nicht nur auf einem Desktop-Dashboard. Lass dir die vollständige Benutzererfahrung auf unterstützten iOS- und Android-Konfigurationen zeigen.

Gutes Feedback sollte:

die für das Szenario relevanten Warnzeichen erklären;
die genehmigten Überprüfungs- und Meldewege bekräftigen;
keine beschämende Sprache verwenden;
auch auf einem kleinen Bildschirm gut lesbar sein;
die erforderlichen Sprachen der Belegschaft unterstützen;
nach sowohl einer Meldung als auch einer riskanten Interaktion einen sicheren nächsten Schritt bieten; und
das Erfassen weiterer personenbezogener Daten vermeiden.

Nachschulungen sollten in einem angemessenen Verhältnis zum beobachteten Verhalten stehen. Nach einer einmaligen Interaktion kann eine kurze Auffrischung angebracht sein, während wiederholte riskante Handlungen zusätzliches Coaching rechtfertigen können. Das System sollte Ausnahmen, Abwesenheiten, Barrierefreiheitsanforderungen und Fristen für den Abschluss berücksichtigen, die Administratoren erläutern können.

Verwende Kennzahlen, die einer technischen Überprüfung standhalten

Die reine Klickrate ist auf Mobilgeräten besonders unzuverlässig. Link-Vorschau-Dienste, Sicherheitstools, versehentliche Berührungen, verzögerte Nachrichten und wiederverwendete Nummern können die Ergebnisse verfälschen.

Verwende eine ausgewogene Auswahl an Kennzahlen:

berechtigte Empfänger, Zustellversuche, bestätigte Zustellungen und Fehler;
Melderate und Medianzeit bis zur Meldung;
korrekte Nutzung des genehmigten Meldewegs;
Verhältnis von Meldungen zu riskanten Handlungen;
wiederholtes Verhalten bei vergleichbaren Übungen;
Abschluss der Nachverfolgung und späteres Verhalten; und
Ereignisse, die als Scanner-, Vorschau-, Test- oder Verwaltungsaktivität ausgeschlossen wurden.

Dokumentiere die Ereignisdefinitionen vor dem Pilotprojekt. Einkäufer sollten den Anbieter bitten, zu zeigen, wie eine SMS-Zustellung, das Laden einer Seite, eine Mitarbeiterinteraktion, eine automatisierte Überprüfung, ein Bericht und der Abschluss einer Schulung sowohl im Dashboard als auch im Export dargestellt werden.

Die NIST-Leitlinien zum Aufbau von Schulungsprogrammen für Cybersicherheit und Datenschutz unterstützen ein rollenorientiertes, messbares und kontinuierlich verbessertes Schulungsprogramm. Das ist ein besseres Modell, als ein einziges Diagramm zur Smishing-Klickrate als Beweis für das Risiko durch Mitarbeiter heranzuziehen.

Führe vor der flächendeckenden Einführung ein Pilotprojekt mit verwalteten Smartphones durch

Ein kleines Pilotprojekt sollte das Betriebssystem im Rahmen der Simulation testen, nicht nur die Nachricht selbst.

Wähle eine repräsentative Gruppe aus. Beziehe eine begrenzte Mischung aus verwalteten iOS- und Android-Geräten, Mobilfunkanbietern, Rollen und Regionen ein.
Überprüfe die Empfänger. Stelle sicher, dass jede geschäftliche Nummer aktuell, autorisiert und dem vorgesehenen Mitarbeiter zugewiesen ist.
Überprüfe die Zustellung und automatisierte Fehlermeldungen. Erfasse Fehler, Verzögerungen, Vorschau-Ereignisse und Aktivitäten der Sicherheitstools.
Teste den Berichts-Workflow. Überprüfe die Bestätigung durch den Mitarbeiter, die SOC- oder Helpdesk-Warteschlange, den Eskalationspfad und das Dashboard-Ereignis.
Setze dir ein Ziel ohne großen Aufwand. Teste eine Verifizierungs- oder Berichtsfunktion, ohne geheime Daten abzufragen oder einen aktiven Vorfall zu kopieren.
Überprüfe Datenschutz und Zugriff. Prüfe, welche Identifikatoren in Dashboards, Exporten, Tickets und Lernprotokollen erscheinen.
Stimme die endgültigen Nachweise ab. Vergleiche Berechtigung, Zustellung, Mitarbeiteraktionen, Berichte, ausgeschlossene automatisierte Ereignisse und Folgeaufträge.

Der Pilotversuch sollte mit einer Entscheidung enden: bereit zur Ausweitung, bereit nach festgelegten Korrekturen oder ungeeignet für das beabsichtigte Programm. Ein erfolgreicher Versand allein ist kein Akzeptanzkriterium.

Stell den Anbietern diese Fragen

Verwende konkrete Demonstrationen statt Antworten in Form von Feature-Listen:

Wie werden genehmigte geschäftliche Telefonnummern importiert, aktualisiert, ausgeschlossen und gelöscht?
Welche Länder, Netzbetreiber, Absenderformate, iOS-Versionen und Android-Versionen werden unterstützt?
Wie unterscheidet die Plattform Mitarbeiteraktionen von Link-Vorschauen und Sicherheitsscannern?
Können Simulationen durchgeführt werden, ohne Passwörter, MFA-Codes, Zahlungsdaten oder andere vertrauliche Informationen zu erfassen?
Welche Wege für die mobile Berichterstattung werden unterstützt, und wie gelangen die Berichte in unseren SOC- oder Helpdesk-Workflow?
Was sieht ein Mitarbeiter, nachdem er auf einem verwalteten Smartphone einen Vorfall gemeldet oder mit dem Gerät interagiert hat?
Welche individuellen Identifikatoren werden gespeichert, wo, wie lange und wer hat Zugriff darauf?
Können Administratoren Genehmigungen, Ausschlüsse, rollenbasierte Zugriffsrechte, Aufbewahrungsfristen und Prüfprotokolle durchsetzen?
Wie werden fehlgeschlagene, verzögerte, doppelte oder blockierte Nachrichten in Berichten dargestellt?
Können Exporte die Berechtigung, Zustellung, das Verhalten, die Berichterstattung und die Nachverfolgung in Einklang bringen, ohne die Wirksamkeit zu überbewerten?

Die richtige Plattform sollte Ausnahmen und Fehler sichtbar machen. Eine ausgefeilte Vorlagenbibliothek kann veraltete Handydaten, schwache Autorisierung, unbrauchbare Berichte oder durch automatisierte Tools verfälschte Kennzahlen nicht ausgleichen.

Baue ein verwaltetes Mobilfunkprogramm auf, dem die Mitarbeiter vertrauen können

Ein effektiver SMS-Phishing-Test für Mitarbeiter verbindet autorisierte Empfänger, eingeschränkte Datennutzung, transparente Zustellung, sichere Szenarien, praktische Berichterstattung, sofortiges Lernen und fundierte Messungen. Vom Unternehmen verwaltete Handys können den Betrieb des Programms vereinfachen, aber nur, wenn die Plattform diese Kontrollen ausdrücklich unterstützt.

Wenn du kontrollierte Smishing-Simulationen und Berichtsabläufe für Mitarbeiter bewerten möchtest, melde dich an, um AutoPhish in dein Pilotprojekt für verwaltete Handys einzubinden.

Häufig gestellte Fragen

Darf ein Arbeitgeber einen Smishing-Test auf einem Firmenhandy durchführen?

Der bloße Besitz des Geräts reicht als Genehmigung nicht aus. Das Unternehmen sollte den Zweck, die berechtigte Zielgruppe, die Quelle der Empfängerdaten, die Transparenz gegenüber den Mitarbeitern, den Zugriff auf die Ergebnisse, die Aufbewahrungsfristen, Ausschlüsse sowie die in den jeweiligen Rechtsräumen erforderlichen Genehmigungen durch die Beteiligten festlegen.

Sollten bei einem SMS-Phishing-Test Zugangsdaten erfasst werden?

Nein. Eine Übung zur Sensibilisierung für Sicherheitsrisiken kann sicheres Verhalten, Verifizierung, Meldung und Nachverfolgung messen, ohne echte Passwörter, MFA-Codes, Zahlungsdaten oder andere vertrauliche Informationen zu speichern.

Was ist die beste Kennzahl für Smishing-Tests bei Mitarbeitern?

Keine einzelne Kennzahl reicht aus. Melderate, Zeit bis zur Meldung, korrekter Meldeweg, wiederholtes Verhalten, Zustellqualität und Ergebnisse der Nachverfolgung sind zusammen aussagekräftiger als die Klickrate allein.

Sind verwaltete Handys einfacher zu testen als BYOD-Geräte?

Bei ihnen sind Eigentumsverhältnisse, Konfiguration und Support-Grenzen in der Regel klarer definiert. Dennoch erfordern sie die Nutzung genehmigter Nummern, Datenschutzgrenzen, die Überprüfung des Netzbetreibers, sichere Szenarien, funktionierende Meldemöglichkeiten und eine präzise Ereignisbearbeitung.

SMS-Phishing-Test für Mitarbeiter: Checkliste für verwaltete Smartphones