Social-Engineer Toolkit ist keine Plattform für Phishing-Simulationen

Das Social-Engineer Toolkit, meist SET genannt, ist einer der bekanntesten Namen im Bereich sozialtechnischer Sicherheitstests. Das macht es jedoch noch lange nicht zu einer Phishing-Simulationsplattform für Mitarbeiterschulungen.

SET ist ein Red-Team-Toolkit. Es gehört in autorisierte Sicherheitstests, Labors und spezialisierte Einsätze. Ein wiederkehrendes Programm zur Sensibilisierung von Mitarbeitenden fürs Phishing hat andere Anforderungen: Sicherheitsgrenzen, Datenschutzkontrollen, Nachbereitung der Schulung, Berichterstattung, Freigaben und Prüfbelege.

Wenn Ihr Team nach "Social-Engineer Toolkit phishing" sucht, weil Sie Awareness-Training benötigen, halten Sie kurz inne, bevor Sie ein Red-Team-Tool in ein Mitarbeiterprogramm verwandeln. Die Suchabsicht ist nachvollziehbar. Die Werkzeugkategorie ist falsch.

Warum SET immer wieder in Suchanfragen nach Phishing-Tools auftaucht

SET hat einen hohen Wiedererkennungswert, weil es seit Jahren in Sicherheits-Communities breit genutzt und diskutiert wird. Das öffentliche TrustedSec-Repository hat mehr als 15.000 GitHub-Stars und ist weiterhin aktiv. Es handelt sich nicht um ein aufgegebenes Projekt.

Das ist wichtig, weil das Risiko nicht bloß "alte Software" ist. Das Risiko besteht darin, die falsche Software für die Aufgabe einzusetzen.

Ein Red-Team-Toolkit ist für kontrollierte Simulationen eines Angreifers gebaut. Eine Awareness-Plattform ist für wiederholtes Training von Mitarbeitenden gebaut. Diese Workflows überschneiden sich auf thematischer Ebene, sind aber nicht austauschbar.

Sicherheitsteams suchen nach SET, wenn sie verstehen wollen:

• Phishing- und Social-Engineering-Techniken
• Red-Team-Tools
• Workflows für Sicherheitstests
• wie Angreifer Mitarbeitende unter Druck setzen
• ob sich mit einem kostenlosen Toolkit Awareness-Kampagnen durchführen lassen

Bei der letzten Frage geraten Organisationen leicht in Schwierigkeiten.

Red-Team-Realismus ist nicht dasselbe wie Mitarbeiterschulung

Red-Team-Tools sind dafür gedacht, Abwehrmaßnahmen unter kontrollierten Bedingungen zu testen. Sie können wertvoll sein, wenn der Umfang klar ist, die Autorisierung dokumentiert wurde, die Operatoren erfahren sind und der Umgang mit Daten streng kontrolliert wird.

Mitarbeiter-Awareness-Training braucht ein anderes Betriebsmodell:

• planbare Taktung
• genehmigte Szenario-Grenzen
• sichere Landingpages
• datenschutzbewusste Messung
• berichtsfähige Auswertung für Führungskräfte
• Coaching und Mikrotraining
• prüfungssichere Nachweise
• klare Kommunikation nach dem Test

Das Ziel ist nicht zu beweisen, dass Mitarbeitende sich täuschen lassen. Das weiß ohnehin jeder: Unter genügend Druck, Ablenkung oder Realismus machen Menschen Fehler. Das Ziel ist, Gewohnheiten beim Melden und Verifizieren aufzubauen, die das Geschäftsrisiko senken.

Das Vertrauensproblem

Awareness-Programme leben vom Vertrauen der Mitarbeitenden. Wenn eine Kampagne sich wie eine heimliche Red-Team-Operation gegen die Belegschaft anfühlt, bekommt die Organisation vielleicht kurzfristig eine Klickrate als Story, aber langfristig ein Glaubwürdigkeitsproblem.

Schlechte Awareness-Programme lösen Reaktionen aus wie:

• "Die Security will uns bloßstellen."
• "Das war zu realistisch und zu belastend."
• "Ich weiß nicht, welche Daten sie gesammelt haben."
• "Ich werde beim nächsten Mal den Kontakt zur Security meiden."
• "Führungskräfte werden das gegen Leute verwenden."

Solche Ergebnisse schwächen das Programm.

Ein gutes Awareness-Programm setzt Grenzen, bevor die Kampagne startet. Es vermeidet Themen, die unnötigen Schaden verursachen. Es misst Verhalten, ohne Geheimnisse zu sammeln. Es gibt den Mitarbeitenden sofortiges, nützliches Feedback. Und es liefert der Führung Trends, ohne aus jedem Ergebnis eine Schuldakte zu machen.

AutoPhishs Leitfaden zu datenschutzfreundlichem Phishing-Training erläutert dieses Betriebsmodell genauer.

Was Sie nicht von Red-Team-Tools übernehmen sollten

Sicherheitsteams sollten der Versuchung widerstehen, die aggressivsten Teile von Red-Team-Tools in breit angelegte Awareness-Programme zu übernehmen.

Für regelmäßige Mitarbeitersimulationen vermeiden Sie:

• das Sammeln echter Passwörter oder MFA-Codes
• das Mitschneiden von Sitzungsmaterial
• das Vortäuschen sensibler persönlicher Krisen
• die Nutzung echter Kunden-, Patienten-, Rechts- oder HR-Daten
• das Erzeugen von Panik rund um Entlassungen, Krankheit, Einwanderung, Disziplinarmaßnahmen oder Notfälle
• das gezielte Ansprechen von Einzelpersonen mit privatem Kontext
• das Veröffentlichen individueller Fehlleistungslisten
• das unbegrenzte Aufbewahren roher Verhaltensdaten

Solche Taktiken erhöhen vielleicht den Realismus, verbessern aber nicht automatisch die Widerstandsfähigkeit. Oft erhöhen sie die interne Reibung und das Governance-Risiko.

Sicherer ist es, geschäftsrelevante Entscheidungspunkte zu simulieren: Rechnungsfreigabe, Dateifreigabe, Helpdesk-Druck, MFA-Abfragen, Dringlichkeit durch Führungskräfte, Anfragen zu Lieferantenänderungen, QR-Login-Flows oder Nachrichten in Kollaborationstools.

Was eine Phishing-Simulationsplattform stattdessen leisten sollte

Eine moderne Phishing-Simulationsplattform sollte sicheres Training leichter machen, nicht nur die Durchführung von Kampagnen ermöglichen.

Hilfreiche Funktionen sind:

• Freigabeworkflows für Szenarien
• rollenbasierte Kampagnenthemen
• sichere Landingpages, die vor der Geheimnisabfrage stoppen
• Messung über Melde-Button oder Meldekanal
• automatisches Feedback
• Nachbereitung mit Mikrotraining
• Aufbewahrungssteuerung
• datenschutzbewusste Analytik
• Trendberichte für Führungskräfte
• exportierbare Nachweise für Audits
• klare Trennung zwischen individuellem Coaching und Management-Dashboards

Diese Funktionen sind wichtig, weil Phishing-Awareness ein Programm ist, keine einmalige Aktion.

Für einen direkten Kategorienvergleich erläutern AutoPhishs Leitfäden zu GoPhish-Alternativen und Phishing Frenzy in 2026, warum bloße Kampagnensoftware nicht dasselbe ist wie ein gesteuertes Awareness-Programm.

Wo SET tatsächlich sinnvoll ist

SET kann in der Sicherheitsarbeit weiterhin eine legitime Rolle spielen. Entscheidend ist der Umfang.

Es kann passen für:

• Red-Team-Einsätze mit ausdrücklicher Autorisierung
• Labordemonstrationen
• Sicherheitsschulungen für Praktiker
• Purple-Team-Übungen
• kontrollierte Bewertungen von Erkennung und Reaktion

Diese Aktivitäten sollten von der regulären Mitarbeitersensibilisierung getrennt werden. Sie brauchen eigene Freigaben, rechtliche Prüfung, technische Kontrollen, einen Datenverarbeitungsplan und ein Debriefing.

Wenn eine Organisation sowohl Red-Team-Tests als auch Awareness-Training möchte, sollte sie beide als getrennte Stränge führen:

• Red-Team-Strang: begrenzter Umfang, spezialisierte Operatoren, Gegnerrealismus, Testen der Reaktion.
• Awareness-Strang: breites Mitarbeiterschulungsprogramm, sichere Simulationen, Meldegewohnheiten, Feedback und Trendnachweise.

Eine unbedachte Vermischung schafft unnötige Risiken.

Wie man Social Engineering sicher abdeckt

Sie können Social-Engineering-Risiken trainieren, ohne das Programm zu einer Red-Team-Übung zu machen.

Gute Awareness-Szenarien lehren Mitarbeitende, innezuhalten und zu prüfen:

• ein Lieferant bittet darum, Zahlungsdaten zu ändern
• eine Führungskraft verlangt dringend Zugriff auf ein Dokument
• eine IT-Nachricht fordert die Bestätigung eines MFA-Resets an
• ein Recruiter schickt einen unerwarteten Dateilink
• eine Kollaborationseinladung kommt von einer täuschend ähnlichen Domain
• eine Assistenz erhält eine kalendergetriebene Anfrage

Jedes Szenario sollte das sichere Verhalten klar festlegen:

• die Nachricht melden
• ein bekanntes Portal verwenden
• über einen freigegebenen Kanal verifizieren
• vor dem Gewähren von Zugriff IT fragen
• Änderungen bei Zahlungen über Finanzkontrollen eskalieren
• Absender und Domain prüfen, bevor man interagiert

Genau dieses Verhalten braucht die Organisation bei einem echten Angriff.

Die Kaufentscheidung

Wenn Sie SET gesucht haben, weil Sie Software für Phishing-Awareness benötigen, fragen Sie stattdessen:

Kann diese Plattform uns helfen, ein vertrauenswürdiges, wiederholbares, datenschutzbewusstes Awareness-Programm zu betreiben?

Die Antwort sollte Folgendes abdecken:

• Sicherheitsgrenzen
• Szenario-Governance
• Feedback für Mitarbeitende
• Meldeverhalten
• rollenbezogene Relevanz
• Datenaufbewahrung
• Audit-Nachweise
• operativer Aufwand

Wenn das Tool Ihnen hauptsächlich offensive Fähigkeiten gibt, löst es das Awareness-Problem nicht.

FAQ

Ist das Social-Engineer Toolkit aufgegeben?

Nein. Das öffentliche TrustedSec-Repository ist weiterhin aktiv und gut sichtbar. Das Problem ist nicht die Stilllegung. Das Problem ist, dass SET ein Red-Team-Toolkit ist und keine gesteuerte Plattform für Mitarbeiter-Awareness.

Kann SET für Phishing-Simulationen verwendet werden?

In autorisierten Sicherheitsprüfungen ja, aber breites Awareness-Training für Mitarbeitende braucht in der Regel sicherere Workflows, Datenschutzkontrollen, Reporting und Nachschulung, die Red-Team-Tools nicht dafür ausgelegt sind zu liefern.

Was ist eine sicherere Alternative zu SET für Awareness-Training?

Verwenden Sie eine Phishing-Simulationsplattform, die für wiederkehrende Mitarbeiterschulungen gebaut ist: sichere Landingpages, rollenbasierte Szenarien, Meldungs-Tracking, Mikrotraining, Aufbewahrungssteuerung und Berichte für Führungskräfte.

Sollten Red-Team-Tools und Awareness-Plattformen getrennt sein?

Ja. Red-Team-Übungen und Mitarbeiter-Awareness-Programme können sich gegenseitig ergänzen, sollten aber getrennte Verantwortlichkeiten, Freigaben, Datenverarbeitung und Erfolgsmessung haben.

Nutzen Sie SET als Signal, nicht als Abkürzung

Das Social-Engineer Toolkit ist eine nützliche Erinnerung daran, dass Social Engineering weiterhin ein reales Geschäftsrisiko ist. Aber die richtige Awareness-Reaktion besteht nicht darin, Mitarbeitende zu Zielen eines Red-Team-Tools zu machen.

Trainieren Sie die Entscheidungspunkte. Messen Sie Meldungen. Halten Sie Daten sicher. Schaffen Sie Vertrauen.

Sign Up