Security Awareness der nächsten Generation - BlogSecurity Awareness der nächsten Generation - Bloghttps://www.manguito-awareness.ch/blogsTue, 02 Jun 2026 05:30:00 +0200http://zoho.com/sites/<![CDATA[ClickFix-Angriffe: Wenn Mitarbeitende zum Malware-Installer werden]]>https://www.manguito-awareness.ch/blogs/post/clickfix-angriffe-wenn-der-mitarbeitende-zum-malware-installer-wirdEin angebliches Verifizierung und schon ist es passiert. Bei ClickFix-Angriffen laden Nutzer keine Schadsoftware herunter, sondern führen sie über Systemkommandos selbst aus. Lesen Sie, warum dieser Trick Sicherheitssysteme umgeht und mit welcher simplen Regel Sie Ihre Belegschaft effektiv schützen.]]>

Ein vermeintliches Update, ein kurzes Verifizierungs-Popup oder ein fehlerhaftes Dokument und schon ist es passiert. Doch bei einem ClickFix-Angriff klickt der Nutzer nicht einfach auf einen verseuchten Link. Er führt den Schadcode selbst aus. In diesem Beitrag erfahren Sie, warum dieser Social-Engineering-Trick so gefährlich ist, wie er technische Sicherheitsnetze umgeht und wie Sie Ihre Belegschaft davor schützen.


Was ist ein ClickFix-Angriff?

Ein ClickFix-Angriff ist eine perfide Social-Engineering-Methode. Der Angreifer nutzt bspw. eine gefälschte Fehlermeldung, um den Nutzer dazu zu bringen, ein Systemkommando auszuführen, das ein Problem "beheben" soll, das in Wahrheit gar nicht existiert.
Das Vorgehen ist so simpel wie effektiv: Der Nutzer landet (via Phishing-Mail oder kompromittierter Website) auf einer Seite, die ein Problem meldet. Das kann ein angeblich abgelaufenes Video-Plugin, ein fehlgeschlagener Captcha-Check ("Human Verification") oder ein Dokumenten-Fehler sein. Anstatt den Nutzer auf einen Link klicken zu lassen, fordert die Seite ihn auf, eine Systemaktion durchzuführen. Die Seite kopiert unbemerkt Schadcode in die Zwischenablage und weist den Nutzer an, eine Tastenkombination zu drücken, sodass der kopierte Schadcode ausgeführt werden kann.
Beispiel eines ClickFix-Angriffs
Beispiel eines ClickFix-Angriffs

Der Clou: Es wird keine Malware klassisch via Download auf das System gepusht. Der Angreifer nutzt den Mitarbeitenden als unwissenden User, der den Schadcode freiwillig installiert. Und das betrifft nicht nur Windows: Auch macOS-Nutzer werden immer öfter angewiesen, Befehle ins Terminal zu kopieren.

Weshalb funktionieren solche Angriffe?

ClickFix-Angriffe nutzen eine gefährliche Grauzone zwischen technischen Verteidigungslinien und menschlichem Verhalten aus.

1. Die Illusion des normalen Workflows
Mitarbeitende sind darauf trainiert, Probleme schnell und selbstständig zu lösen, um produktiv zu bleiben. Ein Popup, das sagt: "Verifizieren Sie, dass Sie ein Mensch sind", wirkt im hektischen Arbeitsalltag oft wie eine lästige, aber legitime IT-Hürde. Der Angreifer nutzt den Stress und den Drang zur Problemlösung schamlos aus.

2. Das "Windows Terminal" Bypass-Problem
Weil die bei den Angriffen vom User aufgerufenen Systemtools völlig legitim für die Administration von Computern sind, schlagen viele Antiviren-Programme (wie Endpoint Detection and Response) nicht an, wenn von dort ein Befehl ausgeführt wird. Der Angriff wirkt für das System wie eine legitime Admin-Tätigkeit.

Lösungsansatz

Ein ClickFix-Angriff schlüpft durch Lücken in der Awareness, in den Prozessen und in der Technik. So schliessen Sie diese Lücken:

1. Technische Limitierung (Wo möglich)
Hinterfragen Sie die Berechtigungen: Müssen Standard-Nutzer wirklich komplexe PowerShell-Skripte ausführen können? Wenn möglich, sollten Sie Scripting-Fähigkeiten für Nicht-Administratoren einschränken und die Ausführung von Befehlen überwachen, die direkt aus dem Browser initiiert werden.

2. Eine Kultur des Nachfragens etablieren
Oft folgen Nutzer abstrusen Anweisungen, weil sie nicht wissen, wen sie fragen sollen, oder weil sie Angst haben, durch "dumme Fragen" aufzufallen. Wenn der Meldeweg für verdächtige IT-Anfragen kompliziert ist, wählt der Nutzer den vermeintlich schnelleren Weg und drückt Enter. Etablieren Sie eine Kultur, in der ein kurzes "Innehalten und IT fragen" ausdrücklich belohnt wird.

3. Die goldene Awareness-Regel
Trainieren Sie Ihre Mitarbeitenden nicht auf spezifische Klickwege, sondern auf das Verhaltensmuster. Vermitteln Sie eine einzige, unumstössliche Grundregel: Websites verlassen niemals den Browser. Kein seriöser Dienst, keine Website und kein Cloud-Tool der Welt wird Sie jemals auffordern, ein lokales System-Tool (wie Ausführen, PowerShell oder Terminal) auf Ihrem Computer zu öffnen, um einen Zugang zu verifizieren oder einen Fehler zu beheben. Browser-Probleme werden im Browser gelöst. Systembefehle sind Sache der IT.

Physische Awareness?

Besuchen Sie unseren Awareness-Shop und werfen Sie einen Blick auf unsere erste Kollektion. Ob für Ihre Kampagne, Ihre Champions oder einfach zur Sichtbarmachung im Alltag. Unser Merch unterstützt Sie dabei, Awareness lebendig zu machen.

Shop erkunden
]]>Mon, 01 Jun 2026 15:23:00 +0200<![CDATA[Wie kann die Wirksamkeit von Awareness-Trainings bewiesen werden?]]>https://www.manguito-awareness.ch/blogs/post/wie-kann-die-wirksamkeit-von-awareness-trainings-bewiesen-werdenBringt unser Awareness-Training wirklich etwas? Wer diese Frage mit Abschlussquoten und Klickraten beantwortet, tappt in die KPI-Falle. Erfahren Sie, warum klassische Metriken versagen und wie Sie mit der Melderate und der Reaktionszeit den ROI Ihrer Sicherheitskultur beweisen.]]>

Das Budget für IT-Sicherheit steht auf dem Prüfstand und das Management stellt die unangenehmste aller Fragen: «Bringen diese Awareness-Trainings eigentlich etwas?» Wer jetzt mit einer tiefen Klickrate oder hohen Abschlussquoten von E-Learning-Modulen argumentiert, liefert keinen Beweis für Sicherheit, sondern lediglich für absolvierte Fleissarbeit. In diesem Beitrag erfahren Sie, wie Sie den tatsächlichen Wert Ihres Awareness-Programms belegen und welche Metriken das Management wirklich überzeugen.


Warum traditionelle Metriken scheitern

Wenn die Geschäftsleitung nach dem Return on Investment (ROI) von Security Awareness fragt, greifen viele IT-Verantwortliche auf einfach zu erhebende «Aktivitätsmetriken» zurück. Wir präsentieren, dass 95% der Belegschaft das letzte Video-Training abgeschlossen haben und die Klickrate bei der letzten Phishing-Simulation gesunken ist.
Doch diese Zahlen beweisen nicht, dass das Programm das Risiko im Unternehmen senkt. Sie fokussieren sich auf isolierte Fehler, anstatt zu messen, wie sich Mitarbeitende im Ernstfall tatsächlich verhalten.

Die Schwächen der Klickrate
  • Sie misst Fehler, keine Verteidigung: Die Klickrate beantwortet nur die Frage: «Wer ist in die Falle getappt?» Was Sie operativ aber wirklich wissen müssen, ist: «Wer erkennt die Bedrohung und meldet sie?»
  • Sie ist leicht manipulierbar: Sie können die Klickrate künstlich tief halten, indem Sie simple, unrealistische Phishing-Mails versenden. Das lässt den KPI im Management-Report hervorragend aussehen, verbessert die reale Resilienz Ihres Unternehmens jedoch um exakt null Prozent.
  • Angreifer interessieren sich nicht für Ihre Metriken: Echte Cyberkriminelle versenden keine Trainings-Vorlagen. Sie nutzen gefälschte Lieferantenrechnungen, CEO-Fraud oder Multi-Channel-Angriffe via Teams und WhatsApp.

Verhaltensmetriken

Sicherheit entsteht nicht, wenn Menschen Trainings absolvieren. Sicherheit entsteht, wenn Menschen ihr Verhalten ändern. Deshalb wechselt sich der Fokus von reinen Aktivitätsmetriken auf Verhaltensmetriken. Diese vier Indikatoren beweisen, dass Ihr Programm funktioniert:


1. Die Melderate (Reporting Rate): Vom Opfer zum Sensor

Wenn Sie nur Klicks messen, messen Sie den Moment, in dem Ihnen ein Mitarbeitender das Leben schwer macht. Die Melderate misst den Moment, in dem er Ihnen das Leben leichter macht. Ein erfolgreiches Programm zeichnet sich dadurch aus, dass die Belegschaft zu einem aktiven Sensor-Netzwerk wird.

  • Höhere Melderate = Frühere Erkennung = Weniger Reaktionszeit für Angreifer = Geringerer finanzieller Schaden.
  • Wenn nur eine einzige Person eine Phishing-Mail meldet, kann die IT diese aus allen anderen Postfächern entfernen, bevor ein Kollege überhaupt die Chance hat, darauf zu klicken.

2. Time to report: Wie schnell wird eine Nachricht gemeldet?
Die Melderate zeigt, ob Mitarbeitende reagieren. Die Time-to-Report zeigt, wie schnell sie es tun. Bei einem echten Angriff entscheidet die Geschwindigkeit. Der Unterschied zwischen einer Meldung in 2 Minuten und 20 Stunden bestimmt oft darüber, ob ein Angriff isoliert bleibt oder zu einem unternehmensweiten Vorfall wird.

3. Die Miss Rate. Das unsichtbare Risiko
Wie bereits in unserem letzten Artikel beleuchtet, ignoriert die Klickrate eine massive Dunkelziffer: Die Mitarbeitenden, die weder klicken noch melden (Silent Failures). Die Miss Rate macht genau dieses Risiko sichtbar. Wenn Mitarbeitende verdächtige E-Mails regelmässig ignorieren, kann das ein grösseres Problem signalisieren. Bspw. wissen sie nicht, wie man meldet, oder haben Angst, einen Fehlalarm auszulösen. Sinkt die Miss Rate, ist das ein starkes Indiz dafür, dass Mitarbeitende aus ihrer passiven Rolle heraustreten und aktiv an der Abwehr teilnehmen.

4. Repeat Clicker Reduction: Konzentriertes Risiko minimieren
Risiko ist in Unternehmen selten gleichmässig verteilt. Meistens klickt der Grossteil der Belegschaft fast nie auf schädliche Links, während eine kleine Gruppe von «Wiederholungstätern» chronisch anfällig bleibt. Ein durchschnittlicher Klickraten-Wert über das gesamte Unternehmen hinweg verschleiert dieses konzentrierte Risiko. Ein reifes Awareness-Programm misst deshalb gezielt, ob die Zahl der Repeat Clickers über die Zeit abnimmt. Hier geht es nicht darum, Einzelne an den Pranger zu stellen, sondern gezielt dort zu unterstützen, wo das menschliche Risiko am grössten ist.

Lösungsansatz: Wie Sie die Metriken aktiv verbessern

Wenn Ihre Verhaltensmetriken stagnieren, liegt das selten daran, dass es den Mitarbeitenden "egal" ist. Oft trainiert das System sie unbewusst darauf, nicht zu handeln. So steuern Sie gegen:
  1. Melden muss einfach sein: Es darf einen offensichtlichen Melde-Button geben. Wenn Nutzer überlegen müssen, ob sie eine E-Mail an den Helpdesk weiterleiten, ein Ticket eröffnen oder die IT anrufen sollen, werden sie die Nachricht stattdessen einfach ignorieren (Miss Rate steigt).
  2. Belohnen statt bestrafen (Feedback-Loop): Wenn ein Nutzer eine Mail meldet und danach nie wieder etwas hört, stirbt das Verhalten aus. Erhält er hingegen ein sofortiges System-Feedback («Gut gemacht, das war ein Test!» oder «Danke, wir prüfen das!»), festigt sich die Gewohnheit.
  3. Falschmeldungen normalisieren: Die Angst, falschzuliegen, ist der grösste Feind der Melderate. Kommunizieren Sie klar: Lieber eine legitime Newsletter-Mail zu viel gemeldet, als eine Phishing-Mail zu wenig.

Fazit: Wenn die Belegschaft zum Frühwarnsystem wird

Wie beweisen Sie also, dass Security Awareness funktioniert? Indem Sie aufhören, das Programm als reine Compliance-Massnahme zu rechtfertigen. Führen Sie die Diskussion mit dem Management weg von Klickraten und Modul-Abschlüssen, hin zu messbarem Verhalten: Zeigen Sie auf, dass mehr Bedrohungen gemeldet werden, diese Meldungen schneller bei der IT eintreffen, weniger E-Mails ignoriert werden und konzentrierte Risiken bei Einzelpersonen sinken. Wenn das zur Norm in Ihrem Unternehmen wird, haben Sie nicht nur ein Training absolviert. Sie haben Ihre Belegschaft erfolgreich in ein aktives Frühwarnsystem verwandelt und damit das menschliche Risiko nachweislich und nachhaltig reduziert.

Physische Awareness?

Besuchen Sie unseren Awareness-Shop und werfen Sie einen Blick auf unsere erste Kollektion. Ob für Ihre Kampagne, Ihre Champions oder einfach zur Sichtbarmachung im Alltag. Unser Merch unterstützt Sie dabei, Awareness lebendig zu machen.

Shop erkunden
]]>Mon, 18 May 2026 13:46:00 +0200<![CDATA[Weshalb Security-Awareness-Trainings eine trügerische Sicherheit vermitteln können]]>https://www.manguito-awareness.ch/blogs/post/weshalb-security-awareness-trainings-eine-trugerische-sicherheit-vermitteln-konnenKlickraten und Abschlussquoten können bei Security-Awareness-Trainings eine trügerische Sicherheit vermitteln. Erfahren Sie weshalb und wie Sie durch den Fokus auf die Melderate eine echte Sicherheitskultur etablieren.]]>

Trotz laufender Security Awareness Trainings, abgeschlossener Schulungen und tiefen Klickraten können genau die Fehler passieren, die dank der Schulungen eigentlich verhindert werden sollten. Awareness-Trainings garantieren nicht automatisch mehr Sicherheit. In diesem Beitrag erfahren Sie, weshalb das so ist und wie Sie das Maximum aus Ihren Trainings herausholen.


Fehlinterpretation der Metriken

Einfach messbare KPIs wie die Anzahl versendeter Kampagnen, Abschlussraten von Lernmodulen oder die Klickrate bei Phishing-Simulationen können eine falsche Sicherheit vermitteln, wenn sie isoliert betrachtet oder falsch interpretiert werden.


Die Klickrate: Ein umstrittener Indikator

Die Klickrate wird oft als massgebliche Kennzahl für den Erfolg von Security-Awareness-Trainings herangezogen. Sie ist nicht per se schlecht, aber sie ist unvollständig. Wird sie isoliert betrachtet, vermittelt sie eine trügerische Sicherheit. Dies hat vor allem zwei Gründe:


1. Die Variabilität der Schwierigkeit

Die Klickrate ist stark abhängig von der Qualität der Simulation. Wenn Sie eine offensichtliche Phishing-Mail mit vielen Rechtschreibfehlern versenden, wird die Klickrate bei fast 0% liegen. Versenden Sie jedoch eine perfekt imitierte Nachricht eines bekannten Lieferanten, schnellt die Rate nach oben. Die Klickrate misst bei einfachen Tests also primär die Offensichtlichkeit der Simulation. Erst wenn die Szenarien maximal realitätsnah sind, wird sie zu einem echten Indikator für die Resilienz des Teams.


2. Silent Failures
Die Klickrate misst nur, wer den Fehler gemacht hat. Sie sagt jedoch nichts über diejenigen aus, die nicht geklickt haben:
  • Haben diese Nutzer die E-Mail als Bedrohung erkannt?
  • Haben sie die Nachricht einfach ignoriert oder gar nicht erst gesehen?
  • Waren sie nur zufällig gerade nicht am Arbeitsplatz?
Ein echtes Sicherheitsbewusstsein zeigt sich nicht im Ignorieren, sondern im aktiven Erkennen und Melden. Liefert ein Programm eine Klickrate von 4%, klingt das im ersten Moment hervorragend. Es kann jedoch bedeuten, dass 70% der Mitarbeitenden die E-Mail schlicht nicht gelesen haben. Warum ist das ein Problem? Weil diese 70% ihre Kompetenz, eine echte Gefahr zu erkennen, nie unter Beweis gestellt haben. Sie bilden einen blinden Fleck in Ihrer Sicherheitsstrategie. Wenn morgen eine perfidere, zielgerichtete Phishing-Mail (z. B. eine angebliche, dringende HR-Anweisung) in ihren Postfächern landet, wissen Sie nicht, ob diese Mitarbeitenden die Gefahr erkennen oder in die Falle tappen werden. Wer eine Bedrohung nur zufällig ignoriert, hat keine Resilienz aufgebaut und bleibt ein unkalkulierbares Risiko.

Lösung: Die Melderate als wertvollerer Indikator
Die Klickrate bleibt ein nützlicher Trendindikator um zu sehen, ob das Training grundsätzlich wahrgenommen wird. Für sich genommen ist sie jedoch kein verlässliches Mass für das tatsächliche Risiko. Um die Zahl besser interpretieren zu können, sollte zusätzlich die Öffnungsrate der E-Mails herangezogen werden (wer hat geöffnet, aber ignoriert?).
In der modernen IT-Sicherheit rückt jedoch die Melderate (Reporting Rate) in den Fokus.Ein Mitarbeitender, der nicht klickt, schützt nur sich selbst. Ein Mitarbeitender, der den «Phish-Alarm»-Button drückt, schützt das gesamte Unternehmen, weil die IT-Abteilung die Bedrohung sofort technisch für alle blockieren kann. Auch aus psychologischer Sicht ist die Melderate zielführender: Während Klickraten Fehler messen, misst die Melderate korrektes Verhalten.

Abschlussraten vs. Kompetenz

Neben der Klickrate wird auch die Abschlussquote von Lerneinheiten (Completion Rate) gerne als Metrik genutzt. Sie misst, wie viele Mitarbeitende ein Lernmodul beendet haben. Vereinfacht wird sie häufig so gelesen: 100 % Abschluss = 100 % sicher. Das ist jedoch ein Trugschluss, denn die Quote misst nicht, wie gut ein Thema wirklich verstanden wurde. Die Metrik sollte deshalb eher als Indikator für den generellen Stellenwert der Awareness-Massnahmen im Unternehmen genutzt werden.

Beispiel: Wenn die Abschlussquote in einer Abteilung (z. B. Verkauf) chronisch tief ist, während sie in der Buchhaltung bei 100 % liegt, ist das selten ein Wissensproblem. Es ist ein Führungsproblem. Interpretation: Die Mitarbeitenden im Verkauf erhalten offenbar das Signal, dass ihre Zeit für Akquise zu wertvoll für «Sicherheits-Spielereien» ist. Hier muss also nicht bei erneuten Schulungen, sondern beim Teamleiter angesetzt werden. Die Completion Rate zeigt uns, wo das Management das Thema Sicherheit nicht vorlebt.

Noch interessanter wird es, wenn wir untersuchen, wie lange es vom Versand der Schulung bis zum Abschluss dauert.

Beispiel: 100 % Abschlussquote innerhalb von 48 Stunden nach Versand. Interpretation: Das deutet entweder auf eine extrem hohe Sensibilisierung oder auf eine «Click-Through-Kultur» hin. Die Mitarbeitenden wollen eine Lerneinheit einfach abschliessen, indem sie möglichst schnell durch einen Test durchklicken. Erkenntnis: Hohe Completion Rate bei gleichzeitig hoher Klickrate in Simulationen ist ein Warnsignal. Die Inhalte werden konsumiert, aber nicht verarbeitet.

Lösungsansatz

Schauen Sie sich die Zahlen im Kontext an. Moderne Tools ermöglichen es zudem, eine Mindestpunktzahl für den Abschluss eines Moduls vorauszusetzen. Dies zwingt die Mitarbeitenden, sich genauer mit der Thematik auseinanderzusetzen. Hier gilt es jedoch, eine gute Balance zu finden. Eine zu hoch angesetzte Hürde kann zu Frustration führen. Wenn Mitarbeitende drei Versuche brauchen, sinkt die Akzeptanz für das gesamte Security-Programm rapide. Es ist daher wichtig, zusätzlich die Anzahl der Versuche pro Modul auszuwerten und bei Bedarf zu reagieren.


Falsche Vorgaben und Angst vor Fehlern


Zu vorsichtig bei Phishing-Simulationen

Die Geschäftsleitung oder das HR blockieren Szenarien, die auf Angst, persönlichen Krisen oder harten finanziellen Triggern (z. B. Bonusstreichungen, dringende Kündigungen) basieren, um das Betriebsklima nicht zu belasten. Das ist menschlich verständlich, ignoriert jedoch die Realität. Angreifer haben andere moralische Grenzen und nutzen exakt solche emotionalen Themen, um schnelle, unüberlegte Reaktionen zu provozieren. Ein Team wird nur dann resilient, wenn es lernt, auch unter echtem emotionalem Stress die Ruhe zu bewahren. Für ein effektives Awareness-Programm muss daher eine kontrollierte Dosis Stress genehmigt werden.


0%-Klickrate

Unternehmen wissen, dass ein falscher Klick ausreichen kann, damit ein Angriff erfolgreich ist. Deshalb wird gerne eine Klickrate von 0% bei Simulationen angestrebt. Dieses utopische Ziel führt in der Praxis jedoch dazu, dass Phishing-Simulationen künstlich vereinfacht werden. Es entsteht eine Kultur, in der Mitarbeitende Angst haben zu klicken, Fehler vertuschen oder sich gegenseitig über das Buschtelefon vor der aktuellen "IT-Falle" warnen.


Lösungsansatz: Daten verstehen und aktiv handeln

Der Fokus sollte nicht auf der Fehlervermeidung um jeden Preis liegen, sondern darauf, wie schnell ein Unternehmen auf einen solchen Fehler reagieren kann. Awareness-Programme liefern Unmengen an Daten. Wer das Maximum herausholen will, muss über die Kernmetriken hinausgehen. Stellen Sie sich konkrete Fragen:

  • Wer sind wiederkehrende "Klicker"? Finden Sie heraus, weshalb diese Personen immer wieder klicken. Liegt es an massivem Zeitdruck? Ergreifen Sie gezielte Massnahmen (Verbesserung der Arbeitssituation, zusätzliche persönliche Trainings oder Aufnahme von Security-Awareness in die Jahresziele).
  • Wo gibt es Diskrepanzen? Welche Teams und Rollen haben die tiefsten Phishing-Melde-Raten und weshalb?
  • Wie schnell ist die Organisation? Wo haben wir die höchste zeitliche Verzögerung zwischen dem Versand von Simulationen und dem Melden via Button?
  • Wo sind die blinden Flecken? Welche User nehmen weder an Lernmodulen noch an Phishing-Simulationen teil?


Sicherheit kann nicht einfach "eingekauft" werden, indem man eine Software-Lizenz bezahlt. Die Tools unterstützen Sie dabei, Awareness zu schaffen. Leben muss das Unternehmen das Thema jedoch als aktiven Teil der Firmenkultur. So lassen sich auch weiche Faktoren heranziehen, um den Erfolg zu messen: Werden verdächtige E-Mails plötzlich in der Kaffeepause thematisiert? Trauen sich Mitarbeitende, eine Nachricht lieber einmal zu viel als zu wenig zu melden? Und wird ein tatsächlicher Fehlklick sofort an die IT gemeldet, weil der Mitarbeitende weiss, dass er unterstützt und nicht bestraft wird?


Fazit

Wenn wir die Analysen von KPIs, Klickraten und Abschlussquoten zusammenfassen, drängen sich drei entscheidende Fragen auf: Wo passieren die Fehler, weshalb reduzieren wir damit das Risiko nicht und was funktioniert in der Praxis wirklich?

Wo passieren die Fehler im Awareness-Training?

Die grössten Fehler passieren bereits bei der Definition und Interpretation der Erfolgskennzahlen. Der gravierendste Fehler ist der blinde Fokus auf einfach messbare Metriken. Unternehmen betrachten eine 100%-Abschlussquote von Lerneinheiten fälschlicherweise als Beweis für Kompetenz und eine tiefe Klickrate als Zeichen für Sicherheit. Ein weiterer Fehler liegt in hindernden Vorgaben: Aus Angst vor schlechten Metriken oder aus Rücksicht auf das Betriebsklima werden Phishing-Simulationen künstlich entschärft. Damit trainiert man jedoch für eine Realität, die es in der echten Cyberkriminalität nicht gibt.


Weshalb wird das Risiko dadurch nicht reduziert?

Weil diese isolierten Metriken eine gefährliche Scheinsicherheit vermitteln. Eine hohe Abschlussquote in Rekordzeit deutet oft nicht auf Wissen, sondern lediglich auf eine «Click-Through-Kultur» hin. Die Inhalte werden konsumiert, aber nicht verstanden. Eine tiefe Klickrate wiederum ignoriert das Problem der "Silent Failures": Wenn 70% der Belegschaft eine Bedrohung schlicht ignorieren oder übersehen, bleibt das Unternehmen gefährdet. Würde eine Nachricht gemeldet werden, kann die IT entsprechend reagieren. Wenn Metriken das Verhalten fördern, Fehler aus Angst zu vertuschen statt sie zu melden, hat das Training sein Ziel verfehlt.


Was funktioniert wirklich?

  1. Daten in den Kontext setzen: Schauen Sie sich Ihre Daten im Kontext und nicht isoliert an. Hinterfragen Sie Ihre KPIs. Chronisch tiefe Abschlussquoten in bestimmten Abteilungen sind meist kein Wissens-, sondern ein Führungsproblem. Identifizieren Sie wiederkehrende "Klicker" und setzen Sie bei der Ursache an, anstatt blind neue Trainings zu verordnen.
  2. Eine unterstützende Fehlerkultur leben: Sicherheit kann man nicht durch Lizenzen einkaufen. Ein Mitarbeitender muss wissen, dass er bei einem Fehlklick unterstützt und nicht bestraft wird. Wer einen Fehler sofort meldet, handelt korrekt und schützt das Unternehmen.
  3. Realistischen Stress zulassen: Für ein effektives Training muss eine kontrollierte Dosis emotionaler Stress genehmigt werden. Nur wer lernt, auch unter Druck und bei realistischen Angriffs-Szenarien Ruhe zu bewahren, entwickelt echte Resilienz.
  4. Nachrichten melden: Das primäre Ziel muss sein, dass Mitarbeitende verdächtige Aktivitäten sofort melden. Genau diese Geschwindigkeit befähigt die IT-Abteilung, die Bedrohung für alle zu blockieren.

Physische Awareness?

Besuchen Sie unseren Awareness-Shop und werfen Sie einen Blick auf unsere erste Kollektion. Ob für Ihre Kampagne, Ihre Champions oder einfach zur Sichtbarmachung im Alltag. Unser Merch unterstützt Sie dabei, Awareness lebendig zu machen.

Shop erkunden
]]>Mon, 04 May 2026 11:23:00 +0200<![CDATA[Neue Phishing Templates: Just Eat, Interne Weisung und verpasstes Kundenmeeting]]>https://www.manguito-awareness.ch/blogs/post/neue-phishing-templatesUm Ihre Mitarbeitenden noch effektiver zu schulen, haben wir unser Phishing-Template-Portfolio um drei neue, spezifisch auf die Schweiz zugeschnittene Phishing-Templates erweitert.]]>

Um Ihre Mitarbeitenden noch effektiver zu schulen, haben wir unser Phishing-Template-Portfolio um drei neue, spezifisch auf die Schweiz zugeschnittene Phishing-Templates erweitert.

Szenario BeschreibungSprachenTyp
 Privater und Beruflicher Alltag Simuliert eine täuschend echte Essensbestellung. Mitarbeitende werden dazu verleitet, eine vermeintliche Quittung im Anhang zu öffnen. Deutsch, Französisch Anhang (Quittung)
 Interne Unternehmensrichtlinien Täuscht eine offizielle interne Anweisung vor. Erzeugt künstlichen Zeitdruck, um Nutzer zur Dateneingabe auf einer gefälschten Seite zu bewegen.  Deutsch, Französisch Landingpage
 Operativer Büroalltag Informiert über einen angeblich versäumten Termin. Animiert den Empfänger dazu, das beigefügte "Meetingprotokoll" zur Information zu öffnen.  Deutsch, Französisch Anhang (Protokoll)
Just Eat Bestellung
Interne Weisung
Baloise

Just Eat BestellungInterne WeisungBaloise
cross-out download expand focus next prev zoom-in zoom-out

Physische Awareness?

Besuchen Sie unseren Awareness-Shop und werfen Sie einen Blick auf unsere erste Kollektion. Ob für Ihre Kampagne, Ihre Champions oder einfach zur Sichtbarmachung im Alltag. Unser Merch unterstützt Sie dabei, Awareness lebendig zu machen.

Shop erkunden
]]>Thu, 12 Feb 2026 09:00:00 +0100<![CDATA[Kalendereinladungs-Pishing: Eine wachsende Cyber-Bedrohung]]>https://www.manguito-awareness.ch/blogs/post/kalendereinladungs-pishing-eine-wachsende-cyber-bedrohungKalendereinladungs-Pishing ist eine neue Taktik von Angreifern, die Kalender-Einladungen ausnutzen, um schädliche Payloads zu übermitteln und damit traditionelle E-Mail-Sicherheitsmassnahmen zu umgehen.]]>
Kalendereinladungen geniessen Vertrauen. Genau das macht sie zur idealen Zielscheibe von Phishing.

Warum Kalender-Invites plötzlich ein Security-Thema sind

Kalender gehören zu den meistgenutzten Business-Tools. Ein Termin kommt rein, landet im Kalender, blockiert Zeit, erinnert automatisch und wirkt dadurch «legitim». Genau dieses implizite Vertrauen nutzen Angreifer aus.
Die Folge: Phishing verlagert sich dorthin, wo Sicherheitskontrollen oft weniger strikt greifen als bei E-Mails. Folgend erfahren Sie, wie solche Angriffe funktionieren und welche Schutzmassnahmen ergriffen werden können.

So nutzen Angreifer bösartige Kalendereinladungen
Kalender-Einladungen sind technisch nicht einfach «nur Text». Sie enthalten strukturierte Event-Daten (z. B. iCalendar/ICS), Links, Konferenz-Details, Orte, Anhänge und sie werden von Clients und Mobile Apps teilweise automatisch verarbeitet.

1) Umgehen von E-Mail-Filtern

Viele E-Mail-Security-Systeme priorisieren die Analyse des E-Mail-Body und klassischer URL-/Attachment-Indikatoren. Kalendereinladungen oder ICS-Inhalte werden dagegen je nach Setup weniger tief geprüft. Typische Angreifer-Mechanismen:
  • Link-Platzierung im Event (Beschreibung, Standort, Meeting-URL)
  • Täuschend echte Konferenzdaten (z. B. «Teams Meeting» / «Google Meet»), die auf Fake-Login-Seiten führen
  • Anhänge oder Follow-up-Nachrichten, die im Kontext «Meeting» weniger verdächtig wirken


2) Persistenz: Der Angriff bleibt im Kalender, selbst wenn die Mail weg ist

Ein Kernproblem: Wird die ursprüngliche Nachricht gelöscht, kann der Kalendereintrag dennoch bestehen bleiben. Damit bleibt der Angriffsvektor bis zum Event-Zeitpunkt oder darüber hinaus präsent. Warum ist das gefährlich?
  • Mitarbeitende klicken erst später auf Links («Jetzt Meeting beitreten»).
  • Der Eintrag wirkt «alt» und damit vertrauenswürdiger.
  • Die Security-Response startet oft zu spät, weil der Trigger nicht mehr im Postfach sichtbar ist.


Welche Sicherheitslücken dadurch entstehen

Unbemerkte bösartige Events

Kalender sind voll. Ein einzelner Termin fällt kaum auf, besonders wenn er sinnvoll klingt («Quartalsreview», «Payroll Update», «Sicherheitstraining»). Das erhöht die Chance, dass der Event:
  • akzeptiert wird
  • im Kalender bleibt,
  • und später unkritisch angeklickt wird.


Grössere Angriffsfläche durch Integrationen (inkl. KI)

Kalender hängen heute an einem ganzen Ökosystem:
  • E-Mail und Chat- Konferenzsysteme
  • Mobile Benachrichtigungen
  • CRM-/Projekttools
  • teils auch KI-gestützte Assistenten, die Inhalte zusammenfassen oder verarbeiten

Je mehr Systeme automatisch mitlesen oder verarbeiten, desto mehr Möglichkeiten entstehen für Datenabfluss, Session-Hijacking oder Credential Theft. TechRadar beschreibt z. B. eine Gemini-bezogene Schwachstelle im Zusammenspiel mit Kalender-Invites und Datenabfluss-Szenarien.


Praktische Schritte für Administratoren 

1) Kalender-Einstellungen so konfigurieren, dass Einladungen nicht automatisch verarbeitet werden

Ein einfacher und schneller Schritt zum Hardening Ihrer Umgebung ist das Deaktivieren der automatischen Verarbeitung von Kalendereinladungen. Das führt dazu, dass Einladungen im Postfach bleiben, bis ein User sie manuell annimmt. User lesen so die Einladung aktiv durch. Zieht die IT später die E-Mail zentral zurück, muss sie keine Kalender bereinigen, wenn der Termin noch nicht angenommen wurde.
Microsoft 365 bietet aktuell keine globale Einstellung für dieses Verhalten. Sie muss per Mailbox gesetzt werden und kann vom Mailboxbesitzer überschrieben werden. Folgend das Powershellkommando:

Get-Mailbox -ResultSize Unlimited | ForEach-Object {

 Set-CalendarProcessing $_.Identity -AutomateProcessing None

}


Testen Sie nach dem Ausführen des Kommandos, wie sich Einladungen von internen und externen Absendern verhalten. Ebenso auch auf Mobilgeräten. Kündigen Sie solche Änderungen vorher an und sprechen Sie sich mit Ihren Usern ab. Ggf. muss für gewisse Usergruppen die automatische Verarbeitung (bspw. Empfang) aktiviert bleiben.

2) MFA konsequent durchsetzen

MFA ist kein «Nice-to-have». Wenn ein Kalender-Link auf eine Login-Seite führt, ist MFA oft der letzte Schutz. Empfehlung:
  • MFA für alle Konten
  • besonders streng für Admin- und VIP-Accounts
  • Phishing-resistente Methoden bevorzugen (wo möglich)


3) Kalender-Berechtigungen und Einladungsrechte regelmässig auditieren

Prüfen Sie regelmässig, ob die Einstellungen wie gewünscht gesetzt sind und halten Sie fest, welche User / Gruppen als Ausnahme gelten. Weiter können mit Monitoring und Alarmen, bspw. bei ungewöhnlichen Wellen von Einladungen, frühzeitig Massnahmen ergriffen werden. Stellen Sie sicher, dass den Usern ein Reporting-Workflow für Auffälligkeiten bekannt ist.

Praktische Schritte für Mitarbeitende (klar, wiederholbar, trainierbar)

Technik allein reicht nicht. Kalender-Phishing trifft den Faktor Mensch sehr direkt. Schulen Sie entsprechend Ihre Mitarbeitenden.

1) Kalendereinladungen kritisch prüfen

Achten Sie besonders auf:
  • unerwartete Einladungen ohne Kontext
  • «dringende» oder emotional formulierte Event-Titel
  • Links in Beschreibung/Ort («Join now», «View document», «Security update»)
  • Anhänge, die nicht angekündigt wurden


2) Absender verifizieren

Wenn etwas komisch wirkt: nicht über die Antwortfunktion der Einladung rückfragen.
Besser:
  • via bekanntem Kanal (Telefon, Teams/Slack, interne Mailadresse aus dem Adressbuch)
  • oder über die Assistenz/Projektleitung verifizieren

3) Verdächtige Termine melden und entfernen

Gute Prozesse senken das Risiko massiv:
  • Termin an IT/Security melden (Screenshot + Absender + enthaltene Links)
  • Event aus dem Kalender löschen (und wenn möglich «Spam melden»)
  • Kolleginnen und Kollegen warnen, falls es eine Kampagne sein könnte

Awareness, die wirklich wirkt: Kalender-Phishing in Trainings aufnehmen

Viele Awareness-Programme fokussieren auf klassische E-Mails. Ergänzen Sie deshalb realistische Kalender-Szenarien:
  • Einladungen mit Fake-Meeting-Links
  • «Rechnung/Payroll»-Events mit Attachment
  • Follow-up-Updates («Meeting agenda updated») mit Linktausch

Kurzfazit

Kalender-Invite-Phishing ist so gefährlich, weil es noch weitgehend unbekannt ist und Gegenmassnahmen nur langsam von den grossen Herstellern implementiert werden. Es umgeht teils E-Mail-Filter, bleibt persistent im Kalender und nutzt die hohe Vertraulichkeit von Meetings aus. Mit klaren Admin-Defaults (keine automatische Verarbeitung), MFA und einer gezielten User-Sensibilisierung reduzieren Sie das Risiko deutlich.

Physische Awareness?

Besuchen Sie unseren Awareness-Shop und werfen Sie einen Blick auf unsere erste Kollektion. Ob für Ihre Kampagne, Ihre Champions oder einfach zur Sichtbarmachung im Alltag. Unser Merch unterstützt Sie dabei, Awareness lebendig zu machen.

Shop erkunden
]]>Wed, 28 Jan 2026 08:27:00 +0100<![CDATA[Neu: Phishing Analyse v3]]>https://www.manguito-awareness.ch/blogs/post/neu-phishing-analyse-v3Die Phishing-Analyse ist jetzt schneller und präziser. Der Bericht wurde neu gestaltet: Er zeigt das Wichtigste auf einen Blick, mit einer optionalen, strukturierten Detailansicht.]]>
Die dritte Version der Phishing-Analyse verbessert den Prozess in folgenden Bereichen:
  • Neu gestalteter Analysebericht: Der neu gestaltete Analysebericht zeigt neu zusätzliche Informationen strukturierter auf. 
  • Erkennung von Bedrohungen: Die Erkennungsrate für bösartige Indikatoren (Indicators of Compromise, IOCs) wurde verbessert. Dadurch wir IP's, Domains, URLs usw... präziser in den gemeldeten E-Mails extrahieren und zur Analyse weitergeben.
  • Integration von Nutzerfeedback: Userfeedback aus den Reports wird nun aktiv in der Analyse berücksichtigt.
  • Analysegeschwindigkeit: Gemeldete Nachrichten werden nun schneller veraarbeitet.


Neugestaltung des Analyseberichts

Der Analysebericht wurde neu strukturiert und ist neu in zwei Teile gegliedert. Der intial an die Benutzer gesendete Bericht (Hauptbericht) beschränkt sich auf die minimal notwendigen Informationen. Er zeigt das Endergebnis der Analyse sowie Handlungsempfehlungen für die Nutzer an. So sind Resultat und was damit zu tun ist für Benutzer schneller ersichtlich.

Die Detailanalyse steht für 7 Tage nach dem Melden der Nachricht zur Verfügung und kann bei Bedarf geöffnet werden. Sie wurde ebenfalls neu strukturiert, um technische Informationen übersichtlicher darzustellen. Die Neuerungen umfassen:

  • Responsive Design: Der Bericht ist nun auf Desktop- sowie Mobilgeräten lesbar
  • Neue Struktur: Nach IOC gegliederte Struktur, die künftig erweitert und mit zusätzlichen Informationen versehen werden kann.
  • Erweiterte Informationen: Die Detailansicht enthält nun zusätzliche, aufbereitete Daten aus dem E-Mail-Header, die besonders relevant für die IT sind. Weiter extrahieren wir neu Screenshots aus den in der Mail gefundenen URL's, sodass User nicht drauf klicken müssen.
  • Integration externer Analyse-Tools: Für eine weiterführende, manuelle Untersuchung wurden direkte Verlinkungen zu Diensten wie mxtoolbox in die Detailanalyse integriert.

Die aktualisierte Version der Phishing-Analyse ist ab sofort im Produktivsystem aktiv.

Beispiel eines Detailberichts
Beispiel eines Detailberichts
Beispiel eines Hauptberichts
Beispiel eines Hauptberichts

Physische Awareness?

Besuchen Sie unseren Awareness-Shop und werfen Sie einen Blick auf unsere erste Kollektion. Ob für Ihre Kampagne, Ihre Champions oder einfach zur Sichtbarmachung im Alltag. Unser Merch unterstützt Sie dabei, Awareness lebendig zu machen.

Shop erkunden
]]>Sat, 27 Sep 2025 15:06:42 +0200<![CDATA[Neue Funktion: Proaktives Domänenmonitoring]]>https://www.manguito-awareness.ch/blogs/post/neue-funktion-proaktives-domänenmonitoringMit Domainmonitoring bieten wir ab sofort proaktives Monitoring von SPF, DKIM und DMARC als technische Ergänzung zu unseren Awareness-Massnahmen.]]>
Wir freuen uns, ein neues Feature in unserem Security-Awareness-Portfolio vorstellen zu können: Proaktives Domänenmonitoring für Ihre SPF, DKIM und DMARC Einträge. Ab sofort schützen wir nicht nur Ihre Mitarbeitenden durch gezielte Awareness-Massnahmen wie Trainings und Phishing-Simulationen, sondern auch Ihre technische Mail-Infrastruktur.


Warum ist Domänenmonitoring nützlich?

In der Praxis stellen wir immer wieder fest, dass die grundlegende DNS-Schutzmechanismen SPF, DKIM und DMARC gar nicht oder falsch konfiguriert sind. Die Folgen:
  • Ihre Domain kann leichter von Angreifern gefälscht werden
  • Phishing-Mails erscheinen im Namen Ihrer Organisation
  • E-Mails landen im Spam oder werden blockiert, ohne dass Sie dies bemerken

Mit dem proaktiven Monitoring schliessen wir diese Lücke.

Loginscreen für Enduserportal


Wie funktioniert das Monitoring?

Unser neues Feature übernimmt für Sie die automatisierte Überwachung aller sicherheitsrelevanten E-Mail-Einträge:
  • SPF-Einträge: Werden regelmässig auf Syntax, Gültigkeit und IP-Abdeckung geprüft.
  • DKIM-Einträge: Wir prüfen Ihre Domänen gegen über 500 bekannte DKIM-Selektoren und deren Konfiguration.
  • DMARC-Einträge: Werden regelmässig auf Syntax und Gültigkeit geprüft.
  • Benachrichtigungen: Erachten wir Ihren Schutzstatus als tief oder hat er sich im Vergleich zu der vorhergehenden Messung verschlechtert, informieren wir Sie umgehend inkl. Handlungsempfehlungen.

In Kombination eine sinnvolle Ergänzung

Gemeinsam mit unseren Security-Awareness-Trainings, Phishing-Simulationen, Phishing-Analyse usw... fügt sich das proaktive Domänenmonitoring als sinnvolle Erweiterung für ein ganzheitliches Human Risk Management ein. Phishing via E-Mail ist nach wie vor die grösste Ursache von erfolgreichen Angriffen. Durch das Monitoring der Domäne stellen Sie sicher, dass die E-Mail-Schutzmechanismen richtig konfiguriert sind und erschweren so Angriffe gegen Ihr Unternehmen und Ihre Kunden.

Gemeinsam mit unseren Security-Awareness-Trainings, Phishing-Simulationen und der Phishing-Analyse fügt sich das proaktive Domain-Monitoring nahtlos in ein ganzheitliches Human Risk Management ein. Denn: Phishing per E-Mail ist nach wie vor die häufigste Einfallstür für erfolgreiche Cyberangriffe. Mit dem kontinuierlichen Monitoring Ihrer Domänen stellen Sie sicher, dass SPF, DKIM und DMARC korrekt und wirksam konfiguriert sind. So verhindern Sie nicht nur, dass Ihre Domain für betrügerische Zwecke missbraucht wird, sondern Sie erschweren auch gezielt Angriffe auf Ihr Unternehmen, Ihre Mitarbeitenden und Ihre Kunden.

Die neue Funktion ist automatisch für alle PLUS Kunden aktiv und steht ohne Zusatzkosten zur Verfügung.

Kostenlose 14-Tage Testversion

Testen Sie unsere Plattform und erfahren Sie, wie Sie damit das Sicherheitsbewusstsein in Ihrem Unternehmen steigern können. Sie können die Plattform ohne Einschränkungen nutzen und bereits erste Phishing-Simulationen versenden.
Unverbindlich testen
]]>Tue, 05 Aug 2025 12:15:00 +0200<![CDATA[Neu: Security Awareness mit Stickern und Postern sichtbarer machen.]]>https://www.manguito-awareness.ch/blogs/post/neu-security-awareness-mit-stickern-und-postern-sichtbarer-machenMit kreativem Awareness-Merch wie Stickern und Postern fördern Sie spielerisch Sicherheitsbewusstsein im Unternehmen, stärken Ihre Champions und unterstützen uns dabei, neue Inhalte beretzustellen.]]>
Security Awareness lebt nicht nur von E-Learnings und Richtlinien. Sie braucht Präsenz im Alltag. Mit unseren neuen Awareness-Stickern und Postern bieten wir Ihnen Werkzeuge, um Informationssicherheit sichtbar, greifbar und "ein bisschen cool" zu machen.
Ob als Gesprächsanstoss, spielerisches Element oder einfach zur Auflockerung Ihrer Kommunikationsmassnahmen: Unser Merch unterstützt Ihre Sicherheitskultur auf kreative Weise. Vorweg: Alle Bestandeskunden von Manguito erhalten in den kommenden Wochen Post 🎁.


Mehr Sichtbarkeit für Ihre Awareness-Botschaften

Sticker auf Laptops, Türen oder Whiteboards sind mehr als nur Deko. Sie erinnern unauffällig, aber regelmässig an sicheres und bewusstes Verhalten und signalisieren: Informationssicherheit ist ein Teil unserer Unternehmenskultur.

Mit gezielten Designs zu Themen wie Phishing, Passwörter oder Social Engineering können Sie Schwerpunkte setzen und Ihre Mitarbeitenden mit einem Augenzwinkern zum Nachdenken bringen.


Loginscreen für Enduserportal


Motivation und Gamification

Sticker und Poster lassen sich hervorragend in bestehende Awareness-Massnahmen einbauen. Beispielsweise als Giveaways nach Workshops, kleine Preise bei Quizzen oder Bausteine für Gamification-Kampagnen. Ein sympathischer Aufkleber auf dem Laptop wirkt oft länger als eine Erinnerung per E-Mail.

So fördern Sie nicht nur das Sicherheitsbewusstsein, sondern schaffen auch emotionale Verbindungen zum Thema.


Stärkung Ihrer Security Awareness Champions

Unsere Produkte sind ideal, um Ihre Awareness Champions in ihrer Rolle zu stärken. Ausgestattet mit Stickern und Postern können sie ohne grossen Aufwand aber mit sichtbarem Effekt ihre Botschaften eigenständig und wirkungsvoll verbreiten. Gleichzeitig dient der Merch als Anerkennung für das Engagement Ihrer internen Champions.

Und ja: Damit unterstützen Sie auch uns

Mit jedem Kauf tragen Sie dazu bei, dass wir weiterhin kreative, praxisnahe Awareness-Angebote entwickeln können. Ihr Beitrag hilft uns, Inhalte zu erstellen, Ideen umzusetzen und Security Awareness für alle zugänglicher zu machen.

Aus Effizienzgründen vertreiben wir unsere Produkte über Redbubble. Es handelt sich dabei um eine internationale Plattform, die sich auf Design-Artikel von unabhängigen Kreativen spezialisiert hat. Redbubble übernimmt die komplette Abwicklung: von der Bestellung über den Druck bis hin zum weltweiten Versand. 

Shop jetzt entdecken

Besuchen Sie unseren Awareness-Shop und werfen Sie einen Blick auf unsere erste Kollektion. Ob für Ihre Kampagne, Ihre Champions oder einfach zur Sichtbarmachung im Alltag. Unser Merch unterstützt Sie dabei, Awareness lebendig zu machen.

Shop erkunden
]]>Mon, 21 Jul 2025 09:41:00 +0200<![CDATA[Neu im Juni: Neues Enduser-Portal]]>https://www.manguito-awareness.ch/blogs/post/neu-im-juni-neues-enduser-portalMit dem neues Enduser-Portal können User das eigene Risiko und ihren Fortschritt besser verfolgen und versetehen.    Was ist neu? Das Login bl ]]>

Mit dem neues Enduser-Portal können User das eigene Risiko und ihren Fortschritt besser verfolgen und versetehen.   


Was ist neu?


Das Login bleibt unverändert. Login ist weiterhin via SSO oder einem Magic-Link möglich.​

Loginscreen für Enduserportal
Smarteres Dashboard
Das neue Home-Dashboard gibt einen klaren Überblick über die aktuellen Fortschritte und zeigt das persönliche Risikolevel. So sehen Enduser auf einen Blick, wie sich Ihr Verhalten auf die Sicherheit der Organisation auswirkt.
Neues Dashboard

Für alle Bildschirme optimiert
Das Portal ist nun für Computerbildschirme, aber auch für Tablets und Smartphones optimiert.

Bessere Kursübersicht

Kurse werden neu auf "In Arbeit", "Ausstehend" und "Abgeschlossen" gruppiert.

Kursübersicht

Verbesserte Richtlinienübersicht

Bei den Richtlinien werden neu noch ausstehende Richtlinien klarer ausgewiesen.


Datenlecks erkennen

In "Breach" Modul werden die Datenlecks der einzelnen user direkt angezeigt.


Kein Handlungsbedarf

Alle Änderungen werden automatisch aktiviert. Für unsere Kunden und Kundeinnen besteht kein Handlungsbedarf. Mit dem neuen Enduserportal können Benutzer ihre ausstehenden Aufgaben schneller finden und erledigen, ihr eigenes Risiko und ihren Fortschritt besser verstehen, Kurse und Richtlinien auf Mobilgeräten absolvieren und sich selbst über Datenlecks informieren.

Kostenlose 14-Tage Testversion

Testen Sie unsere Plattform und erfahren Sie, wie Sie damit das Sicherheitsbewusstsein in Ihrem Unternehmen steigern können. Sie können die Plattform ohne Einschränkungen nutzen und bereits erste Phishing-Simulationen versenden.
Unverbindlich testen
]]>Tue, 17 Jun 2025 14:40:00 +0200<![CDATA[5 Sicherheits-Best Practices, die jedes IT-Team befolgen sollte]]>https://www.manguito-awareness.ch/blogs/post/5-sicherheits-best-practices-die-jedes-it-team-befolgen-sollteIT-Administratoren tragen eine grosse Verantwortung: Sie sorgen dafür, dass Netzwerke reibungslos laufen, Daten sicher bleiben und Unternehmen gegen C ]]>

IT-Administratoren tragen eine grosse Verantwortung: Sie sorgen dafür, dass Netzwerke reibungslos laufen, Daten sicher bleiben und Unternehmen gegen Cyberbedrohungen gewappnet sind. Doch angesichts der steigenden Zahl von Angriffen und immer raffinierteren Methoden müssen IT-Teams heute mehr denn je proaktiv handeln, um die eigene Sicherheitslage zu stärken. Deshalb zeigen wir in diesem Beitrag fünf bewährte Sicherheitspraktiken die helfen, menschliche Risiken zu minimieren und die Cybersicherheit nachhaltig zu verbessern.


1. Multi-Faktor-Authentifizierung (MFA) konsequent einsetzen

Warum das wichtig ist:

Zugangsdaten sind nach wie vor ein beliebtes Ziel von Cyberkriminellen. Selbst komplexe Passwörter reichen oft nicht aus, wenn sie durch Phishing oder Brute-Force-Angriffe abgegriffen werden. MFA bringt hier eine wichtige zusätzliche Schutzebene: Neben dem Passwort braucht es einen zweiten Nachweis der Identität. Etwa in Forem eines PIN, Biometrie odervSicherheitsschlüssel.


Wichtige Massnahmen:

  • Verpflichtendes MFA für alle privilegierten Konten, einschliesslich IT-Administratoren, Führungskräfte und Remote-Benutzer.
  • Erzwungenes MFA für den Zugriff auf kritische Geschäftsanwendungen, Cloud-Dienste und VPNs.
  • Einsatz von Phishing-Resistenten MFA-Methoden wie Hardware-Sicherheitsschlüsseln oder Passekys anstelle SMS, Email, One time passcode oder Number matching.
  • Wiederkehrende Überprüfung der MFA Richtlinien und Logs, um die Einhaltung der Sicherheitsstandards zu gewährleisten.

2. Zugriffskontrollen nach dem Least Privilege-Prinzip

Warum das wichtig ist:

Wenn Mitarbeitende zu viele Rechte haben, steigt das Risiko, dass Daten in falsche Hände geraten. Dies kann versehentlich oder durch einen Angriff geschehen. Das Least Privilege-Prinzip bedeutet: Jeder bekommt nur genau so viel Zugriff, wie er oder sie für die jeweilige Aufgabe braucht. Nicht mehr, nicht weniger. So lassen sich potenzielle Schäden durch kompromittierte Konten oder interne Fehler deutlich reduzieren.


Wichtige Massnahmen:

  • Führen Sie in regelmässigen Abständen Audits durch, um veraltete oder unnötige Zugriffsrechte zu identifizieren und zu entfernen.
  • Mit einer rollenbasierten Zugriffskontrolle (RBAC) können Sie dafür sorgen, dass der Zugriff auf Systeme und Daten genau den Aufgaben der jeweiligen Rolle entspricht.
  • Mit Just-in-time (JIT) gewähren Sie erhöhte Rechte nur dann, wenn sie wirklich gebraucht werden. Nach einem festgelegten Zeitraum werden sie automatisch wieder zurückgezogen.
  • Überwachen Sie Zugriffsprotokolle und richten Sie Warnmeldungen für unbefugte Zugriffsversuche oder Rechteausweitungen ein.

3. Regelmässige Phishing-Simulationen und Schulungen zur Cyber-Awareness durchführen

Warum das wichtig ist:

Social-Engineering-Angriffe, insbesondere Phishing, sind nach wie vor die effektivste Methode für Cyberkriminelle, um Zugriff auf Geschäftssysteme zu erhalten. Ein Grosser Prozentsatz der Datenlecks beginnen mit Phishing. Kontinuierliche Schulungen helfen den Mitarbeitenden, solche Bedrohungen zu erkennen und zu vermeiden.


Wichtige Massnahmen:

  • Führen Sie Phishing-Simulationen durch und messen Sie so die Anfälligkeit in Ihrem Unternehmen.
  • Bieten Sie wiederkehrende Schulungen zur Cyber-Awareness an, die die Mitarbeitenden über die Erkennung von Phishing-E-Mails, Business Email Compromise (BEC)-Betrug und andere Social-Engineering-Taktiken aufklären.
  • Stärken Sie Ihre Sicherheitskultur, indem Sie Cybersicherheitsschulungen in den Onboarding-Prozess für neue Mitarbeitende integrieren.
  • Legen Sie klare Richtlinien für die Meldung verdächtiger E-Mails fest und messen Sie die Schulungserfolge.

4. Eine proaktive Patch-Management-Strategie pflegen

Warum das wichtig ist:

Nicht aktualisierte Software und veraltete Systeme sind häufige Einfallstore für Cyberangriffe. In vielen bekannten Fällen konnten sich Angreifer genau deshalb Zugriff verschaffen, weil wichtige Sicherheitsupdates nicht rechtzeitig installiert wurden. Indem Sie einen klar definierten Patch-Management-Prozess einführen, senken Sie das Risiko solcher Schwachstellen deutlich und stärken die Widerstandsfähigkeit Ihrer IT-Landschaft.


Wichtige Massnahmen:

  • Automatisieren Sie Software-Updates und Patch-Bereitstellungen, sodass kritische Systeme sicher bleiben.
  • Führen Sie einen mind. monatlichen Patch-Zeitplan fest und priorisieren Sie Updates für Betriebssysteme, Anwendungen und Firmware.
  • Wenn möglich, analysieren Sie die Schwachstellen Ihrer eingesetzter Software (CVEE Abgleich) und handeln die bei hohen Risiko-Scores. So können bspw. nicht gepatchte Sicherheitslücken identifiziert werden.
  • Führen Sie ein Inventar aller IT-Assets und Softwareversionen, um den Überblick zu behalten.

5. Endpunktsicherheit und Datenschutz stärken

Warum das wichtig ist:

Durch die zunehmende Verbreitung von Home-Office, Remote-Work und Bring-Your-Own-Device (BYOD) gewinnt die Sicherheit von Endgeräten stark an Bedeutung. Geräte wie Laptops, Mobiltelefone oder auch IoT-Komponenten gehören zu den häufigsten Zielen von Cyberangriffen. Umso wichtiger ist es, dass Sie geeignete Massnahmen ergreifen, um diese Geräte zu schützen und gleichzeitig einen sicheren Zugriff auf Ihre Unternehmensressourcen zu ermöglichen.


Wichtige Massnahmen:

  • Setzen Sie Endpoint Detection and Response (EDR)-Lösungen ein, um potenzielle Bedrohungen zu überwachen, zu erkennen und zu mindern.
  • Implementieren Sie Datenverschlüsselung auf allen Geräten, um sensible Informationen vor unbefugtem Zugriff zu schützen.
  • Verwenden Sie Richtlinien zur Geräteverwaltung, um den Zugriff auf Unternehmensressourcen einzuschränken und verlorene oder gestohlene Geräte fernzusteuern.
  • Erlauben Sie den Remotezugriff auf interne Daten nur via VPN.

Fazit

IT-Administratoren leisten einen entscheidenden Beitrag, wenn es darum geht, Unternehmen vor Datenlecks, Ransomware und internen Sicherheitsvorfällen zu schützen. Gleichzeitig zeigt sich immer wieder: Wirkungsvolle Cybersicherheit ist Teamarbeit. Sie gelingt nur, wenn alle im Unternehmen ihren Teil dazu beitragen.
Wenn Sie auf bewährte Sicherheitsmassnahmen wie die Einführung von Multi-Faktor-Authentifizierung, die Vergabe von Zugriffsrechten nach dem Least Privilege-Prinzip, regelmässige Awareness-Schulungen, ein durchdachtes Patch-Management und den Schutz Ihrer Endgeräte setzen, können Sie die Cyberrisiken für Ihr Unternehmen deutlich verringern.
Wir bei Manguito unterstützen Sie dabei, genau diese Best Practices nachhaltig umzusetzen. Mit unseren Security-Awareness-Dienstleistungen und praxisnahen Lösungen sorgen wir dafür, dass Ihr IT-Team bestens für heutige und künftige Bedrohungen gewappnet ist.

Kostenlose 14-Tage Testversion

Testen Sie unsere Plattform und erfahren Sie, wie Sie damit das Sicherheitsbewusstsein in Ihrem Unternehmen steigern können. Sie können die Plattform ohne Einschränkungen nutzen und bereits erste Phishing-Simulationen versenden.
Unverbindlich testen
]]>Thu, 12 Jun 2025 14:29:41 +0200