Phishing-Awareness-Kampagne
Wir möchten Sie über die IT-Sicherheitsmaßnahme "Phishing-Erkennungstraining" informieren. Dieses Training hat das Ziel, die Bedrohung durch Cyber-Angriffe auf unsere Universität zu verringern.
Warum ein Phishing-Erkennungstraining?
Phishing ist ein betrügerischer Versuch, (Ihre) Zugangsdaten zu erlangen, um diese dann für kriminelle Aktivitäten zu verwenden. Die meisten Phishing-Angriffe erfolgen über gefälschte E-Mails, um Nutzer*innen dazu zu verleiten, ihre vertraulichen Informationen preiszugeben. Wöchentlich werden zig-tausend schädliche E-Mails u.a. an die EUF gesendet. Die Mehrheit dieser E-Mails wird von den Sicherheitssystemen der EUF erkannt und automatisch abgefangen. Da es technisch nicht immer möglich ist, schädliche Inhalte zuverlässig zu identifizieren, können dennoch einige Phishing-E-Mails ihr Ziel erreichen.
Entgegenwirken mit der Phishing-Simulation von Hornetsecurity
Die interaktive Phishing-Simulation vom Anbieter Hornetsecurity hilft Ihnen auf einem einfachen Weg Merkmale einer schädlichen E-Mail besser und schneller zu erkennen.
In der Abstimmung mit dem ZIMT-Beirat, der Kanzlerin und der Ankündigung im Senat wird am 05.08.2024 das interaktive Phishing-Awareness-Training für alle Beschäftigte der EUF gestartet.
Jede/r erhält während des Trainings gelegentlich und zufällig simulierte Phishing-E-Mails. Diese simulierten Phishing-E-Mails verhalten sich wie die echten Phishing-E-Mails mit dem Unterschied, dass zu keinem Zeitpunkt Gefahr für die Daten und Geräte der Beschäftigten besteht. Eine Interaktion mit der simulierten Phishing-E-Mail führt zur Umleitung auf Trainingsinhalte.
Weitere Infos
- Informationen zum Phishing-Awareness-Training (inkl. Ihres persönlichen Trainingszugangs) finden Sie auf dieser Website im Bereich "Schritt für Schritt-Anleitung"
- Das Training erfolgt komplett anonym. Es werden keine Daten einzelner Personen ausgewertet. Diese Maßnahme dient ausschließlich Übungszwecken. Das erworbene Wissen ist auch für den privaten Kontext sehr wertvoll.
- Dieses Training ist bis März 2025 lizensiert.
- Wichtige Informationen rund um das Thema E-Mail-Sicherheit
Video-Einblick in den Aufbau des Phishing-Erkennungstraining
Einloggen bei Hornetsecurity
VIDEO 1 - Verlinkung zu Panopto
Control Panel von Hornetsecurity
VIDEO 2 - Verlinkung zu Panopto
Schritt-für-Schritt-Anleitung: Interaktive Phishing-Simulation & Trainingseinheiten
Schritt 1:
Loggen Sie sich mit Ihrer EUF-Mailadresse bei Hornetsecurity ein: https://cp.hornetsecurity.com/login (Abb. 1)
Schritt 2:
Das Login läuft über die Shibboleth-Oberfläche (Abb. 2). "Shibboleth" als Login-Möglichkeit dient dazu, dass Sie sich keine neuen Zugangsdaten erstellen müssen, sondern können einfach Ihre Hochschulzugangsdaten verwenden, um sich über einen zwischengeschalteten sicheren Hochschulserver auf der Website einzuloggen.
- DOZ/VER-Kennung + persönliches Passwort eingeben
Schritt 3:
Nach erfolgreicher Anmeldung werden Sie zum Hornetsecurity "Control Panel" weitergeleitet (Abb. 3). Ihnen werden die Trainingseinheiten und Ergebnisse aus den interaktiven Test-Phishing-Mails in den drei Kategorien E-Training, Phishing-Simulation und Erfolge zur Verfügung gestellt.
Schritt 4: E-Trainings
Zu Beginn steht Ihnen eine kleine Anzahl von E-Trainings rund um das Thema Phishing zur Verfügung. Meist handelt es sich um 5–8-minütige Videos mit interaktiven Fragen (Abb. 4). Die Trainings starten Sie mit Linksklick auf eine Trainingseinheit. Sie können die Einheiten beliebig oft wiederholen. Die Trainings sind mit Ton, schließen Sie entweder Lautsprecher oder Kopfhörer vor Beginn an Ihrem Computer an.
Im Laufe der Zeit werden Ihnen neue Trainings zur Verfügung gestellt. Auf diese Weise können Sie Ihr Wissen laufend erweitern. Schauen Sie zirka alle 4 Wochen im Bereich E-Trainings vorbei und vergewissern sich, ob neue Einheiten zur Verfügung stehen. Hin und wieder informiert Sie ebenfalls Hornetsecurity per Mail über neue Trainingseinheiten.
Schritt 5: Erfolge
Im Bereich Erfolge kann jederzeit ein Zertifikat mit den bisher abgeschlossenen Trainings heruntergeladen werden
Schritt 6: Phishing-Simulation
Die Phishing-Simulation stellt das Herzstück der Phishing-Awarness-Kampagne dar.
Sie stellen sich sicherlich die Frage, wie Sie eine Hornetsecurity-Phishing-Mail von einer echten, wirklich schadhaften Phishing-Mail unterscheiden sollen.
- Grundsätzlich gilt: Phishing-Versuch erkennen & Mail umgehend löschen!
Sie können nie wissen, ob eine Mail Ihnen wirklich schaden will oder aus der Phishing-Simulation stammt. In Abbildung 6 sehen Sie beispielhaft eine Phishing-Mail von Hornetsecurity, welche in Ihrem EUF-Outlook-Account erscheinen kann.
Sollten Sie auf eine Hornet Phishing-Mail hereinfallen, so ist die Konsequenz, dass sich Ihr Score in der Phishing-Simulation verschlechtert. Bei Klick auf einen Link aus einer Hornetsecurity-Phishing-Mail werden Sie auf eine "Das war knapp"-Seite, wie in Abbildung 7 gezeigt weitergeleitet. Wählen Sie auf der "Das war knapp"-Seite den "Jetzt ansehen"-Button, so wird Ihnen Schritt für Schritt anhand der hereingefallenen E-Mail gezeigt, welche Warnsignale Sie übersehen haben.
Überblick über die Phishing-Auswertung
Wenn Sie bei einer Mail unsicher sind, ob es echtes Phishing ist oder aus der Hornetsecurity-Simulation stammt, gehen Sie wie folgt vor:
- Klicken Sie nichts in der als Phishing identifizierten Mail an. Loggen Sie sich bei Hornetsecurity an, wie in Schritt 1 bis 3 gezeigt. Wählen Sie die Kategorie "Phishing-Simulation" aus.
In der Kategorie Phishing-Simulation sehen Sie eine detaillierte Auswertung aller von Hornetsecurity an Sie versendeten Phishing-Mails im Rahmen des Trainings (Abb. 8). Sie können erfahren, welche manipulativen Tricks hinter den einzeln Mails stecken.
Im Verlauf (Abb. 9) finden Sie alle an Sie versendeten Mails der Simulation. So prüfen Sie, ob die als Phishing identifizierte Mail aus der Simulation stammt oder nicht. Klicken Sie im Verlauf auf eine der Mails, werden Sie zur "Das war knapp"-Seite weitergeleitet. Auf diesem Weg schadet dies nicht Ihrem Score in der Phishing-Simulation.
Verdächtige Mail auf Phishing-Simulation prüfen
Schwierigkeitsgrad der Simulation
Zu Beginn des Trainings erkennen Sie die Phishing-Mails noch einfach mit dem gelernten Wissen aus den E-Trainings. Mit der Zeit wird es komplizierter, Phishing-Mails von normalen Mails zu unterscheiden. Die Phishing-Mails werden zu keiner festgelegten Zeit oder in festgelegten Abständen verschickt. Wie bei echten Phishing-Versuchen gilt: "Seien Sie jederzeit auf der Hut."