Hilfe Erste Schritte
Erste Schritte mit PhishTrainer
Auf dieser Seite
Was PhishTrainer macht
PhishTrainer trainiert Ihre Mitarbeitenden darin, Phishing zu erkennen. Es versendet simulierte E-Mails oder SMS, realistisch, aber ungefährlich, und erfasst, wie jedes Ziel reagiert: Öffnen der E-Mail, Klick auf den Link, Eingabe von Daten auf der Landingpage, Melden der E-Mail.
Mit diesen Ergebnissen können Sie:
- die Wachsamkeit Ihrer Teams messen;
- die Personen und Gruppen erkennen, die eine Schulung brauchen;
- verfolgen, wie sich die Ergebnisse von Kampagne zu Kampagne entwickeln.
Wer PhishTrainer in Ihrer Organisation nutzt
- die verantwortliche Person für Informationssicherheit (CISO): beurteilt das Risiko und verfolgt die Fortschritte;
- die IT- und Sicherheitsteams: bereiten die Kampagnen vor und bearbeiten gemeldete E-Mails;
- Personalabteilung und Weiterbildung: nehmen die Ergebnisse in Sensibilisierungsprogramme auf;
- die Geschäftsleitung: sieht die Ergebnisse nur lesend ein.
Jede Person erhält die Rolle, die ihrer Nutzung entspricht: siehe «Kollegen Zugang geben».
Die wichtigsten Begriffe
Diese Begriffe kommen in der Oberfläche und in den anderen Leitfäden vor.
| Begriff | Bedeutung |
|---|---|
| Phishing | Betrügerische Nachricht, die sich als vertrauenswürdiger Absender ausgibt, um Zugangsdaten, Informationen oder eine Zahlung zu erhalten. |
| Simulation | Gefälschte Phishing-E-Mail oder -SMS, die PhishTrainer zu Schulungszwecken versendet. Sie birgt kein Risiko für die Person, die sie erhält. |
| Ziel | Person Ihrer Organisation, die die Simulationen erhält. Menü Ziele. |
| Zielgruppe | Gruppe von Zielen (Abteilung, Standort, Funktion…), an die Sie eine Kampagne richten. Menü Zielgruppen. |
| Phishing-Vorlage | Inhalt der simulierten E-Mail oder SMS. Menüs Phishing-Vorlagen und Phishing-SMS; die von Bexxo bereitgestellten Vorlagen finden Sie im Register bexxo Vorlagen. |
| Landingpage | Webseite, die sich öffnet, wenn das Ziel auf den Link der Simulation klickt. Sie kann eine Anmeldeseite nachahmen. Menü Landingpages. |
| Versandprofil | SMTP-Server und Absenderadresse für den Versand der simulierten E-Mails. Menü Einstellungen > Versandprofile. |
| Kampagne | Geplanter Versand einer Simulation an eine oder mehrere Gruppen, mit einer Phishing-Vorlage, einer Landingpage und einem Versandprofil. Menü Kampagnen. |
| Verdächtige E-Mail | Von Mitarbeitenden gemeldete E-Mail (Simulation oder echte Nachricht). Sie klassieren diese im Menü Verdächtige E-Mails. |
| Klickrate | Anteil der Ziele, die auf den Link einer Simulation geklickt haben. Zusammen mit der Rate übermittelter Daten und der Melderate gehört sie zu den Kennzahlen in den Ergebnissen. |
Erste Anmeldung
Bexxo eröffnet den Bereich Ihrer Organisation und erstellt Ihren ersten Zugang. Anschliessend erhalten Sie Ihre Zugangsdaten per E-Mail.
- Öffnen Sie
https://app.phishtrainer.comin Ihrem Browser. - Geben Sie Ihre E-Mail-Adresse unter Benutzer und Ihr Passwort unter Passwort ein und klicken Sie auf Bestätigen.
- Ist die Zwei-Faktor-Authentifizierung für Ihr Konto aktiv, geben Sie den 6-stelligen Code ein, den Sie per E-Mail erhalten oder den Ihre Authentifizierungs-App anzeigt.
- Gibt Ihr Konto Zugriff auf mehrere Organisationen, wählen Sie diejenige, mit der Sie arbeiten möchten.
- Öffnen Sie im linken Menü unter «Services» PhishTrainer und dann Dashboard.
Hat Ihre Organisation die clientseitige Verschlüsselung aktiviert, geben Sie zusätzlich Ihre Passphrase ein. Der Leitfaden «Clientseitige Verschlüsselung» erklärt, wie das funktioniert.
Ersetzen Sie das per E-Mail erhaltene Passwort bei der ersten Anmeldung unter Mein Profil.
Ihr Profil
Öffnen Sie Mein Profil im Abschnitt «Allgemein» des linken Menüs. Die Seite enthält vier Bereiche:
- Mein Avatar: Wählen Sie das Bild für Ihr Konto.
- Persönliche Informationen: Korrigieren Sie Nachname, Vorname und Telefonnummern. Die E-Mail-Adresse lässt sich hier nicht ändern: Wenden Sie sich an den Support.
- Passwort ändern: mindestens 12 Zeichen, davon ein Grossbuchstabe, ein Kleinbuchstabe, eine Ziffer und ein Sonderzeichen.
- Zwei-Faktor-Authentifizierung: Per E-Mail aktivieren (ein Code bei jeder Anmeldung) oder Per App aktivieren (ein Code aus einer Authentifizierungs-App, nach dem Scannen eines QR-Codes).
Aktivieren Sie die Zwei-Faktor-Authentifizierung für die Konten, die PhishTrainer verwalten: Sie geben Zugriff auf die Ergebnisse der ganzen Organisation.
Sich in der Oberfläche zurechtfinden
PhishTrainer finden Sie im linken Menü unter «Services». Welche Einträge Sie sehen, hängt von Ihrer PhishTrainer-Rolle ab.
| Menüeintrag | Inhalt | Sichtbar ab Rolle |
|---|---|---|
| Dashboard | Statistiken Ihrer Kampagnen (geöffnete E-Mails, angeklickte Links, übermittelte Daten), Details pro Kampagne und verdächtige E-Mails der letzten 30 Tage. | Leser |
| Zielgruppen | Zielgruppen und ihre Statistiken. | Supervisor |
| Ziele | Ergebnisse pro Ziel: Versände, Klickrate, Rate übermittelter Daten. | Supervisor |
| Kampagnen | Erstellen, Planen und Auswerten von E-Mail- oder SMS-Kampagnen. | Supervisor |
| Verdächtige E-Mails | Von Ihren Mitarbeitenden gemeldete E-Mails, zum Analysieren und Klassieren. | Supervisor |
| Phishing-Vorlagen, Phishing-SMS | Inhalte der Simulationen: Ihre eigenen und die von Bexxo bereitgestellten. | Supervisor |
| Landingpages | Seiten, die nach einem Klick auf den Link einer Simulation angezeigt werden. | Supervisor |
| Einstellungen | Versandprofile, Réception des signalements (Postfächer und Add-ins, die gemeldete E-Mails weiterleiten) und Webhooks. | Administrator |
| Hilfe | Online-Hilfe von PhishTrainer. | Alle Rollen |
Das Menü «Meine Organisation»
Unter «Verwaltung» fasst das Menü Meine Organisation die Einstellungen zusammen, die für alle Bexxo-Dienste gelten: Personen, Gruppen, Verzeichnis und SSO, E-Mail-Versand, Support-Zugriff und Verschlüsselung, falls Ihre Organisation sie aktiviert hat.
Der Kontoadministrator sieht alle diese Einträge. Eine Person mit der Berechtigung Personen verwalten sieht Personen, Gruppen und Verzeichnis und SSO.
Kollegen Zugang geben
Die Personen Ihrer Organisation verwalten Sie unter Meine Organisation > Personen. Für jede Person legen Sie fest, auf welche Dienste sie Zugriff hat und welche Rolle sie darin hat.
Die PhishTrainer-Rollen
| Rolle | Was die Person tun kann |
|---|---|
| Ziel | Erhält die Simulationen. Sieht die PhishTrainer-Oberfläche nicht. |
| Leser | Wie Ziel, und sieht Kampagnen und Ergebnisse nur lesend ein. |
| Supervisor | Wie Leser, und erstellt und verwaltet Kampagnen, Gruppen und Vorlagen. |
| Administrator | Wie Supervisor, mit vollem Zugriff auf die Konfiguration (Einstellungen) und die Abrechnung. |
Die PhishTrainer-Rolle ist unabhängig vom Status als Kontoadministrator (Kennzeichen Kontoadministrator), der Zugriff auf das Menü Meine Organisation gibt.
Eine Person hinzufügen
- Öffnen Sie Meine Organisation > Personen und klicken Sie auf Person hinzufügen.
- Füllen Sie Nachname, Vorname, E-Mail und Korrespondenzsprache aus und klicken Sie auf Speichern.
- Wählen Sie im Bereich Dienste & Berechtigungen die PhishTrainer-Rolle der Person und klicken Sie auf Berechtigungen speichern.
- Muss sich die Person anmelden, klicken Sie im Bereich Kontozugang auf Zugang erstellen. Sie erhält eine E-Mail mit ihren Zugangsdaten.
Welche Dienste angeboten werden, hängt vom Abonnement Ihrer Organisation ab. Eine Person, die nur die Rolle Ziel hat, sieht die PhishTrainer-Oberfläche nicht.
Mehrere Personen hinzufügen
- CSV-Datei: Laden Sie die CSV-Vorlage herunter, füllen Sie sie aus und verwenden Sie dann CSV importieren.
- Sammelaktionen: Markieren Sie Personen in der Liste und verwenden Sie Zugang erstellen oder Dienste ändern.
- Verzeichnissynchronisation: Personen und Gruppen aus Microsoft Entra ID lassen sich automatisch übernehmen (Verzeichnis und SSO).
Bestehende Personen verwalten
- Rolle ändern: Öffnen Sie die Personenkarte und ändern Sie die Rolle unter Dienste & Berechtigungen.
- Passwort: Passwort zurücksetzen sendet der Person eine E-Mail.
- Zugriff auf PhishTrainer entziehen: Setzen Sie den Dienst auf der Personenkarte auf Inaktiv, oder markieren Sie die Person in der Liste und verwenden Sie Zugang entziehen.
Simulationen ethisch durchführen
Eine Simulation dient der Schulung, nicht dem Hereinlegen oder Bestrafen. Diese Praktiken bewahren das Vertrauen Ihrer Mitarbeitenden.
- Informieren: Kündigen Sie das Simulationsprogramm Ihren Mitarbeitenden (und gegebenenfalls ihren Vertretungen) an und erklären Sie seinen Zweck. Daten und Uhrzeiten der Kampagnen müssen Sie nicht bekannt geben.
- Schulen: Erklären Sie nach jeder Kampagne, an welchen Hinweisen die Simulation zu erkennen war. In der Kampagne bietet die Seite mit Best Practices: Sensibilisierungsseiten und -videos oder Ihre eigene Adresse an.
- Privatsphäre schützen: Aktivieren Sie Kampagnenergebnisse anonymisieren?, wenn Sie Tendenzen statt Einzelpersonen verfolgen. Nach Abschluss der Kampagne löscht Daten anonymisieren die persönlichen Daten der Ziele endgültig und behält die Statistiken. Aktivieren Sie Abgesendete Formulare speichern? nur bei Bedarf, und legen Sie fest, wer diese Daten einsieht und wie lange Sie sie aufbewahren.
- Verhältnismässig bleiben: Vermeiden Sie belastende, diskriminierende oder das Privatleben berührende Szenarien. Beginnen Sie mit leicht erkennbaren Simulationen und steigern Sie dann die Schwierigkeit.
- Das Recht einhalten: Prüfen Sie, ob Ihr Programm den für Sie geltenden Regeln zum Datenschutz und zur Überwachung am Arbeitsplatz entspricht (DSG in der Schweiz, DSGVO in der Europäischen Union).
Die Option Passwortfelder speichern? speichert die von den Zielen eingegebenen Passwörter. Die Oberfläche warnt: «Dies kann gegen die Datenschutzrechte der getesteten Zielperson verstossen.» Lassen Sie sie ohne ausdrücklichen internen Entscheid deaktiviert.
Wie geht es weiter
Bereiten Sie Ihre Ziele und Gruppen vor und erstellen Sie dann Ihre erste Kampagne.
Keine Antwort gefunden? Kontakt aufnehmen