Outlook-Add-In für Windows: Administratorhandbuch

Das Add-In PhishTrainer Report für Outlook für Windows fügt in Outlook eine Gruppe «PhishTrainer by Bexxo» hinzu. Ihre Mitarbeitenden verwenden sie, um eine verdächtige E-Mail (Phishing oder Spam) über PhishTrainer an die Sicherheitsabteilung Ihrer Organisation zu übermitteln.

Es handelt sich um ein VSTO-Add-In, das auf jedem Arbeitsplatz mit einem MSI-Installationsprogramm installiert wird. Als Herausgeber wird «Bexxo by tesweb SA» angezeigt. PhishTrainer ist eine Software von Bexxo, dem Cybersecurity-Bereich der Tesweb SA. Dieses Handbuch beschreibt die Version 2.2.2 des Add-Ins.

• Outlook 2016, Outlook 2019 und Outlook 2021;
• Outlook für Microsoft 365, klassische Desktop-App;
• unter Windows 64 Bit. Outlook kann in der 32- oder 64-Bit-Version vorliegen: Das Add-In ist für beide registriert.

PhishTrainer bietet zwei Outlook-Add-Ins an, die je nach Outlook-Client Ihrer Mitarbeitenden zu wählen sind:

Beide lassen sich kombinieren: Jedes ist in PhishTrainer eine eigene Meldequelle.

• Windows 64 Bit;
• .NET Framework 4.7.2 oder neuer;
• Visual Studio 2010 Tools for Office Runtime;
• Administratorrechte auf dem Arbeitsplatz für die Installation: Das MSI installiert das Add-In für alle Benutzer des Computers in C:\Program Files\PhishTrainer\Report;
• ausgehender HTTPS-Zugriff auf app.phishtrainer.com. Das Add-In verwendet den System-Proxy von Windows mit den Windows-Anmeldedaten des Benutzers.

• die gemeldete E-Mail vollständig (Format .msg, einschliesslich Anhängen, ausser der Mitarbeitende entscheidet sich, sie ohne Anhänge zu senden);
• der gewählte Typ (Phishing oder Spam) und die vom Mitarbeitenden angekreuzten Kästchen (Link angeklickt, Anhang geöffnet, Passwort oder Daten eingegeben, Antwort oder Anruf);
• die Sprache des Add-Ins;
• die Adresse des Postfachs, das die E-Mail enthält.

Gibt der Mitarbeitende an, ein Passwort eingegeben oder einen Anhang geöffnet zu haben, und ist die E-Mail keine PhishTrainer-Simulation, wird eine Warnung per E-Mail an die PhishTrainer-Administratoren gesendet. Die Warnung blockiert die Meldung nie.

• der Name des Arbeitsplatzes, der Windows-Benutzer und die Version des Add-Ins;
• die Adressen der verbundenen Postfächer (siehe weiter unten): Der Server speichert davon nur Hashwerte.

Der Arbeitsplatz wird danach über ein Geräte-Token identifiziert, das lokal für den Windows-Benutzer verschlüsselt ist. Der Mitarbeitende hat weder ein PhishTrainer-Konto noch ein PhishTrainer-Passwort.

Das Add-In führt ein lokales Protokoll, ohne Token, ohne E-Mail-Adresse und ohne Nachrichteninhalt, in %LOCALAPPDATA%\PhishTrainer\Report\logs (eine Datei pro Tag, 7 Tage aufbewahrt).

Der Aktivierungscode kann auf drei Arten bereitgestellt werden. Die ersten beiden aktivieren die Arbeitsplätze ohne Zutun der Mitarbeitenden.

Die Installation verlangt keinen Code: Sie können das Add-In installieren und später aktivieren. Solange es nicht aktiviert ist, öffnet ein Klick auf eine Melde-Schaltfläche das Fenster «PhishTrainer entdecken», das die Einrichtung anbietet.

Wenn die Mitarbeitenden das Add-In selbst installieren und aktivieren, liefert die Registerkarte Nachricht an Mitarbeitende der Quelle einen versandfertigen Text mit dem Download-Link und dem Aktivierungscode. Die Mitarbeitenden benötigen dann Administratorrechte auf ihrem Arbeitsplatz.

Befehl, der mit Administratorrechten auszuführen ist (zum Beispiel über Intune, SCCM oder ein Startskript):

• Die Registerkarte Installation der Quelle zeigt diesen Befehl mit bereits eingetragenem Dateinamen und Ihrem Code an.
• Der Code wird nicht in das Installationsprotokoll von msiexec geschrieben.
• Bei einer Aktualisierung oder Reparatur ohne Code wird der bereits installierte Code übernommen.

Installieren Sie das MSI ohne Code und legen Sie dann diesen Registrierungswert auf den Arbeitsplätzen an, zum Beispiel mit einer Gruppenrichtlinien-Einstellung:

• Der Aktivierungscode, der MSI-Parameter ENROLLMENTTOKEN und der Wert EnrollmentToken bezeichnen denselben Wert. Erhält ein Arbeitsplatz beide, hat der Richtlinienwert Vorrang vor dem MSI-Wert.
• Mit einem per Richtlinie gesetzten Code zeigt das Fenster Einstellungen keine Code-Eingabe mehr an, sondern: «Die Verbindung wird von Ihrer IT-Abteilung verwaltet: Sie müssen nichts tun.»
• Wenn Sie den Richtlinienwert ändern (zum Beispiel nach dem Erzeugen eines neuen Codes), aktiviert sich der Arbeitsplatz beim nächsten Start von Outlook oder bei der nächsten Synchronisierung mit dem neuen Code erneut.

Bei der Aktivierung verbindet der Arbeitsplatz bis zu 5 Adressen von Postfächern aus dem Outlook-Profil mit PhishTrainer. Ein Mitarbeitender kann nur E-Mails aus einem verbundenen Postfach melden.

• Nach der Aktivierung zum Profil hinzugefügtes Postfach: Outlook zeigt «Neues Postfach in Outlook» an. Mit einem per GPO oder MSI gesetzten Code verbindet die Schaltfläche Jetzt verbinden das Postfach ohne Eingabe (und das Add-In versucht, es beim Start von Outlook selbst zu verbinden). Andernfalls öffnet der Mitarbeitende erneut die Einstellungen und fügt den Aktivierungscode noch einmal ein.
• Freigegebenes Postfach, das ohne Konto im Profil geöffnet ist: Seine E-Mails werden im Namen des Benutzers des Arbeitsplatzes gemeldet.
• Bei mehr als fünf Konten im Profil kann das sechste nicht verbunden werden.

Das Add-In aktualisiert sich nicht selbst. Es prüft höchstens einmal pro Tag, ob eine neuere Version vorhanden ist: In diesem Fall erscheint ein orangefarbener Punkt auf der Schaltfläche Info, deren Fenster Herunterladen anbietet. Die Installation erfordert Administratorrechte auf dem Arbeitsplatz.

Im Unternehmen verteilen Sie das neue MSI erneut (gleicher Befehl oder gleiche Methode wie bei der Installation). Eine neue Version ersetzt die alte; eine ältere Version als die installierte wird abgelehnt. Die Registerkarte Installation der Quelle zeigt die zuletzt veröffentlichte Version an.

Das Add-In ist als Programm «PhishTrainer Report» installiert (Herausgeber «Bexxo by tesweb SA»): Deinstallieren Sie es wie jedes Windows-Programm. Denken Sie auch daran, den Arbeitsplatz auf der Registerkarte Registrierte Geräte zu sperren.

Ohne Verbindung zum Server wird die Meldung nicht zwischengespeichert: Sie schlägt fehl, und der Mitarbeitende muss sie wiederholen.

Im Fenster Info kopiert die Schaltfläche Diagnoseinformationen kopieren folgende Angaben in die Zwischenablage: die Version des Add-Ins, von Outlook und von Windows, den Verbindungsstatus, die Organisation, das Datum der letzten Synchronisierung, die Kennung des Arbeitsplatzes und den Speicherort der Protokolle. Diese Informationen enthalten weder Token noch Aktivierungscode. Fügen Sie bei Bedarf die Protokolle des Arbeitsplatzes bei, die sich in dem im Abschnitt «Verarbeitete Daten» angegebenen Ordner befinden.