Ein Anruf zeigt,wie Ihre Organisation wirklich handelt.
Unangekündigte Telefonangriffe zeigen, wie Ihre Mitarbeitenden unter echtem Angriffsdruck handeln: ob Zugangsdaten eingegeben werden, wie das Gespräch verläuft und wie schnell — und jeder Call endet als persönliches Training.
Warum Vishing das am meisten unterschätzte Social-Engineering-Risiko ist
Klassische Awareness-Programme adressieren Vishing kaum. Unsere Simulation schließt genau diese Lücke.
Jeder Vishing-Call verbindet Assessment und Training.
Jeder Call hat ein Ziel. Gemessen wird, was auf dem Weg dorthin passiert.
Ziel jedes Simulationsanrufs ist die Dateneingabe: Die angerufene Person soll Zugangsdaten auf einer Seite eingeben, deren Adresse der Anrufer im Gespräch durchgibt. Ob das gelingt, ist die erste Kennzahl. Der Weg dorthin liefert die weiteren — anonymisiert und nach festen Kriterien. Jeder geführte Call endet in genau einem von drei Ausgängen.
Ausgang je Call
Die Zugangsdaten werden auf der durchgegebenen Seite eingegeben. Das Angriffsziel ist erreicht.
Die Zugangsdaten werden nicht eingegeben, aber der Anrufer gewinnt kritische Informationen — etwa Namen, Systeme, Prozesse oder Zugangswege.
Keine Eingabe, keine Preisgabe. Die Person prüft, verweigert oder beendet das Gespräch.
Kennzahlen der Kampagne
01KompromittierungsrateAnteil der Calls mit Erfolg — über alle Calls und je Monat
Die Leitkennzahl. Sie startet in unseren Kampagnen bei rund 67% und sinkt über zwölf Monate auf rund 12%. Im HRC Cockpit heißt sie „Erfolgsquote Angreifer“. Teilerfolg und Abgewehrt stehen daneben — sie zeigen, wie nah ein Angriff an die Dateneingabe herangekommen ist. Die 88% ganz oben auf dieser Seite sind die Gegenzahl dazu: alle Calls ohne Dateneingabe — abgewehrte Angriffe und Teilerfolge zusammen.
02Verhalten im GesprächWie die Person dem Anrufer begegnet — sieben festgelegte Verhaltensweisen von freundlich bis konfrontierend
Der Trainer hält nach jedem Call fest, welches Verhalten das Gespräch geprägt hat: freundlich, aufgeschlossen, neutral, skeptisch, vertraulich, beunruhigt, konfrontierend; mehrere Nennungen sind möglich. Aggregiert zeigt sich, ob Freundlichkeit den Einstieg erleichtert und wo Skepsis bereits greift — im Verlauf der Kampagne wird sichtbar, ob sich dieses Muster verschiebt.
03Zeit bis zur DateneingabeMedian der Minuten vom Anruf bis zur Eingabe — erfasst bei Calls mit Dateneingabe
Je länger es dauert, desto mehr Nachfragen, Zögern und Prüfung stecken im Gespräch. Wird die Zeit im Verlauf der Kampagne länger, kostet der Angriff mehr Aufwand — auch dort, wo er am Ende noch gelingt.
04Standort und AbteilungKompromittierungsrate je Standort und je Abteilung
Empfang, Support, Verwaltung — und je Standort: Die Auswertung zeigt, wo Angriffe besonders oft gelingen und wo Training als Nächstes ansetzen sollte — auf Ebene der Gruppe, nie der Person.
05Veränderung von Call zu CallWie sich Ausgang, Verhalten und Zeit zwischen erstem und weiteren Calls verändern
Wird eine Person im Verlauf der Kampagne erneut angerufen, vergleichen wir den späteren Call mit ihrem ersten — ohne Namen in der Auswertung. So wird sichtbar, ob das Training im Gespräch angekommen ist — und nicht nur, ob sich der Durchschnitt bewegt.
06TeilnehmerquoteAnteil der angerufenen Personen, die das Training direkt im Anschluss durchlaufen
Weil das Training im selben Anruf stattfindet, liegt die Quote in unseren Kampagnen bei rund 98%. Kein Termin, keine Einladung, kein Nachfassen.
07TrainingsbewertungBewertung des Trainings durch die Teilnehmenden auf einer Skala von 1 bis 6, 1 = sehr gut
Direkt nach dem Training, anonym. Die Bewertung zeigt, ob das Gespräch als Hilfe oder als Bloßstellung erlebt wurde — für uns das wichtigste Frühwarnsignal für die Akzeptanz der Kampagne.
08Befragung im TrainingFestgelegte Fragen, die der Trainer im Training stellt
Zum Beispiel: Ist der Meldeweg bekannt? Gab es schon einmal einen verdächtigen Anruf? Ist Phishing ein Begriff? Fühlt sich die Person im Thema Cybersicherheit sicher? Die Antworten fließen anonymisiert in das Lagebild ein und ergänzen das beobachtete Verhalten um das, was Mitarbeitende wissen und wie sicher sie sich fühlen.
Aus diesen Kennzahlen entsteht das Bild, wie Ihre Organisation unter Angriffsdruck handelt: wo Skepsis greift, wo Entgegenkommen Türen öffnet, wie schnell aus einem Gespräch ein Zugriff wird. Bewertet wird das Verhalten im Call, nie die Person.
Der Ablauf: Vom Angriff zum Lagebild in einem Anruf
Der entscheidende Unterschied: Ihre Mitarbeitenden wissen nicht, dass gemessen wird. Keine Ankündigung, keine Vorbereitung — deshalb messen wir tatsächliches Verhalten und nicht, was Mitarbeitende in Fragebögen angeben.
- Schritt 01 Angriff Unangekündigte Simulation, individuelles Szenario
- Schritt 02 Messung Ausgang, Verhalten, Zeit bis zur Dateneingabe — anonymisiert
- Schritt 03 Auflösung & Training Reflexion und Handlungsstrategien im selben Anruf
- Schritt 04 Auswertung Aggregiertes Lagebild und Verlauf
Im Detail: Vom Angriff zum Lagebild
Realistische Angriffssimulation
Unsere Social-Engineering-Spezialisten führen unangekündigte Vishing-Angriffe durch — mit individuellen Szenarien, die auf Ihr Unternehmen und Ihre Branche zugeschnitten sind.
- Branchenspezifische Pretexte und Szenarien
- Nutzung aktueller Angriffstechniken
- Ziel jedes Calls: die Eingabe von Zugangsdaten auf einer durchgegebenen Seite
- Kein Unterschied zwischen Simulation und Ernstfall
Messung: Ausgang, Verhalten, Zeit
Ihre Mitarbeitenden reagieren spontan, ohne zu wissen, dass es ein Assessment ist. Wir erfassen, ob das Angriffsziel erreicht wird, wie sich die Person im Gespräch verhält und wie viel Zeit vom Anruf bis zur Dateneingabe vergeht — anonymisiert, nach festen Kriterien.
- Echtes Verhalten unter Angriffsdruck statt Fragebogen
- Erfolg, Teilerfolg oder Abgewehrt — je Call
- Vergleichbar über die Kampagne, Standorte und Bereiche
- Keine namentliche Bewertung einzelner Personen
Der Unterschied: Sofortiges Live-Training
Nach dem Anruf gibt sich der Vishing-Experte als Trainer zu erkennen. Das anschließende Training setzt direkt an den erlebten Emotionen an — intensiv, persönlich und wirkungsvoll. Das kann kein Fragebogen, kein Reifegradmodell und kein E-Learning.
- Individuell auf den Teilnehmenden abgestimmt
- Emotionale Unmittelbarkeit als Lernverstärker
- Nachhaltiger als jede Schulung im Seminarraum
- Konkretes Sicherheitswissen direkt vermittelt
Aggregierte Management-Auswertung
Die in den einzelnen Calls erhobenen Verhaltensdaten werden über alle Angriffssimulationen hinweg ausgewertet. Das Management-Reporting zeigt, wie sich Ihre Organisation gegenüber Vishing verhält, wo Stärken und Handlungsfelder liegen und wie sich die Kennzahlen im Verlauf der Kampagne entwickeln.
- Auswertung auf Organisationsebene, ohne Namen
- Stärken und Handlungsfelder je Standort und Abteilung
- Verlauf über die Laufzeit der Kampagne
- Geeignet für Vorstand, Audit und Security-Strategie
Vom einzelnen Anruf zum Lagebild der Organisation
Jeder Call liefert einen anonymisierten Datensatz. Erst die Summe zeigt, wie die Organisation handelt — und der Verlauf zeigt, ob sich das ändert. Nach abgeschlossener Kampagne enden rund 88% der Calls ohne Dateneingabe: die meisten abgewehrt, die übrigen Teilerfolge.
Einzelmessung
Ausgang, Verhalten im Gespräch und Zeit bis zur Dateneingabe je Call. Die Auswertung enthält keine Namen und keine personenbezogenen Merkmale.
Kampagnenbild
Aggregiert über alle Calls: Kompromittierungsrate, Verhalten im Gespräch, Stärken und Handlungsfelder nach Standort und Abteilung, Trainingsbewertung und Teilnehmerquote.
Verlauf
Monat für Monat: Die Kompromittierungsrate sinkt, abgewehrte Angriffe nehmen zu, die Zeit bis zur Dateneingabe wird länger. Auf dieser Grundlage lässt sich die Wirkung des Trainings belegen.
So sieht es im HRC Cockpit aus
Die Übersicht zeigt Ihr Human Risk Management als Ganzes. Der Insights-Screen zeigt die Vishing-Kampagne: Verlauf und Ausgang der Angriffe, Verhalten im Gespräch, Zeit bis zur Dateneingabe, Standorte und Abteilungen, Trainingsbewertung und Teilnahme. Die Kompromittierungsrate heißt dort „Erfolgsquote Angreifer“. Die Veränderung von Call zu Call und die Antworten aus der Befragung stehen im Kampagnen-Report.
Mockup der Insights-Ansicht „Vishing“: Erfolgsquote der Angreifer von 67 auf 12 Prozent über zwölf Monate, Teilerfolg von 18 auf 10 Prozent, abgewehrte Angriffe von 15 auf 78 Prozent; Kampagne gesamt 36 Prozent Erfolg, 14 Prozent Teilerfolg, 50 Prozent abgewehrt; Verhalten im Gespräch, Median 4:20 Minuten bis zur Dateneingabe, Erfolgsquote nach Standort und Abteilung, Trainingsbewertung 1,7 von 6 und Teilnehmerquote 98 Prozent
Verlauf über die Kampagne — Als Tabelle
| Monat | Erfolg | Teilerfolg | Abgewehrt |
|---|---|---|---|
| 1 | 67 % | 18 % | 15 % |
| 2 | 61 % | 18 % | 21 % |
| 3 | 55 % | 17 % | 28 % |
| 4 | 49 % | 16 % | 35 % |
| 5 | 43 % | 15 % | 42 % |
| 6 | 37 % | 14 % | 49 % |
| 7 | 31 % | 14 % | 55 % |
| 8 | 26 % | 13 % | 61 % |
| 9 | 21 % | 13 % | 66 % |
| 10 | 17 % | 12 % | 71 % |
| 11 | 14 % | 11 % | 75 % |
| 12 | 12 % | 10 % | 78 % |
- Erfolg36 %
- Teilerfolg14 %
- Abgewehrt50 %
Angriffsausgang — Als Tabelle
| Ausgang | Anteil |
|---|---|
| Erfolg | 36 % |
| Teilerfolg | 14 % |
| Abgewehrt | 50 % |
Verhalten im Gespräch — Als Tabelle
| Verhalten | Anteil der Calls |
|---|---|
| Freundlich | 64 % |
| Aufgeschlossen | 41 % |
| Neutral | 33 % |
| Skeptisch | 27 % |
| Vertraulich | 18 % |
| Beunruhigt | 12 % |
| Konfrontierend | 8 % |
Zeit bis zur Dateneingabe — Als Tabelle
| Dauer | Anteil |
|---|---|
| unter 2 min | 18 % |
| 2 bis unter 5 min | 44 % |
| 5 bis unter 10 min | 27 % |
| ab 10 min | 11 % |
Erfolgsquote Angreifer nach Bereich — Als Tabelle
| Bereich | Erfolgsquote |
|---|---|
| Hamburg | 31 % |
| Berlin | 22 % |
| München | 16 % |
| Empfang | 34 % |
| Support | 24 % |
| Verwaltung | 13 % |
Demo-Mockup zur Veranschaulichung des Aufbaus. Alle Werte sind Beispiele, das tatsächliche Dashboard weicht in Aufbau und Werten ab.
Beide Screens sind Mockups mit Beispielwerten. Das tatsächliche Dashboard weicht in Aufbau und Werten ab; die Kennzahlen Ihrer Kampagne entstehen aus Ihren Calls.
Sie möchten tiefer einsteigen?
Erfahren Sie mehr über die Gefahr durch Vishing, unsere Trainingsmethodik und die Psychologie dahinter — und sehen Sie anhand eines Beispielreports, wie die Ergebnisse für das Management aufbereitet werden.
Broschüre
Vishing Assessment & Awareness Training auf einen Blick: Gefahr, Ablauf, Methodik, Reporting.
GesperrtBeispielreport
Vollständiger Management-Report einer Beispielkampagne mit 25 Calls: Angriffsausgang, Standortvergleich, Trainingsbewertung, Awareness-Fragen, Maßnahmen.
GesperrtTeil 1 — Die Bedrohung durch Vishing
Warum ein Anruf an jeder technischen Schutzschicht vorbeikommt.
GesperrtTeil 2 — Die Lösung: Unser Vishing Awareness Training
Wie sich der Anrufer als Trainer zu erkennen gibt und was danach passiert.
GesperrtTeil 3 — Deep Dive: Psychologie & Insights aus dem Training
Welche psychologischen Hebel Angreifer nutzen — und was wir in den Trainings beobachten.
GesperrtInhalte freischalten
Vielen Dank!
Broschüre, Beispielreport und Erklärvideos sind jetzt freigeschaltet — auch beim nächsten Besuch auf diesem Gerät.
Warum Fragebögen und Wissenstests kein Lagebild ergeben
Fragebögen und Wissenstests
- Reifegradmodelle und Checklisten
- Klickraten aus E-Mail-Phishing
- Wissensabfragen nach dem E-Learning
- Einschätzung statt Verhalten
- Das Telefon bleibt ein blinder Fleck
Vishing Assessment von HRC
- Gemessenes Verhalten unter echtem Angriffsdruck
- Ausgang, Verhalten und Zeit — je Call erfasst
- 98% Teilnahme durch unangekündigte Simulation
- Verlauf über die Kampagne belegbar
- Persönliches Training im selben Anruf
Wir haben die ersten Assessment Calls bewusst klein gehalten (10). [...] Das Human Risk Team begleitet uns jetzt im dritten Jahr und die Kampagne ist gar nicht mehr wegzudenken.
Wir wussten, dass Vishing ein relevantes Angriffsszenario ist. Was wir nicht wussten: Wie unsere Mitarbeitenden tatsächlich reagieren. Das Assessment hat uns genau diese Transparenz gegeben.
Was ich nicht erwartet hatte: dass die Mitarbeitenden danach nicht verstimmt waren, sondern erleichtert. Eine Kollegin hat mir gesagt, sie sei froh, dass es ‚nur ein Training‘ war und nicht ‚echt‘. Genau das ist der Punkt. Wir reden seitdem anders über Sicherheit.
Robuste Sicherheit für Ihre Unternehmenssicherheit
Häufige Fragen
Wie realistisch sind die Vishing-Simulationen?
Unsere Simulationen sind nicht von echten Angriffen zu unterscheiden. Wir nutzen branchenspezifische Szenarien, aktuelle Angriffstechniken und individuell entwickelte Pretexte. Die Mitarbeitenden wissen nicht, dass es sich um eine Simulation handelt. Auf Wunsch integrieren wir auch KI-gestützte Angriffsmethoden und Deepfakes in die Szenarien, um aktuelle und besonders anspruchsvolle Angriffssituationen realistisch abzubilden. Art und Intensität der Simulationen stimmen wir dabei individuell auf die Bedrohungslage und die Anforderungen Ihres Unternehmens ab.
Wie objektiv ist die Messung?
Jeder Call hat dasselbe Angriffsziel und wird nach denselben Kriterien bewertet: Endete der Call mit Erfolg, mit Teilerfolg oder wurde der Angriff abgewehrt? Wie hat sich die Person im Gespräch verhalten? Wie viel Zeit ist bis zur Dateneingabe vergangen? Bewertet wird, was im Gespräch beobachtbar passiert — nicht, wie es sich angefühlt hat oder was die Person hinterher angibt. Dadurch sind die Ergebnisse über die gesamte Kampagne, über Standorte und Bereiche vergleichbar.
Was passiert direkt nach dem Simulationsanruf?
Unmittelbar nach dem Anruf gibt sich der Vishing-Experte als Trainer zu erkennen. In einem persönlichen Gespräch wird die Situation aufgelöst, das Erlebte eingeordnet und konkretes Sicherheitswissen vermittelt. Diese emotionale Unmittelbarkeit ist der Schlüssel zur nachhaltigen Verhaltensänderung.
Werden einzelne Mitarbeitende bloßgestellt?
Nein. Alle Ergebnisse werden anonymisiert und DSGVO-konform ausgewertet. Es geht um organisationsweite Muster und messbare Verbesserung: Die Auswertung erfolgt ausschließlich auf Organisationsebene, ohne individuelle oder namentliche Bewertung.
Was unterscheidet das Assessment vom Vishing Pentest?
Der Vishing Pentest prüft, ob ein Angreifer über das Telefon ein konkretes Ziel erreicht — ein Ergebnis, ein Bericht. Das Assessment misst über viele Calls hinweg, wie die Organisation als Ganzes handelt, und trainiert jede angerufene Person direkt im Anschluss. Der Pentest beantwortet „Geht es?“, das Assessment beantwortet „Wie stehen wir — und wird es besser?“.
Wie viele Calls sind sinnvoll?
Je nach Zielsetzung und Risikobewertung kann der Umfang sehr unterschiedlich ausfallen. Für ein erstes Vishing Assessment reichen häufig bereits 10 gezielte Angriffssimulationen, um einen ersten Einblick in das tatsächliche Verhalten der Mitarbeitenden zu erhalten. Viele unserer Kunden entscheiden sich anschließend für eine langfristige Zusammenarbeit. Im Durchschnitt beziehen sie dabei rund 10% ihrer Mitarbeitenden in die Simulationen ein. Je nach Risikobewertung, Unternehmensgröße und besonders exponierten Zielgruppen kann der Umfang jedoch auch deutlich höher ausfallen — einige unserer Kunden sind bereits mit einer wesentlich größeren Anzahl an Simulationen gestartet.
Wie lange läuft eine Kampagne?
Für eine kontinuierliche Kampagne empfehlen wir eine Laufzeit von 50 Wochen mit mindestens einer Angriffssimulation pro Woche. So entstehen über das gesamte Jahr regelmäßig Lernimpulse und Messpunkte: Mitarbeitende werden unmittelbar nach der Simulation individuell trainiert und gleichzeitig wird sichtbar, wie sich das Verhalten im Zeitverlauf entwickelt. Auf Wunsch sind selbstverständlich auch kürzere Kampagnen und individuell angepasste Umfänge möglich.
Bereit, Ihre Sicherheit auf die Probe zu stellen?
Lassen Sie uns in einem unverbindlichen und vertraulichen Erstgespräch klären, wie Sie das Verhalten Ihrer Mitarbeitenden gegenüber Vishing messbar machen und gezielt trainieren können.