Kursbeschreibung
Phishing-Simulationen scheitern oft nicht an Technik, sondern an Design: falsche Zielgruppen, unklare Regeln, schlechte Messung und fehlende Konsequenzen in Form von Verbesserungen. In diesem Seminar baust Du ein Expert-Setup, das KI für realistische Inhalte nutzt und gleichzeitig Governance, Response und Wirksamkeit sauber verbindet. Du definierst zuerst den Rahmen: Ziele, Ethik, Datenschutz, Kommunikation, Eskalationswege und No-Blame. Damit schaffst Du Akzeptanz und verhinderst, dass Simulationen als Kontrolle statt als Sicherheitsmaßnahme wahrgenommen werden. Danach geht es in die inhaltliche Produktion: Mit Generative KI entwickelst Du Persona-basierte Szenarien, die aktuelle Angriffsmuster wie BEC, Spearphishing und MFA-Fatigue abbilden. Du lernst, Prompts so zu bauen, dass Du reproduzierbare Varianten erhältst, und etablierst Reviews, die Halluzinationen, unpassende Details oder Bias erkennen. In der technischen Umsetzung setzt Du Landingpages, Tracking und Telemetrie so auf, dass Du belastbare Daten bekommst, und berücksichtigst Mail-Authentizität über SPF, DKIM und DMARC in Deiner Simulationsumgebung. Du planst Segmentierung nach Risiko, Timing und adaptive Schwierigkeitsgrade, inklusive Mehrkanal-Elementen. Zum Abschluss verknüpfst Du Simulationen mit Incident Response: Meldungen werden triagiert, Rückmeldungen fließen in Micro-Learnings, und Findings werden als Hardening-Backlog in Prozesse, Policies und technische Controls übersetzt. So entsteht ein kontinuierliches Programm, das messbar besser wird und sich gegenüber Audits und Management sauber begründen lässt.
Die wichtigsten Themen im Überblick
- KI-Phishing-Simulationen rechtssicher planen
- Realistische Spearphishing-Pretexts mit KI entwickeln
- Click, Report und Time-to-Report als KPIs auswerten
- Landingpages, Tracking und Telemetrie sauber aufsetzen
- SPF, DKIM und DMARC für Simulationen korrekt nutzen
- Zielgruppen risikobasiert segmentieren und adaptiv schulen
- Reporting für ISO 27001, NIS2 und Audits vorbereiten
- Response-Playbooks mit Micro-Learnings wirksam verzahnen
Zielgruppe
- Security Awareness Managerinnen und Manager
- IT-Sicherheitsbeauftragte und SOC-Analystinnen und Analysten
- GRC-, Compliance- und Datenschutzverantwortliche
- Incident-Response- und Blue-Team-Rollen
- Für alle, die KI-gestützte Phishing-Simulationen professionell planen, durchführen und nachweisbar wirksam machen wollen.
Voraussetzung für die Schulung
- Grundverständnis von E-Mail-Phishing und Security-Awareness-Maßnahmen.
- Hilfreich sind Basiskenntnisse zu E-Mail-Authentifizierung (SPF/DKIM/DMARC) und Reporting-Kennzahlen.
Kursinhalte
- Threat Landscape & KI-Phishing verstehen
- Aktuelle Angriffsformen: Spearphishing, BEC, MFA-Fatigue
- Wie Generative KI Tonalität, Sprache und Kontext trifft
- Risikoanalyse: Rollen, Prozesse, Daten, Lieferkette
- Programm-Design: Ziele, Ethik, Governance
- Messbare Ziele: Click, Report, Time-to-Report
- Recht, Betriebsrat, Datenschutz, Transparenz
- Spielregeln: Safe Words, Eskalationspfade, No-Blame
- KI-gestützte Szenario-Entwicklung
- Persona- und Kontextmodelle für realistische Pretexts
- Prompting für Varianten: Sprache, Dringlichkeit, Autorität
- Qualitätssicherung: Plausibilität, Halluzinationen, Bias
- Technische Umsetzung von Simulationen
- Landingpages, Tracking, UTM, Telemetrie sauber aufsetzen
- Mail-Authentizität: SPF, DKIM, DMARC in Simulationen
- Abgleich mit Secure Email Gateway und EDR Signalen
- Targeting, Segmentierung, Timing
- Risikobasierte Zielgruppen: Finance, HR, Assistenz, IT
- Adaptive Kampagnen: Schwierigkeitsgrade und Lernpfade
- Mehrkanal: E-Mail, Collaboration-Tools, QR, Voice-Impulse
- Auswertung, Reporting, Wirksamkeit
- KPI-Set: False Positives, Report-Qualität, Repeat-Offender
- Dashboards für Security, Management und Fachbereiche
- Nachweisbarkeit: Audit-Trail, ISO 27001, NIS2-Anforderungen
- Response-Integration & nachhaltige Verbesserung
- Playbooks: Meldung, Triage, Containment, Feedback
- Training-on-the-spot: Micro-Learnings nach dem Klick
- Hardening-Backlog: Prozesse, Policies, technische Controls
