Gophish stellt Sicherheitsteams eine webbasierte Oberfl\u00e4che bereit, \u00fcber die sich E-Mail-Vorlagen, Zielgruppen und Landingpages f\u00fcr eine Phishing-Simulation zentral verwalten und Kampagnenergebnisse nahezu in Echtzeit auswerten lassen. Urspr\u00fcnglich f\u00fcr autorisierte Sicherheitstests entwickelt, misst das Framework, wie viele Mitarbeiter auf eine simulierte Phishing-Mail klicken oder Zugangsdaten eingeben. Die vollst\u00e4ndige REST-API erlaubt zus\u00e4tzlich die Anbindung an bestehende Security-Awareness-Plattformen f\u00fcr ein zentrales Reporting. Gophish ist kostenlos, quelloffen, einfach installierbar<\/strong> und \u00fcber eine REST-API steuerbar. Diese Eigenschaften erleichtern autorisierte Phishing-Simulationen; eine missbr\u00e4uchliche Nutzung ist technisch m\u00f6glich, wird von der offiziellen Produktseite jedoch nicht als Zweck beschrieben. Fehlt die schriftliche Freigabe der Organisation, ist der Einsatz kein Test mehr, sondern selbst ein Angriff<\/strong>; Gophish trifft diese Unterscheidung technisch nicht.<\/p>\n F\u00fcr Versicherer eignet sich das Framework als Trainingsinstrument gegen Kampagnen, die Zug\u00e4nge zu Kundendaten, Policen oder Auszahlungsprozessen ins Visier nehmen: Eine simulierte Anmeldeseite eines internen Bestandsf\u00fchrungssystems<\/strong> zeigt, welche Mitarbeiter Zugangsdaten eingeben w\u00fcrden, bevor Angreifer dieselbe Masche real einsetzen. L\u00e4uft eine solche Kampagne ohne Vorwissen der Belegschaft, liefert die anschlie\u00dfende Auswertung ein Bild der tats\u00e4chlichen Klick- und Meldebereitschaft, das eine reine Schulung ohne Simulation nicht liefern kann. Ergebnisse flie\u00dfen in gezielte Awareness-Schulungen f\u00fcr Abteilungen mit direktem Zugriff auf Kundendaten ein.<\/p>\n Gophish verwaltet eine Simulation in vier getrennten Bausteinen<\/strong>: Empf\u00e4ngergruppe, Nachrichtenvorlage, Landingpage und Sendeprofil. Die Kampagne verbindet sie und protokolliert, was danach geschieht: zugestellt, ge\u00f6ffnet, Link angeklickt, Daten eingegeben, gemeldet.<\/p>\n F\u00fcr die Auswertung ist die letzte Kategorie die wichtigste. Eine Klickquote allein beschreibt nur die H\u00e4lfte; erst die Meldequote zeigt, ob der interne Meldeweg funktioniert<\/strong>. Damit die Zahlen belastbar bleiben, geh\u00f6rt zur Vorbereitung die Abstimmung mit Betriebsrat und Datenschutz<\/strong> sowie die Festlegung, dass Ergebnisse nicht personenbezogen ausgewertet werden. Technisch trennt das Framework autorisierten Test und realen Angriff nicht, weshalb der Rahmen aus Auftrag, Zeitfenster und Zielgruppe vor dem ersten Versand schriftlich stehen muss. F\u00fcr die Auswertung z\u00e4hlt neben den Zahlen der Zeitverlauf: Wann kam die erste Meldung, wie lange dauerte es bis zur Warnung an alle Besch\u00e4ftigten, und griff der Meldeweg auch au\u00dferhalb der B\u00fcrozeiten? Ohne diese Nachbereitung bleibt von einer Kampagne nur eine Zahl im Bericht, aus der niemand eine Ma\u00dfnahme ableiten kann.<\/p>\nWie funktioniert eine Simulation mit Gophish?<\/h2>\n
Simulation vs. realer Angriff<\/h2>\n