Was verdeckte Tests sind
Verdeckte Tests sind eine Sicherheitsübung, bei der ein simulierter Angriff oder Richtlinienverstoß durchgeführt wird, ohne die meisten der Personen vorzuwarnen, die damit in Berührung kommen. Nur ein kleiner Kreis, meist der Auftraggeber und die Testleitung, kennt den Plan. Alle anderen, auch das Sicherheitsteam und die gewöhnlichen Beschäftigten, reagieren so, wie sie auf einen echten Vorfall reagieren würden.
Es geht darum zu messen, was die Organisation tatsächlich tut, und nicht, was sie zu tun behauptet. Richtlinien, Schulungsnachweise und Tool-Dashboards beschreiben das gewünschte Verhalten, während ein verdeckter Test die Lücke zwischen Absicht und einem hektischen Dienstagnachmittag zeigt. In einem Insider-Bedrohungsprogramm ist er die praktische Prüfung, ob Kontrollen und die Menschen darum herum funktionieren.
Geprüft wird die gesamte Kette: ob ein Beschäftigter eine verdächtige Nachricht meldet, ob eine Kontrolle eine Übertragung blockiert, ob die Erkennung von Insider-Bedrohungen einen Alarm auslöst und ob jemand ihn aufgreift und in angemessener Zeit handelt.
Wie ein verdeckter Test abläuft
Ein verdeckter Test ist nur gegenüber den getesteten Personen verdeckt. Gegenüber der Unternehmensleitung ist es umgekehrt: Er ist geplant, genehmigt und dokumentiert. Die übliche Reihenfolge:
- 1
Schriftlich genehmigen
Geschäftsleitung und Rechtsabteilung billigen Umfang, Grenzen und Abbruchbedingungen, bevor etwas beginnt.
- 2
Szenario entwerfen
Wählen Sie eine realistische Geschichte, etwa eine simulierte Phishing-Kampagne oder die Übertragung von Dummy-Daten, und halten Sie sie harmlos.
- 3
Ohne Vorwarnung durchführen
Die testende Person handelt, während die übrige Organisation normal arbeitet, und eine Vertrauensperson kann den Test jederzeit sofort stoppen.
- 4
Reaktion festhalten
Notieren Sie, was blockiert und was erkannt wurde, wer es bemerkt hat und wie lange jeder Schritt dauerte.
- 5
Auswerten und beheben
Teilen Sie die Ergebnisse allen Beteiligten mit, schließen Sie die gefundenen Lücken und wiederholen Sie das Szenario später.
Formen verdeckter Tests
Der verdeckte Test ist eine Methode und keine einzelne Technik. Das Szenario richtet sich nach der geprüften Kontrolle, und dieselbe Idee reicht vom Posteingang bis zur Eingangstür. Simuliertes Phishing ist die bekannteste Form und kann auch gezielte Varianten wie Klon-Phishing nachahmen.
| Form | Was simuliert wird | Was sie zeigt |
|---|---|---|
| Simuliertes Phishing | Täuschende E-Mails an Beschäftigte | Wie viele Personen die Nachricht melden, statt darauf einzugehen |
| Red-Team-Übung | Ein vollständiger Angriff auf Systeme und Menschen durch ein externes oder internes Team | Ob das Sicherheitsteam ihn erkennt und eindämmt |
| Insider-Missbrauchsszenario | Eine inszenierte Übertragung von sensiblen Dummy-Daten an ein verbotenes Ziel | Ob Datenkontrollen die Übertragung blockieren oder melden |
| Physische und Geräte-Tests | Zutritt im Windschatten einer Person oder ein vor Ort liegengelassener USB-Stick | Ob Beschäftigte Fremde ansprechen und unbekannte Geräte melden |
| Social Engineering per Telefon | Ein Anrufer, der sich als IT-Support ausgibt und Zugang verlangt | Ob Beschäftigte den Anrufer prüfen, bevor sie handeln |
So sieht ein Test in Anexet aus
Ist das Szenario eine Datenübertragung, liegt der Beweis in der Erkennungsschicht. Eine Dummy-Datei, die zu einer Inhaltsregel in einem DLP-System passt, sollte als Vorfall mit einer Risikostufe erscheinen, und die Testleitung kann ihn in der Vorfalluntersuchung öffnen, um den weiteren Verlauf zu verfolgen. In Anexet listet der Reiter Rules jede Sicherheitsregel mit Vorfallzahl und Risikostufe auf, sodass der Zähler der Regel, die der Test auslösen sollte, zeigt, ob er erkannt wurde.
Wer was weiß
Der schwierigste Teil eines verdeckten Tests ist nicht technisch. Die Entscheidung, wer informiert wird und wer nicht, bestimmt, ob die Übung sicher und fair ist. Je weniger Personen eingeweiht sind, desto ehrlicher das Ergebnis, und desto wichtiger wird die Dokumentation.
| Rolle | Vorab informiert | Rolle im Test |
|---|---|---|
| Auftraggeber aus der LeitungGenehmigt die Übung | Ja | Unterzeichnet Umfang und Abbruchbedingungen |
| TestleitungPlant und führt das Szenario durch | Ja | Entwirft das Szenario und dokumentiert die Ergebnisse |
| HR und RechtsabteilungWahren Fairness und Recht | Ja | Prüfen den Plan anhand von Arbeits- und Datenschutzrecht |
| SicherheitsteamErkennt und reagiert | In der Regel nein | Behandelt das Ereignis als echt, bis es etwas anderes erfährt |
| BeschäftigteZiel des Szenarios | Nein | Reagieren so, wie sie es normalerweise tun |
Verdeckter Test ist keine verdeckte Überwachung
Beides lässt sich leicht verwechseln, weil in beiden Fällen jemandem etwas nicht gesagt wird. Sie unterscheiden sich aber grundsätzlich. Ein verdeckter Test ist eine geplante, zeitlich begrenzte Übung zur Prüfung der Abwehr, vorab von der Leitung genehmigt und mit einer Auswertung abgeschlossen. Verdeckte Überwachung bedeutet, Beschäftigte über längere Zeit heimlich zu beobachten, und viele Länder erlauben sie nur in engen Ausnahmefällen.
Die gewöhnliche Überwachung am Arbeitsplatz geschieht am besten offen, mit einer schriftlichen Richtlinie und einem klaren Hinweis, zum Beispiel einem Einwilligungsbanner bei der Anmeldung. Ein verdeckter Test ändert daran nichts. Testende sollten keine privaten Nachrichten lesen und keine echten Beschäftigtendaten sammeln, und die Auswertung sollte klar benennen, was getan wurde.
Häufige Fehler
Die meisten verdeckten Tests scheitern an organisatorischen, nicht an technischen Gründen:
Führen Sie einen verdeckten Test nie ohne schriftliche Genehmigung durch: Ohne sie kann die Übung als echter Angriff gewertet werden.
- Ein Fehlverhalten als Urteil über eine Person zu behandeln: Der Klick auf einen simulierten Phishing-Link ist ein Signal über den Prozess, und Schuldzuweisung bringt Menschen bei, Fehler zu verbergen.
- Keine Abbruchbedingung: Ein Szenario, das sich nicht anhalten lässt, kann die echte Arbeit stören oder einen echten Notfalleinsatz auslösen.
- Echte Daten im Szenario: Verwenden Sie Dummy-Dateien und Testkonten, niemals Kunden- oder Beschäftigtendaten.
- Vor Ort ausgelegte Geräte ohne Protokoll: Ein Test mit Wechseldatenträgern braucht eine Liste jedes ausgelegten und wieder eingesammelten Geräts.
- Nur einmal durchführen: Ein einzelnes Ergebnis veraltet schnell, weil sich Menschen, Werkzeuge und Regeln ändern.
Womit man anfängt
Fangen Sie klein und schlicht an: ein Szenario, eine Kontrolle, eine klare Messgröße. Wählen Sie das Szenario, das Sie am meisten beunruhigt, legen Sie die Messgröße vorab fest, etwa die Zeit, bis die erste Person es bemerkt, und wiederholen Sie den Test nach den Korrekturen. Eine Reihe kleiner Tests sagt mit der Zeit mehr als eine einzige spektakuläre Übung.
Stellen Sie die Ergebnisse als Eigenschaft des Systems dar: Zeit bis zur Erkennung, Zeit bis zur Reaktion und die Stelle, an der die Kette riss, nie als Namensliste.
Eine Kontrolle, die nie getestet wurde, ist nur eine Annahme. Ein verdeckter Test macht daraus eine Messung.
Anexet TeamWie Anexet das löst
Anexet führt keine verdeckten Tests durch und greift niemanden an: Es ist die Erkennungsschicht, die ein solcher Test prüft. Die folgenden Konsolenelemente zeigen, ob ein Szenario bemerkt wurde.
Regeln und Vorfälle
Eine Sicherheitsregel legt einen Vorfall an, wenn eine Übertragung ihre Bedingung erfüllt, und der Reiter Rules zeigt Vorfallzahl und Risikostufe jeder Regel.
Status und Kategorie
Jeder Vorfall hat einen Status, etwa False alert oder Important incident, und kann eine Kategorie erhalten, sodass Testvorfälle getrennt von echten markiert und geprüft werden können.
Vom Vorfall zur Aktivität
Der Befehl Open user activity an einem Vorfall zeigt, was die Person um diesen Zeitpunkt getan hat, und hilft, den ganzen Weg einer Testhandlung nachzuvollziehen.
Anexet DLP
Mehr erfahren