Social-Engineering-Kampagnen

Nicht einzeln, sonst ist die Messung wertlos. Verdeckt ist die Kampagne deswegen nicht: Sie wird von der Geschäftsleitung schriftlich bewilligt, und ihr Rahmen — allgemeine Information der Belegschaft, Einbezug der Arbeitnehmervertretung, wo er sich aufdrängt — wird vor dem Start mit Ihnen festgelegt. Ethisch wird eine Kampagne nicht durch das Ausbleiben der Überraschung, sondern durch ein klares Mandat und bekannte Regeln.

Nein. Wir liefern kollektive Kennzahlen — Öffnungs-, Klick- und Eingaberaten, nach Zielgruppe oder Einheit — nie eine Namensliste an die Vorgesetzten. Eine Social-Engineering-Kampagne misst die Wirksamkeit der getroffenen Vorkehrungen, nicht das Fehlverhalten einer Person. Anders gehandhabt wäre sie kontraproduktiv und arbeitsrechtlich wie datenschutzrechtlich schwer zu vertreten.

Nichts Strafendes. Eine hohe Klickrate zeigt eine Schwäche der Vorkehrungen an — eine zu umständliche Meldung, fehlende Anhaltspunkte, ein umgehbarer Freigabeprozess — und nicht ein Versagen von Personen. Das Ergebnis dient dazu, die Sensibilisierung dort anzusetzen, wo sie fehlt, und das zu korrigieren, was den Köder glaubwürdig macht. Entscheidend ist am Ende nicht die Klickrate, sondern die Meldequote: nur sie zeigt, dass die Meldekette funktioniert.