Sophos Phish Threat: Kampagnen verwalten

Die Kampagnenverwaltung in Sophos Fusion (ehemals Sophos Central) bündelt Entwürfe, geplante, aktive und vergangene Phish-Threat-Kampagnen. Der Zustand ist dabei entscheidend: Eine geplante Kampagne lässt sich noch direkt anpassen, eine laufende Kampagne sollte vor Änderungen pausiert werden und eine beendete Kampagne kann nicht mehr geändert werden.

Der zentrale Pfad lautet Meine Produkte > Phish Threat > Kampagnen. Dort kann man Kampagnen suchen und filtern, ihren Lebenszyklus steuern sowie die Daten einer geöffneten Kampagne exportieren.

Kampagnen schnell finden

Die Suchleiste sucht eine Kampagne nach ihrem Namen. Zusätzlich grenzt der Kampagnentyp-Filter die Liste ein:

• Alle Kampagnen zeigt sämtliche Kampagnen.
• Phishing zeigt simulierte Phishing-Angriffskampagnen.
• Diebstahl von Zugangsdaten zeigt Kampagnen zum Harvesting von Anmeldeinformationen.
• Anhang zeigt Kampagnen mit simulierten schädlichen Anhängen.
• Training zeigt reine Trainingskampagnen.

Der Typfilter ist nicht dasselbe wie der Kampagnenstatus. Die Seite ordnet Kampagnen zusätzlich nach ihrem Lebenszyklus:

Eine angehaltene Kampagne trägt neben ihrem Namen die Kennzeichnung Pausiert. So lässt sich ein absichtlich gestoppter Versand von einer nur geplanten oder beendeten Kampagne unterscheiden.

Entwürfe fertigstellen oder verwerfen

Ein noch nicht abgeschlossener Assistent erscheint unter Kampagnenentwürfe. Mit Fertigstellen wird die Konfiguration fortgesetzt. Verwerfen entfernt den Entwurf.

Vor dem Verwerfen sollte man kontrollieren, ob der Entwurf eigene Vorlagenanpassungen, eine umfangreiche Empfängerauswahl oder einen bereits abgestimmten Zeitplan enthält. Das Verwerfen ist kein Pausieren: Der Entwurf wird entfernt und kann nicht einfach als laufende Kampagne fortgesetzt werden. Soll seine Konfiguration erhalten bleiben, wird er fertiggestellt oder vorab dokumentiert.

Administratoren sieben Tage vor dem Start erinnern

Sophos kann ausgewählte Administratoren benachrichtigen, wenn eine Phish-Threat-Kampagne in sieben Tagen beginnt. Die Empfänger dieser administrativen Erinnerung werden global festgelegt:

1. Öffnen Sie das Symbol Globale Einstellungen.
2. Gehen Sie zu Produkte & Services > Sophos Phishing Threat > Kampagnenerinnerungen.
3. Wählen Sie die Administratoren aus, die sieben Tage vor einem Kampagnenstart erinnert werden sollen.

Diese Einstellung erinnert Administratoren vor dem Kampagnenstart. Sie steuert weder Trainingserinnerungen an Teilnehmer noch die in einer Kampagne konfigurierten Nachrichten an Benutzer.

Nach einer Änderung sollte man die ausgewählten Admin-Konten und deren aktuelle E-Mail-Adressen kontrollieren. Bei einer Kampagne, die in weniger als sieben Tagen startet, darf man nicht davon ausgehen, dass nachträglich noch eine Vorab-Erinnerung ausgelöst wird.

Kampagne öffnen und mögliche Aktionen prüfen

Öffnen Sie unter Meine Produkte > Phish Threat > Kampagnen die gewünschte Kampagne. Je nach Zustand stehen Bearbeiten, Löschen, Klonen, Anhalten, Fortsetzen und Exportieren zur Verfügung.

Kampagne bearbeiten

Eine bevorstehende Kampagne kann vor ihrem Start bearbeitet werden. Bei einer bereits laufenden Kampagne ist der sichere Ablauf:

1. Öffnen Sie die aktive Kampagne und wählen Sie Anhalten.
2. Kontrollieren Sie, dass die Kampagne als Pausiert gekennzeichnet ist.
3. Wählen Sie Bearbeiten. Der Einrichtungsassistent öffnet sich im Bearbeitungsmodus.
4. Passen Sie die erforderlichen Werte im Assistenten an.
5. Prüfen Sie die neue Konfiguration, bevor Sie Fortsetzen wählen.

Bei einer pausierten Kampagne lassen sich die Kampagnenwerte mit zwei Ausnahmen ändern: Kampagnentyp und Kampagnen-Startdatum bleiben unveränderlich. Empfänger können hinzugefügt oder entfernt werden. Ein Empfänger, an den die Kampagnen-E-Mail bereits gesendet wurde, kann jedoch nicht mehr entfernt werden.

Vergangene Kampagnen lassen sich nicht bearbeiten. Auch eine bereits beendete Kampagne kann nicht durch ein neues Enddatum verlängert werden. Wenn derselbe Aufbau nochmals benötigt wird, wird die Kampagne geklont und als neue Kampagne geplant.

Kampagne klonen

Klonen übernimmt die Kampagnendetails in einen neuen Eintrag unter Kampagnenentwürfe. Der Name des Klons enthält das Erstellungsdatum. Öffnen Sie den Entwurf und kontrollieren Sie mindestens Name, Empfänger, Vorlagen, Training sowie Start- und Enddatum, bevor Sie ihn aktivieren.

Ein Klon ist eine neue Kampagne und keine rückwirkende Fortsetzung des Originals. Er übernimmt deshalb nicht dessen bereits eingetretene Ereignisse. Das ist der geeignete Weg, wenn eine beendete Kampagne mit angepasstem Zeitplan oder Empfängerkreis erneut durchgeführt werden soll.

Kampagne löschen

Öffnen Sie die Kampagne und wählen Sie oben rechts Löschen. Sophos erlaubt das Löschen auch bei einer abgeschlossenen Kampagne.

Kampagne pausieren und fortsetzen

Anhalten unterbricht den Versand der noch ausstehenden Angriffs-, Trainings- und Erinnerungs-E-Mails. Bereits zugestellte E-Mails bleiben bei den Empfängern. Laut der Sophos-Hilfe werden Benutzeraktionen zu zugestellten E-Mails weiterhin im Kampagnenbericht aufgezeichnet und aktualisiert. Für Kampagnen, die alle E-Mails sofort versendet haben, nennt die Sophos-FAQ jedoch abweichend keine weiteren Aktualisierungen von Benutzeraktionen oder Verhalten nach dem Anhalten. Wenn diese Daten für die Entscheidung relevant sind, prüfen Sie das Verhalten deshalb zuerst mit einer Testkampagne im eigenen Tenant.

Das Pausieren eignet sich insbesondere, wenn:

• Kampagnen-E-Mails nicht korrekt zugestellt werden und zuerst der Mailserver korrigiert werden muss,
• ein Fehler in einer Vorlage behoben werden muss,
• eine andere Trainingslektion verwendet werden soll,
• Empfänger für den noch ausstehenden Versand ergänzt werden müssen.

Wenn die Kampagne alle E-Mails sofort versendet hat, kann ein nachträgliches Anhalten diese Nachrichten nicht zurückholen. Bei einem Versand in Intervallen werden noch nicht eingeplante E-Mails nicht gesendet. Beachten Sie bei einem Sofortversand ausserdem den oben beschriebenen Widerspruch zur weiteren Ereignisaktualisierung.

Vor Fortsetzen werden sowohl die Kampagne als auch ein gegebenenfalls korrigierter Mailserver geprüft. Danach wird die Kampagne wieder aktiv: Verbleibende Angriffs-E-Mails folgen dem festgelegten Zeitplan; zugehörige Trainings- und Erinnerungs-E-Mails werden an die jeweils betroffenen Empfänger gesendet.

Änderungen wirken nur soweit noch möglich

Änderungen an einer pausierten Kampagne gelten für den verbleibenden Kampagnenverlauf. Sie schreiben bereits geschehene Ereignisse nicht um.

• Hat Benutzer A die alte Angriffs-E-Mail bereits erhalten, ersetzt eine neue Vorlage diese Nachricht nicht. Nur noch nicht versorgte Empfänger erhalten die neue Variante.
• Wurde Benutzer A bereits einem Training zugeordnet und der Admin ersetzt danach den Trainingskurs, führt ein später geöffneter Trainingslink zum neuen Kurs.
• Bereits gesendete E-Mails und bestehende Benutzerereignisse werden durch Anhalten, Bearbeiten oder Fortsetzen nicht rückgängig gemacht. Ob Sophos nach dem Anhalten noch neue Aktionen zu bereits zugestellten E-Mails erfasst, ist beim Sofortversand nicht einheitlich dokumentiert.

Diese Grenze gehört in jeden Change-Plan. Vor einer grösseren Änderung sollte man deshalb festhalten, welche Empfänger bereits angeschrieben wurden und welche noch ausstehen. Sonst entsteht innerhalb derselben Kampagne ein bewusst gemischter Stand.

Eine separate Verwaltungsaktion ist Kampagnen-Ereignisse löschen in den Kampagnenergebnissen. Damit lassen sich die Ereignisse eines Benutzers aus den Ergebnissen entfernen. E-Mail gesendet-Ereignisse bleiben erhalten; Sophos zeichnet das Löschen im Audit-Protokoll auf. Diese Funktion ändert keine versendete Nachricht und ist vom Anhalten, Bearbeiten oder Fortsetzen einer Kampagne unabhängig.

Kampagnenserie beenden

Eine aktive Kampagnenserie wird geöffnet und mit Diese Serie beenden gestoppt. Das verhindert jedoch nicht zwingend jede bereits sichtbare zukünftige Kampagne: Im Abschnitt Bevorstehende Kampagnen können weiterhin Kampagnen aus der Serie erscheinen, wenn Sophos sie schon vor dem Beenden der Serie erzeugt hat.

Kontrollieren Sie deshalb nach dem Beenden immer Bevorstehende Kampagnen. Eine solche einzelne Kampagne kann erst innerhalb der Woche vor ihrem geplanten Datum beendet werden. Das Beenden der Serie und das Beenden bereits erzeugter Einzelkampagnen sind somit zwei getrennte Arbeitsschritte.

Kampagnendaten als PDF oder CSV exportieren

Öffnen Sie die betreffende Kampagne und wählen Sie Exportieren. Sophos stellt die Kampagnendaten als PDF oder CSV bereit.

Für die Änderungsdokumentation wird der Export vor einem irreversiblen Löschen erstellt und mit Kampagnenname, Exportdatum und Zweck abgelegt. Die CSV-Datei eignet sich für eine strukturierte Weiterverarbeitung, während die PDF-Datei einen gut lesbaren Stand dokumentiert. Die inhaltliche Interpretation von Kampagnenergebnissen ist nicht Bestandteil dieser Anleitung.

Änderung validieren und Rückweg kennen

Nach jeder Verwaltungsaktion wird nicht nur die Bestätigungsmeldung, sondern der sichtbare Kampagnenzustand geprüft:

1. Kehren Sie zu Meine Produkte > Phish Threat > Kampagnen zurück.
2. Suchen Sie die Kampagne nach ihrem exakten Namen.
3. Prüfen Sie den richtigen Abschnitt: Entwurf, bevorstehend, aktiv oder vergangen.
4. Kontrollieren Sie bei einem Stopp die Kennzeichnung Pausiert.
5. Öffnen Sie die Kampagne und vergleichen Sie Zeitplan, Empfänger, Vorlage und Training mit dem freigegebenen Änderungsstand.
6. Prüfen Sie vor Fortsetzen, welche Empfänger bereits eine E-Mail erhalten haben und welche Änderung nur noch für verbleibende Empfänger wirkt.
7. Kontrollieren Sie nach dem Beenden einer Serie zusätzlich Bevorstehende Kampagnen.
8. Öffnen Sie einen erzeugten PDF- oder CSV-Export testweise, bevor die Kampagne gelöscht wird.

Der Rückweg hängt von der Aktion ab:

• Eine pausierte Kampagne kann nach erfolgreicher Prüfung fortgesetzt werden.
• Eine noch aktive Kampagne kann erneut pausiert und für den verbleibenden Verlauf korrigiert werden.
• Eine falsche Änderung an noch nicht versendeten Inhalten kann durch erneutes Bearbeiten korrigiert werden.
• Anhalten, Bearbeiten und Fortsetzen ändern bereits protokollierte Ereignisse nicht. Über Kampagnen-Ereignisse löschen können Benutzerereignisse separat gelöscht werden; E-Mail gesendet-Ereignisse bleiben erhalten und der Vorgang wird im Audit-Protokoll protokolliert.
• Gelöschte Kampagnen lassen sich nicht wiederherstellen. Ein Export ist Dokumentation, aber kein importierbares Backup.
• Beendete Kampagnen lassen sich nicht verlängern oder bearbeiten. Als Ersatz wird ein Klon als neue Kampagne angelegt.
• Eine beendete Serie reaktiviert man nicht als Rollback. Bereits erzeugte bevorstehende Einzelkampagnen müssen separat geprüft und gegebenenfalls im zulässigen Zeitfenster beendet werden.