Sophos Phish Threat: Kampagnenserien erstellen und sicher planen

Mit einer Kampagnenserie wiederholt Sophos Phish Threat Angriffssimulationen oder Sicherheitstrainings nach einem festen Rhythmus. Eine Serie ist nicht einfach eine einzelne Kampagne mit langer Laufzeit: Sophos erzeugt daraus einzelne Kampagnen, deren Inhalt und Teilnehmer vom Serientyp und von den gewählten Einstellungen abhängen.

Die Konfiguration erfolgt in Sophos Fusion (ehemals Sophos Central) unter My Products > Phish Threat > Campaigns über New Series.

Voraussetzungen

Lizenz, Administrationszugriff und verifizierte Empfängerdomains müssen vorab eingerichtet sein. Sophos Phish Threat: Erste Schritte beschreibt diese Grundvoraussetzungen. Eine verifizierte Domain belegt noch keine funktionierende Zustellung: Richten Sie den Mailweg je nach Plattform über Phish Threat für Microsoft 365 oder Phish Threat für Google Workspace ein und prüfen Sie zusätzlich das Phish-Threat-Absender-Allowlisting.

Testen Sie die Zustellung mit einer kontrollierten internen Mailbox, bevor Sie eine Serie für die endgültige Zielgruppe anlegen. Die Erstellung einer separaten Einzelkampagne wird unter Sophos-Phish-Threat-Kampagne erstellen beschrieben.

Serientyp vor der Konfiguration festlegen

Unter Get Started geben Sie den Kampagnennamen ein und wählen einen der beiden Serientypen:

Der Serientyp bestimmt die nachfolgenden Seiten des Assistenten. Legen Sie daher vorab fest, ob das primäre Ziel die Messung des Benutzerverhaltens oder ein verbindlicher Trainingsplan ist.

Wählen Sie danach den Rhythmus sowie die Sprache für E-Mails und Trainingsmaterialien und klicken Sie auf Next. Die Sprache muss für Angriffsvorlage, Trainingsinhalt und Zielgruppe geeignet sein; die Sprache des Administratorkontos ist dafür nicht massgeblich.

Simulierte Angriffsserie konfigurieren

Unter Series preferences stehen drei Angriffsarten zur Verfügung:

• Phishing verleitet Benutzer dazu, einen Link in einer E-Mail anzuklicken.
• Credential Harvesting führt auf eine gefälschte Website und fordert zur Eingabe von Anmeldedaten auf. Sophos erfasst dabei keine Kennwörter.
• Attachment verleitet Benutzer dazu, einen simulierten schädlichen E-Mail-Anhang zu öffnen.

Sie können mehrere Angriffsarten markieren. Für einen kontrollierbaren Ablauf empfiehlt sich jedoch eine Angriffsart pro Serie. Sind mehrere Typen ausgewählt, verwendet Sophos für jede aus der Serie erzeugte Kampagne einen Typ nach dem Zufallsprinzip. Bei einer vierteljährlichen Serie wird beispielsweise in jedem Quartal erneut zufällig gewählt. Eine feste Rotation lässt sich aus dieser Mehrfachauswahl nicht ableiten.

Legen Sie anschliessend den Schwierigkeitsgrad fest und entscheiden Sie, ob ertappte Benutzer nach der Simulation zu einem Training angemeldet werden sollen. Standardmässig ordnet Sophos ein Training zu, das zu den ausgewählten Angriffen passt. Wird Folgetraining verwendet, legen Sie auch die Bestehensgrenze fest; der Standardwert beträgt 80 %.

Prüfen Sie dabei zwei unterschiedliche Erfolgsgrössen getrennt:

1. Die Angriffssimulation misst, ob der Benutzer auf die Simulation reagiert hat.
2. Die Bestehensgrenze bestimmt, ob das nachgelagerte Training erfolgreich abgeschlossen wurde.

Klicken Sie nach der Kontrolle auf Next.

Serie von Sicherheitstrainings konfigurieren

Unter Series selections öffnen Sie einen Kurs, um seine Kurzzusammenfassung zu prüfen. Mit Choose this training übernehmen Sie ihn in die Serie. Mehrere Trainingskurse können ausgewählt werden.

Prüfen Sie bei mehreren Kursen, ob alle ausgewählten Trainings zur Zielgruppe passen. Unter Review & Schedule wird die Bestehensgrenze pro Training festgelegt. Der Standardwert ist auch hier 80 %; mit Next wechseln Sie bei mehreren Trainings zur Bestehensgrenze des nächsten Kurses.

Empfänger und automatische Registrierung

Wählen Sie unter Enroll Users die gewünschten Users oder Groups. Aktivieren Sie Auto-enroll new users to this series nur dann, wenn später in Sophos Fusion angelegte Benutzer ohne weitere Freigabe in die Serie aufgenommen werden sollen.

Die automatische Registrierung verhält sich je nach Serie unterschiedlich:

• Bei einer simulierten Angriffsserie kommen neue Benutzer in die nächste von der Serie erzeugte Kampagne. Bereits gestarteten Kampagnen werden sie nicht nachträglich hinzugefügt.
• Bei einer Security training series nimmt Sophos neue Benutzer in jede Trainingskampagne der Serie auf; sie beginnen mit der ersten Kampagne. Sind mehrere Kurse als Trainingsserie gestaffelt, beginnt jeder neu registrierte Benutzer mit dem ersten Kurs.
• Der Versand folgt weiterhin dem Serientakt und beginnt nicht zwingend am Registrierungstag. Beginnt ein monatlicher Trainingskurs am 1. eines Monats und wird ein Benutzer am 15. registriert, erhält er die erste Trainings-E-Mail erst am 1. des Folgemonats. Die weiteren Kurse verschieben sich für diesen Benutzer entsprechend.

Die Unterschiede zu eigenständigen Kampagnen und anderen Serientypen erläutert Automatische Registrierung in Phish Threat.

Verifizierte Domänen und Verwaltungseinheiten

Simulierte Phishing-E-Mails dürfen nur an Adressen in Domänen gesendet werden, die dem Unternehmen gehören und in Sophos Fusion verifiziert wurden.

• Enthält die Benutzerauswahl Adressen aus nicht verifizierten Domänen, zeigt Enroll Users eine Warnung.
• Enthält eine Gruppe verifizierte und nicht verifizierte Adressen, übernimmt Sophos nur die Adressen aus verifizierten Domänen und zeigt ebenfalls eine Warnung.
• Über Verify domains in der Warnung wechseln Sie zur Verifizierung. Nach Abschluss kehren Sie über Phish Threat zur Kampagnenerstellung zurück.
• In Sophos Central Enterprise muss die Domäne in jedem betroffenen Sub-Estate separat hinzugefügt und verifiziert werden. Eine Verifizierung in einem anderen Sub-Estate reicht nicht aus.

Fahren Sie bei einer gemischten Gruppe nicht ungeprüft nur mit dem zulässigen Teil fort. Sonst startet die Serie formal korrekt, erreicht aber nicht die erwartete Zielgruppe.

Prüfen und planen

Öffnen Sie nach Next den Schritt Review & Schedule. Kontrollieren Sie jede Sektion und verwenden Sie Edit, bevor Sie die Serie speichern.

Für eine simulierte Angriffsserie legen Sie unter End Series entweder die Anzahl der Monate oder When I cancel fest. Benutzeraktionen nach dem Enddatum werden nicht mehr in den Kampagnenergebnissen berücksichtigt. Planen Sie daher genügend Zeit für Reaktionen und ein allfälliges Folgetraining ein. When I cancel ist keine automatische Endbedingung; die Serie läuft bis zum manuellen Beenden weiter.

Für eine Trainingsserie legen Sie den Serienstart und die Bestehensgrenze fest. Bei mehreren Trainings wird jeder Kurs einzeln kontrolliert. Erst wenn Serientyp, Rhythmus, Sprache, Inhalt, Empfänger und Zeitplan stimmen, schliessen Sie den Assistenten mit Done ab.

Stufenweiser Versand ist beim Erstellen nicht verfügbar

Ein Sending Increment kann beim Erstellen der Kampagnenserie nicht festgelegt werden. Die Versandstaffel lässt sich erst nach dem Speichern konfigurieren, indem Sie die Serie vor ihrem Start bearbeiten.

Dabei bestimmen Sie:

• den Prozentsatz der Benutzer pro Versandphase,
• das Intervall zwischen den Phasen,
• und anhand der angezeigten Schätzung, wie viele Tage der vollständige Versand dauert.

Dieser Ablauf ist wichtig: Zuerst die Serie mit Done speichern, danach vor dem Start erneut bearbeiten und die Versandstufen setzen. Starten Sie die Serie nicht manuell, bevor diese zweite Kontrolle abgeschlossen ist. Bei monatlichen Serien muss auch die automatisch erzeugte Kampagne im begrenzten Fenster unter Upcoming Campaigns geprüft werden.

Validierung vor dem ersten produktiven Start

Verwenden Sie für die Freigabe eine dokumentierte Checkliste:

1. Serientyp: Entspricht die Serie dem Ziel – Angriffssimulation oder obligatorisches Training?
2. Rhythmus: Sind Häufigkeit, erster Start und gewünschtes Serienende korrekt?
3. Sprache: Passen E-Mail- und Trainingssprache zur Zielgruppe?
4. Angriff: Ist nur der beabsichtigte Angriffstyp gewählt, oder ist die zufällige Auswahl mehrerer Typen ausdrücklich gewollt?
5. Training: Stimmen Kurszuordnung und Bestehensgrenze für jeden Kurs?
6. Empfänger: Entsprechen Benutzer- und Gruppenanzahl der Freigabe? Wurden Warnungen zu ausgelassenen Adressen geklärt?
7. Domänen: Sind alle Empfängerdomänen in der richtigen Verwaltungseinheit verifiziert?
8. Automatische Registrierung: Ist die Aufnahme künftig in Sophos Fusion angelegter Benutzer gewollt und organisatorisch freigegeben?
9. Versandstufen: Wurde die gespeicherte Serie vor dem Start erneut bearbeitet und die erwartete Gesamtdauer geprüft?
10. Bevorstehende Kampagne: Stimmen Inhalt und Empfänger der ersten konkret erzeugten Kampagne?

Testen Sie neue Vorlagen, Empfängerquellen oder Mailflow-Einstellungen in einer separaten Einzelkampagne oder Pilotserie mit einer kleinen internen Zielgruppe. Prüfen Sie zugestellte Nachricht, Zielseite, Ereigniserfassung und gegebenenfalls Trainingszuordnung. Erstellen Sie danach die produktive Serie neu mit der endgültigen, erneut geprüften Empfängerauswahl. Planen Sie nicht ein, die Zielgruppe einer bereits gespeicherten Serie vom Pilot auf den Produktivbestand umzustellen.

Serie stoppen und Folgen begrenzen

Bis zum Abschluss mit Done können Sie die Seiten des Assistenten korrigieren. Ein nicht abgeschlossener Eintrag erscheint unter Campaign Drafts; dort setzen Sie ihn mit Finish fort oder entfernen ihn mit Discard. Nach dem Speichern lässt sich vor dem Start die Versandstaffel bearbeiten; andere Serienoptionen sollten Sie nicht als nachträglich änderbar einplanen. Für monatliche Serien kann die erzeugte Einzelkampagne während der Woche unter Upcoming Campaigns angepasst werden.

Eine aktive Serie beenden Sie, indem Sie die Kampagnenserie öffnen und End this series wählen. Das beendet nicht automatisch alle bereits daraus erzeugten Kampagnen: Solche Einträge können weiterhin unter Upcoming Campaigns stehen. Eine einzelne dieser Kampagnen lässt sich erst eine Woche vor ihrem geplanten Datum beenden. Kontrollieren Sie den Bereich deshalb auch nach dem Ende der Serie.

Läuft bereits eine einzelne Kampagne und soll der weitere Versand nur vorübergehend gestoppt werden, verwenden Sie Pause. Dann werden Angriffs-, Trainings- und Erinnerungs-E-Mails nicht mehr an die verbleibenden Benutzer gesendet; bereits zugestellte Nachrichten werden nicht zurückgerufen. Im pausierten Zustand kann die Kampagne mit Edit bearbeitet werden; Campaign Type und Campaign Start Date bleiben unveränderbar, und ein Empfänger mit bereits versendeter E-Mail kann nicht mehr entfernt werden.

Nach einem Versand gibt es kein technisches Zurückholen bereits zugestellter E-Mails. Änderungen nach Resume gelten für den verbleibenden Kampagnenablauf und ändern vergangene Ereignisse nicht. Bei einem definierten Serienenddatum werden spätere Benutzeraktionen lediglich aus den Kampagnenergebnissen ausgeschlossen.

Bei einer Fehlkonfiguration gilt deshalb:

1. Eine noch nicht gestartete bevorstehende Kampagne nicht manuell starten.
2. Bei einer noch nicht gestarteten Serie bei Bedarf nur die dokumentiert bearbeitbare Einstellung für den stufenweisen Versand korrigieren; Empfänger und automatische Registrierung nicht als nachträglich änderbare Serienoptionen einplanen.
3. Eine laufende Einzelkampagne mit Pause stoppen und die noch änderbaren Werte korrigieren.
4. Eine nicht mehr benötigte aktive Serie über End this series beenden und danach bereits erzeugte bevorstehende Kampagnen separat kontrollieren.
5. Bereits versendete Nachrichten und erfasste Ereignisse als bestehenden Zustand dokumentieren.
6. Korrekturen zuerst mit internen Empfängern validieren und erst danach Resume wählen oder neu planen.

Die sichere Rollback-Grenze liegt somit vor dem Versand an den jeweiligen Empfänger. Danach begrenzen Pause und End this series nur zukünftige Abläufe; bereits zugestellte Simulationen und vergangene Ereignisse werden nicht rückgängig gemacht. Weitere Status-, Bearbeitungs- und Beendigungsaktionen beschreibt Phish-Threat-Kampagnen verwalten.