Social-Engineering-Tests & physische Pentests

Ja, wenn er sauber beauftragt ist. Grundlage ist eine schriftliche Autorisierung der Geschäftsleitung, die Umfang, Zeitraum und Grenzen festlegt. Bei physischen Tests muss zudem das Hausrecht geklärt sein: In gemieteten Gebäuden müssen für Foyer, Tiefgarage oder gemeinsame Eingänge oft auch Hausverwaltung oder Eigentümer zustimmen. Ohne diese Erlaubnis könnten einzelne Testhandlungen strafbar sein, etwa als Hausfriedensbruch.

In vielen Fällen ja. Sobald ein Test das Verhalten von Beschäftigten erfasst – etwa Klicks in einer Phishing-Kampagne –, kommen Mitbestimmungsrechte nach § 87 Abs. 1 Nr. 6 BetrVG in Betracht; im öffentlichen Dienst gilt Entsprechendes für den Personalrat. Wir empfehlen, Betriebsrat und Datenschutzbeauftragte früh einzubinden, und liefern in Abstimmung mit Ihnen die nötigen Informationen. Unsere standardmäßig anonymisierte Auswertung erleichtert die Abstimmung in der Praxis deutlich.

Nicht durch uns. Standardmäßig benennen wir keine Einzelpersonen, sondern werten nach Abteilungen und Rollen aus. Wer auf eine gut gemachte Täuschung hereinfällt, deckt meist ein Prozess- oder Schulungsdefizit auf – kein persönliches Versagen. Wir empfehlen, das auch intern genau so zu kommunizieren.

Wir testen so realistisch wie nötig und so schonend wie möglich. Standardmäßig gilt: keine Szenarien, die Beschäftigte verängstigen oder bloßstellen – etwa vorgetäuschte Kündigungen, Gehaltsversprechen oder private Notlagen –, kein echter Schadcode und keine Speicherung eingegebener Passwörter; erfasst wird nur, dass eine Eingabe erfolgt ist. Telefonate zeichnen wir nicht auf, denn das wäre ohne Einwilligung strafbar (§ 201 StGB).

Dann hat Ihre Sicherheitsorganisation funktioniert – und genau das dokumentieren wir. Unser Team führt standardmäßig ein Autorisierungsschreiben mit Notfallkontakten bei sich, über das sich der Auftrag sofort verifizieren lässt. Wir verhalten uns kooperativ und deeskalierend und brechen den Test bei Bedarf ab.

Legen Sie einen kleinen Kreis Eingeweihter fest, klären Sie das Hausrecht für alle Standorte und binden Sie Betriebsrat und Datenschutz ein. Termin und Szenarien sollten Ihre Beschäftigten nicht vorab erfahren, sonst verfälscht das die Ergebnisse. Auf Wunsch unterzeichnen wir vor dem Scoping eine Vertraulichkeitsvereinbarung.

Wir empfehlen regelmäßige Tests, etwa jährlich, und zusätzlich nach größeren Veränderungen wie einem Umzug, einem neuen Zutrittssystem oder umgestellten Freigabeprozessen. Ein einzelner Test zeigt den Ist-Zustand; erst Wiederholungen mit wechselnden Szenarien machen Fortschritte messbar.