Open-Source-Security-Awareness-Schulungsbibliothek mit über 130 interaktiven SCORM-Übungen, die Phishing, Vishing, BEC, MFA-Fatigue und OWASP-AI/LLM-Szenarien für die LMS-Bereitstellung abdeckt.
130+ kostenlose, quelloffene Security-Awareness-Trainingsübungen für Mitarbeiter — praxisnahe, interaktive SCORM-Module zu Phishing-Awareness-Training, DSGVO, KI-Sicherheit und mehr. Entwickelt für Menschen, die das Gelernte behalten und mit anderen teilen möchten.
👥 Mit den Gründern sprechen | 🔗 Gesamte Bibliothek durchsuchen | 🎮 Live-Phishing-Awareness-Demo ausprobieren
Das meiste Security-Awareness-Training ist schnell vergessen: langweilige Folien, seelenlose Videos und neuerdings KI-generierte Materialien, die die Leute abschrecken. Das Problem ist nicht der Inhalt selbst – sondern das Format, denn passives Lernen schafft keine Gewohnheiten. Die Leute sitzen ein 10-minütiges Video ab, klicken auf „Complete“ und erinnern sich an nichts, wenn es darauf ankommt.
Diese kostenlose, quelloffene Security-Awareness-Trainingsbibliothek verfolgt einen anderen Ansatz.
Jede Übung versetzt dich in eine interaktive 3D-Büroumgebung, in der du realistischen Vorfällen in der Ego-Perspektive begegnest. Du interagierst mit echten Objekten – einem Telefon, einem PC mit einem laufenden Betriebssystem (Browser, Terminal, Zoom), einem Flipchart – und triffst unter Druck Entscheidungen, genau wie an deinem Schreibtisch.
Szenarien umfassen zum Beispiel:
Das Ziel ist es, ein Muskelgedächtnis aufzubauen, sodass sich Menschen, wenn bei der Arbeit etwas Schlimmes passieren will, daran erinnern, es schon einmal erlebt zu haben – und entsprechend reagieren. Jede Übung endet mit einem Quiz mit einer Bestehensgrenze von 100 %, um zu bestätigen, dass das Wissen hängen geblieben ist.
Jede Übung ist eine SCORM-.zip-Datei – bereit, in jedes LMS importiert, in deine bestehende Trainingspipeline eingebettet oder vor dem Rollout auf SCORM Cloud getestet zu werden. Das macht dies zu einer der am einfachsten einzusetzenden kostenlosen Security-Awareness-Trainingsoptionen für die gesamte Belegschaft.
Das Repo-Stammverzeichnis enthält vollständige Kurspakete. Der Ordner Individual Exercises enthält eigenständige Übungen, wenn du einen eigenen Lehrplan zusammenstellen möchtest.
Der Inhalt ist vollständig als White-Label verfügbar – keine Logos, keine Backlinks, keine Bedingungen. Verwende es, wie du möchtest; mehr dazu weiter unten.
Du kannst diese Inhalte frei nutzen, einbetten und damit unterrichten – privat, beruflich oder kommerziell in Workshops. Die Weiterverbreitung oder der Weiterverkauf der Inhalte als eigenständiges Produkt ist untersagt.
Diese quelloffene Security-Awareness-Trainingsbibliothek ist unter der Lizenz CC BY-NC 4.0 lizenziert. Frei nutzbar und teilbar mit Namensnennung. Der kommerzielle Weiterverkauf der Inhalte ist untersagt.
Wir liefern außerdem ein Cloud-LMS in Enterprise-Qualität mit allen Security-Awareness-Trainingsinhalten an Bord. Wenn du das Training also ohne den Aufwand der Installation bzw. Verwaltung deines LMS erhalten möchtest, sprich uns an. Die LMS-Funktionen umfassen unter anderem:
Das LMS ist von Grund auf mandantenfähig (Multi-Tenant) und dafür gebaut, Security-Awareness-Training über ein gesamtes Kundenportfolio von einem Ort aus zu liefern:
Wenn du interessiert bist, kontaktiere uns gerne
KI-Agent-Ziel-Hijacking — Verhindere, dass ein autonomer KI-Agent durch eine vergiftete E-Mail mit versteckten Anweisungen umgelenkt wird, indem du versteckte Anweisungen in eingehenden Daten erkennst, die Agentenziele umleiten, nachvollziehst, wie ein zielgekaperter Agent von legitimen Aufgaben zur Datenexfiltration wechselt, und Eingabevalidierungsstrategien anwendest, die verhindern, dass Agenten Daten als Anweisungen behandeln.
KI-Agent-Tool-Ausnutzung — Verhindere, dass ein KI-Agent manipuliert wird, um mit seinen legitimen Tools Dateien zu löschen und unbefugte Nachrichten zu senden, indem du erkennst, wie mehrdeutige Prompts Agenten zum Missbrauch legitimer Tool-Zugriffe verleiten, destruktive Tool-Aufrufe nachverfolgst, die durch manipulierte Eingabeparameter ausgelöst werden, und Richtlinien mit geringsten Rechten (Least-Privilege) für den Tool-Zugriff anwendest, um die Ausnutzung von Agent-Tools einzudämmen.
Identitäts- und Privilegienmissbrauch durch Agenten — Verhindere, dass ein KI-Agent geerbte Anmeldedaten mit hohen Privilegien wiederverwendet, um auf Systeme außerhalb seines autorisierten Bereichs zuzugreifen, indem du nachvollziehst, wie Agenten Benutzeranmeldedaten über verschiedene Systemkontexte hinweg erben und weitergeben, Confused-Deputy-Schwachstellen identifizierst, bei denen Agentenprivilegien den vorgesehenen Umfang überschreiten, und eine abgegrenzte Anmeldedaten-Delegation anwendest, um eine kontextübergreifende Privilegienausweitung zu verhindern.
Angriff auf die Lieferkette agentischer KI — Untersuche ein kompromittiertes Drittanbieter-KI-Plugin, das das Agentenverhalten stillschweigend verändert und sensible Daten abfließen lässt, indem du Verhaltensanomalien erkennst, die auf eine kompromittierte KI-Komponente von Drittanbietern hindeuten, Datenexfiltrationspfade durch hintertürte Plugins und MCP-Server nachverfolgst und Verfahren zur Lieferketten-Verifikation anwendest, bevor du externe KI-Tools integrierst.
Code-Injection in KI-Agenten — Erwische einen KI-Codierungsassistenten, bevor er ein Shell-Skript mit injizierten Befehlen ausführt, das dein System kompromittiert, indem du injizierte Befehle erkennst, die in KI-generiertem Code und Shell-Skripten versteckt sind, nachvollziehst, wie Benutzereingaben durch die Codegenerierung bis hin zur Ausführung ohne Sandbox fließen, und Code-Review- und Sandboxing-Praktiken auf KI-generierte Skripte vor der Ausführung anwendest.
OpenClaw-Prompt-Injection — Stoppe einen KI-Assistenten, der über versteckte Prompts Daten preisgibt, indem du versteckte Anweisungen in Dokumenten identifizierst, Datenexfiltration über KI-Tools verhinderst und Prompt-Injection-Muster erkennst.
Preisgabe sensibler Daten durch KI — Sieh, was passiert, wenn vertrauliche Daten in ein Verbraucher-KI-Tool gelangen, indem du Kategorien sensibler Daten erkennst, die niemals in KI-Prompts gelangen sollten, nachvollziehst, wie eingefügte Inhalte in KI-Trainingsdaten und Logs bestehen bleiben, und Richtlinien zur Datenklassifizierung anwendest, bevor du KI-Tools nutzt.
KI-Lieferketten-Kompromittierung — Setze ein KI-Plugin ein, das eine Hintertür offen sichtbar verbirgt, indem du Lieferkettenrisiken in KI-Modellen und Plugins von Drittanbietern identifizierst, Verhaltensanomalien in KI-Komponenten aus externen Quellen erkennst und Überprüfungsverfahren anwendest, bevor du KI-Tools aus Marktplätzen einsetzt.
Vergiftung von KI-Trainingsdaten — Beobachte in Echtzeit, wie vergiftete Dokumente die Antworten deiner KI korrumpieren, indem du nachvollziehst, wie manipulierte Dokumente KI-generierte Ausgaben verändern, Anzeichen von Datenvergiftung in KI-Antworten identifizierst und Inhaltsintegritätskontrollen auf Wissensdatenbank-Eingaben anwendest.
Unsicherer Umgang mit KI-Ausgaben — Nutze eine KI aus, deren Ausgaben unkontrolliert in Live-Systeme fließen, indem du Injektionsrisiken identifizierst, wenn KI-Ausgaben in nachgelagerte Systeme eingespeist werden, nachvollziehst, wie nicht bereinigte KI-Ausgaben Codeausführung ermöglichen, und Ausgabevalidierungskontrollen zwischen KI und verbundenen Systemen anwendest.
Überprivilegierter KI-Agent — Manipuliere einen KI-Assistenten, damit er seine eigenen Berechtigungen missbraucht, indem du übermäßige Berechtigungen für KI-Agenten identifizierst, unbefugte Aktionen nachverfolgst, die von manipulierten KI-Tools ausgeführt werden, und Least-Privilege-Prinzipien auf KI-Agentenkonfigurationen anwendest.
— Extrahiere versteckte Anweisungen aus einem kundenorientierten KI-Chatbot, indem du Prompt-Extraktionstechniken gegen einen Live-KI-Chatbot ausführst, sensible Informationen identifizierst, die durch durchgesickerte Systemprompts offengelegt werden, und Prompt-Härtungstechniken anwendest, um die Offenlegung von Systemanweisungen zu verhindern.
HTTPS & Website-Sicherheit — Lerne, warum das Schloss-Symbol kein Sicherheitsbeweis ist, indem du reale Zertifikatswarnungen, abgelaufene Zertifikate und nicht übereinstimmende TLS-Zertifikate an simulierten Websites bewertest.
Sicheres Surfen & Downloads — Erkenne bösartige Downloads, bevor sie ausgeführt werden, indem du gefälschte Anbieterseiten, trügerische Update-Aufforderungen und Drive-by-Download-Fallen durchquerst, die Malware als legitime Software tarnen.
Typosquatting-Bewusstsein — Erkenne die Domain-Tricks, die Angreifer gegen dich einsetzen, indem du ähnlich aussehende URLs, Domains mit vertauschten Zeichen und homographische Angriffe identifizierst, die in der Adressleiste deines Browsers nahezu pixelgenau sind.
Risiken der Browser-Autovervollständigung — Versteckte Formularfelder stehlen stillschweigend deine automatisch ausgefüllten Daten, wie eine realistische Szene zeigt, in der ein Kollege unwissentlich Kreditkarten- und Privatadressdaten an eine angreifergesteuerte Seite übermittelt.
Sicherheit von Browsererweiterungen — Diese hilfreiche Erweiterung könnte alles stehlen, wie eine forensische Zeitleiste zeigt, die nachvollzieht, wie eine hochbewertete Produktivitätserweiterung Daten vom Gerät eines ahnungslosen Nutzers exfiltrierte.
Missbrauch von Browser-Benachrichtigungen — Erkenne gefälschte CAPTCHA-Aufforderungen, die darauf ausgelegt sind, Benachrichtigungsberechtigungen zu kapern, und lerne, bösartigen Push-Benachrichtigungszugriff zu widerrufen, bevor Angreifer zum Credential-Phishing eskalieren.
Gewohnheiten mit Passwortmanagern — Entwickle starke Gewohnheiten mit deinem Passwortmanager, indem du schwache und wiederverwendete Passwörter in einen Tresor überführst, eindeutige Ersatzpasswörter generierst und Autovervollständigung als Phishing-Erkennungswerkzeug nutzt.
Least-Privilege-Bewusstsein — Halte den Zugriff auf das Minimum, das deine Aufgabe erfordert, indem du realistische Berechtigungszuweisungen prüfst, veraltete Admin-Rechte entziehst und gemeinsame Servicekonten sowie abgelaufene Anmeldedaten von Auftragnehmern kennzeichnest.
Joiner-Mover-Leaver-Bewusstsein — Verwalte Zugriffsrechte bei Rollenwechseln, indem du Onboarding-, Seitenwechsel- und Offboarding-Szenarien durcharbeitest, die Ausnahmen durch Vorgesetzte, weitergeleitete Dateien und Notfallzugriffsanfragen enthalten.
MFA-Einrichtung & Best Practices — Richte Multi-Faktor-Authentifizierung richtig ein, indem du SMS, Authentifikator-Apps und Hardware-Schlüssel vergleichst und lernst, MFA-Ermüdungs-Push-Benachrichtigungsangriffe zu erkennen und abzuwehren.
Credential-Stuffing-Bewusstsein — Sieh, wie geleakte Passwörter automatisierte Angriffe befeuern, indem du einen Live-Credential-Stuffing-Vorfall nachverfolgst, kompromittierte Konten identifizierst und den Kreislauf der Passwortwiederverwendung durchbrichst.
Sicherheit bei der Kontowiederherstellung — Verteidige die Kontowiederherstellung gegen Social Engineering, indem du Identitätsprüfverfahren unter Druck durch einen überzeugenden Anrufer übst, der sich als ausgesperrter Mitarbeiter ausgibt.
Grundlagen privilegierter Zugriffe — Lerne, warum Administratorkonten besonders behandelt werden müssen, indem du einen Just-in-Time-Zugriffsworkflow mit einem Vorfall kontrastierst, bei dem die alltägliche Nutzung eines privilegierten Kontos einem Angreifer sofortigen Infrastrukturzugriff verschaffte.
Ransomware — Überlebe einen Ransomware-Angriff in Echtzeit, indem du schnelle Eindämmungsentscheidungen triffst, während Dateien verschlüsselt werden, Programme ausfallen und sich die Malware über freigegebene Laufwerke und zugeordnete Netzwerkressourcen ausbreitet.
USB-Drop-Angriff — Überlege es dir zweimal, bevor du diesen USB-Stick einsteckst, indem du einen simulierten Autorun-Angriff erlebst, einschließlich Rubber-Ducky-Payloads, die ein System in unter 10 Sekunden kompromittieren.
Backup-Best-Practices — Baue einen Backup-Plan, der Ransomware übersteht, indem du die 3-2-1-Regel lernst, den Unterschied zwischen Synchronisierung und echtem Backup verstehst und die realen Konsequenzen häufiger Backup-Fehler entdeckst.
Verschlüsselung & Sperrdisziplin — Übe die Gewohnheiten, die unbeaufsichtigte Geräte schützen, indem du siehst, was ein Angreifer in 90 Sekunden an einem entsperrten Laptop erreichen kann, und dann die automatische Sperre konfigurierst und die vollständige Festplattenverschlüsselung überprüfst.
OS-Updates & Patch-Grundlagen — Sieh, warum das Überspringen von Updates echte Angriffspfade öffnet, indem du nachvollziehst, was ein aufgeschobenes Sicherheitsupdate behoben hätte und wie schnell Angreifer neu veröffentlichte CVEs ausnutzen.6. Endpoint-Patching & EDR-Warnungen — Wissen Sie, was Ihre EDR-Warnung bedeutet und was als Nächstes zu tun ist, indem Sie Live-Prozessanomalien, Registrierungsänderungen und ungewöhnliche Netzwerkverbindungen triagieren, um zu entscheiden, ob Sie ignorieren, untersuchen oder eskalieren.
Sichere Bluetooth-Praktiken — Ihre Kopfhörer senden mehr als nur Musik aus — prüfen Sie gekoppelte Geräte, konfigurieren Sie den nicht auffindbaren Modus und verstehen Sie die Schwachstellenfamilien BlueBorne, KNOB und BLUFFS, die auffindbare Bluetooth-Verbindungen ausnutzen.
— Es sieht aus wie eine PDF, verhält sich aber wie Malware — lernen Sie, Tricks mit doppelten Erweiterungen zu erkennen, echte Dateitypen aufzudecken und gefährliche Erweiterungen wie .scr, .cmd, .vbs und .ps1 zu identifizieren.
Datenlecks — Stoppen Sie den Abfluss sensibler Daten aus Ihrem Unternehmen, indem Sie fehlgeleitete E-Mails, versteckte Dokumentmetadaten, ungesicherte Dateifreigaben und weniger offensichtliche Leckkanäle wie KI-Tools und Bildschirmfreigabe durchgehen.
Grundlagen der Datenklassifizierung — Beschriften Sie Daten korrekt nach Sensibilitätsgrad, indem Sie reale Dokumente in die Kategorien Öffentlich, Intern, Vertraulich und Eingeschränkt einordnen und für jede die richtigen Speicher-, Freigabe- und Entsorgungsregeln anwenden.
Schutz vor Identitätsdiebstahl — Erkennen Sie Taktiken des Identitätsdiebstahls, die auf Mitarbeiter abzielen, indem Sie überzeugende HR-Identitätsvortäuschungs-E-Mails, unbeaufsichtigte Personalakten und Anrufer erkennen, die mit genügend persönlichen Details ausgestattet sind, um legitim zu klingen.
Sichere Freigabepraktiken — Geben Sie Dateien sicher weiter, ohne Sicherheitslücken zu schaffen, indem Sie gängige Freigabeszenarien bewerten und lernen, warum sich ein passwortgeschützter, ablaufender Link von einem unverschlüsselten E-Mail-Anhang unterscheidet.
Allgemeine Vorfallsmeldung — Wissen Sie, wann und wie Sie einen Sicherheitsvorfall melden. Erkennen Sie, was als Vorfall gilt, füllen Sie einen Sicherheitsbericht korrekt aus, verstehen Sie Meldefristen und Schwellenwerte.
Meldekultur — Bauen Sie ein Team auf, das ohne Angst meldet. Üben Sie eine schuldfreie Vorfallsmeldung, verstehen Sie die Prinzipien der psychologischen Sicherheit, wenden Sie den CRM-Rahmen der Luftfahrt an
Vishing — Bewältigen Sie einen realistischen Voice-Phishing-Anruf, indem Sie Caller-ID-Spoofing erkennen, die Rückrufverifizierung über offizielle Nummern üben und dem Druck durch Dringlichkeit und Autorität eines überzeugenden Hochstaplers widerstehen.
Phishing — Erkennen Sie eine Phishing-E-Mail, bevor Sie klicken, indem Sie gefälschte Absenderadressen prüfen, über nicht übereinstimmende URLs fahren und die emotionalen Drucktaktiken identifizieren, die zum Diebstahl von Zugangsdaten führen.
Double-Barrel-Phishing — Erkennen Sie die Vertrauensfalle mit zwei E-Mails, indem Sie die harmlose Vorbereitungsnachricht und die bösartige Folge-E-Mail identifizieren, die das im ersten Austausch aufgebaute Vertrauen ausnutzt.
Whaling mit einem Deepfake — Erkennen Sie eine KI-generierte Führungskraft in einem Videoanruf, indem Sie während eines Live-Meetings Deepfake-Indikatoren entdecken und die Identität verifizieren, bevor Sie eine irreversible finanzielle Überweisung autorisieren.
Social Engineering — Erkennen Sie Manipulation, bevor Sie nachgeben, indem Sie einem Anrufer standhalten, der Autorität, Gegenseitigkeit und künstliche Dringlichkeit einsetzt, und die Verifizierung anschließend über offizielle Kanäle umleiten.
Geschäfts-E-Mail-Kompromittierung — Stoppen Sie einen Überweisungsbetrug durch CEO-Identitätstäuschung, indem Sie E-Mails mit vorgetäuschter Führungskraft erkennen, Zahlungsanforderungen out-of-band verifizieren und verstehen, warum BEC jährlich Milliardenschäden verursacht.
Smishing — Erkennen Sie Betrug, der sich in Ihren Textnachrichten verbirgt, indem Sie bei dringenden Lieferwarnungen und Bankbenachrichtigungen langsamer vorgehen, über offizielle Kanäle verifizieren und niemals gekürzte URLs antippen.
Callback-Phishing — Bewältigen Sie eine gefälschte Rechnung, die Sie zum Anrufen verleiten soll, indem Sie TOAD-Angriffsmuster erkennen, gefälschte Rechnungen mit Rückrufnummern entdecken und reagieren, ohne auf Links zu klicken.
Verwaltung von Marketing-Einwilligungen — Erstellen Sie konforme Opt-in-Abläufe, die von Aufsichtsbehörden akzeptiert werden, indem Sie Einwilligungsabläufe gestalten, die den Standards von Artikel 7 der DSGVO entsprechen, ein System zur Aufzeichnung von Einwilligungen aufbauen und Live-Widerrufsanfragen bearbeiten.
Erkennung betrügerischer DSAR — Erkennen Sie gefälschte Datenzugriffsanfragen, die für Social Engineering verwendet werden, indem Sie eingehende DSARs auf Identitätsinkonsistenzen, dringliche Formulierungen und nicht übereinstimmende Kontaktdaten prüfen, bevor Sie antworten.
Reaktion auf Datenschutzverletzungen — Triagieren Sie eine Verletzung und halten Sie die 72-Stunden-Meldefrist ein, indem Sie die Schwere des Vorfalls bewerten, eine Benachrichtigung an die Aufsichtsbehörde entwerfen und Ermessensentscheidungen darüber treffen, was gemäß Artikel 33 meldepflichtig ist.
Prüfung von Auftragsverarbeitern — Bewerten Sie die Datenverarbeitungskontrollen eines Anbieters vor der Unterzeichnung, indem Sie Sicherheitszertifikate, Vereinbarungen mit Unterauftragsverarbeitern, Verfahren zur Benachrichtigung bei Verletzungen und DPA-Klauseln prüfen, die hinter Artikel 28 zurückbleiben.
Reaktion auf Sicherheitsvorfälle — Koordinieren Sie Sicherheits- und Datenschutzteams während einer laufenden Verletzung, indem Sie parallele Arbeitsströme betreiben, die Eindämmungsprioritäten mit der Bewertung personenbezogener Daten und den Meldefristen aus Artikel 33 in Einklang bringen.
Privacy-by-Design-Überprüfung — Bewerten Sie ein Produktfeature aus datenschutzorientierter Sicht, indem Sie die Datenminimierungsprüfungen aus Artikel 25 anwenden und reale Abwägungen zwischen Funktionalität und Privatsphäre bei Anfragen zur Verhaltensverfolgung vornehmen.
Ordnungsgemäße DSAR-Verarbeitung — Bearbeiten Sie einen Antrag einer betroffenen Person auf Datenzugriff vollständig, indem Sie die Identität des Antragstellers verifizieren, CRM-, E-Mail-Archive, Analyse-Tools und Backups durchsuchen und die Antwort innerhalb von 30 Tagen zusammenstellen und schwärzen.
Social-Media-Over-Sharing — Erfahren Sie, wie Angreifer Ihre öffentlichen Profile ausnutzen, indem Sie entdecken, wie ein Urlaubsfoto, ein Geburtstagspost und ein Konferenz-Check-in zu einem Profil kombiniert werden können, das hochgradig personalisierte Angriffe ermöglicht.
Cloud-Freigabekontrollen — Prüfen Sie, wer gerade Ihre freigegebenen Dateien sehen kann, indem Sie eine verworrene Berechtigungshistorie überprüfen, den Zugriff auf das erforderliche Mindestmaß einschränken und unter Zeitdruck Ablaufdaten festlegen.
Verwaltung von Gastzugriffen — Kontrollieren Sie, worauf externe Benutzer zugreifen können und wie lange, indem Sie inaktive Gastkonten prüfen, den Zugriff von Anbietern widerrufen, deren Projekte beendet sind, und eine strukturierte Offboarding-Checkliste erstellen.
Sichere Messaging-Praktiken — Stoppen Sie das Leaken sensibler Daten über Chat-Apps, indem Sie erkennen, wann Passwörter, Kunden-PII oder Whiteboard-Fotos unvorsichtig geteilt wurden, und die richtigen Kanäle für sensible Informationen lernen.
Social-Media-Richtlinie — Erfahren Sie, was Sie nicht auf Unternehmenskonten posten sollten, indem Sie reale Szenarien bewerten, in denen LinkedIn-Beiträge und Bürofotos versehentlich Details zu Deals, Kundendaten und interne Systeminformationen leaken.
OAuth-Risiken von Drittanbieter-Apps — Überprüfen Sie, wofür Sie Zugriff gewährt haben, indem Sie bewerten, ob die angeforderten Berechtigungen einer neuen App ihrer tatsächlichen Funktion entsprechen, und OAuth-verbundene Apps auf übermäßigen oder unnötigen Zugriff prüfen.
Insider-Bedrohung (vorsätzlich) — Erkennen Sie die Warnzeichen eines böswilligen Insiders, indem Sie das Muster von Dateizugriffen außerhalb der Arbeitszeiten und großen USB-Transfers erkennen, bevor der Schaden einen Punkt ohne Wiederkehr erreicht.
Shadow-IT-Bewusstsein — Finden Sie heraus, was passiert, wenn Teams nicht genehmigte Apps verwenden, indem Sie nachvollziehen, was hinter den Kulissen geschah, als eine vertrauliche Tabelle in einen kostenlosen Online-Konverter ohne Datenvereinbarung hochgeladen wurde.
Bildbasierte Angriffe (Stegosploit) — Diese Bilddatei könnte mehr als nur Pixel enthalten — untersuchen Sie das Portfolio eines Auftragnehmers, das eine JavaScript-Nutzlast in einer JPEG verbirgt, und lernen Sie drei steganografische Angriffsmethoden und ihre Erkennungsansätze kennen.
Insider-Bedrohung (versehentlich) — Ein falscher Anhang und siebenundvierzig Gehälter sind offengelegt — erleben Sie einen Vorfall mit einer fehlgeleiteten E-Mail von der DLP-Markierung bis zum vollständigen Arbeitsablauf der Vorfallsmeldung.
Hygiene bei Kollaborationstools — Eine Verknüpfung in Slack und Zugangsdaten sind überall — prüfen Sie Kanalintegrationen und den Zugriff ehemaliger Mitarbeiter, nachdem Sie entdeckt haben, dass eingefügte Datenbank-Zugangsdaten über einen veralteten Webhook exfiltriert wurden.
VPN-Nutzung & Sicherheit — Konfigurieren und nutzen Sie Ihr VPN ohne Lücken, indem Sie die realen Konsequenzen einer Unterbrechung mitten in der Sitzung in einem öffentlichen WLAN erleben, einschließlich offengelegter Zugangsdaten und unverschlüsselter Dateiübertragungen.
Heimrouter-Sicherheit — Finden Sie heraus, wer noch in Ihrem Heimnetzwerk ist, indem Sie nicht autorisierte verbundene Geräte identifizieren, Standard-Admin-Zugangsdaten ändern, WPS deaktivieren, WPA3 aktivieren und Anzeichen von DNS-Entführung erkennen.
Sicherheitsverletzung bei MGM Resorts — Erleben Sie den 10-minütigen Helpdesk-Anruf, der 100 Millionen Dollar kostete, indem Sie die Scattered-Spider-Angriffskette von der LinkedIn-Aufklärung über einen Vishing-Anruf bis zur ALPHV/BlackCat-Ransomware-Bereitstellung nachverfolgen.
OneNote-E-Mail-Angriff — Verfolgen Sie einen echten BEC-Betrug, der auf wochenlanger Überwachung des Posteingangs aufbaut, indem Sie eine Rechnungsumleitung von einer ähnlich aussehenden Domain erhalten, die echte Projektdetails und den exakt richtigen Betrag verwendet, um der Prüfung zu entgehen.
Grundlagen der Audit-Denkweise — Denken Sie wie ein Auditor, um Compliance-Lücken zu finden, bevor externe Prüfer es tun, indem Sie prüfen, ob Passwortrichtlinien zum tatsächlichen Verhalten passen, Zugriffsüberprüfungen verifizieren und Lücken zwischen schriftlichen Verfahren und dem Tagesgeschäft identifizieren.
Schulung zum Audit-Portal — Navigieren Sie in GRC-Portalen und übermitteln Sie Audit-Nachweise. Laden Sie Compliance-Nachweise korrekt hoch und taggen Sie sie, verfolgen Sie Behebungsaufgaben bis zum Abschluss, vermeiden Sie häufige Fehler bei der Portaleinreichung
Sicherheitsaufgaben von Mitarbeitern — Kennen Sie Ihre persönlichen Sicherheitsaufgaben bei der Arbeit. Erkennen Sie Risiken durch Tailgating und das Teilen von Zugangsdaten, melden Sie Vorfälle über die richtigen Kanäle, schützen Sie physische und digitale Zugangspunkte
ISMS-Richtlinienbewusstsein — Verknüpfen Sie ISO-27001-Richtlinien mit Ihrer täglichen Arbeit. Ordnen Sie ISMS-Richtlinien realen Arbeitssituationen zu, verstehen Sie die Struktur der ISO-27001-Richtlinien, erkennen Sie Lücken zwischen Richtlinie und täglicher Praxis.
Akzeptable Nutzung von Internet & E-Mail — Bleiben Sie innerhalb der Unternehmensrichtlinien für Internet und E-Mail. Erkennen Sie riskantes Weiterleitungsverhalten bei E-Mails, verstehen Sie die Grenzen privater Geräte bei der Arbeit, vermeiden Sie häufige Verstöße gegen die akzeptable Nutzung
Topics: Security-Awareness-Training · kostenloses Security-Awareness-Training · kostenloses Security-Awareness-Training für Mitarbeiter · Open-Source-Security-Awareness-Training · Phishing-Awareness-Training für Mitarbeiter · kostenloses Phishing-Awareness-Training · Security-Awareness-Training für Mitarbeiter · Cyber-Security-Awareness-Training · Mitarbeiter-Security-Awareness-Training · SCORM-Security-Awareness-Training · Phishing-Simulation · DSGVO-Schulung · Human-Risk-Management
Speichervergiftung bei KI-Agenten — Erkenne adversariale Inhalte, die in den persistenten Speicher eines KI-Agenten injiziert wurden und alle zukünftigen Entscheidungen korrumpieren, indem du vergiftete Einträge im persistenten Speicher und Abrufkontext eines Agenten identifizierst, nachvollziehst, wie korrumpierter Speicher nachgelagerte Agentenentscheidungen über Sitzungen hinweg beeinflusst, und Speicherintegritätsprüfungen anwendest, um adversariale Inhalte zu erkennen und zu entfernen.
Spoofing der Kommunikation zwischen Agenten — Fange gespoofte Nachrichten zwischen KI-Agenten in einem Multi-Agenten-Workflow ab und identifiziere sie, bevor fabrizierte Anweisungen Schaden anrichten, indem du gespoofte Agentenidentitäten und fabrizierte Nachrichten in Multi-Agenten-Kommunikationskanälen erkennst, nachvollziehst, wie nicht authentifizierte Zwischenagenten-Nachrichten Man-in-the-Middle-Angriffe ermöglichen, und Nachrichtenauthentifizierung und Agentenidentitätsprüfung anwendest, um Multi-Agenten-Systeme abzusichern.
Kaskadierender Ausfall von Multi-Agenten-Systemen — Halte eine kleine KI-Halluzination auf, bevor sie über nachgelagerte Agenten zu einem katastrophalen, systemweiten Ausfall eskaliert, indem du die Fehlerausbreitung von einer einzelnen Agenten-Halluzination über mehrere nachgelagerte Systeme nachverfolgst, Verstärkungspunkte identifizierst, an denen sich kleine Fehler zu katastrophalen Ergebnissen aufsummieren, und Circuit-Breaker-Muster und menschliche Prüfpunkte anwendest, um kaskadierende Agentenausfälle zu unterbrechen.
Übermäßiges Vertrauen in KI-Agentenempfehlungen — Erwische eine Reihe kompromittierter KI-Agentenempfehlungen, die dein Vertrauen ausnutzen, um eine betrügerische Überweisung und eine hintertürte Codeänderung zu genehmigen, indem du Automatisierungs-Bias-Muster erkennst, bei denen konstante KI-Genauigkeit falsches Vertrauen erzeugt, subtile Anomalien in KI-Agentenempfehlungen identifizierst, die auf Manipulation oder Kompromittierung hindeuten, und strukturierte Verifikationsworkflows anwendest, die Social Engineering über KI-Schnittstellen widerstehen.
Erkennung eines abtrünnigen KI-Agenten — Untersuche einen kompromittierten KI-Agenten, der funktionsfähig erscheint, während er stillschweigend unbefugte Aktionen ausführt und die Überwachung umgeht, indem du verdeckte unbefugte Aktionen eines Agenten erkennst, der normal zu funktionieren scheint, Persistenzmechanismen nachverfolgst, die es abtrünnigen Agenten ermöglichen, Neustarts und Überwachungsdurchläufe zu überleben, und Verhaltensanalyse und Anomalieerkennung anwendest, um abtrünnige Agenten von legitimen zu unterscheiden.
Ausnutzung der RAG-Pipeline — Nutze eine RAG-Pipeline aus, um auf Dokumente außerhalb deiner Freigabestufe zuzugreifen, indem du Zugriffskontrollfehler beim Abruf aus Vektordatenbanken identifizierst, nachvollziehst, wie adversariale Einbettungen Suchergebnisse korrumpieren, und Autorisierungsprüfungen auf der Abrufebene von RAG-Systemen anwendest.
KI-Halluzination und Fehlinformation — Erwische erfundene Statistiken und gefälschte Zitate in einem KI-Bericht, indem du halluzinierte Fakten und fabrizierte Quellen in KI-Ausgaben erkennst, KI-generierte Behauptungen gegen maßgebliche Referenzen verifizierst und Faktenprüfungs-Workflows auf KI-gestützte Geschäftsinhalte anwendest.
KI-Denial-of-Service-Angriff — Starte einen Denial-of-Wallet-Angriff gegen eine ungeschützte KI-API, indem du Vektoren zur Ressourcenerschöpfung in KI-API-Endpunkten identifizierst, nachvollziehst, wie manipulierte Prompts die Rechenkosten exponentiell eskalieren lassen, und Rate-Limiting- und Budgetkontrollen auf KI-Servicebereitstellungen anwendest.
Spear-Phishing — Ihr öffentliches LinkedIn-Profil ist das Drehbuch eines Angreifers — verfolgen Sie, wie ein einziger Social-Media-Beitrag eine vollständig personalisierte Phishing-E-Mail ermöglicht, komplett mit einem Kollaborationsportal zum Abgreifen von Zugangsdaten.
QR-Code-Phishing (Quishing) — Dieser QR-Code umgeht jeden E-Mail-Filter, den Sie haben — gehen Sie eine realistische Quishing-Angriffskette durch und lernen Sie, QR-Code-Ziele in der Vorschau anzuzeigen, bevor Sie sie auf Ihrem Mobilgerät scannen.
Tech-Support-Betrug — Diese Virenwarnung ist der eigentliche Angriff — erkennen Sie gefälschte browserbasierte Systemwarnungen, lehnen Sie Fernzugriffsanfragen von unaufgeforderten Anrufern ab und erfahren Sie, warum Strg+Alt+Entf die richtige erste Reaktion ist.
WhatsApp-Social-Engineering — Ihr „Chef“ bei WhatsApp ist nicht Ihr Chef — erleben Sie ein Echtzeit-Identitätstäuschungsgespräch, das zu einem Geschenkkarten-Betrug eskaliert, und erfahren Sie, warum Messenger-Apps ein bevorzugter Angriffskanal sind.
SEO-Poisoning-Bewusstsein — Die obersten Suchergebnisse sind nicht immer vertrauenswürdig — erkennen Sie eine vergiftete Softwaredownload-Seite, verifizieren Sie die Authentizität anhand von Herausgebersignaturen und Datei-Hashes und navigieren Sie direkt zu den offiziellen Anbieter-Websites.
Grenzüberschreitende Datenübermittlungen — Navigieren Sie durch Übermittlungsmechanismen für Daten, die den EWR verlassen, indem Sie Angemessenheitsbeschlüsse bewerten, Standardvertragsklauseln auswählen und eine Übermittlungsfolgenabschätzung gemäß dem Schrems-II-Urteil durchführen.
Schwärzung von Dokumenten mit personenbezogenen Daten — Schwärzen Sie personenbezogene Daten in Dokumenten vor der Offenlegung, indem Sie lernen, warum Black-Box-Überlagerungen und nicht entfernte Metadaten offenlegen können, was Sie glaubten entfernt zu haben.
Datenschutz-Folgenabschätzung — Führen Sie eine Datenschutz-Folgenabschätzung für eine risikoreiche Datenverarbeitungstätigkeit durch, indem Sie die Auslöser aus Artikel 35, die Risikokartierung und die Verhältnismäßigkeitsprüfung durcharbeiten und Dokumentation erstellen, die den gesetzlichen inhaltlichen Anforderungen entspricht.
Datenzuordnung und Verarbeitungsverzeichnisse — Erstellen Sie von Grund auf ein Verarbeitungsverzeichnis gemäß Artikel 30, indem Sie abteilungsübergreifende Interviews zu Datenflüssen führen und fragmentierte Datenpraktiken zu einem kohärenten, konformen RoPA verbinden.
