TL;DR: Je eerste phishing simulatie uitvoeren klinkt ingewikkeld, maar het valt mee. Dit artikel loopt stap voor stap door het hele proces: van scenario kiezen tot de resultaten op je dashboard. Een praktijkgids voor IT-managers die volgende week willen starten.
Donderdag, 10:14 uur
Een medewerker van de financiele administratie opent haar inbox. Tussen de dagelijkse stroom zit een mail van “IT Support” met als onderwerp: “Actie vereist: uw wachtwoord verloopt over 24 uur.” De mail ziet er normaal uit. Huisstijl klopt. Link naar het “IT-portaal” staat onderaan.
Ze klikt.
In plaats van een inlogscherm ziet ze een pagina met uitleg. Rode vlaggen die ze had kunnen herkennen. Tips voor de volgende keer. Ze is niet gehackt. Ze is getest. En haar IT-manager weet nu iets wat hij gisteren nog niet wist.
Dit is hoe een phishing simulatie eruitziet voor de ontvanger. Maar hoe ziet het eruit voor jou, de persoon die het opzet? Daar gaat dit artikel over.
Stap 1: het scenario dat past bij je doel
De eerste vraag is niet “welke mail stuur ik?” maar “wat wil ik weten?” Dat klinkt academisch, maar het maakt een concreet verschil.
Wil je een nulmeting? Dan kies je een breed scenario dat iedereen kan raken. Een wachtwoord-reset, een pakketmelding, een bericht van HR. Gemiddelde moeilijkheid. Je meet hoe je organisatie er als geheel voor staat.
Wil je een specifieke afdeling testen? Dan pas je het scenario aan. Finance krijgt een factuur met gewijzigd IBAN. HR krijgt een sollicitatie met een “cv” als bijlage. De directie krijgt een bericht over een vertrouwelijk bestuursdocument. Hoe herkenbaarder het scenario voor de ontvanger, hoe waardevoller de test.
Je geeft het onderwerp, de moeilijkheidsgraad en de toon op. De AI genereert de rest: onderwerpregel, mailinhoud, afzenderprofiel en rode vlaggen die de ontvanger had kunnen herkennen. Die rode vlaggen komen later terug in de feedback.
Over moeilijkheidsgraad: begin op gemiddeld. Laag (spelfouten, generieke aanhef, overdreven urgentie) is te makkelijk om er iets van te leren. Hoog (perfecte huisstijl, persoonlijke aanhef, subtiele druk) bewaar je voor ronde drie of vier, als je team de basis beheerst.
Stap 2: de landingspagina bouwen
De link in je mail moet ergens naartoe. Bij een echte aanval is dat een nagemaakte inlogpagina. Bij jouw simulatie ook, alleen slaat het niets op.
Je hebt vier opties:
- Inlogscherm: Office 365, Google Workspace, een intern systeem. Veruit het meest gebruikt.
- Documentportaal: “Download het bestand na verificatie.” Werkt goed bij factuur- en HR-scenario’s.
- Notificatiepagina: “Bevestig uw gegevens.” Simpel maar effectief.
- Betaalpagina: Voor financiele scenario’s.
Het verschil tussen een overtuigende en een doorzichtige simulatie zit vaak in de landingspagina. De brandkloner extraheert automatisch kleuren, logo’s en lettertypen van elke URL die je opgeeft. Geef de URL van je intranet of je meest gebruikte applicatie, en je hebt een landingspagina die er bijna identiek uitziet. Dat is het realisme dat je nodig hebt om iets te meten.
Stap 3: wie, wanneer, hoeveel tegelijk?
Drie beslissingen die je vooraf maakt.
Wie. Bij een nulmeting: iedereen. Geen uitzonderingen, ook het management niet. Bij vervolgcampagnes kun je segmenteren op afdeling of risicoprofiel.
Wanneer. Dit wordt onderschat. Maandagochtend om negen uur denken mensen scherper na dan vrijdagmiddag om vier uur. Een simulatie op een rustig moment meet iets anders dan eentje tijdens een drukke kwartaalafsluiting. Varieer bewust als je meerdere campagnes plant.
Hoeveel tegelijk. Je kunt alle mails in een keer versturen, of gespreid over dagen. Gespreid voorkomt dat collega’s elkaar waarschuwen (“Hey, heb jij ook die rare mail gekregen?”). Aan de andere kant: als ze elkaar waarschuwen, is dat eigenlijk precies het gedrag dat je wilt zien.
Stap 4: live. Wat het systeem meet
De campagne draait. Vanaf nu meet het platform per medewerker vier dingen:
- Mail geopend. De medewerker heeft het bericht bekeken.
- Link geklikt. Ze zijn naar de landingspagina gegaan. Dit is het eerste alarmsignaal.
- Gegevens ingevuld. Ze hebben informatie achtergelaten. Bij een echte aanval was dit het moment van compromittering.
- Mail gemeld. Ze hebben het bericht als verdacht gerapporteerd. Dit is wat je wilt.
Elke medewerker heeft een uniek tracking-token. Geen gedeelde links, geen “ongeveer 40% heeft geklikt.” Je weet het precies, per persoon, per afdeling.
Even belangrijk: er worden nooit echte wachtwoorden opgeslagen. De landingspagina registreert dat er iets is ingevuld, niet wat.
Stap 5: het moment na de klik
Dit is waar de meeste waarde zit. Niet in het meten, maar in wat er direct daarna gebeurt.
Een medewerker die net op een phishinglink heeft geklikt, zit in de perfecte mindset om iets te leren. Die fractie van schrik: “Was dat echt?” Dat is het moment waarop informatie beklijft.
Twee dingen gebeuren tegelijk:
Feedbackpagina. Direct na de klik verschijnt uitleg. Welke signalen zaten er in de mail? Wat had de ontvanger anders kunnen doen? Specifiek per scenario, niet een generiek “let op phishing”-verhaal.
Automatische training. Het systeem kan direct een relevante phishing training toewijzen. Alleen geklikt? Basismodule. Ook gegevens ingevuld? Uitgebreidere training. Die regels configureer je zelf: per campagne, per organisatie, of als standaard.
Dat is het verschil met een simulatie die alleen test. Je test en je traint. In dezelfde beweging.
Stap 6: resultaten lezen
De campagne is afgelopen. Je dashboard vult zich. Maar welke cijfers zijn belangrijk?
| Metric | Wat het zegt | Waar je op let |
|---|---|---|
| Klikratio | Percentage dat op de link klikte | Trend over campagnes, niet het losse getal. 30% bij de eerste keer is normaal. |
| Submission rate | Percentage dat gegevens invulde | Ernstiger dan klikken. Dit is waar echte schade zou ontstaan. |
| Meldpercentage | Percentage dat de mail rapporteerde | Dit wil je omhoog zien. Stijgend meldpercentage = werkend programma. |
| Afdelingsscores | Resultaten per team | Welke afdelingen zijn kwetsbaar? Daar richt je de volgende campagne op. |
| Resilience Score | Gewogen score per medewerker (0-100) | Zes factoren gecombineerd. Stuurinformatie, geen rapportcijfer. |
Een veelgemaakte fout: te veel focussen op de klikratio. Een dalende klikratio is mooi, maar een stijgend meldpercentage is waardevoller. Je wilt niet alleen dat mensen stoppen met klikken, je wilt dat ze actief gaan melden. Dat is het verschil tussen passieve en actieve beveiliging.
Meer over welke metrics ertoe doen lees je in ons artikel over effectiviteit meten.
Na de eerste campagne: wat nu?
Je hebt je nulmeting. Nu begint het echte werk.
Week 1-2: Laat medewerkers die een training kregen toegewezen die afronden. Volg de voortgang in het dashboard.
Week 3: Bespreek de resultaten op teamniveau. Niet wie er fout zat, maar wat het team kan leren. Welke signalen werden gemist? Hoe kunnen jullie samen scherper worden?
Maand 2: Volgende campagne. Ander scenario, zelfde of iets hogere moeilijkheid. Segmenteer als je afdelingen hebt gevonden die extra aandacht nodig hebben.
Maand 3-4: Je hebt nu twee datapunten. De trend begint zichtbaar te worden. Is de klikratio gedaald? Melden meer mensen? Dat is je bewijs dat het programma werkt.
Na vier campagnes heb je genoeg data voor een betrouwbare trendlijn. En dat is ook het moment waarop je executive report snapshots kunt inzetten voor managementrapportages of compliance-verantwoording.
Vier dingen die je eerste campagne kunnen verpesten
Te makkelijk beginnen. Een mail vol spelfouten en “Geachte klant” leert niemand iets. Je meet niet hoe weerbaar je team is, je meet of ze spam herkennen. Dat is iets anders.
Resultaten als strafmiddel gebruiken. “Jij hebt geklikt, dus…” Zodra dat de toon wordt, stoppen mensen met melden. Meldgedrag is precies wat je wilt opbouwen. Trap er niet in.
Geen opvolging. Simulatie uitvoeren, resultaten bekijken, niks doen. Dan was het een dure klik-meting. Koppel altijd een training aan de test. Het klikmoment is het leermoment.
Het bij een keer laten. Een enkele campagne is een foto. Je hebt een film nodig. Plan minimaal vier simulaties per jaar, liever maandelijks. Pas bij herhaling verandert gedrag echt.
We schreven er een heel artikel over: de zeven meest gemaakte fouten bij phishing simulaties.
Volgende week starten
Je hebt geen maanden voorbereiding nodig. Importeer je medewerkers (een CSV met naam, e-mail en afdeling volstaat), kies een scenario, genereer de mail en de landingspagina, en plan de campagne in. Het platform doet de rest.
De eerste nulmeting is altijd een eye-opener. Niet omdat de resultaten slecht zijn, maar omdat je voor het eerst ziet wat je niet wist.