Für Human Security angeforderte Berechtigungen

Stoïk Human Security schützt Ihre Mitarbeitenden vor Phishing, Betrug und Kontoübernahme. Um echte Bedrohungen zu stoppen und nicht nur zu kennzeichnen, benötigt Stoïk einen definierten Satz an Berechtigungen in Ihrem Microsoft 365 oder Google Workspace.

Berechtigungslisten können einschüchternd wirken, daher erklärt diese Seite jede von uns angeforderte Berechtigung und genau, was sie bewirkt.

Unsere Grundsätze

• Minimalprinzip: Wir fordern nur an, was eine Funktion benötigt.

• Zweckgebunden: jede Berechtigung ist einer bestimmten Aktion zugeordnet, die unten aufgeführt ist.

• Erst lesen, dann gezielt handeln: der meiste Zugriff ist schreibgeschützt; Schreibzugriff ist auf Schutzmaßnahmen beschränkt.

• Ihre Daten bleiben Ihre: niemals verkauft, niemals über den von Ihnen aktivierten Dienst hinaus verwendet.

• Jederzeit widerrufbar: entziehen Sie den Zugriff jederzeit über Ihre Admin-Konsole.

Wie der Zugriff strukturiert ist

Human Security besteht aus drei Zugriffsblöcken. Jede Funktion nutzt nur die Blöcke, die sie benötigt, sodass Sie nur das freigeben, was Sie aktivieren.

Die Bausteine

1. Zugriff auf das Teamverzeichnis Schreibgeschützter Zugriff auf Ihre Mitarbeiterliste und Gruppen, damit Stoïk weiß, wen es schützen, simulieren und schulen soll. Kein Postfachzugriff.

2. Postfachschutz Sicherer Postfachzugriff, um Phishing-Simulationen zu versenden, gemeldete E-Mails zu prüfen und auf bestätigte Bedrohungen zu reagieren.

3. Der Report-Button Ein leichtgewichtiges Add-in, das Mitarbeitende installieren, um verdächtige E-Mails mit einem Klick zu markieren. Kein Postfachzugriff.

Was jede Funktion benötigt

Funktion	Zugriff auf das Teamverzeichnis	Postfachschutz	Der Report-Button
Simulation	✓	✓	✗
Schulung	✓	✗	✗
Report	✓	✓	✓

Sie gewähren nur, was Sie nutzen. Für Learning ist nur schreibgeschützter Verzeichniszugriff erforderlich, sonst nichts. Nur Report erfordert außerdem das Add-in, das Mitarbeitende installieren.

1. Zugriff auf das Teamverzeichnis

Schreibgeschützter Zugriff auf Ihre Mitarbeiterliste und Gruppen, damit Stoïk weiß, wen es schützen, simulieren und schulen soll. Kein Postfachzugriff.

Microsoft 365

Berechtigung	Wofür es gedacht ist
User.Read.All	Benutzer lesen, um Ihre Mitarbeiterliste (Namen, E-Mails, Telefonnummern) aufzubauen und zu aktualisieren.
Group.Read.All	Gruppen lesen, damit Sie Mitarbeitende nach Team ansprechen und organisieren können.
UserAuthenticationMethod.Read.All	Authentifizierungsmethoden (MFA) der Mitarbeitenden lesen.

Google Workspace

Berechtigung	Wofür es gedacht ist
admin.directory.user.readonly	Verzeichnisbenutzer lesen, um Ihre Mitarbeiterliste aufzubauen und zu aktualisieren.
admin.directory.group.readonly	Gruppen lesen, damit Sie Mitarbeitende nach Team ansprechen und organisieren können.
userinfo.email	Den Administrator identifizieren, der den Zugriff gewährt.

2. Postfachschutz

Sicherer Postfachzugriff, um Phishing-Simulationen zu versenden, gemeldete E-Mails zu prüfen und auf bestätigte Bedrohungen zu reagieren.

Diese ermöglichen drei Human-Security-Funktionen: das Zustellen von Phishing-Simulationen, das Lesen und Analysieren gemeldeter E-Mails und das Reagieren auf bestätigte Bedrohungen. Sie gewähren sie, wenn Sie Ihren Arbeitsbereich für Simulation oder Report verbinden.

Microsoft 365

Berechtigung	Wofür es gedacht ist
User.Read.All	Benutzer finden und E-Mail-Adressen Postfächern zuordnen.
Mail.ReadWrite	Phishing-Simulationen zustellen (einfügen, lesen, bereinigen), gemeldete E-Mails lesen und bald auf eine bestätigte Bedrohung reagieren: ein Warnbanner hinzufügen oder entfernen oder die E-Mail in einen Quarantäneordner verschieben und wieder daraus zurückholen.
SecurityAnalyzedMessage.Read.All	Erkennungsdetails zu einer gemeldeten E-Mail abrufen, damit wir Ihrem IT-Manager mitteilen können, ob es sich um eine echte Bedrohung (Phishing oder Betrug) handelt.
AuditLog.Read.All · AuditLogsQuery.Read.All · ActivityFeed.Read	Schädliche Aktivitäten erkennen und bestätigen, ob eine gemeldete E-Mail eine echte Bedrohung ist oder zu einer Kompromittierung geführt hat.
MailboxSettings.Read	Schädliche Postfachregeln erkennen, ein häufiges Anzeichen dafür, dass eine E-Mail zur Kontoübernahme geführt hat.
UserAuthenticationMethod.Read.All	Manipulationen an den MFA-Methoden eines Benutzers erkennen und den MFA-Status anzeigen.
Policy.Read.ConditionalAccess	Den Schutzstatus des Kontos in die Bedrohungsbewertung einbeziehen.
Application.Read.All	Schädliche Drittanbieter-Apps erkennen, die mit einem Konto verbunden sind.
Reports.Read.All	E-Mail-Volumen und -Muster verstehen, um die besten Ziele für Zahlungsbetrugs-Simulationen vorzuschlagen (Mitarbeitende, die die meisten Rechnungen erhalten, sind die realistischsten Ziele).

Google Workspace

Berechtigung	Wofür es gedacht ist
gmail.insert	Phishing-Simulations-E-Mails in Postfächer einfügen.
gmail.metadata	Nachrichten-Header und IDs lesen, um Simulationen zu verifizieren und nachzuverfolgen.
gmail.modify	E-Mails zur Verifizierungsphase der Simulation in den Papierkorb verschieben und bald auf eine bestätigte Bedrohung reagieren (Warnbanner, Quarantäne).
gmail.readonly	Den Inhalt gemeldeter E-Mails zur Prüfung lesen und die echten Rechnungs- oder Zahlungs-E-Mails analysieren, die Mitarbeitende erhalten, um realistische Zahlungsbetrugs-Simulationen zu erstellen und die besten Ziele auszuwählen.
gmail.settings.basic	Allowlisting konfigurieren, damit Simulationen zuverlässig den Posteingang erreichen.
admin.directory.user.readonly	Empfänger Verzeichnisbenutzern zuordnen.
admin.reports.audit.readonly	Verdächtige Aktivitäten erkennen, um zu bestätigen, ob eine gemeldete E-Mail eine echte Bedrohung ist, und identifizieren, wer die meisten Rechnungen erhält, um Zahlungsbetrug gezielt anzugehen.
apps.alerts	Zugehörige Google-Workspace-Sicherheitswarnungen bei der Analyse einer Bedrohung anzeigen.
admin.directory.customer.readonly	Organisationsdetails lesen, die für die Konfiguration des Schutzes benötigt werden.
gmail.settings.sharing	Postfach-Delegierte lesen, um Zugriff zu erkennen, der durch ein kompromittiertes Konto gewährt wurde.
admin.directory.device.mobile.readonly	Die auf einem Konto registrierten Mobilgeräte lesen, um das Gerät eines Angreifers zu erkennen.

Wie gemeldete E-Mails zu einem eindeutigen Urteil werden. Wenn ein Mitarbeitender eine E-Mail meldet, analysiert Stoïk die Nachricht sowie die umgebenden Konto- und Mandantensignale, um zu entscheiden, ob es sich um echtes Phishing oder Betrug handelt, damit Ihr IT-Manager ein verlässliches True-/False-Positive Urteil erhält und direkt darauf reagieren kann.

3. Der Report-Button

Ein leichtgewichtiges Add-in, das Mitarbeitende installieren, um verdächtige E-Mails mit einem Klick zu markieren. Kein Postfachzugriff.

Das ist das, was Ihre Mitarbeitenden in ihrem Postfach installieren. Es ist bewusst leichtgewichtig: Es gewährt Stoïk keinen API-Zugriff auf Ihre Postfächer.

Outlook-Add-in

Berechtigung	Wofür es gedacht ist
ReadWriteMailbox	Auf die gemeldete E-Mail zugreifen und sie nur, wenn der Nutzer es wählt, in Junk oder Gelöschte Elemente verschieben.
Report.Phishing	Bei Stoïks Reporting-API anmelden, um die Meldung zu übermitteln.

Gmail-Erweiterung (Chrome / Edge)

Berechtigung	Wofür es gedacht ist
identity	Öffnet die Google-Anmeldung, um zu bestätigen, welcher Nutzer meldet.
storage	Zwischenspeichert das Anmelde-Token vorübergehend und merkt sich die Konto-E-Mail, um wiederholte Anmeldeaufforderungen zu vermeiden.
mail.google.com (Zugriff auf die Website)	Fügt die Meldung an Stoïk Schaltfläche in Gmail hinzu, identifiziert die geöffnete Nachricht und das Konto und verwendet für die resultierende Aktion die eigenen Steuerelemente von Gmail. Dies ist Zugriff auf die Browserseite, kein Gmail-API-OAuth-Bereich.
accounts.google.com (Zugriff auf die Website)	Unterstützt die Google-Anmeldung.
*.phishing.cyber.stoik.io (Zugriff auf die Website)	Sendet die Meldung an Stoïks API.
Anmeldeberechtigungen: openid, email	Meldet den Nutzer an und identifiziert ihn per E-Mail.

Die Gmail-Erweiterung fordert keinen OAuth-Bereich für das Postfach an. Die Anmeldung ist auf Ihre Identität beschränkt (openid + email). Der Websitezugriff erlaubt der Erweiterung, auf der von Ihnen geöffneten Gmail-Seite zu handeln; es ist kein dauerhafter serverseitiger Zugriff auf Ihren Posteingang.

Häufig gestellte Fragen

Lesen Sie alle unsere E-Mails? Nein. Wir liefern Simulations-E-Mails aus und lesen nur die spezifischen Nachrichten, die Ihre Mitarbeitenden melden. Jede fortlaufende Analyse läuft nur zur Erkennung von Bedrohungen und nur für die von Ihnen aktivierten Funktionen.

Können wir nur einige Funktionen freigeben? Ja. Berechtigungen sind nach Funktion gruppiert. Wenn Sie eine Funktion nicht aktivieren, gewähren Sie auch ihre Berechtigungen nicht.

Können wir den Zugriff später widerrufen? Ja, jederzeit über Ihre Microsoft-365- oder Google-Workspace-Admin-Konsole. Das Widerrufen des Zugriffs beendet die entsprechende Funktion.

Warum erlauben einige Berechtigungen das Schreiben und nicht nur das Lesen? Der Schutz Ihres Teams erfordert Handeln bei Bedrohungen, nicht nur das Erkennen: eine Simulation ausliefern, eine gemeldete E-Mail verschieben oder einen bestätigten Angriff in Quarantäne setzen. Schreibzugriff ist auf diese Aktionen beschränkt.