Hvordan laver man en phishing kampagne fra start til slut: Best practice

ANNONCE: Phishing er ikke længere kun et problem for store virksomheder eller organisationer med komplekse IT-miljøer.

26-05-2026

I dag kan en almindelig mail om en faktura, en pakke eller et login være nok til at skabe risiko, hvis en medarbejder klikker på det forkerte link.
Derfor arbejder flere virksomheder med phishing kampagner som en del af deres løbende sikkerhedsarbejde. En phishing kampagne er en kontrolleret øvelse, hvor medarbejdere modtager realistiske, men ufarlige testmails. Formålet er at træne medarbejderne i at genkende falske mails og give virksomheden et bedre overblik over risikoen.
En løsning som SecureFirsts phishing simulation kan hjælpe virksomheder med at planlægge, gennemføre og dokumentere kampagnerne, så træningen bliver mere praktisk og lettere at følge op på.

Hvad er en phishing kampagne?

En phishing kampagne er en planlagt test, hvor virksomheden sender falske phishing-mails til medarbejdere i et sikkert miljø.
Mailene kan ligne beskeder, medarbejdere møder i hverdagen. Det kan for eksempel være:

·       en faktura, der skal godkendes
·       en pakke, der mangler betaling
·       en besked fra HR eller løn
·       en Microsoft 365-loginanmodning
·       en delt fil
·       en besked fra en leverandør
·       en intern besked med hastende handling

Hvis medarbejderen klikker, sker der ingen skade. I en god phishing simulation bliver klik brugt som anledning til læring. Medarbejderen får forklaret, hvilke faresignaler mailen indeholdt, og hvad man bør være opmærksom på næste gang.

Start med formålet

En god phishing kampagne starter ikke med selve testmailen. Den starter med formålet. Virksomheden bør først afklare, hvad kampagnen skal bruges til. Skal den give et første billede af medarbejdernes klikadfærd? Skal den måle effekten af awareness-træning? Skal den dokumentere fremdrift over for ledelse, kunder eller cyberforsikring? Eller skal den indgå i et bredere compliance-arbejde?
Når formålet er klart, bliver det lettere at vælge den rigtige type test, det rigtige niveau og den rigtige kommunikation. For mange virksomheder giver phishing kampagner størst værdi, når de ikke står alene, men kobles til træning, feedback og rapportering. På den måde bliver kampagnen relevant for både IT, HR, ledelse og compliance.

Vælg målgruppe og niveau

Næste skridt er at beslutte, hvem kampagnen skal omfatte. Nogle virksomheder starter med alle medarbejdere. Andre begynder med bestemte afdelinger, for eksempel økonomi, HR, kundeservice eller ledelse. Det kan være relevant, fordi forskellige afdelinger møder forskellige typer mails i hverdagen.
Økonomiafdelingen kan være udsat for fakturasvindel. HR kan modtage dokumenter og persondata. Ledelsen kan blive ramt af mails, der udgiver sig for at komme fra samarbejdspartnere eller bestyrelse. Derfor bør niveauet tilpasses målgruppen. En god phishing kampagne kan begynde med simple scenarier og gradvist øge sværhedsgraden. Det gør træningen mere fair og mere anvendelig, fordi medarbejderne får mulighed for at lære undervejs.

Vælg et realistisk scenarie

Phishing kampagner virker bedst, når de ligner virkeligheden. Hvis testmailen er for åbenlys, lærer medarbejderne ikke meget. Hvis den er for avanceret fra start, kan den skabe frustration eller utryghed. Balancen er vigtig. Et godt scenarie bør tage udgangspunkt i noget, medarbejderne faktisk kan møde.
Det kan være:

·       en falsk Microsoft 365-besked
·       en besked om MFA eller loginbekræftelse
·       en leverandørfaktura
·       en pakkelevering
·       en HR-besked
·       en lønrelateret mail
·       en delt fil eller mappe

SecureFirst arbejder eksempelvis med realistiske testmails og forskellige sværhedsgrader, så virksomheder kan træne medarbejdere på scenarier, der minder om almindelige arbejdsopgaver. Det gør træningen mere konkret og lettere at koble til hverdagen.

Informér medarbejderne på den rigtige måde

Et af de vigtigste spørgsmål er, om medarbejderne skal vide, at der kommer en phishing kampagne. Svaret er, at medarbejderne bør informeres om, at virksomheden arbejder med phishing-træning, men ikke nødvendigvis kende tidspunktet for hver enkelt test. Hvis alle kender tidspunktet, måler virksomheden ikke den almindelige hverdagsadfærd. Men hvis testene kommer helt uden forklaring, kan de opleves som en fælde.
En god kommunikation kan for eksempel være:
“Vi gennemfører løbende phishing-træning for at styrke vores fælles sikkerhed. Formålet er læring, ikke udskamning. Hvis du klikker i en testmail, får du feedback, så du kan se, hvad du skal være opmærksom på næste gang.”
Den tilgang gør det lettere at skabe tillid omkring kampagnen. Medarbejderne skal opleve, at testen handler om fælles sikkerhed og bedre vaner, ikke om at udpege fejl.

Gennemfør testen sikkert

Når formål, målgruppe og scenarie er på plads, kan selve kampagnen gennemføres. Det er vigtigt, at testen sker i et sikkert miljø, hvor der ikke er risiko for datatab, malware eller uautoriseret adgang. Testen skal ligne en rigtig phishing-mail, men den må ikke bringe virksomheden i fare. Hvis en medarbejder klikker, bør personen sendes til en sikker feedbackside. Her bør de konkrete faresignaler forklares, så medarbejderen forstår, hvad der gjorde mailen mistænkelig. For virksomheden betyder det, at kampagnen både kan måle adfærd og skabe læring i samme proces.

Giv feedback i øjeblikket

Feedback er en af de vigtigste dele af en phishing kampagne. Hvis medarbejderen først får at vide flere uger senere, at de klikkede på en testmail, er læringseffekten mindre. Situationen er ikke længere frisk i hukommelsen. Derfor er øjeblikkelig feedback en fordel.
Feedbacken kan for eksempel forklare:

·       at afsenderadressen ikke var korrekt
·       at linket pegede et andet sted hen
·       at mailen skabte kunstigt hastværk
·       at beskeden bad om loginoplysninger
·       at vedhæftningen var uventet
·       at mailen ikke passede til normal arbejdsgang

SecureFirsts phishing simulation er et eksempel på en løsning, hvor medarbejderen får feedback med det samme, og hvor virksomheden samtidig kan følge resultaterne i et dashboard. Det gør kampagnen mere anvendelig for både læring og opfølgning.

Mål på mere end klik

Mange virksomheder kigger først på klikraten. Det er forståeligt, fordi klikraten viser, hvor mange der reagerede på testmailen. Men klikraten fortæller ikke hele historien.
En god phishing kampagne bør også se på:

·       hvor mange der rapporterede mailen
·       hvor hurtigt medarbejdere reagerede
·       hvilke mailtyper der gav flest klik
·       om bestemte afdelinger har behov for mere træning
·       om klikraten falder over tid
·       om awareness-træning forbedrer resultaterne
·       om medarbejderne lærer efter feedback

Når virksomheden måler på flere datapunkter, bliver kampagnen mere nuanceret. Det giver et bedre grundlag for at beslutte, hvor næste træningsindsats skal sættes ind.

Brug resultaterne til næste skridt

En phishing kampagne bør ikke slutte, når testen er sendt. Den største værdi opstår, når virksomheden bruger resultaterne til at forbedre næste indsats. Hvis mange klikker på fakturamails, kan økonomiafdelingen få målrettet træning. Hvis medarbejdere ikke rapporterer mistænkelige mails, kan virksomheden gøre rapporteringsvejen tydeligere. Hvis nye medarbejdere klikker oftere, kan phishing-træning indgå tidligere i onboarding. På den måde bliver kampagnen ikke en isoleret test, men en del af en løbende forbedring af virksomhedens sikkerhedskultur.

Dokumentér kampagnen

For mange virksomheder er dokumentation blevet en vigtig del af cybersikkerhedsarbejdet. Kunder, bestyrelser, samarbejdspartnere, cyberforsikringer og compliance-krav kan alle stille spørgsmål til, hvordan virksomheden arbejder med medarbejdertræning og risiko.
Derfor bør phishing kampagnen dokumenteres.
Det kan for eksempel være:

·       hvornår kampagnen blev gennemført
·       hvilke medarbejdergrupper der deltog
·       hvilke scenarier der blev brugt
·       samlet klikrate
·       rapporteringsrate
·       gennemført awareness-træning
·       forbedringer over tid
·       planlagte næste skridt

En platform som SecureFirst kan samle phishing simulation, awareness-træning og rapportering samme sted. Det gør dokumentationen lettere at dele med ledelse, bestyrelse, kunder eller forsikring.

Undgå de mest almindelige fejl

En phishing kampagne kan hurtigt skabe modstand, hvis den gennemføres forkert.
Virksomheder bør især undgå at:

·       bruge testen til at udstille enkelte medarbejdere
·       gøre kampagnen for svær fra begyndelsen
·       undlade at forklare formålet
·       måle kun på klik
·       springe feedback over
·       gennemføre én test og derefter stoppe
·       glemme opfølgning og træning

Kampagnen bør i stedet bruges til at skabe læring. Fejl i en sikker test kan være værdifulde, hvis de fører til bedre adfærd næste gang.

Best practice: Sådan laver I en phishing kampagne fra start til slut

En god proces kan se sådan ud:

-    Afklar formålet med kampagnen.
-    Vælg målgruppe og niveau.
-    Vælg et realistisk scenarie.
-    Informér medarbejderne om formålet med phishing-træning.
-    Send testmailen i et sikkert miljø.
-    Giv øjeblikkelig feedback ved klik.
-    Mål både klik, rapportering og udvikling.
-    Brug resultaterne til målrettet awareness-træning.
-    Dokumentér kampagnen.
-    Gentag træningen løbende.

Det vigtigste er, at kampagnen bliver en del af virksomhedens sikkerhedskultur. En enkelt test kan give et øjebliksbillede. Løbende kampagner giver udvikling, læring og dokumentation.

Fra enkelt test til løbende sikkerhedsarbejde

Phishing kampagner handler ikke kun om at finde ud af, hvem der klikker. De handler om at gøre medarbejderne bedre til at stoppe op, vurdere mails og reagere rigtigt. Når kampagnen planlægges ordentligt, kan den give værdi for både medarbejdere, IT, ledelse, HR og compliance. Medarbejderne får praktisk læring. IT får data. Ledelsen får overblik. Compliance får dokumentation.

SecureFirsts phishing simulation kan hjælpe virksomheder med at samle kampagner, feedback, awareness-træning og rapportering i én platform. Det gør phishing-træning mere praktisk, mere målbar og lettere at gentage.