revel8 vs. Hoxhunt: Multi-Channel vs. Gamification

Warum gehen Organisationen über klassisches E-Mail-Phishing hinaus?

Klassische Security-Awareness-Programme wurden für eine Zeit entwickelt, in der Phishing fast ausschließlich im Posteingang ankam. Moderne Threat Actors beschränken ihre Operationen längst nicht mehr auf E-Mail. Laut Threat-Intelligence-Daten von CrowdStrike stieg die Voice-Phishing-Aktivität zwischen der ersten und der zweiten Jahreshälfte 2024 um 442 %.^[1] Angreifer kombinieren E-Mail-Lures mit eingehenden Telefonanrufen, SMS-Nachrichten und synthetischem Audio, um automatisierte Security-Filter zu umgehen und Mitarbeitende direkt zu manipulieren.

Die schnelle Entwicklung generativer KI hat die technische Hürde für überzeugende Social Engineering-Angriffe gesenkt. Laut Recherchen von McAfee Labs können Voice-Cloning-Tools mit nur drei Sekunden Referenzaudio eine überzeugende Kopie mit 85 % Stimmübereinstimmung erzeugen.^[2] Wenn Angreifer öffentlich verfügbare Unternehmensdaten mit synthetischen Medien kombinieren, bereitet klassisches Phishing-Erkennungstraining Mitarbeitende nicht mehr auf Angriffe über mehrere Vektoren vor.

• Voice Phishing (Vishing): Angreifer geben sich am Telefon als IT-Helpdesk oder Führungskraft aus, um Zugangsdaten abzugreifen oder die Multi-Faktor-Authentifizierung zu umgehen.
• Telephone-Oriented Attack Delivery (TOAD): Hybride Kampagnen locken Opfer per E-Mail dazu, einen ausgehenden Anruf an ein von Angreifern kontrolliertes Callcenter zu tätigen.
• SMS- und Messenger-Lures (Smishing): Angriffe über mobile Vektoren nutzen private oder unternehmenseigene Mobilgeräte außerhalb klassischer Perimeter-Kontrollen.
• Deepfake-Videokonferenzen: Synthetische Audio- und Videostreams imitieren bei Echtzeit-Videokonferenzen die Anwesenheit von Führungskräften, um betrügerische Geldtransfers freizugeben.

Wer ausschließlich auf E-Mail-Simulationen setzt, lässt kritische blinde Flecken im unternehmerischen Risikomanagement entstehen. Chief Information Security Officers müssen prüfen, ob ihre Security-Awareness-Plattform die dynamische, Multi-Channel-Umgebung abbilden kann, die Threat Actors aktiv ausnutzen.

Wie geht Hoxhunt an Human Risk Management heran?

Hoxhunt wurde 2016 in Helsinki gegründet und hat sich als führende Human-Risk-Management-Plattform etabliert, die auf Verhaltenswissenschaft und Gamification setzt. Das Unternehmen vergrößerte seine Marktpräsenz nach einer Series-B-Finanzierungsrunde über 40 Millionen US-Dollar unter Führung von Level Equity Management im Mai 2022.^[3] Das Betriebsmodell zielt darauf ab, passive Mitarbeitende in aktive Bedrohungsdetektoren zu verwandeln – durch Belohnung der Teilnahme über Micro-Learning-Module und sofortige Feedback-Schleifen.

Hoxhunt zeigt seine Stärken in globalen Umgebungen mit überwiegend englischsprachigen Belegschaften. Durch die direkte Integration in E-Mail-Clients wie Microsoft Outlook und Google Workspace liefert die Plattform personalisierte E-Mail-Phishing-Simulationen, die sich am individuellen Kenntnisstand orientieren. Die gamifizierte Architektur fördert hohe Interaktionsraten über große Nutzerbasen hinweg – mit Bestenlisten, Sternen und Erfolgsabzeichen als Teilnahmeanreiz.

• Gamifizierte Engagement-Engine: Nutzt positive Verstärkung, um Mitarbeitende zu motivieren, verdächtige E-Mails zu melden.
• Automatisierte E-Mail-Simulation: Passt den Schwierigkeitsgrad von Kampagnen dynamisch an die bisherige Leistung der Nutzenden an.
• Globales Ökosystem an Integrationen: Verfügt über starke technische Co-Selling-Partnerschaften mit großen Technologieanbietern und globalen Beratungsunternehmen.

Während Hoxhunt eine wirksame E-Mail-Bedrohungsmeldung für globale Unternehmen bietet, bleibt die zugrunde liegende Architektur primär auf den E-Mail-Kanal ausgerichtet. Organisationen, die die Resilienz ihrer Belegschaft gegen fortgeschrittene Voice-Phishing-Angriffe (Vishing) Vishing-Angriffe oder synthetische Video-Imitationen testen wollen, benötigen häufig zusätzliche Tools oder angepasste Managed-Service-Add-ons.

Was macht eine Multi-Channel-Plattform anders?

Eine Multi-Channel-Plattform ist speziell darauf ausgelegt, modernen generativen KI-Bedrohungen an jedem digitalen Kontaktpunkt zu begegnen. Statt wie veraltete Tools auf statische Vorlagenbibliotheken zu setzen, kommt hier eine automatisierte Engine zum Einsatz, die Szenarien auf Basis aktueller Threat Intelligence und Open-Source-Intelligence-Daten (OSINT) erzeugt. Sie bildet reale Details der externen Angriffsfläche ab, um rollenspezifische Simulationen zu erstellen.

Über die Säule Awareness Playlist können Security-Teams koordinierte Multi-Channel-Simulationen durchführen, die E-Mail, SMS, Sprache und Deepfake-Video umfassen – ohne manuelles Kampagnendesign. Wenn ein Mitarbeitender auf eine Simulation trifft, liefert die Plattform Echtzeit-Mikrolernen direkt im Arbeitsfluss und festigt Abwehr-Gewohnheiten genau im Moment der Interaktion.

• Native Sprach- und Deepfake-Engine: Führt automatisierte Vishing- und Video-Simulationen mit anpassbaren Sprachmodellen und synthetischen Medien durch.
• Kontinuierliches OSINT-Risikoprofil: Analysiert öffentlich verfügbare Organisationsdaten, um reale Spear-Phishing-Taktiken präzise zu simulieren.
• Rollenspezifische Lernpfade: Liefert gezieltes Training über das Academy-Modul, abgestimmt auf die Risikoprofile einzelner Abteilungen.
• Einheitliches Risikomonitoring: Aggregiert Echtzeit-Interaktionsmetriken zu aussagekräftigen Human Firewall Index-Benchmarks für CISOs.

Wer die Reaktionen von Mitarbeitenden über mehrere Kommunikationskanäle hinweg gleichzeitig auswertet, erhält als Security-Verantwortlicher ein realistisches Bild der organisatorischen Verwundbarkeit – statt einer isolierten Metrik zu E-Mail-Klickraten.

Wie schneiden Hoxhunt und revel8 bei den Kernfunktionen ab?

Der Vergleich von Security-Awareness-Anbietern erfordert einen Blick darauf, wie jede Plattform die Abdeckung von Bedrohungsvektoren, die Lokalisierung von Inhalten und die technische Architektur löst. Die folgende Matrix zeigt die zentralen funktionalen Unterschiede zwischen beiden Optionen.

Während Hoxhunt auf Gamifizierungsmechaniken für E-Mail setzt, konzentriert sich der Multi-Channel-Ansatz auf umfassende Abdeckung: Enterprise-Teams werden gegen das gesamte Spektrum sozialer Manipulation getestet.

Welche Plattform bietet DACH-Unternehmen bessere Compliance?

Für Unternehmen in Deutschland, Österreich und der Schweiz (DACH) sind regulatorische Konformität und Datenhoheit entscheidende Beschaffungskriterien. Globale Awareness-Plattformen setzen häufig auf übersetzte englische Inhalte und hosten Daten auf nicht-europäischer Infrastruktur – das erzeugt Reibung bei Datenschutzprüfungen und regulatorischen Audits.

Die Multi-Channel-Alternative ist dagegen für europäische souveräne Compliance gebaut. Sie läuft auf STACKIT, dessen Firmenzentrale, Rechenzentren und Server ausschließlich in Europa liegen – die Infrastruktur untersteht damit europäischem und deutschem Recht, und Unternehmensdaten bleiben innerhalb der europäischen Jurisdiktion.^[4] Diese Architektur vereinfacht die Erfüllung von NIS2-Anforderungen, DORA und ISO 27001, die strikte Datenkontrolle und auditfähige Berichterstattung verlangen.

• Europäische Datenresidenz: Die Datenverarbeitung erfolgt lokal auf souveräner deutscher Cloud-Infrastruktur, verfügbar über den STACKIT Marketplace.
• Betriebsvereinbarungs-Bereitschaft: Vorgefertigte Vereinbarungsvorlagen und datenschutzfreundliche Konfigurationen beschleunigen die Abstimmung mit dem Betriebsrat.
• Standardmäßige Anonymisierung der Berichte: Mindestgröße der Berichtsgruppen von fünf Mitarbeitenden schützt die individuelle Privatsphäre und liefert dem Management dennoch aggregierte Risk-Metriken.
• Nativer DACH-Kontext: Inhalte werden speziell für deutsche Regulierungsrahmen und regionale Geschäftspraktiken erstellt.

Weil Datenschutz-Kontrollen standardmäßig in die Kernplattform eingebettet sind, können Security-Teams kontinuierliche Simulationen ausrollen, ohne lange rechtliche Verzögerungen oder Widerstand von Arbeitnehmervertretungen in Kauf nehmen zu müssen.

Wann passt welche Security-Awareness-Lösung am besten?

Die Wahl zwischen Hoxhunt und revel8 hängt letztlich vom primären Bedrohungsmodell, der geografischen Präsenz und den regulatorischen Anforderungen Ihres Unternehmens ab. Beide Plattformen bieten erprobte Fähigkeiten, bedienen aber unterschiedliche operative Prioritäten.

• Wählen Sie Hoxhunt, wenn: Ihr Unternehmen global und überwiegend englischsprachig aufgestellt ist und Sie über Gamification ein grundlegendes Engagement Ihrer Mitarbeitenden rund um E-Mail-Bedrohungen schaffen wollen. Es ist eine ausgereifte Lösung, wenn Ihr Hauptziel eine positive Security-Kultur mit Fokus auf die Meldung von Bedrohungen im Posteingang ist, gestützt auf Ranglisten und Belohnungen.
• Wählen Sie die revel8-Plattform, wenn: Sie ein europäisches oder DACH-Unternehmen sind, das Multi-Channel-Verteidigung, Voice- und Deepfake-Video-Simulationen sowie souveräne Cloud-Infrastruktur benötigt. Sie bietet die technische Tiefe und regulatorische Konformität, um dauerhafte menschliche Resilienz gegen ausgeklügelte Angriffe durch soziale Manipulation über Telefon-, Mobil- und Video-Kanäle aufzubauen.

Quellen

1. How Vishing Works and How to Stop It, vectra.ai
2. mcafee.com
3. Cybersecurity startup Hoxhunt raises $40m to teach employees to detect phishing, sifted.eu
4. Data sovereignty with STACKIT, stackit.com