TLDR
Phishing-Simulation ist ein kontrollierter Test, bei dem Mitarbeiter simulierte Phishing-Angriffe erhalten, um ihr Verhalten zu prüfen und zu schulen.
Die Durchführung bleibt DSGVO-konform, wenn die Daten anonymisiert, zweckgebunden und dokumentiert werden. So kann das Unternehmen Compliance-Nachweise für NIS2, ISO 27001 oder BSI-Grundschutz liefern.
Messbarkeit ist der Kernnutzen. Klick‑ und Eingabeverhalten sowie das Meldeverhalten werden als KPIs erfasst. Management-Reports bleiben anonymisiert, sodass Abteilungs‑ und Trendanalysen möglich sind.
Ein sofortiger Lernmoment folgt jedem Klick. Der Empfänger landet auf einer Aufklärungsseite mit Mikro-Training, Quiz oder Video. Dieses „Teachable Moment“ wirkt stärker als nachträgliche Schulung.
Multi-Channel-Phishing ist Standard. E-Mail, SMS/Smishing, QR-Code/Quishing und Vishing/Telefon werden in einer Kampagne kombiniert, um realistische Angriffsvektoren abzubilden.
Führungskräfte und Systemadministratoren sind primäre Ziele. Ihre Einbindung signalisiert Top-Down-Awareness und verhindert CEO-Fraud.
Microsoft Defender for Office 365 bietet ein integriertes Attack-Simulation-Training. Weitere Details finden Sie in der Microsoft Learn-Dokumentation.
Für praxisnahe Best-Practices empfiehlt sich das Heise-Whitepaper zu Phishing-Simulationen. Es liefert strukturierte Vorgehensweisen und Compliance-Hinweise: Heise Whitepaper.
Phishing-Simulationen sind somit ein unverzichtbares Instrument, um Sicherheitskultur zu stärken, Compliance zu erfüllen und Angriffsrisiken nachhaltig zu senken.
Beispiel: Nach drei Simulationen sank die Klickrate von 12 % auf 1,8 % – ein Rückgang von 86 %.
Definition
Unter einer Phishing-Simulation versteht man die gezielte Versendung von fingierten Phishing-Mails an die Mitarbeiterschaft eines Unternehmens. Ziel dieser Übungen ist es, das Reaktionsverhalten der Belegschaft unter kontrollierten Bedingungen zu analysieren und das allgemeine Sicherheitsbewusstsein nachhaltig zu schärfen. Anstatt auf echte Angriffe zu warten, schaffen Unternehmen durch diese Methodik ein sicheres Lernumfeld.
Der methodische Einsatz dient als wertvoller Nachweis für regulatorische Anforderungen. Simulationen unterstützen Unternehmen dabei, Compliance-Nachweise für Richtlinien wie die NIS2-Richtlinie oder spezifische Sicherheitsstandards wie den BSI IT-Grundschutz zu erbringen. Dabei stehen nicht die bloße Identifikation von “Klickern” im Fokus, sondern die kontinuierliche Verbesserung der menschlichen Firewall.
Damit solche Tests rechtssicher ablaufen, müssen sie strengen Vorgaben genügen. Die Datenschutzkonformität ist dabei essenziell; eine Prüfung durch die zuständigen Aufsichtsorgane, wie etwa das Landesdatenschutzbehörde Schleswig-Holstein, ist für die rechtliche Absicherung der Maßnahmen unumgänglich. Eine erfolgreiche Simulation erfolgt demnach nicht als einmaliges Ereignis, sondern als Teil eines adaptiven Trainingskonzepts, das die Belegschaft auf vielfältige Angriffsszenarien vorbereitet.
Beispiel: Ein CFO erhält eine gefälschte Rechnung von einem angeblichen Lieferanten, die einen Link zu einer gefälschten Zahlungsseite enthält.
Zieldefinition & Stakeholder-Buy-in
Eine Phishing-Simulation scheitert ohne klare Zielsetzung und breite Akzeptanz im Unternehmen. Der erste Schritt definiert messbare KPIs: Klickrate, Eingaberate und Meldquote als Basis für Compliance-Nachweise und Risikoreduktion. Die NIS2-Richtlinie verlangt in Artikel 21 und 23 dokumentierte Awareness-Maßnahmen – Simulationen liefern diesen Nachweis automatisiert und revisionssicher.
Das Management muss das Vorhaben sichtbar mittragen. Ein „Top-Down“-Signal – Führungskräfte nehmen selbst teil – verhindert die Wahrnehmung als Kontrollinstrument. Der Betriebsrat wird frühzeitig eingebunden; eine Betriebsratsvereinbarung regelt Anonymisierung, Zweckbindung und Löschfristen. Der Datenschutzbeauftragte prüft die Rechtsgrundlage (Art. 6 DSGVO) und die Datenschutz-Folgenabschätzung bei umfangreichen Verarbeitungen.
Laut DATUREX entscheiden drei Faktoren über den Erfolg: transparente Kommunikation vor dem Start, anonymisierte Auswertung auf Abteilungsebene und ein Eskalationspfad für wiederholte Fehlverhalten ohne Sanktionscharakter. Wer diese Punkte vor der ersten Testmail klärt, vermeidet Widerstand und schafft die Basis für spätere Vergleichswerte.
- Ziele schriftlich fixieren: Compliance (NIS2, ISO 27001), Risikoreduktion, Kulturwandel
- Stakeholder-Runde einberufen: Geschäftsführung, IT-Leitung, Betriebsrat, DSB
- Kommunikationsplan erstellen: Was wird getestet, wie wird ausgewertet, was folgt danach?
Erst wenn alle Beteiligten das „Warum“ verstehen und das „Wie“ akzeptiert haben, startet die Baseline-Messung als zweiter Schritt.
Beispiel: Das Management hat sich verpflichtet, die Simulationen alle drei Monate durchzuführen, um die NIS2-Anforderungen zu erfüllen.
Baseline-Messung
Bevor eine Awareness-Kampagne ihre volle Wirkung entfaltet, steht der erste Schritt einer objektiven Bestandsaufnahme an. Eine initiale, anonymisierte Simulation fungiert dabei als Referenzwert für alle nachfolgenden Maßnahmen. Anstatt auf bloße Vermutungen zu vertrauen, liefert dieser Baseline-Test die notwendigen Key Performance Indicators (KPIs), um den aktuellen Stand der Sicherheitskultur präzise zu bestimmen.
Im Fokus der Auswertung stehen dabei insbesondere zwei kritische Metriken:
- Klickrate: Welcher Anteil der Mitarbeitenden öffnet den simulierten Anhang oder klickt auf den verdächtigen Link?
- Meldequote: Wie viele Nutzer identifizieren die Nachricht korrekt und nutzen den vorgesehenen Meldeweg?
Diese Daten bilden das Fundament für den langfristigen Erfolg. Durch den Vergleich mit späteren Kampagnen lassen sich signifikante Verbesserungen nachweisen; so berichten Anbieter wie aware7 von einer Reduktion der Klickrate um bis zu 86 % nach mehreren Trainingszyklen. Um die Ergebnisse belastbar zu machen, ist eine methodische Vorgehensweise essenziell. G DATA setzt hierbei beispielsweise auf standardisierte Abläufe, wie etwa eine vierwöchige Kampagnendauer, um ein repräsentatives Bild der Sicherheitsbereitschaft zu erhalten.
Wichtig ist dabei die strikte Einhaltung datenschutzrechtlicher Vorgaben. Simulationen müssen zweckgebunden und anonymisiert ablaufen, um die Compliance-Anforderungen zu erfüllen. Ein fundierter Vergleich der Ausgangslage hilft Organisationen zudem dabei, den Bedarf für spezialisierte Schulungen oder die Anpassung der Schwierigkeitsgrade in künftigen Kampagnen gezielt zu steuern.
Beispiel: Die Baseline-Messung zeigte eine Klickrate von 12 % und eine Meldequote von 70 %.
Rechtssichere Konfiguration
Eine Phishing-Simulation darf niemals als Werkzeug zur Verhaltensüberwachung missverstanden werden. Damit die Kampagne rechtssicher abläuft, müssen Unternehmen die Vorgaben der DSGVO strikt einhalten. Das bedeutet konkret: Die Durchführung ist nur dann zulässig, wenn sie auf Anonymisierung, eine klare Zweckbindung und eine lückenlose Dokumentation setzt. Anstatt einzelne Personen zu sanktionieren, dient die Simulation als nachweisbare Awareness-Maßnahme für die kontinuierliche Schulung der Belegschaft.
Zur methodischen Ausrichtung bieten staatliche und europäische Stellen wertvolle Orientierungshilfen. Der BSI-IT-Grundschutz liefert essenzielle Bausteine für die Informationssicherheit und unterstützt bei der Umsetzung von Awareness-Prozessen. Auch die europäische Agentur für Cybersicherheit bietet über ENISA fundierte Leitfäden und Best Practices zum Thema Phishing-Simulationen an. Für Unternehmen in bestimmten Bundesländern ist zudem der Leitfaden des ULD Schleswig-Holstein relevant, da die dortige Datenschutzbehörde die Einhaltung der Datenschutzvorgaben bei solchen Tests prüft.
Ein entscheidender Faktor für die rechtliche Konformität ist die frühzeitige Einbindung des Betriebsrats. Eine entsprechende Betriebsvereinbarung stellt sicher, dass die Simulationen nicht zur Leistungs- oder Verhaltenskontrolle missbraucht werden können. Nur wenn die Ergebnisse anonymisiert aggregiert werden, ist die Kampagne als Compliance-Nachweis – etwa im Rahmen der NIS2-Richtlinie – belastbar und rechtlich unbedenklich.
Szenario-Design & Personalisierung
Generische Massen-Mails reichen nicht mehr. Angreifer recherchieren gezielt: Organisationsstruktur, laufende Projekte, Kommunikationsstil. Simulationen müssen diese Realität abbilden. Rollenbasierte Spear-Phishing-Szenarien adressieren Buchhaltung mit gefälschten Rechnungen, Einkauf mit Lieferanten-Anfragen, Entwicklung mit gefälschten GitHub-Benachrichtigungen. KI-gestützte Plattformen erzeugen diese Varianten automatisiert und passen Sprache, Absender und Kontext an die jeweilige Abteilung an.
Der Angriffsvektor E-Mail allein greift zu kurz. State-of-the-Art sind Multi-Channel-Kampagnen: SMS (Smishing) mit angeblichen Paketbenachrichtigungen, QR-Codes (Quishing) in physischen Briefen oder auf Bildschirmen, Sprachanrufe (Vishing) angeblicher IT-Support-Mitarbeiter. Adaptive Steuerung variiert Schwierigkeitsgrad und Kanal basierend auf vorherigem Nutzerverhalten – wer einfache Mails erkennt, erhält anspruchsvollere Folge-Szenarien.
Führungskräfte und Administratoren bilden die kritische Zielgruppe. CEO-Fraud und Credential-Theft zielen bevorzugt auf diese Rollen. Simulationen müssen sie zwingend einbeziehen; ihr Verhalten signalisiert die Ernsthaftigkeit des Programms nach innen. Spezialisierte Anbieter liefern vordefinierte Szenario-Bibliotheken für diese Hochrisiko-Gruppen und ermöglichen kundeneigene Templates auf Basis interner Kommunikationsvorlagen.
Wichtig: Jedes Szenario benötigt eine klar definierte Lernziel-Metrik. Klickrate allein reicht nicht. Erfasst werden müssen auch Eingaberaten bei Credential-Seiten, Meldeverhalten über den Phish-Button und Zeit bis zur Meldung. Diese Granularität erlaubt gezielte Nachschulungen statt pauschaler Standard-Trainings.
Durchführung: Continuous & Adaptive
Einmalige Kampagnen reichen nicht mehr. Angreifer agieren ganzjährig, deshalb müssen Simulationen kontinuierlich laufen. Moderne Plattformen steuern den Versand zufallsgesteuert über Wochen und Monate. Niemand weiß, wann die nächste Test-Mail eintrifft. Das verhindert Routine und Warnketten unter Kollegen.
Adaptive Schwierigkeitsgrade passen sich am Nutzerverhalten an. Wer Phishing-Mails sicher erkennt, erhält anspruchsvollere Spear-Phishing-Szenarien mit persönlichem Kontext. Wer klickt, bekommt einfachere, aber lehrreichere Varianten. So bleibt jede Person in der individuellen Lernzone. IS-FOX setzt auf diesen Algorithmus, um die Sensibilisierung nachhaltig zu steigern.
SaaS-Lösungen automatisieren Template-Auswahl, zeitversetzten Versand und Echtzeit-Dashboard. KI wählt passende Vorlagen pro Rolle und Abteilung. Awaretrain bündelt diese Funktionen in einer Plattform, die auch Multi-Channel-Vektoren wie Smishing und Quishing abdeckt. DegerTech bietet mit DegerPhish ein Tool, das adaptive Kampagnen ohne manuellen Aufwand fährt.
Managed-Service-Modelle entlasten die interne IT zusätzlich. Externe Experten übernehmen Konfiguration, Monitoring und Reporting. Die eigenen Sicherheitsteams konzentrieren sich auf die Auswertung anonymisierter KPIs und leiten gezielte Mikro-Trainings ab.
Teachable Moment & Mikro-Training
Der entscheidende Erfolg einer Awareness-Kampagne entscheidet sich oft nicht in der Mail selbst, sondern in dem Moment, in dem die Simulation fehlschlägt. Wenn ein Nutzer auf eine simulierte Phishing-URL klickt, darf keine bloße Fehlermeldung erscheinen. Stattdessen muss ein sogenannter „Teachable Moment“ geschaffen werden. Das bedeutet: Der Nutzer landet unmittelbar auf einer speziell gestalteten Aufklärungsseite, die den Fehler direkt aufgreift. Diese Seite fungiert als Ankerpunkt für ein kurzes Mikro-Training.
Ein effektives Mikro-Training besteht aus leicht verdaulichen Einheiten wie kurzen Lernvideos oder interaktiven Quizfragen. Ziel ist es, die Aufmerksamkeit im Moment der höchsten Relevanz zu nutzen. Anstatt abstrakte Theorie in langwierigen Seminaren zu vermitteln, lernen die Mitarbeitenden direkt an ihrem Arbeitsplatz, welche Merkmale die gefälschte Nachricht aufgewiesen hat. Solche Ansätze bewährte Praktiken der Phishing-Simulation zeigen, dass dieser unmittelbare Lerneffekt die langfristige Sensibilisierung massiv steigert.
Auch technische Lösungen ermöglichen diesen direkten Lernpfad nativ. Microsoft Defender for Office 365 bietet beispielsweise Funktionen für Angriffssimulationen an, die gezielte Trainingseinheiten nach einem Klick auslösen können. Durch die Verknüpfung von Simulation und sofortiger Aufklärung erhöhen Unternehmen die Lernwirkung nachhaltig und verwandeln potenzielle Sicherheitsrisiken in wertvolle Lerngelegenheiten.
Reporting & Ableitung
Anonymisierte Dashboards fassen Klickraten, Eingaberaten und Meldquoten zu Trends zusammen, die sich über Wochen und Monate ablesen lassen. Abteilungsfilter zeigen, wo Spear-Phishing-Szenarien besonders greifen – etwa in Buchhaltung oder Einkauf – und wo generische Mails noch durchkommen. Diese Granularität ermöglicht gezielte Nachschulungen statt pauschaler Awareness-Kurse.
Compliance-Nachweise entstehen automatisch: Ein Report dokumentiert durchgeführte Kampagnen, Teilnehmendenzahlen und Lernfortschritte. Das genügt Auditoren für ISO 27001, NIS2 oder BSI-Grundschutz. Plattformen wie G DATA liefern nach vier Wochen einen fertigen Ergebnisbericht, der Management und Betriebsrat gleichermaßen informiert.
Fortgeschrittene Lösungen korrelieren Simulationsdaten mit realen Vorfällen aus dem SOC. Wer in der Simulation klickt, aber echte Angriffe meldet, erhält positives Feedback; Wiederholungstäter bekommen adaptive Mikro-Trainings. FortiSAT verbindet diese Schleife mit dem Threat-Intelligence-Feed des Herstellers, sodass Schwierigkeitsgrade der nächsten Welle automatisch nachziehen.
Entscheidend ist die Ableitungslogik: Trends sinken? Frequenz reduzieren, Schwierigkeit erhöhen. Meldequote stagniert? Phish-Button prominenter platzieren, Gamification-Elemente aktivieren. So wird Reporting zum Steuerinstrument, nicht zum Archiv.
Beispiel: Der 4‑Wochen-Report zeigte eine Klickrate von 5 % und eine Meldequote von 80 %.
Fazit & Checkliste
Eine strukturierte Phishing-Simulation reduziert das Risiko erfolgreicher Angriffe nachweislich und fördert eine nachhaltige Kultur der Wachsamkeit im gesamten Unternehmen. Durch die methodische Umsetzung nach einem klaren Prozess – vom Baseline-Test bis zum anschließenden Mikro-Training als „Teachable Moment“ – wandelt sich die Security Awareness von einer einmaligen Maßnahme zu einem kontinuierlichen Lernprozess. Dabei geht es nicht um die Bloßstellung einzelner Personen, sondern um die messbare Verbesserung der Reaktionsfähigkeit bei Sicherheitsvorfällen.
Für eine professionelle Umsetzung sollten Sie folgende Kernaspekte berücksichtigen:
- Compliance und Datenschutz: Achten Sie auf eine DSGVO-konforme Durchführung. Die Anonymisierung der Daten und die Einbindung des Datenschutzes sind essenziell, um regulatorische Anforderungen wie die der IT-Grundschutz des BSI zu erfüllen.
- Methodik und Relevanz: Nutzen Sie personalisierte Szenarien, die auf spezifische Rollen zugeschnitten sind. Moderne Ansätze umfassen zudem verschiedene Kanäle wie SMS oder QR-Codes, um den aktuellen Bedrohungsbildern gerecht zu werden. Technische Grundlagen hierfür bieten beispielsweise Microsoft Defender für Office 365.
- Messbarkeit: Definieren Sie klare Kennzahlen wie Klickraten oder Meldeverhalten, um den Erfolg der Maßnahmen gegenüber dem Management quantifizierbar zu dokumentieren.
Checkliste für Ihre Kampagne:
- Stakeholder (Management, Betriebsrat, Datenschutz) frühzeitig involvieren.
- Anonymisierte Baseline-Messung durchführen.
- Szenarien nach Abteilungen und Rollen differenzieren.
- Sofortige Lerninhalte (Micro-Learning) bei Fehlklicks bereitstellen.
- Ergebnisse zur Dokumentation der Awareness-Maßnahmen auswerten.
Gib jetzt das erweiterte vollständige HTML aus. Beginne SOFORT mit dem ersten Tag.