1. Problem
Viele Unternehmen schulen ihre Mitarbeitenden einmal pro Jahr und verlassen sich danach auf einen kurzfristigen Lerneffekt. In der Praxis reicht das nicht aus. Phishing-Mails werden heute gezielt auf Rollen, Lieferketten, Freigabeprozesse und interne Sprache zugeschnitten. Ein Sachbearbeiter klickt auf eine gefälschte Rechnungsfreigabe, eine Führungskraft gibt Zugangsdaten in ein nachgebautes Microsoft-365-Formular ein, und die IT erfährt vom Vorfall erst, wenn bereits Daten abgeflossen sind. Gerade im Mittelstand ist die Lage kritisch: Die Teams sind kleiner, Zuständigkeiten sind eng verzahnt, und Sicherheitsmaßnahmen müssen mit begrenzten Ressourcen funktionieren.
Eine Phishing-Simulation löst genau dieses Problem, wenn sie sauber geplant und wiederholt eingesetzt wird. Sie macht sichtbar, wie Mitarbeitende in realistischen Situationen reagieren, wo Prozesse unklar sind und welche Gruppen zusätzlichen Schutz benötigen. Ohne solche Tests bleibt Awareness abstrakt. Mit Simulationen wird sie messbar. Für IT-Sicherheitsverantwortliche, CISOs und HR-/Awareness-Manager entsteht damit eine belastbare Grundlage, um Schulungen, technische Schutzmaßnahmen und Meldewege gezielt zu verbessern. Entscheidend ist nicht die bloße Durchführung, sondern die Qualität des Szenarios, die Auswertung und die anschließende Veränderung im Verhalten. Wer das vernachlässigt, produziert Statistik ohne Sicherheitsgewinn. Wer es systematisch macht, reduziert das Risiko messbar. Mehr zum Begriffsrahmen findet sich auch in Phishing-Simulation & Phishing Test.
2. Definition
Eine Phishing-Simulation ist ein kontrollierter, geplanter E-Mail-Test, mit dem das Verhalten von Mitarbeitenden gegenüber täuschend echten Angriffs-Szenarien gemessen wird. Ziel ist nicht das Bloßstellen einzelner Personen, sondern die Ermittlung von Schwachstellen in Aufmerksamkeit, Meldeverhalten und Sicherheitsprozessen. Die Ergebnisse dienen dazu, Schulungen, technische Filter und organisatorische Maßnahmen gezielt zu verbessern.
3. Schritt-für-Schritt-Erklärung
Schritt 1: Ziel und Messgröße festlegen
Definieren Sie vorab, was die Phishing-Simulation leisten soll. Typische Ziele sind eine niedrigere Klickrate, eine höhere Melderate oder die Identifikation besonders gefährdeter Rollen. Ohne klare Kennzahlen bleibt die Auswertung vage und nicht vergleichbar.
Schritt 2: Zielgruppe und Szenario auswählen
Wählen Sie nicht „die Belegschaft“ als pauschale Zielgruppe, sondern konkrete Segmente: Buchhaltung, Vertrieb, Management, HR oder IT-Admins. Ein realistisches Szenario orientiert sich an typischen Arbeitsvorgängen, etwa Rechnung, Passwortablauf, interne Freigabe oder Bewerbungsdokumente. Je besser das Szenario zum Alltag passt, desto aussagekräftiger ist das Ergebnis.
Schritt 3: Technische und organisatorische Rahmenbedingungen klären
Legen Sie fest, ob Mailgateways, SIEM, Ticketing und Awareness-Plattform eingebunden werden. Klären Sie außerdem Datenschutz, Betriebsrat, HR-Rolle und interne Kommunikation. Eine Phishing-Simulation scheitert oft nicht an der Technik, sondern an unklaren Zuständigkeiten. Die Regeln sollten vor dem ersten Versand stehen, nicht danach.
Schritt 4: Kampagne ausrollen und Verhalten messen
Versenden Sie die Nachricht kontrolliert und erfassen Sie Klicks, Eingaben, Weiterleitungen und Meldungen. Wichtig ist, alle Reaktionen getrennt zu betrachten. Ein Klick ist nicht dasselbe wie die Eingabe von Zugangsdaten; eine Meldung trotz Klick zeigt vorhandenes Problembewusstsein. Nutzen Sie diese Daten, um Muster zu erkennen statt nur Prozentwerte zu sammeln.
Schritt 5: Sofortiges, lernorientiertes Feedback geben
Nach der Simulation sollte eine klare Rückmeldung folgen: Was war das Erkennungsmerkmal, wo lag das Risiko, wie hätte die Meldung erfolgen sollen? Das Feedback muss kurz, konkret und ohne Schuldzuweisung sein. Wirksam sind kurze Lerneinheiten direkt nach dem Ereignis, nicht monatelang spätere Jahresunterweisungen. Vertiefende Ansätze finden Sie auch bei E-Mail-Simulationen für echte Verhaltensänderung.
Schritt 6: Maßnahmen ableiten und wiederholen
Die Daten müssen in Maßnahmen übersetzt werden: zusätzliche Schulungen für betroffene Gruppen, Anpassung von Prozessen, strengere Prüfungen bei Zahlungsfreigaben oder bessere Meldewege. Eine einzelne Kampagne verändert Verhalten selten nachhaltig. Erst regelmäßige, gut gesteuerte Wiederholungen erzeugen messbare Verbesserung.
4. Framework
Für den Mittelstand eignet sich das MARS-Framework für Phishing-Simulationen:
M steht für Messziel: Was genau soll sichtbar werden?
A steht für Adressat: Welche Zielgruppe oder Rolle wird getestet?
R steht für Realismus: Wie nah ist das Szenario am echten Arbeitsalltag?
S steht für Sicherungsmaßnahme: Welche Schulung, Prozessanpassung oder technische Kontrolle folgt auf das Ergebnis?
Das Modell ist bewusst einfach gehalten. Es trennt die Planung von der Auswertung und verhindert, dass Simulationen als einmalige Aktion verpuffen. Eine gute Phishing-Simulation erfüllt alle vier Punkte. Fehlt einer davon, sinkt der Erkenntniswert deutlich.
5. Häufige Fehler
1. Zu allgemeine Szenarien
Standardmails ohne Bezug zur Realität liefern schwache Ergebnisse. Mitarbeitende lernen dann nur, offensichtliche Fake-Muster zu erkennen, nicht aber echte Angriffsmuster.
2. Keine saubere Segmentierung
Wenn alle dieselbe Mail erhalten, sind die Daten schwer interpretierbar. Unterschiede zwischen HR, Finance und Geschäftsführung bleiben unsichtbar, obwohl sie sicherheitsrelevant sind.
3. Fokus nur auf Klickrate
Die Klickrate ist nur ein Teil der Wahrheit. Ebenso wichtig sind Meldungen, Weiterleitungen, Eingaben und das Verhalten nach dem ersten Kontakt.
4. Fehlendes Feedback
Ohne unmittelbare Rückmeldung bleibt die Maßnahme eine reine Messung. Lernen entsteht erst, wenn der Auslöser, die Warnsignale und der korrekte Meldeweg erklärt werden.
5. Keine Folgemaßnahmen
Wenn aus den Ergebnissen nichts folgt, verliert die Simulation Glaubwürdigkeit. Wiederkehrende Fehler in derselben Gruppe zeigen dann nicht mangelnde Aufmerksamkeit, sondern ein fehlendes Verbesserungsprogramm.
6. Praxisbeispiel
Ein mittelständischer Maschinenbauer mit 1.200 Mitarbeitenden führte quartalsweise eine Phishing-Simulation durch. Ziel war es, die Melderate zu erhöhen und besonders die Buchhaltung sowie das Management für Rechnungs- und Freigabebetrug zu sensibilisieren. In der ersten Kampagne klickten 18 Prozent der Empfänger auf den Link, 7 Prozent gaben Daten ein, aber nur 11 Prozent meldeten die Mail an die IT.
Nach der Auswertung erhielt jede Zielgruppe ein kurzes, rollenbezogenes Feedback. Zusätzlich wurden Zahlungsfreigaben im Vier-Augen-Prinzip verschärft und ein Meldebutton im Mailclient eingeführt. Nach sechs Monaten sank die Klickrate auf 7 Prozent, die Eingabefehler auf 1 Prozent und die Melderate stieg auf 38 Prozent. Besonders wichtig: Zwei reale Betrugsversuche in der Buchhaltung wurden später korrekt gemeldet, bevor Zahlungen ausgelöst wurden. Der Sicherheitsgewinn bestand damit nicht nur in besseren Testwerten, sondern in einem messbar schnelleren Reaktionsverhalten im Alltag.
7. FAQ
Wie oft sollte eine Phishing-Simulation durchgeführt werden?
Für den Mittelstand sind quartalsweise Kampagnen oft sinnvoll. Entscheidend ist die Wiederholung mit variierenden Szenarien, damit kein Lerneffekt auf ein einzelnes Muster beschränkt bleibt. Zu häufige Tests ohne saubere Nachbereitung führen jedoch zu Ermüdung.
Ist eine Phishing-Simulation rechtlich unproblematisch?
Nicht automatisch. Datenschutz, Betriebsrat, interne Richtlinien und Transparenzregeln müssen geprüft werden. Besonders wichtig sind klare Zuständigkeiten, eine begrenzte Datenerhebung und ein sauber dokumentierter Zweck.
Sollten Führungskräfte separat getestet werden?
Ja. Führungskräfte und Personen mit Zahlungs-, Personal- oder Zugriffsrechten sind häufig attraktive Ziele. Separate Szenarien liefern bessere Erkenntnisse, weil die Risiken dort oft höher und die Arbeitsabläufe anders sind.
Was ist wichtiger: Schulung oder Technik?
Beides. E-Mail-Filter, MFA und Monitoring reduzieren das Risiko, aber sie ersetzen nicht das Verhalten der Mitarbeitenden. Eine gute Phishing-Simulation zeigt, wo Technik endet und menschliche Entscheidung kritisch wird.
Wie vermeidet man Demotivation?
Durch sachliches, nicht-blamierendes Feedback und klare Verbesserungsmaßnahmen. Die Simulation soll Verhalten verbessern, nicht Vertrauen zerstören. Transparenz über Zweck und Auswertung ist dafür zentral.
8. Zusammenfassung
Eine wirksame Phishing-Simulation ist kein Einmal-Test, sondern ein systematisches Instrument zur Risikoerkennung und Verhaltensverbesserung. Sie braucht klare Ziele, passende Zielgruppen, realistische Szenarien und eine saubere Auswertung. Der Sicherheitsgewinn entsteht erst dann, wenn aus den Ergebnissen konkrete Schulungen, Prozessanpassungen und technische Maßnahmen folgen. Für den Mittelstand ist das besonders relevant, weil begrenzte Ressourcen nur dann Wirkung entfalten, wenn sie gezielt eingesetzt werden.
Weiterführende Inhalte:
Häufige Fragen
Wie oft sollte eine Phishing-Simulation durchgeführt werden?
Für den Mittelstand sind quartalsweise Kampagnen oft sinnvoll. Entscheidend ist die Wiederholung mit variierenden Szenarien, damit kein Lerneffekt auf ein einzelnes Muster beschränkt bleibt. Zu häufige Tests ohne saubere Nachbereitung führen jedoch zu Ermüdung.
Ist eine Phishing-Simulation rechtlich unproblematisch?
Nicht automatisch. Datenschutz, Betriebsrat, interne Richtlinien und Transparenzregeln müssen geprüft werden. Besonders wichtig sind klare Zuständigkeiten, eine begrenzte Datenerhebung und ein sauber dokumentierter Zweck.
Sollten Führungskräfte separat getestet werden?
Ja. Führungskräfte und Personen mit Zahlungs-, Personal- oder Zugriffsrechten sind häufig attraktive Ziele. Separate Szenarien liefern bessere Erkenntnisse, weil die Risiken dort oft höher und die Arbeitsabläufe anders sind.
Was ist wichtiger: Schulung oder Technik?
Beides. E-Mail-Filter, MFA und Monitoring reduzieren das Risiko, aber sie ersetzen nicht das Verhalten der Mitarbeitenden. Eine gute Phishing-Simulation zeigt, wo Technik endet und menschliche Entscheidung kritisch wird.
Wie vermeidet man Demotivation?
Durch sachliches, nicht-blamierendes Feedback und klare Verbesserungsmaßnahmen. Die Simulation soll Verhalten verbessern, nicht Vertrauen zerstören. Transparenz über Zweck und Auswertung ist dafür zentral.
