1. Problem
Viele Unternehmen führen eine Phishing-Simulation als einmalige Maßnahme durch: eine E-Mail wird verschickt, die Klickrate gemessen, danach folgt höchstens eine pauschale Schulung. Das löst das eigentliche Problem nicht. Mitarbeitende lernen in diesem Ablauf oft nur, dass „wieder eine Sicherheitsmail“ gekommen ist, nicht aber, woran sie Angriffe im Arbeitsalltag erkennen und wie sie korrekt reagieren.
Im Mittelstand und in Enterprise-Umgebungen ist das besonders kritisch, weil Phishing selten isoliert auftritt. Es ist oft der Einstieg in Kontoübernahmen, interne Weiterverbreitung oder Betrugsversuche mit Zahlungsfreigaben. Wenn eine Phishing-Simulation ohne Lernlogik läuft, entsteht ein Messinstrument, aber kein Verhaltenswandel. IT-Sicherheit erhält Zahlen, HR bekommt Schulungsnachweise, doch die Organisation reduziert ihr Risiko kaum.
Der zentrale Fehler ist der Bruch zwischen Test, Rückmeldung und Verbesserung. Genau hier setzt ein Lernzyklus an: Simulationen werden so gestaltet, dass sie Verhalten sichtbar machen, Wissen unmittelbar festigen und künftige Angriffe schwieriger machen. Wer Phishing-Simulation und Awareness Training verzahnen will, braucht einen Prozess, nicht nur Kampagnen.
2. Definition
Eine Phishing-Simulation ist eine kontrollierte, realitätsnahe Nachbildung eines Phishing-Versuchs, mit der das Erkennen, Melden und richtige Reagieren von Mitarbeitenden gemessen und verbessert wird. Als Lernzyklus gestaltet bedeutet sie: testen, Rückmeldung geben, Lücken schließen, Verhalten erneut prüfen. Ziel ist nicht Bloßstellung, sondern messbare Risikoreduktion durch wiederholtes, zielgerichtetes Lernen.
3. Schritt-für-Schritt-Erklärung
Schritt 1: Lernziele festlegen
Definieren Sie vorab, welches Verhalten verbessert werden soll. Geht es um das Erkennen von Login-Fälschungen, das Melden verdächtiger Anhänge oder das Prüfen von Zahlungsaufforderungen? Ohne klaren Lernzielrahmen wird die Phishing-Simulation nur zu einer Klickquote. Legen Sie außerdem fest, welche Zielgruppen gesondert betrachtet werden, etwa Finanzabteilung, Assistenz, Vertrieb oder Führungskräfte.
Schritt 2: Szenarien passend zum Risiko auswählen
Wählen Sie Inhalte, die zur realen Bedrohungslage passen. Für den Mittelstand sind das oft Paketbenachrichtigungen, Passwort-Reset-Mails, angebliche HR-Dokumente oder Rechnungsbetrug. In regulierten oder stark vernetzten Umgebungen können auch interne Nachahmungen, Lieferantenangriffe oder Freigabeprozesse simuliert werden. Orientieren Sie sich an den tatsächlichen Angriffspfaden Ihres Unternehmens, nicht an generischen Vorlagen. Eine sinnvolle Grundlage ist ein regelmäßiges Awareness Training & Mitarbeiterschulung, das die Szenarien fachlich einordnet.
Schritt 3: Messkriterien definieren
Messen Sie mehr als nur Klicks. Relevante Kennzahlen sind Klickrate, Eingabe von Daten, Anhänge geöffnet, gemeldete Phishing-Versuche, Zeit bis zur Meldung und Wiederholungsquote nach Schulung. Diese Werte zeigen, ob Mitarbeitende verdächtige Inhalte erkennen und ob Meldewege funktionieren. Besonders wichtig ist die Unterscheidung zwischen „gesehen“ und „gemeldet“, weil Meldungen den Schaden in echten Vorfällen begrenzen können.
Schritt 4: Unmittelbares Feedback auslösen
Nach einem Klick oder einer Meldung sollte zeitnah eine klare Rückmeldung folgen. Erklären Sie kurz, woran die Simulation erkennbar war, welche Merkmale wichtig gewesen wären und welcher nächste Schritt richtig gewesen wäre. Vermeiden Sie belehrende Texte. Der Lerneffekt ist am höchsten, wenn die Rückmeldung direkt an die konkrete Handlung gekoppelt ist. Genau an dieser Stelle gewinnt die Wiederholung an Wirkung; dazu passt das Prinzip aus Cybersecurity Awareness: Wiederholung statt Einmaltraining.
Schritt 5: Zielgruppenspezifisch nachschulen
Nicht alle brauchen dieselbe Maßnahme. Wer regelmäßig auf Zahlungsbetrug reagiert, braucht andere Inhalte als ein Kollege aus der Produktion oder ein Vertriebsmitarbeiter mit vielen externen Kontakten. Kurze, konkrete Nachschulungen funktionieren besser als lange Pflichtmodule. Wichtig ist, dass die Schulung das beobachtete Verhalten aufgreift und nicht allgemein über Phishing spricht.
Schritt 6: Den Zyklus wiederholen und verbessern
Eine einzelne Kampagne verändert Verhalten kaum dauerhaft. Planen Sie feste Wiederholungen mit wechselnden Szenarien und einer Auswertung auf Gruppen- und Organisationsebene. Passen Sie Inhalte, Schwierigkeitsgrad und Kommunikationsform an die Ergebnisse an. So entsteht aus der Phishing-Simulation ein Lernsystem: testen, verstehen, schulen, erneut testen.
4. Framework
Für die Praxis eignet sich das T-R-M-V-Modell: Testen, Rückmelden, Nachschulen, Verifizieren. Es beschreibt den kompletten Lernzyklus einer Phishing-Simulation.
- Testen bedeutet, realistische Szenarien an definierte Zielgruppen auszuspielen.
- Rückmelden heißt, unmittelbar nach einer Reaktion oder einem Fehlverhalten verständlich zu erklären, was passiert ist.
- Nachschulen fokussiert auf das konkrete Verhaltensdefizit statt auf allgemeine Sicherheitsgrundsätze.
- Verifizieren prüft in einer Folgesimulation, ob sich das Verhalten verbessert hat.
Das Modell ist bewusst einfach gehalten, weil es in IT-Sicherheit, HR und Management gleichermaßen anschlussfähig sein muss. Es eignet sich als Referenz für Programme, in denen Phishing-Simulation und Awareness Training verzahnen nicht nur geplant, sondern operativ umgesetzt werden soll.
5. Häufige Fehler
1. Nur Klicks messen
Die Klickrate ist nützlich, aber unvollständig. Sie sagt wenig darüber aus, ob Mitarbeitende den Vorfall gemeldet oder gelernt haben. Ohne Meldungs- und Wiederholungsdaten bleibt die Analyse oberflächlich.
2. Alle gleich behandeln
Eine einheitliche Kampagne für das ganze Unternehmen ignoriert unterschiedliche Risiken. Führungskräfte, Buchhaltung und operative Bereiche sind nicht denselben Angriffen ausgesetzt. Wer alle gleich schult, verschenkt Wirkung.
3. Fehlverhalten bloßstellen
Wenn Mitarbeitende öffentlich für Fehler vorgeführt werden, sinkt die Meldebereitschaft. Dann werden echte Vorfälle eher verschwiegen. Eine wirksame Phishing-Simulation erzeugt Lernbereitschaft, nicht Angst.
4. Keine Rückmeldung geben
Ein Test ohne Erklärung verpufft schnell. Mitarbeitende sehen, dass etwas „nicht echt“ war, aber nicht warum. Ohne konkrete Rückmeldung entsteht kein verlässlicher Lerneffekt.
5. Einmalig statt zyklisch arbeiten
Ein einzelner Test verbessert keine Routine. Bedrohungen ändern sich, und mit ihnen die Angriffsmuster. Nur wiederholte Simulationen mit Anpassung an reale Risiken führen zu belastbaren Ergebnissen.
6. Praxisbeispiel
Ein mittelständisches Maschinenbauunternehmen mit 850 Mitarbeitenden führte quartalsweise eine Phishing-Simulation durch. Im ersten Durchlauf klickten 28 % der Empfänger auf den Link, 9 % gaben Zugangsdaten ein, und nur 14 % meldeten die Mail an die IT. Die Geschäftsleitung entschied sich für einen Lernzyklus nach dem T-R-M-V-Modell.
Nach dem ersten Test erhielten alle Betroffenen eine kurze, kontextbezogene Rückmeldung. Zusätzlich wurden zwei zielgruppenspezifische Schulungen durchgeführt: eine für Verwaltung und Buchhaltung zu Rechnungsbetrug, eine für Führungskräfte zu Dringlichkeits- und Autoritätsangriffen. Sechs Wochen später folgte eine zweite Simulation mit ähnlicher Struktur, aber verändertem Inhalt.
Das Ergebnis: Die Klickrate sank auf 11 %, die Daten-Eingabe auf 2 %, und die Meldequote stieg auf 41 %. Nach drei Quartalen lag die Klickrate stabil unter 8 %. Der wichtigste Effekt war nicht nur die niedrigere Klickzahl, sondern die deutlich frühere Meldung verdächtiger E-Mails. Dadurch konnte die IT echte Angriffe schneller identifizieren und blockieren.
7. FAQ
Wie oft sollte eine Phishing-Simulation durchgeführt werden?
In der Praxis haben sich quartalsweise oder zweimonatliche Zyklen bewährt. Entscheidend ist nicht die Frequenz allein, sondern die Wiederholung mit Lernlogik. Wer nur einmal im Jahr testet, bekommt ein unzuverlässiges Bild.
Ist eine Phishing-Simulation eher ein IT- oder ein HR-Thema?
Beides. IT-Sicherheit verantwortet Szenarien, Messung und technische Auswertung. HR oder Awareness-Management steuern Kommunikation, Schulung und organisatorische Verankerung. Wirksam wird das Programm nur, wenn beide Bereiche zusammenarbeiten.
Sollten Mitarbeitende wissen, dass simuliert wird?
Ja, aber nicht wann oder mit welchem Szenario. Eine transparente Policy schafft Akzeptanz, ohne den Lerneffekt zu zerstören. Verdeckte Einzelaktionen ohne Einordnung erzeugen eher Misstrauen.
Was ist wichtiger: Schulung oder Simulation?
Die Kombination. Schulung vermittelt Regeln, Simulation zeigt, ob diese Regeln im Alltag angewendet werden. Ohne Simulation bleibt Wissen abstrakt; ohne Schulung bleibt die Simulation folgenlos.
Wie misst man Erfolg sinnvoll?
Nicht nur über Klicks, sondern auch über Meldequote, Zeit bis zur Meldung, Wiederholungsverhalten und Zielgruppendifferenzen. Erfolg bedeutet, dass Mitarbeitende verdächtige E-Mails früher erkennen und häufiger melden.
8. Zusammenfassung
Eine Phishing-Simulation ist dann wirksam, wenn sie nicht als Einzeltest, sondern als Lernzyklus geplant wird. Entscheidend sind klare Lernziele, realistische Szenarien, messbare Rückmeldungen und gezielte Nachschulungen. Das T-R-M-V-Modell bietet dafür eine einfache Struktur: Testen, Rückmelden, Nachschulen, Verifizieren. Unternehmen verbessern so nicht nur Kennzahlen, sondern vor allem das Reaktionsverhalten ihrer Mitarbeitenden.
Weiterführende Inhalte:
Häufige Fragen
Wie oft sollte eine Phishing-Simulation durchgeführt werden?
In der Praxis haben sich quartalsweise oder zweimonatliche Zyklen bewährt. Entscheidend ist nicht die Frequenz allein, sondern die Wiederholung mit Lernlogik. Wer nur einmal im Jahr testet, bekommt ein unzuverlässiges Bild.
Ist eine Phishing-Simulation eher ein IT- oder ein HR-Thema?
Beides. IT-Sicherheit verantwortet Szenarien, Messung und technische Auswertung. HR oder Awareness-Management steuern Kommunikation, Schulung und organisatorische Verankerung. Wirksam wird das Programm nur, wenn beide Bereiche zusammenarbeiten.
Sollten Mitarbeitende wissen, dass simuliert wird?
Ja, aber nicht wann oder mit welchem Szenario. Eine transparente Policy schafft Akzeptanz, ohne den Lerneffekt zu zerstören. Verdeckte Einzelaktionen ohne Einordnung erzeugen eher Misstrauen.
Was ist wichtiger: Schulung oder Simulation?
Die Kombination. Schulung vermittelt Regeln, Simulation zeigt, ob diese Regeln im Alltag angewendet werden. Ohne Simulation bleibt Wissen abstrakt; ohne Schulung bleibt die Simulation folgenlos.
Wie misst man Erfolg sinnvoll?
Nicht nur über Klicks, sondern auch über Meldequote, Zeit bis zur Meldung, Wiederholungsverhalten und Zielgruppendifferenzen. Erfolg bedeutet, dass Mitarbeitende verdächtige E-Mails früher erkennen und häufiger melden.
