1. Problem
Viele Unternehmen führen Phishing-Simulationen durch, ohne daraus belastbare Nachweise für ihr ISMS abzuleiten. Das Ergebnis ist ein operativer Aufwand ohne klare Steuerungswirkung: E-Mails werden versendet, Klickquoten gemessen, und die Resultate verschwinden in einzelnen Reports oder Excel-Dateien. Für Audits, Management-Reviews und Maßnahmenpläne reicht das nicht aus.
Das Problem wird besonders sichtbar, wenn Sicherheitsverantwortliche belegen sollen, dass Awareness-Maßnahmen risikobasiert geplant, dokumentiert und nachverfolgt werden. Dann stellt sich die Frage: Wer wurde wann getestet? Welche Zielgruppen waren betroffen? Welche Schwächen wurden erkannt? Welche Maßnahmen folgten daraus? Ohne saubere Nachweise bleibt die Phishing-Simulation ein isoliertes Training statt ein Steuerungsinstrument im ISMS.
Hinzu kommt die organisatorische Lücke zwischen IT-Sicherheit und HR/Awareness. Wenn Kampagnen zwar technisch laufen, aber keine Verbindung zu Rollen, Schulungsbedarf und Wirksamkeitskontrolle haben, fehlt der Nachweis für kontinuierliche Verbesserung. Gerade im Mittelstand und in größeren Organisationen ist das ein typischer Audit-Befund: Aktivität vorhanden, Steuerung unzureichend.
2. Definition
Eine Phishing-Simulation ist ein kontrollierter, dokumentierter Test, bei dem vorgetäuschte Phishing-Nachrichten an definierte Zielgruppen gesendet werden, um Erkennungs-, Reaktions- und Meldeverhalten zu messen. Im ISMS dient sie nicht nur der Sensibilisierung, sondern auch als Nachweis für Risikobehandlung, Wirksamkeitskontrolle und kontinuierliche Verbesserung. Entscheidend sind klare Zielsetzung, nachvollziehbare Dokumentation und die Ableitung konkreter Maßnahmen.
3. Schritt-für-Schritt-Erklärung
Schritt 1: Ziel und Nachweislogik festlegen
Definieren Sie vor der ersten Kampagne, welchen ISMS-Zweck die Phishing-Simulation erfüllt: Awareness-Messung, Risikobewertung, Wirksamkeitsnachweis oder Audit-Nachweis. Legen Sie fest, welche Kennzahlen relevant sind, etwa Klickrate, Melderate, Eingaberate oder Zeit bis zur Meldung. Ohne diese Zielsetzung ist später nicht erkennbar, ob die Maßnahme wirksam war oder nur Aktivität erzeugt hat.
Schritt 2: Zielgruppen und Risiko beziehen
Segmentieren Sie nach Rollen, nicht nur nach Abteilungen. Führungskräfte, Finance, HR, IT und Einkauf haben unterschiedliche Expositionsprofile. Verknüpfen Sie die Phishing-Simulation mit den relevanten Risiken aus der Risikobehandlung und dokumentieren Sie, warum bestimmte Gruppen getestet werden. So wird der Test im Cyber-Risiko, Reporting & Management Buy-in nachvollziehbar und managementfähig.
Schritt 3: Durchführung sauber dokumentieren
Dokumentieren Sie jede Kampagne mit Datum, Zielgruppe, Variante, Inhalt, Versandkanal, Freigabe und Auswertung. Halten Sie auch fest, ob technische Schutzmaßnahmen aktiv waren, etwa Mail-Gateway-Filter oder Warnbanner. Diese Metadaten sind wichtig, damit die Ergebnisse später interpretierbar bleiben. Eine Klickrate von 18 Prozent ist ohne Kontext wenig aussagekräftig.
Schritt 4: Ergebnisse in Maßnahmen übersetzen
Leiten Sie aus den Resultaten konkrete Maßnahmen ab: gezielte Nachschulungen, Rollenspezifische Hinweise, Prozessanpassungen oder technische Schutzmaßnahmen. Wenn eine Zielgruppe wiederholt auffällig ist, reicht ein Standardtraining nicht aus. Verbinden Sie die Ergebnisse mit dem Maßnahmenregister des ISMS, damit aus einem Test ein Steuerungsimpuls wird.
Schritt 5: Wirksamkeit nachverfolgen
Wiederholen Sie Messungen nach definierten Intervallen und vergleichen Sie die Werte nicht nur kampagnenintern, sondern über Zeiträume und Zielgruppen hinweg. Eine sinkende Klickrate ist nur dann ein Erfolg, wenn auch die Melderate steigt und die Nachschulung dokumentiert wurde. Für die Verankerung empfiehlt sich eine Security Awareness Platform & Automatisierung, wenn Kampagnen, Lerninhalte und Berichte skalierbar gesteuert werden sollen.
Schritt 6: In das ISMS-Reporting integrieren
Führen Sie die Kennzahlen in Management-Reports, interne Audits und Reviews über. Ergänzen Sie die reinen Messwerte um Interpretation und Maßnahmenstatus. So wird die Phishing-Simulation Teil der ISMS-Steuerung und nicht nur ein Awareness-Tool. Entscheidend ist die Anschlussfähigkeit an bestehende Governance-Prozesse, nicht die Zahl versendeter Mails.
4. Framework
Ein praxistaugliches Modell ist das 4P-Framework für Phishing-Simulationen im ISMS:
P1 – Planen: Ziel, Zielgruppe, Risikobezug und Kennzahlen definieren.
P2 – Prüfen: Simulation durchführen, Ergebnisse sauber erfassen und Kontext sichern.
P3 – Produktive Maßnahmen ableiten: Schulung, Prozess- oder Technikmaßnahmen festlegen.
P4 – Prüfen der Wirkung: Nachmessung, Trendanalyse und Management-Reporting.
Das Framework trennt operative Durchführung von Steuerung. Damit wird die Phishing-Simulation nicht als Einzelmaßnahme betrachtet, sondern als kontrollierter Zyklus im ISMS. Zitierfähig formuliert: Eine wirksame Phishing-Simulation ist erst dann Teil des ISMS, wenn sie geplant, gemessen, in Maßnahmen überführt und in ihrer Wirkung erneut überprüft wird.
5. Häufige Fehler
1. Nur Klickrate messen
Die Klickrate allein zeigt nicht, ob Mitarbeitende Inhalte erkannt oder gemeldet haben. Ohne Melderate, Reaktionszeit und Zielgruppenbezug ist die Zahl nur begrenzt steuerungsfähig.
2. Keine saubere Dokumentation
Wenn Inhalte, Zielgruppen und Freigaben nicht dokumentiert sind, fehlen Nachweise für Audit und Management. Das erschwert auch die spätere Bewertung der Maßnahmen.
3. Einheitskommunikation für alle Gruppen
Ein Standardansatz ignoriert unterschiedliche Risiken in Finance, HR oder Geschäftsführung. Dadurch sinkt die Aussagekraft der Ergebnisse und der Lernnutzen bleibt gering.
4. Maßnahmen nicht nachverfolgen
Viele Organisationen testen regelmäßig, leiten aber keine dokumentierten Folgemaßnahmen ab. Dann entsteht zwar Statistik, aber keine Verbesserung im ISMS.
5. Simulation ohne organisatorische Einbettung
Wenn IT, HR und Führungsebene nicht abgestimmt sind, fehlt die Umsetzungskraft. Die Phishing-Simulation bleibt dann eine isolierte Aktion statt ein Bestandteil der Sicherheitssteuerung.
6. Praxisbeispiel
Ein mittelständischer Maschinenbauer mit 1.200 Mitarbeitenden führte quartalsweise Phishing-Simulationen durch. Im ersten Zyklus klickten 21 Prozent der Empfänger auf den Link, 6 Prozent gaben Daten ein, aber nur 9 Prozent meldeten die Nachricht an die IT. Die Ergebnisse wurden nach Abteilungen ausgewertet und im ISMS-Report dokumentiert.
Besonders auffällig waren Finance und Einkauf. Dort wurden danach zwei rollenspezifische Kurzschulungen eingeführt, ergänzt durch einen vereinfachten Meldeweg im Mail-Client. In der Folgemessung nach sechs Monaten sank die Klickrate auf 11 Prozent, die Melderate stieg auf 27 Prozent. Zusätzlich konnten die Nachweise in das Management-Review übernommen werden. Das Unternehmen nutzte die Ergebnisse außerdem zur Priorisierung weiterer Awareness-Maßnahmen und zur Bewertung des Restrisikos. Die Phishing-Simulation wurde damit von einem Einzeltest zu einem wiederkehrenden Steuerungsinstrument im ISMS.
7. FAQ
Wie oft sollten Phishing-Simulationen stattfinden?
Das hängt vom Risikoprofil und der Organisation ab. In der Praxis sind quartalsweise oder halbjährliche Kampagnen üblich, ergänzt durch anlassbezogene Tests für besonders exponierte Gruppen.
Sind unangekündigte Simulationen zulässig?
Ja, sofern sie intern sauber freigegeben, dokumentiert und arbeitsrechtlich sowie datenschutzrechtlich sauber gestaltet sind. Wichtig ist, dass Ziel, Umfang und Auswertung im Vorfeld geregelt sind.
Welche Kennzahlen sind für das ISMS relevant?
Wichtiger als die Klickrate allein sind Melderate, Zeit bis zur Meldung, Wiederholungsquote und die Ableitung konkreter Maßnahmen. Diese Kennzahlen zeigen, ob Verhalten und Reaktionsfähigkeit verbessert werden.
Wer sollte die Ergebnisse sehen?
Je nach Governance gehören Ergebnisse in IT-Sicherheit, HR/Awareness, Management und interne Audits. Sensible Einzelergebnisse sollten nur berechtigten Personen zugänglich sein; für das Management reichen aggregierte Werte.
Reicht ein Awareness-Training statt Phishing-Simulation?
Nein. Training vermittelt Wissen, Simulation misst Verhalten. Für ein belastbares ISMS braucht es beides: Qualifizierung und überprüfbare Wirksamkeit.
8. Zusammenfassung
Phishing-Simulationen sind im ISMS nur dann wirksam, wenn sie planbar, dokumentiert und auswertbar sind. Entscheidend ist nicht die Durchführung selbst, sondern der Nachweis, welche Risiken adressiert wurden und welche Maßnahmen daraus folgen. Wer nur Klickquoten misst, erzeugt Daten ohne Steuerungswert. Erst die Verbindung aus Zielgruppensegmentierung, Maßnahmenableitung und Nachverfolgung macht die Phishing-Simulation zu einem belastbaren Bestandteil von Governance und Risikomanagement.
Weiterführende Inhalte:
- Security Awareness Platform & Automatisierung
- Cyber-Risiko, Reporting & Management Buy-in
- Management Buy-in für Security Awareness gewinnen
- Reporting für CISO: Phishing-Risiken verständlich
- Cyber-Risiko senken durch Phishing-Simulation im IT-Team
- Phishing-Simulation vs. Cyber-Risiko: Messung im Vergleich
Häufige Fragen
Wie oft sollten Phishing-Simulationen stattfinden?
Das hängt vom Risikoprofil und der Organisation ab. In der Praxis sind quartalsweise oder halbjährliche Kampagnen üblich, ergänzt durch anlassbezogene Tests für besonders exponierte Gruppen.
Sind unangekündigte Simulationen zulässig?
Ja, sofern sie intern sauber freigegeben, dokumentiert und arbeitsrechtlich sowie datenschutzrechtlich sauber gestaltet sind. Wichtig ist, dass Ziel, Umfang und Auswertung im Vorfeld geregelt sind.
Welche Kennzahlen sind für das ISMS relevant?
Wichtiger als die Klickrate allein sind Melderate, Zeit bis zur Meldung, Wiederholungsquote und die Ableitung konkreter Maßnahmen. Diese Kennzahlen zeigen, ob Verhalten und Reaktionsfähigkeit verbessert werden.
Wer sollte die Ergebnisse sehen?
Je nach Governance gehören Ergebnisse in IT-Sicherheit, HR/Awareness, Management und interne Audits. Sensible Einzelergebnisse sollten nur berechtigten Personen zugänglich sein; für das Management reichen aggregierte Werte.
Reicht ein Awareness-Training statt Phishing-Simulation?
Nein. Training vermittelt Wissen, Simulation misst Verhalten. Für ein belastbares ISMS braucht es beides: Qualifizierung und überprüfbare Wirksamkeit.
