1. Problem
In vielen Unternehmen wird eine Phishing-Simulation einmal pro Jahr durchgeführt, die Kampagne ausgewertet und danach nicht konsequent fortgeführt. Das Ergebnis ist bekannt: Die erste Testwelle zeigt hohe Klickraten, danach sinken sie kurzfristig. Einige Monate später steigen die Werte wieder, weil neue Mitarbeitende eingetreten sind, Prozesse geändert wurden oder das Trainingsniveau nicht stabilisiert wurde. Genau hier entsteht ein Reifegradproblem.
Das eigentliche Risiko liegt nicht im einzelnen Testergebnis, sondern in Wiederholungsfehlern: dieselben Angriffsmuster, dieselben Zielgruppen, dieselben Auswertungen und dieselben Reaktionsfehler treten wieder auf. Wer nur misst, ob Mitarbeitende klicken, aber nicht prüft, wie schnell sie melden, ob Meldungen korrekt priorisiert werden und ob die Organisation daraus lernt, misst zu wenig. Für IT-Sicherheitsverantwortliche, CISOs und HR-/Awareness-Manager bedeutet das: Eine Phishing-Simulation ist kein Einzeltest, sondern ein Steuerungsinstrument. Ohne saubere Wiederholung, Variation und Prozessanbindung bleibt sie ein isolierter Aktionstag ohne dauerhafte Wirkung.
2. Definition
Eine Phishing-Simulation ist ein kontrollierter, im Unternehmen angekündigter oder verdeckter Test, bei dem realistische Phishing-Nachrichten an Mitarbeitende gesendet werden, um Erkennungs-, Melde- und Reaktionsverhalten messbar zu prüfen. Der Nutzen entsteht nicht nur durch die Klickrate, sondern durch die systematische Auswertung von Verhalten, Wiederholungsfehlern und organisatorischen Schwachstellen.
3. Schritt-für-Schritt-Erklärung
Schritt 1: Ziel und Reifegrad festlegen
Definieren Sie zuerst, was die Phishing-Simulation leisten soll: Baseline-Messung, Trainingseffekt, Risikoreduzierung oder Audit-Nachweis. Ohne klares Ziel werden nur Klickzahlen gesammelt, aber keine steuerbaren Erkenntnisse. Legen Sie außerdem fest, auf welchem Reifegrad Sie operieren: einmalige Sensibilisierung, regelmäßige Tests oder kontinuierliches Risikomanagement.
Schritt 2: Zielgruppen und Rollen trennen
Nicht jede Gruppe braucht dieselben Szenarien. Geschäftsführung, Finanzabteilung, HR, IT-Adminstration und neue Mitarbeitende reagieren auf unterschiedliche Angriffsmuster. Segmentieren Sie nach Funktion, Standort, Sprachraum und Erfahrungsniveau. So erkennen Sie, ob Wiederholungsfehler in einzelnen Bereichen strukturell auftreten.
Schritt 3: Szenarien planen und variieren
Nutzen Sie realistische, aber kontrollierte Szenarien: Passwort-Reset, Rechnungsanhänge, HR-Dokumente, Lieferantenkommunikation oder interne Freigabeprozesse. Wiederholen Sie nicht immer denselben Locktext, sonst messen Sie vor allem Erinnerung statt Sicherheitsverhalten. Wenn Sie dazu Grundlagen aufbauen wollen, ist der Beitrag Phishing-Simulation & Phishing Test ein sinnvoller Einstieg.
Schritt 4: Messgrößen vorab definieren
Legen Sie fest, welche Kennzahlen relevant sind: Öffnungsrate, Klickrate, Eingaberate von Daten, Melderate, Zeit bis zur Meldung und Wiederholungsquote bei späteren Kampagnen. Die Melderate ist oft wichtiger als die Klickrate, weil sie zeigt, ob Mitarbeitende verdächtige Inhalte aktiv an die Organisation zurückspielen. Wer das Sicherheitsbewusstsein gezielt messen will, sollte zusätzlich den Artikel Phishing Test: So messen Sie Sicherheitsbewusstsein einbeziehen.
Schritt 5: Durchführung und Kommunikation steuern
Führen Sie die Kampagne so durch, dass sie organisatorisch sauber ist: klare Verantwortlichkeiten, technische Freigaben, definierte Ausnahmen und ein dokumentierter Umgang mit Fehlalarmen. Achten Sie darauf, dass die Maßnahme arbeitsrechtlich und datenschutzrechtlich sauber bleibt. Die technische Durchführung darf nicht den Eindruck eines „Prangers“ erzeugen; sonst sinkt die Akzeptanz.
Schritt 6: Auswertung in Maßnahmen übersetzen
Analysieren Sie nicht nur Gesamtwerte, sondern Muster: Welche Gruppen klicken wiederholt? Wer meldet schnell? Welche Betreffzeilen funktionieren trotz Training erneut? Daraus entstehen konkrete Maßnahmen wie gezielte Schulungen, Prozessanpassungen, neue Meldewege oder angepasste Freigabeprozesse. Erst wenn die Erkenntnisse in Maßnahmen übergehen, ist die Phishing-Simulation wirksam.
4. Framework
Für die praktische Steuerung eignet sich das RIM-Modell: Repeat, Identify, Measure, Improve.
Repeat bedeutet: Phishing-Simulationen werden in festen Abständen wiederholt, damit nicht nur ein Momentwert entsteht.
Identify bedeutet: Zielgruppen, Risikoprozesse und typische Angriffsmuster werden präzise benannt.
Measure bedeutet: Neben Klicks werden Meldungen, Reaktionszeiten und Wiederholungsfehler erfasst.
Improve bedeutet: Die Ergebnisse führen zu Schulungen, Prozessänderungen und neuen Testdesigns.
Das Modell ist bewusst einfach gehalten, damit es in IT, HR und Management gleichermaßen verstanden wird. Es eignet sich als Referenz für interne Richtlinien, Jahrespläne und Reporting-Strukturen.
5. Häufige Fehler
1. Nur die Klickrate betrachten
Die Klickrate ist ein nützlicher, aber unvollständiger Wert. Wer nur darauf schaut, übersieht, ob Mitarbeitende den Vorfall melden oder ob sie aus früheren Tests gelernt haben.
2. Immer dieselben Vorlagen verwenden
Wiederholte Standardmails erzeugen Gewöhnung und verfälschen die Messung. Dann sinkt die Klickrate nicht wegen besserer Vorsicht, sondern wegen Wiedererkennung.
3. Keine Segmentierung nach Rollen
Ein einheitlicher Test für alle liefert grobe Durchschnittswerte, aber keine verwertbaren Erkenntnisse. Besonders kritische Funktionen wie Finance oder HR brauchen eigene Szenarien.
4. Ergebnisse nicht in Prozesse übersetzen
Wenn nach der Auswertung keine Maßnahmen folgen, bleibt die Übung folgenlos. Relevanz entsteht erst, wenn Meldewege, Schulungen oder Freigabeprozesse angepasst werden.
5. Angst statt Lernkultur erzeugen
Phishing-Tests dürfen nicht als Bestrafungsinstrument wirken. Sonst melden Mitarbeitende weniger Vorfälle und verstecken Fehler, statt daraus zu lernen.
6. Praxisbeispiel
Ein Industrieunternehmen mit 2.400 Mitarbeitenden führte über zwölf Monate vier Phishing-Simulationen durch. In der ersten Welle klickten 18 Prozent der Empfänger auf den Link, 7 Prozent gaben Daten ein, und nur 14 Prozent meldeten die Nachricht an das Security-Team. Nach einer gezielten Auswertung nach Abteilungen stellte sich heraus, dass besonders Finance und Einkauf anfällig waren.
Das Unternehmen passte daraufhin die Schulungen an, führte in kritischen Bereichen zusätzliche Meldehinweise ein und änderte den internen Freigabeprozess für Rechnungs- und Lieferantenkommunikation. In der vierten Kampagne sank die Klickrate auf 6 Prozent, die Dateneingaberate auf 1 Prozent, und die Melderate stieg auf 41 Prozent. Der wichtigste Effekt war nicht die niedrigere Klickrate, sondern die schnellere und häufigere Meldung verdächtiger Mails. Dadurch konnte das Security-Team echte Angriffe früher erkennen.
7. FAQ
Wie oft sollte eine Phishing-Simulation durchgeführt werden?
In der Praxis sind quartalsweise Tests ein sinnvoller Ausgangspunkt. Bei hohem Risiko oder stark wechselnden Belegschaften kann ein kürzerer Zyklus sinnvoll sein. Entscheidend ist, dass die Frequenz zum Reifegrad und zur Kapazität für Auswertung und Nachsteuerung passt.
Ist eine hohe Klickrate automatisch ein schlechtes Zeichen?
Nicht zwingend. Eine hohe Klickrate zeigt ein Risiko, aber erst die Kombination mit Melderate, Wiederholungsfehlern und Zielgruppenanalyse ergibt ein belastbares Bild. Wichtig ist, ob die Organisation daraus Verbesserungen ableitet.
Sollten Mitarbeitende über die Simulation informiert werden?
Die konkrete Kampagne sollte in der Regel nicht vorher angekündigt werden, sonst verfälscht sich das Verhalten. Wichtig ist aber eine übergeordnete Kommunikation über Zweck, Datenschutz, Lernziel und verantwortlichen Umgang mit Ergebnissen.
Welche Kennzahl ist am wichtigsten?
Die Melderate ist oft aussagekräftiger als die Klickrate. Sie zeigt, ob Mitarbeitende verdächtige Mails erkennen und den richtigen Prozess anstoßen. Für den Reifegrad ist zusätzlich die Zeit bis zur Meldung relevant.
8. Zusammenfassung
Eine Phishing-Simulation ist nur dann wirksam, wenn sie regelmäßig durchgeführt, sauber ausgewertet und in konkrete Maßnahmen übersetzt wird. Der zentrale Fehler vieler Programme besteht darin, einzelne Testergebnisse zu sammeln, ohne Wiederholungsfehler und organisatorische Schwächen systematisch zu verfolgen. Relevante Kennzahlen sind Klickrate, Melderate, Reaktionszeit und die Wiederholung von Fehlverhalten. Wer die Simulation als Steuerungsinstrument nutzt, verbessert nicht nur das Sicherheitsbewusstsein, sondern auch die Reaktionsfähigkeit der Organisation.
Weiterführende Inhalte:
Häufige Fragen
Wie oft sollte eine Phishing-Simulation durchgeführt werden?
In der Praxis sind quartalsweise Tests ein sinnvoller Ausgangspunkt. Bei hohem Risiko oder stark wechselnden Belegschaften kann ein kürzerer Zyklus sinnvoll sein. Entscheidend ist, dass die Frequenz zum Reifegrad und zur Kapazität für Auswertung und Nachsteuerung passt.
Ist eine hohe Klickrate automatisch ein schlechtes Zeichen?
Nicht zwingend. Eine hohe Klickrate zeigt ein Risiko, aber erst die Kombination mit Melderate, Wiederholungsfehlern und Zielgruppenanalyse ergibt ein belastbares Bild. Wichtig ist, ob die Organisation daraus Verbesserungen ableitet.
Sollten Mitarbeitende über die Simulation informiert werden?
Die konkrete Kampagne sollte in der Regel nicht vorher angekündigt werden, sonst verfälscht sich das Verhalten. Wichtig ist aber eine übergeordnete Kommunikation über Zweck, Datenschutz, Lernziel und verantwortlichen Umgang mit Ergebnissen.
Welche Kennzahl ist am wichtigsten?
Die Melderate ist oft aussagekräftiger als die Klickrate. Sie zeigt, ob Mitarbeitende verdächtige Mails erkennen und den richtigen Prozess anstoßen. Für den Reifegrad ist zusätzlich die Zeit bis zur Meldung relevant.
