1. Problem
Viele Organisationen führen regelmäßig eine Phishing-Simulation durch, erhalten aber am Ende nur operative Kennzahlen: Klickrate, Melderate, Credential-Submission und vielleicht noch eine Heatmap nach Abteilung. Für IT-Sicherheit ist das nützlich, für ein CISO-Reporting allein aber oft zu wenig. Denn die eigentliche Frage lautet nicht, wie viele Mails geöffnet wurden, sondern welches Risiko daraus für den Betrieb, die Kontrolle und die Priorisierung weiterer Maßnahmen entsteht.
In mittelständischen und großen Unternehmen treffen dabei zwei Anforderungen aufeinander: Die Sicherheitsabteilung braucht belastbare Daten für Maßnahmensteuerung, und das Management will eine verständliche Einordnung mit klarer Aussage. Ohne Struktur entsteht ein Bericht, der technisch korrekt, aber für Entscheider schwer lesbar ist. Dann werden aus Phishing-Ergebnissen entweder isolierte Zahlen ohne Kontext oder pauschale Aussagen wie „Awareness ist ausbaufähig“. Beides hilft nicht bei Budgetentscheidungen, bei der Priorisierung von Trainings oder bei der Bewertung der Resilienz. Wer Cyber-Risiko, Reporting & Management Buy-in sauber aufbauen will, braucht daher ein Reporting, das Risiken, Wirkung und nächste Schritte in einer Sprache verbindet.
2. Definition
Eine Phishing-Simulation ist ein kontrollierter Sicherheitstest, bei dem Mitarbeitende mit realistisch gestalteten, aber harmlosen Phishing-Nachrichten konfrontiert werden, um Verhalten, Erkennungsfähigkeit und Meldeverhalten messbar zu prüfen. Im Reporting wird daraus eine strukturierte Risikoauswertung, die zeigt, wie anfällig eine Organisation für Social-Engineering-Angriffe ist und welche Maßnahmen die Widerstandsfähigkeit verbessern.
3. Schritt-für-Schritt-Erklärung
Schritt 1: Ziel des Reportings festlegen
Definieren Sie zuerst, wofür das Reporting gebraucht wird: operative Steuerung, Vorstandsinformation oder Budgetfreigabe. Ein Bericht für das Management braucht andere Aussagen als ein Bericht für HR oder Security Operations. Ohne klares Ziel vermischen Sie Detaildaten und Strategieebene.
Schritt 2: Relevante Kennzahlen auswählen
Reduzieren Sie die Kennzahlen auf wenige, belastbare Werte: Klickrate, Melderate, Eingabewahrscheinlichkeit von Daten, Zeit bis zur Meldung und Verteilung nach Zielgruppen. Ergänzen Sie diese Zahlen nur dann, wenn sie eine Entscheidung unterstützen. Für die Einordnung ist wichtig, nicht nur Ergebnisse zu zeigen, sondern auch, wie Sie Cyber-Risiko durch Phishing messbar machen.
Schritt 3: Zielgruppen trennen
Ein CISO braucht Risiko, Trend und Priorität. Ein Fachbereichsleiter braucht sein Team im Vergleich zum Unternehmen. HR braucht Hinweise für Lern- und Kommunikationsmaßnahmen. Wenn alle dieselbe Folie erhalten, wird der Bericht entweder zu technisch oder zu allgemein. Arbeiten Sie mit einer Managementsicht und einer operativen Anhangssicht.
Schritt 4: Ergebnisse interpretieren
Zahlen allein reichen nicht. Erklären Sie, was eine hohe Klickrate in Verbindung mit niedriger Melderate bedeutet: Die Organisation erkennt Angriffe zu spät. Zeigen Sie, ob bestimmte Rollen, Standorte oder Endgeräte besonders betroffen sind. So wird aus einer Phishing-Simulation ein Risikobild und keine Statistik.
Schritt 5: Maßnahmen ableiten
Jeder Bericht braucht eine direkte Konsequenz: gezielte Trainings, Anpassung der Meldewege, technische Schutzmaßnahmen oder eine Nachschulung für bestimmte Gruppen. Wichtig ist eine Priorisierung nach Risiko und Aufwand. Maßnahmen ohne Zuordnung bleiben unverbindlich.
Schritt 6: Verlauf dokumentieren
Vergleichen Sie jede neue Runde mit dem Vorwert. Nur so erkennt das Management, ob sich das Verhalten verbessert oder verschlechtert. Ein einmaliger Test zeigt einen Zustand, aber keinen Fortschritt. Für die Steuerung ist der Trend wichtiger als der Einzelwert.
4. Framework
Für ein belastbares CISO-Reporting eignet sich das R.A.M.P.-Modell: Reach, Action, Meaning, Priority.
Reach beschreibt, wie viele Personen erreicht wurden und in welchen Gruppen das Testmuster wirkte.
Action erfasst das Verhalten: Klick, Datenabgabe, Meldung, Reaktionszeit.
Meaning übersetzt diese Ergebnisse in Risikoaussagen für Geschäft und Sicherheit.
Priority leitet daraus die nächsten Maßnahmen ab, priorisiert nach Wirkung und Umsetzbarkeit.
Das Modell ist bewusst knapp gehalten, damit es in Management-Reports wiederverwendbar ist. Es trennt Messung von Interpretation und Interpretation von Entscheidung. Damit eignet es sich als Referenz für Berichte, Dashboards und wiederkehrende Executive Summaries.
5. Häufige Fehler
1. Nur auf Klickrate schauen
Die Klickrate ist wichtig, aber nicht ausreichend. Wenn viele Mitarbeitende klicken, aber fast niemand Daten eingibt und viele Angriffe gemeldet werden, ist das Risikoprofil anders als bei einer niedrigen Klickrate mit sehr schwacher Meldedisziplin.
2. Keine Vergleichswerte nutzen
Ohne Vorperiode oder Segmentvergleich ist jede Zahl schwer einzuordnen. Ein Wert von 18 Prozent kann gut oder schlecht sein, abhängig von Branche, Zielgruppe und Entwicklung.
3. Technische Details ohne Entscheidungsbezug berichten
E-Mail-Header, Domains und Versandzeiten sind für die Analyse nützlich, aber für das Management nur relevant, wenn daraus konkrete Risiken oder Maßnahmen folgen. Sonst entsteht ein Bericht mit hohem Detailgrad und geringem Entscheidungswert.
4. Ergebnisse nicht nach Zielgruppen trennen
Eine Gesamtquote verschleiert oft starke Unterschiede zwischen Bereichen, Standorten oder Rollen. Wer alles mittelt, verliert die Stellen, an denen das Risiko tatsächlich entsteht.
5. Keine Maßnahmen verankern
Ein Bericht ohne nächste Schritte erzeugt Wiederholungsaufwand, aber keine Verbesserung. Die Auswertung sollte immer in Training, Kommunikation oder technische Kontrolle münden.
6. Praxisbeispiel
Ein Industrieunternehmen mit 2.400 Mitarbeitenden führte eine Phishing-Simulation mit drei Szenarien durch: Passwort-Reset, Paketbenachrichtigung und Rechnungsfreigabe. 31 Prozent klickten mindestens einmal, 9 Prozent gaben Daten ein, und 22 Prozent meldeten den Vorfall an Security oder HR. Besonders auffällig war der Vertrieb mit 41 Prozent Klickrate und nur 8 Prozent Melderate.
Im Management-Report wurden diese Werte nicht nur dargestellt, sondern mit einem Risikoindikator kombiniert: hohe Angriffsanfälligkeit plus geringe Melderate in einer geschäftskritischen Gruppe. Daraus folgten drei Maßnahmen: ein gezieltes Training für Vertrieb und Assistenz, eine vereinfachte Meldeoption über Outlook-Add-in und ein monatlicher Trendbericht für das Management. Nach zwei weiteren Runden sank die Klickrate im Vertrieb auf 24 Prozent, die Melderate stieg auf 19 Prozent. Für die Geschäftsführung war damit sichtbar, dass die Maßnahme wirkte und das Risiko messbar zurückging. In dieser Form wurde die Phishing-Simulation zu einem Steuerungsinstrument statt zu einer Einmalprüfung.
7. FAQ
Wie viele Kennzahlen braucht ein CISO-Report zu Phishing?
In der Regel reichen vier bis sechs Kernkennzahlen: Klickrate, Melderate, Datenabgabe, Reaktionszeit und Segmentvergleich. Mehr Kennzahlen erhöhen oft nicht die Aussagekraft, sondern nur die Komplexität.
Wie oft sollte eine Phishing-Simulation berichtet werden?
Für das Management ist ein Quartalsrhythmus meist sinnvoll. Operativ kann ein monatlicher oder kampagnenbezogener Bericht besser passen, wenn Maßnahmen schnell nachgesteuert werden sollen.
Was ist wichtiger: Klickrate oder Melderate?
Beides gehört zusammen. Eine niedrige Klickrate ist gut, aber ohne Melderate bleibt unklar, ob Angriffe überhaupt erkannt und gemeldet werden. Die Melderate zeigt die Fähigkeit zur frühen Eskalation.
Wie lässt sich das Thema für Nicht-Techniker verständlich darstellen?
Beschreiben Sie nicht nur das Verhalten, sondern das Risiko daraus: Wie viele Personen wären bei einem echten Angriff betroffen, wie schnell würde er gemeldet und welche Bereiche sind besonders exponiert?
Sollte man Phishing-Ergebnisse mit HR-Daten kombinieren?
Nur mit sauberer Zweckbindung und datenschutzkonformer Auswertung. Segmentierung nach Funktion oder Bereich ist meist ausreichend; personenbezogene Detailauswertungen sind nur in begründeten Fällen sinnvoll.
8. Zusammenfassung
Phishing-Reporting ist dann nützlich, wenn es nicht bei Einzelkennzahlen stehen bleibt, sondern Risiken und Entscheidungen ableitet. Eine gute Auswertung trennt Zielgruppen, ordnet Verhalten in Kontext ein und verbindet Messergebnisse mit konkreten Maßnahmen. Für CISO, IT-Security und HR ist entscheidend, dass die Phishing-Simulation nicht nur Schwächen zeigt, sondern Fortschritt sichtbar macht. Wer Trends, Segmentierung und Priorisierung kombiniert, schafft ein Reporting, das fachlich belastbar und für das Management verständlich ist.
Weiterführende Inhalte:
