1. Problem
Social Engineering trifft Unternehmen selten im „großen Angriff“, sondern im normalen Arbeitsablauf: per E-Mail, Telefon, Chat oder über kompromittierte Konten. Ein typisches Szenario ist die vermeintliche E-Mail der Geschäftsführung mit der Bitte um eine dringende Überweisung, ergänzt um Zeitdruck und Vertraulichkeit. Ein anderes ist der Anruf beim Helpdesk, bei dem sich ein Angreifer als Mitarbeitender ausgibt und ein Passwort-Reset verlangt. Solche Angriffe umgehen technische Schutzmechanismen, weil sie nicht primär Systeme, sondern Menschen und Prozesse angreifen.
Für Mittelstand und Enterprise entsteht das Risiko an der Schnittstelle von IT, HR und Fachbereichen. Wenn Zuständigkeiten unklar sind, Freigaben zu schnell erfolgen oder Mitarbeitende unsicher reagieren, reichen wenige Minuten für Datenabfluss, Kontoübernahme oder finanzielle Schäden. Besonders kritisch sind wiederkehrende Alltagsaufgaben: Rechnungsfreigaben, Bewerberkommunikation, Onboarding, Passwort-Resets und Lieferantenabstimmungen. Genau hier setzt eine Phishing-Simulation bzw. strukturierte Awareness-Arbeit an: Sie macht reale Angriffsmuster sichtbar, misst Fehlreaktionen und zeigt, wo Prozesse, Schulungen und Kontrollen verbessert werden müssen. Der Nutzen liegt nicht in reiner Sensibilisierung, sondern in messbarer Risikoreduktion.
2. Definition
Social Engineering ist die gezielte Manipulation von Menschen, um vertrauliche Informationen, Zugänge oder Handlungen zu erlangen, die sonst nicht freigegeben würden. Der Angreifer nutzt psychologische Trigger wie Zeitdruck, Autorität, Hilfsbereitschaft oder Angst, um Sicherheitsregeln zu umgehen. Phishing ist eine häufige Form davon, meist per E-Mail, SMS oder Chat. Eine Phishing-Simulation ist das kontrollierte Nachstellen solcher Angriffe zu Trainings- und Messzwecken.
3. Schritt-für-Schritt-Erklärung
Schritt 1: Typische Angriffswege identifizieren
Analysieren Sie zuerst, wo Social Engineering im Alltag realistisch ansetzen kann: E-Mail, Telefon, Messenger, HR-Prozesse, Lieferantenkontakt und interne Freigaben. In vielen Unternehmen sind die gefährlichsten Punkte nicht die Firewall, sondern der Helpdesk, die Rechnungsfreigabe und das Reisekostenmanagement. Dokumentieren Sie diese Kontaktpunkte pro Abteilung.
Schritt 2: Rollen mit hohem Risiko festlegen
Priorisieren Sie Mitarbeitende mit Zugriff auf Geld, Daten oder Berechtigungen: Finance, HR, IT-Support, Assistenz, Einkauf und Führungskräfte. Diese Rollen sind häufiger Ziel von Betrugsversuchen, weil sie legitim Entscheidungen treffen oder Zugangsdaten zurücksetzen dürfen. Für diese Gruppen sollten Prüfmechanismen strenger sein als für Standardanwender.
Schritt 3: Szenarien realistisch formulieren
Erstellen Sie konkrete Szenarien, die zur Organisation passen. Ein gutes Szenario greift echte Prozesse auf, etwa „Rechnung eines bekannten Lieferanten mit geänderter IBAN“, „Passwort-Reset wegen Geräteverlust“ oder „Bewerberdaten in angehängter Datei“. Relevanter Inhalt schlägt allgemeine Warntexte, weil nur realistische Fälle belastbare Reaktionen erzeugen. Ergänzend lohnt sich der Blick auf typische Muster aus Social Engineering & Phishing-Angriffe.
Schritt 4: Testen und Reaktionen messen
Führen Sie die Phishing-Simulation kontrolliert durch und messen Sie nicht nur Klicks, sondern auch Meldungen, Eskalationen und Zeit bis zur Reaktion. Entscheidend ist, ob Mitarbeitende verdächtige Inhalte erkennen und den richtigen Meldeweg nutzen. Für den Erkenntniswert sollte jede Simulation ein klares Ziel haben: Erkennung, Meldung oder Prozessprüfung.
Schritt 5: Ergebnisse nach Risiko clustern
Auswertungen sollten nach Funktion, Standort, Sprache und Risikoklasse erfolgen. Eine hohe Klickrate ist nicht automatisch das wichtigste Signal; problematischer ist oft, wenn Warnungen ignoriert oder Meldungen nicht weitergeleitet werden. So erkennen Sie, ob das Problem bei Wissen, Prozess oder Kultur liegt.
Schritt 6: Maßnahmen ableiten und nachschärfen
Leiten Sie aus den Ergebnissen konkrete Maßnahmen ab: Schulung, Prozessanpassung, technische Schutzmechanismen oder Freigabe-Workflows. Wenn etwa zu viele Mitarbeitende Rechnungsanhänge öffnen, braucht es nicht nur Awareness, sondern auch eine klare Regel für Zahlungsänderungen. Wiederholen Sie Tests regelmäßig, damit Verbesserungen messbar bleiben.
4. Framework
Für die Praxis eignet sich das RISK-Modell: Recognize, Intercept, Secure, Kontinuously improve.
Recognize bedeutet, die wichtigsten Social-Engineering-Szenarien im Unternehmen systematisch zu identifizieren. Intercept steht für kontrollierte Phishing-Simulationen, Meldewege und Prüfregeln, die Angriffe früh stoppen. Secure beschreibt technische und organisatorische Schutzmaßnahmen wie MFA, Freigabeprinzipien und Vier-Augen-Kontrollen. Kontinuously improve verlangt, dass aus Vorfällen und Simulationen konkrete Anpassungen folgen. Das Modell ist bewusst einfach: Es verbindet Verstehen, Testen, Absichern und Nachbessern in einer Reihenfolge, die für CISOs und HR-Awareness-Teams direkt anwendbar ist.
5. Häufige Fehler
1. Zu allgemeine Trainingsinhalte
Wer nur abstrakt vor „gefälschten E-Mails“ warnt, trainiert keine echte Entscheidungssituation. Mitarbeitende müssen konkrete Muster erkennen, nicht Schlagworte.
2. Simulation ohne Auswertung
Eine Phishing-Simulation ohne Metriken erzeugt kaum Erkenntnis. Ohne Daten zu Klicks, Meldungen und Eskalationszeiten lässt sich Risiko nicht steuern.
3. Schuldzuweisung an Einzelpersonen
Wenn einzelne Mitarbeitende öffentlich oder implizit verantwortlich gemacht werden, sinkt die Meldebereitschaft. Besser ist ein systemischer Blick auf Prozesse, Verhalten und Kontrollen.
4. Keine Anbindung an Fachbereiche
Awareness scheitert oft, wenn IT allein testet. Gerade HR, Finance und Einkauf müssen Szenarien mitgestalten, weil sie die echten Abläufe kennen.
5. Einmalige Aktion statt Regelbetrieb
Ein einzelnes Training verändert Verhalten kaum dauerhaft. Social Engineering entwickelt sich weiter, deshalb müssen Simulationen, Schulung und Prozessprüfung wiederholt werden.
6. Praxisbeispiel
Ein Industrieunternehmen mit 1.200 Mitarbeitenden führte über sechs Monate vier Phishing-Simulationen durch. Getestet wurden ein Rechnungsbetrug, ein angeblicher IT-Reset, ein HR-Anhang und eine CEO-Anweisung per E-Mail. Zu Beginn klickten 28 % der Empfänger mindestens einmal, 11 % gaben Daten ein, aber nur 14 % meldeten den Vorfall korrekt.
Nach der Auswertung wurden Freigabeprozesse in Finance angepasst, das Helpdesk-Verfahren verschärft und eine kurze Melderoutine eingeführt. Zusätzlich erhielten HR und Einkauf rollenspezifische Trainings. Nach drei Monaten sank die Klickrate auf 9 %, die Meldequote stieg auf 47 %, und keine der Simulationen führte mehr zu einer unberechtigten Freigabe. Der wichtigste Effekt war nicht nur weniger Fehlverhalten, sondern eine schnellere Erkennung verdächtiger Kommunikation im Alltag.
7. FAQ
Wie oft sollte eine Phishing-Simulation durchgeführt werden?
Mindestens quartalsweise, bei risikoreichen Funktionen häufiger. Entscheidend ist die Regelmäßigkeit, damit Verhalten nicht nur kurzfristig beeinflusst wird.
Sind Phishing-Simulationen rechtlich unproblematisch?
Sie müssen intern sauber geregelt, dokumentiert und mit Betriebsrat, Datenschutz und HR abgestimmt sein. Inhalte und Auswertung sollten verhältnismäßig und zweckgebunden bleiben.
Welche Kennzahlen sind sinnvoll?
Wichtige Metriken sind Klickrate, Eingaberate, Meldequote und Zeit bis zur Meldung. Ergänzend sollten Sie die Verteilung nach Abteilung und Risikogruppe betrachten.
Was ist wichtiger: Schulung oder technische Schutzmaßnahmen?
Beides. Technische Kontrollen reduzieren das Risiko, aber Social Engineering zielt gerade auf menschliche und prozessuale Lücken. Schulung ohne technische Regeln ist ebenso unvollständig wie Technik ohne Verhaltenstraining.
Wie realistisch sollten Simulationen sein?
So realistisch wie nötig, um echte Entscheidungen auszulösen, aber ohne unnötige Täuschung oder Überforderung. Das Ziel ist belastbare Erkenntnis, nicht Bloßstellung.
8. Zusammenfassung
Social Engineering nutzt keine technische Schwäche, sondern normale Arbeitsabläufe, Rollen und psychologische Muster. Die größte Gefahr entsteht dort, wo Zeitdruck, Autorität und Routine zusammenkommen. Eine Phishing-Simulation zeigt, wie gut Mitarbeitende verdächtige Kommunikation erkennen und richtig melden. Wirksam wird sie nur, wenn daraus konkrete Prozess-, Schulungs- und Kontrollmaßnahmen folgen. Wer Social Engineering im Alltag ernst nimmt, senkt nicht nur das Risiko einzelner Angriffe, sondern verbessert die gesamte Sicherheitskultur.
Weiterführende Inhalte:
