Leitfaden · Neun Schritte
Phishing-Simulation rechtssicher einführen.
Eine Simulation ist nur so gut wie ihre Akzeptanz. Dieser Leitfaden zeigt, wie Sie Datenschutz, Betriebsrat und Belegschaft mitnehmen – mit Checklisten zum Abhaken.
Speichern Sie den Leitfaden über die Druckfunktion Ihres Browsers als PDF – zum Weitergeben an Betriebsrat und Datenschutz.
- 1
Zweck festlegen und schriftlich fixieren
Phishing-Simulationen dienen der Sensibilisierung und Schulung – nicht der individuellen Verhaltens- oder Leistungskontrolle. Halten Sie fest, dass Ergebnisse nicht als Grundlage für Abmahnungen, Kündigungen oder vergleichbare Maßnahmen dienen. Das ist bei TUTOOLIO auch vertraglich so geregelt.
- 2
Beteiligte früh an den Tisch holen
Datenschutz, Informationssicherheit, Compliance und – falls vorhanden – der Betriebsrat. Die Einführung technischer Einrichtungen kann ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG berühren. Beginnen Sie das Gespräch parallel zur Planung, nicht erst kurz vor dem Start.
- 3
Empfängerkreis sauber abgrenzen
Simulationen gehen ausschließlich an Personen in einem aktiven Vertragsverhältnis zu Ihrer Organisation – und nur an geschäftliche E-Mail-Adressen. Private Adressen, Kundinnen, Lieferanten und andere Dritte sind ausgeschlossen.
- 4
Auswertung festlegen: personalisiert oder anonymisiert
Entscheiden Sie gemeinsam, welche Ebene die Auswertung zeigt. TUTOOLIO erzeugt Reports wahlweise personalisiert oder anonymisiert. Legen Sie außerdem Aufbewahrungsfristen fest – sie lassen sich mandantenindividuell konfigurieren.
- 5
Belegschaft allgemein informieren
Informieren Sie alle Betroffenen, dass im Unternehmen Phishing-Simulationen und ein interner Meldeprozess eingesetzt werden – ohne konkrete Termine oder Inhalte zu verraten. So bleiben Transparenz und Lerneffekt gleichermaßen gewahrt.
- 6
Meldeweg einrichten und bekannt machen
Verdächtige Mails werden über den internen Meldeweg oder den Melde-Button gemeldet – nicht an den vermeintlichen externen Absender. Wer meldet, soll positives Feedback bekommen.
- 7
Technik vorbereiten
Versanddomains, IP-Adressen und Links der Simulation werden in Ihren Filtersystemen freigegeben (Whitelisting). Prüfen Sie, dass die Empfängeradressen aktuell sind, damit keine Unzustellbarkeitsmeldungen entstehen.
- 8
Klein starten, dann ausrollen
In PEARL erfordert jede Simulation eine mandantenspezifische Freigabe; Vorlagen werden in isolierten Gruppen getestet. Starten Sie mit einer Pilotgruppe, werten Sie aus und rollen Sie dann schrittweise aus.
- 9
Aus Ergebnissen lernen – nicht bestrafen
Wer klickt, landet auf einer Aufklärungsseite und erhält passende Lerninhalte. Entscheidend ist die Entwicklung von Klick- und Melderate über die Zeit, nicht das Ergebnis einzelner Personen.
Zum Abhaken
Checklisten vor dem Start
Betriebsrat · Abstimmungspunkte
- Zweck der Simulation ist schriftlich auf Sensibilisierung und Schulung begrenzt
- Ausschluss arbeitsrechtlicher Konsequenzen aus Simulationsergebnissen ist vereinbart
- Auswertungsebene (personalisiert oder anonymisiert) ist festgelegt
- Kreis der Personen mit Zugriff auf Auswertungen ist benannt
- Aufbewahrungs- und Löschfristen der Ergebnisse sind festgelegt
- Allgemeine Information der Belegschaft ist abgestimmt
- Inhalte und Themen der Vorlagen sind bekannt (keine sensiblen Kategorien)
- Termin für gemeinsame Auswertung nach der Pilotphase ist vereinbart
Datenschutz
- Vereinbarung zur Auftragsverarbeitung mit TUTOOLIO liegt vor
- Rechtsgrundlage der Verarbeitung ist dokumentiert
- Nur geschäftliche E-Mail-Adressen im Empfängerkreis
- Verarbeitungsverzeichnis ist ergänzt
IT & Technik
- Versanddomains, IP-Adressen und Links im Filter freigegeben
- Melde-Button im E-Mail-Client ausgerollt
- Empfängerliste aktuell (keine Bounces)
- Pilotgruppe definiert
Dieser Leitfaden ist eine Orientierungshilfe und keine Rechtsberatung. Die Verantwortung für die rechtliche Zulässigkeit des Einsatzes – einschließlich datenschutz-, arbeits- und mitbestimmungsrechtlicher Voraussetzungen – liegt bei der einsetzenden Organisation. Stand: Oktober 2026.
Gemeinsam mit Ihrem Betriebsrat starten?
Wir stellen Ihnen die Simulation, die Auswertungsoptionen und die Datenschutzunterlagen in einem Termin vor – gern mit allen Beteiligten.