Security Awareness · Phishing-Simulation
Phishing-Simulation: Wirksamkeit messen und rechtssicher durchführen
Lesezeit etwa 7 Minuten · Stand September 2026
Eine Phishing-Simulation ist ein geplanter, freiwilliger Test, bei dem ein Unternehmen eigene, ungefährliche Phishing-Mails an die eigenen Mitarbeiter versendet, um das Erkennen von Angriffen zu üben und zu messen. Dieser Leitfaden zeigt den Ablauf, die Kennzahlen wie Klick- und Melderate, den rechtssicheren Rahmen und die typischen Fehler.
Eine Phishing-Simulation ist kein Test, um Menschen zu überführen. Sie ist eine Übung, damit im Ernstfall der richtige Reflex sitzt.
Was ist eine Phishing-Simulation?
Eine Phishing-Simulation ist ein kontrollierter Test, bei dem ein Unternehmen selbst gefälschte, aber ungefährliche Phishing-Mails an die eigenen Mitarbeiter versendet. Ziel ist nicht die Kontrolle Einzelner, sondern das Üben und Messen der Reaktion: Wer erkennt den Angriff, wer klickt und wer meldet die verdächtige Mail. So wird aus abstrakter Gefahr eine erlebbare Lernsituation.
Der Nutzen liegt in der Wiederholung unter realistischen Bedingungen. Eine einzelne Schulung vermittelt Wissen, eine Simulation trainiert das Verhalten im Alltag. Sie ist damit ein fester Baustein einer gelebten menschlichen Firewall und Teil eines wirksamen Informationssicherheits-Managementsystems (ISMS).
Wichtig ist die Abgrenzung zum echten Angriff. Die Simulation nutzt zwar dieselben Mittel wie ein Angreifer, richtet aber keinen Schaden an und wertet ausschließlich anonymisiert aus. Angekündigt wird sie im Grundsatz vorab als Teil des Awareness-Programms, der einzelne Versand bleibt jedoch überraschend, weil nur so eine realistische Reaktion messbar wird.
Warum gehören Phishing-Simulationen ins ISMS?
Weil der Mensch bei vielen erfolgreichen Angriffen der erste Kontaktpunkt ist. Phishing zählt laut dem BSI zu den häufigsten Einstiegswegen für Schadsoftware und Datenabfluss. Eine Simulation senkt dieses Risiko messbar, indem sie das Erkennen trainiert und die Meldebereitschaft erhöht.
Die ISO/IEC 27001:2022 verankert das im Control A.6.3, das Sensibilisierung, Ausbildung und Schulung zur Informationssicherheit verlangt. Der BSI IT-Grundschutz beschreibt dasselbe im Baustein ORP.3. Auch die NIS2-Umsetzung fordert Schulungen, hier sogar ausdrücklich für die Leitungsorgane. Eine Phishing-Simulation liefert für all das einen belastbaren Nachweis.
Damit ist die Simulation kein isoliertes IT-Projekt, sondern Teil des Regelkreises. Ihre Ergebnisse fließen als Kennzahl in die Steuerung des ISMS und geben der Leitung ein ehrliches Bild der Sicherheitskultur. Aus einem einmaligen Versand wird so ein wiederkehrender Baustein der Informationssicherheit.
Phishing-Simulation aus der Praxis erleben
Sehen Sie in einer kurzen Demo, wie sich Phishing-Simulationen und Awareness-Schulungen mit VANTARIS planen, ausspielen und auditsicher dokumentieren lassen.
Wie läuft eine Phishing-Simulation Schritt für Schritt ab?
Eine saubere Simulation folgt 5 Phasen von der Planung bis zur Nachbereitung. Jede Phase hat ein klares Ziel und ein dokumentiertes Ergebnis. So wird aus einem einmaligen Versand ein wiederholbarer, steuerbarer Prozess.
| Phase | Ziel | Ergebnis |
|---|---|---|
| 1. Planung und Scope | Ziele, Zielgruppen und Umfang festlegen | abgestimmtes Konzept |
| 2. Szenario | realistische, faire Köder-Mail gestalten | Mustervorlage |
| 3. Versand | Simulation gestaffelt ausspielen | Reaktionsdaten |
| 4. Auswertung | Klick- und Melderate anonym erheben | Kennzahlen |
| 5. Nachbereitung | Auflösung, Schulung, Lessons Learned | Lerneffekt |
Planung, Szenario und Versand
Am Anfang stehen Ziele, Zielgruppen und der Umfang. Was soll die Simulation zeigen, welche Bereiche nehmen teil und welchen Schwierigkeitsgrad hat das Szenario. Dann entsteht eine realistische, aber faire Köder-Mail, die typische Merkmale eines Angriffs trägt, etwa einen erzeugten Zeitdruck oder einen gefälschten Absender. Der Versand erfolgt meist gestaffelt, damit sich die Empfänger nicht gegenseitig warnen.
Auswertung und Nachbereitung
Nach dem Versand werden die Reaktionen erfasst und ausschließlich anonymisiert ausgewertet. Aus den Zahlen entstehen Kennzahlen wie Klick- und Melderate. Entscheidend ist die Nachbereitung: Wer geklickt hat, landet nicht auf einer schwarzen Liste, sondern auf einer kurzen Lernseite mit der Auflösung. So wird der Fehler sofort zum Lernmoment und die Übung schließt mit einem echten Effekt statt mit einem Vorwurf.
Welche Kennzahlen misst man bei einer Phishing-Simulation?
Die wichtigsten Kennzahlen sind die Klickrate und die Melderate. Die Klickrate zeigt, wie viele Empfänger auf den Köder hereingefallen sind. Die Melderate zeigt, wie viele die verdächtige Mail aktiv gemeldet haben. Erst beide zusammen ergeben ein ehrliches Bild, denn eine niedrige Klickrate allein sagt wenig über die Wachsamkeit aus.
| Kennzahl | Was sie zeigt |
|---|---|
| Klickrate | Anteil, der auf den Köder geklickt hat |
| Melderate | Anteil, der die Mail gemeldet hat |
| Eingaberate | Anteil, der Daten eingegeben hat |
| Zeit bis zur ersten Meldung | wie schnell das Team reagiert |
Besonders aussagekräftig ist die Melderate, weil sie das gewünschte Verhalten misst statt nur den Fehler. Ein Unternehmen, in dem viele Mitarbeiter verdächtige Mails melden, erkennt echte Angriffe früher. Deshalb lohnt es sich, die Melderate über die Zeit zu beobachten und den Schwierigkeitsgrad der Szenarien langsam zu steigern. Wichtig ist die richtige Deutung: Ein einzelner Wert ist nur eine Momentaufnahme, erst der Trend über mehrere Runden zeigt, ob die Sicherheitskultur wirklich reift.
Wie führt man Phishing-Simulationen rechtssicher durch?
Rechtssicher wird eine Simulation, wenn sie als Schulungsmaßnahme angelegt ist und nicht als verdeckte Leistungskontrolle. Der Zweck ist Sensibilisierung, nicht die Bewertung einzelner Personen. Genau diese Zweckbindung entscheidet darüber, ob die Auswertung zulässig ist.
Aus dem Datenschutz ergeben sich klare Leitplanken. Personenbezogene Klickdaten sind besonders sensibel, deshalb wertet man so früh wie möglich anonymisiert oder aggregiert aus. Ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO nötig ist, prüft man vorab. Die Sicherheit der Verarbeitung selbst richtet sich nach Art. 32 DSGVO.
Dritter Baustein ist die Mitbestimmung. Wo ein Betriebsrat besteht, ist er frühzeitig einzubinden, weil Systeme zur Verhaltens- oder Leistungskontrolle mitbestimmungspflichtig sind. In der Praxis regelt oft eine Betriebsvereinbarung Zweck, Umfang und Anonymisierung der Simulationen. Dieser Rahmen schützt beide Seiten und schafft Vertrauen.
Wie vermeidet man, dass Simulationen Vertrauen zerstören?
Der Schlüssel ist eine blame-free Kultur, die Fehler als Lernchance behandelt statt als Anlass für Strafe. Wer nach einem Klick bloßgestellt wird, meldet den nächsten Vorfall aus Angst nicht mehr. Genau das wäre das Gegenteil des Ziels, denn eine hohe Meldebereitschaft ist wertvoller als eine perfekte Klickrate.
Bewährt hat sich ein offener Umgang: Die Mitarbeiter wissen, dass es Simulationen gibt, kennen aber nicht den Zeitpunkt. Nach dem Versand folgt sofort eine kurze, sachliche Auflösung ohne Schuldzuweisung. Wer die Simulation mit passenden Formaten wie einer Anti-Phishing-Schulung begleitet, verwandelt einzelne Aha-Momente in dauerhaftes Verhalten.
Wie oft sollte man Phishing-Simulationen durchführen?
Einmalige Aktionen verpuffen. Wirksam wird das Training durch Regelmäßigkeit, in der Praxis oft 2 bis 4 Kampagnen pro Jahr, ergänzt um kürzere Impulse. Wichtig ist die Steigerung: Werden die Szenarien mit der Zeit anspruchsvoller, wächst die Wachsamkeit mit. Ein starrer, immer gleicher Test dagegen wird schnell durchschaut und verliert seine Wirkung.
Welche Fehler treten bei Phishing-Simulationen häufig auf?
Der häufigste Fehler ist die Gotcha-Falle: eine besonders gemeine Mail, die vor allem darauf zielt, möglichst viele zu überführen. Das erzeugt Frust statt Lernen. Fast ebenso verbreitet ist die reine Fixierung auf die Klickrate, während die viel wichtigere Melderate unbeachtet bleibt.
Ein dritter Klassiker ist die fehlende Nachbereitung. Ohne sofortige Auflösung und ohne passende Schulung bleibt der Klick folgenlos und der Lerneffekt aus. Genauso schädlich ist eine personenbezogene Auswertung, die Vertrauen und Rechtssicherheit zugleich untergräbt. Wer diese Fehler vermeidet, macht aus der Simulation ein echtes Werkzeug der Sicherheitskultur.
Awareness, die im Alltag ankommt
Ob Phishing-Simulation, Schulungsplan oder Nachweis fürs Audit: Im Strategiegespräch klären wir, wie ein Awareness-Programm zu Ihrem Unternehmen passt und sich sauber ins ISMS einfügt.
Häufige Fragen zur Phishing-Simulation
Ist eine Phishing-Simulation erlaubt?
Ja, wenn sie als Schulungsmaßnahme angelegt ist und nicht als verdeckte Leistungskontrolle. Zulässig wird sie durch klare Zweckbindung, eine frühzeitige Auswertung in anonymisierter oder aggregierter Form und die Einbindung des Betriebsrats, wo einer besteht. Eine Datenschutz-Folgenabschätzung sollte vorab geprüft werden.
Was ist der Unterschied zwischen Klickrate und Melderate?
Die Klickrate zeigt den Anteil der Empfänger, der auf den Köder geklickt hat, also den Fehler. Die Melderate zeigt den Anteil, der die verdächtige Mail aktiv gemeldet hat, also das gewünschte Verhalten. Für ein ehrliches Bild der Wachsamkeit zählen beide Werte zusammen, nicht nur die Klickrate.
Sollte man Mitarbeiter nach einem Klick bestrafen?
Nein. Bestrafung führt dazu, dass Vorfälle aus Angst verschwiegen werden. Das untergräbt die Meldebereitschaft. Wirksam ist eine blame-free Kultur: Wer klickt, erhält sofort eine kurze, sachliche Auflösung und lernt daraus. Ziel ist ein sicherer Reflex, kein Klima der Furcht.
Wie oft sollte man eine Phishing-Simulation durchführen?
Regelmäßig statt einmalig. In der Praxis haben sich 2 bis 4 Kampagnen pro Jahr bewährt, ergänzt um kürzere Impulse. Entscheidend ist, dass die Szenarien mit der Zeit anspruchsvoller werden, damit die Wachsamkeit nicht auf einem einzelnen Muster stehen bleibt.
Welche Norm verlangt Awareness-Maßnahmen?
Die ISO/IEC 27001:2022 fordert Sensibilisierung und Schulung im Control A.6.3, der BSI IT-Grundschutz im Baustein ORP.3. Auch die NIS2-Umsetzung verlangt Schulungen, ausdrücklich für die Leitungsorgane. Eine dokumentierte Phishing-Simulation ist für all diese Anforderungen ein belastbarer Nachweis.
Ersetzt eine Simulation die Schulung?
Nein, beide ergänzen sich. Die Schulung vermittelt Wissen, die Simulation trainiert das Verhalten unter realistischen Bedingungen. Erst zusammen entsteht ein dauerhafter Effekt. Am stärksten wirkt die Kombination, wenn auf einen Klick sofort eine passende Lerneinheit folgt.
Fakten und Quellen auf einen Blick
| Fakt | Beleg |
|---|---|
| Norm-Control | ISO/IEC 27001:2022, Annex A 6.3 (Sensibilisierung und Schulung) |
| BSI-Baustein | ORP.3 Sensibilisierung und Schulung (BSI IT-Grundschutz) |
| Datenschutz | Art. 32 und Art. 35 DSGVO (EUR-Lex) |
| Bedrohungslage | Phishing als häufiger Einstiegsweg (BSI-Lagebericht) |
| Mitbestimmung | Betriebsvereinbarung bei Verhaltens- und Leistungskontrolle |
Tobias Frank
Gründer & Geschäftsführer der Vantarion GmbH. Begleitet den Mittelstand bei NIS2, ISO 27001 und TISAX, als externer Informationssicherheitsbeauftragter und mit der Compliance-Plattform VANTARIS.