Phishing-Simulation richtig durchführen: Testen, ohne Vertrauen zu zerstören

Laut der Ausgabe 2026 des Verizon Data Breach Investigations Report ist bei 62 % der Datenschutzverletzungen der menschliche Faktor beteiligt. Diese eine Zahl ist der Grund, warum Phishing-Simulationen heute in jedem ernsthaften Sicherheitsprogramm zum Standard gehören. Sie verdeckt aber eine zweite Wahrheit: Ein schlecht konzipiertes Simulationsprogramm kann echten Schaden anrichten. Es untergräbt Vertrauen, unterdrückt Vorfallmeldungen und lehrt Beschäftigte, dass das Sicherheitsteam sie hereinlegen will.

Den Unterschied zwischen beiden Ergebnissen macht nicht das Werkzeug, sondern das Programmdesign. Dieser Leitfaden beschreibt die Praktiken, die Simulationen, die Verhalten ändern, von solchen unterscheiden, die Groll erzeugen – gestützt auf das, was die heutigen Daten von Verizon, KnowBe4 und NIST tatsächlich hergeben.

Warum Simulation wirkt, wenn sie richtig gemacht wird

Die Belege für gut konzipierte Simulationsprogramme sind stark. Der Phishing by Industry Benchmarking Report 2026 von KnowBe4 beruht auf 42 Millionen simulierten Phishing-Mails an 14,8 Millionen Nutzer in 64.000 Organisationen. Demnach liegt die Phish-Prone-Quote ungeschulter Organisationen zu Beginn bei 33,2 % – grob jede dritte beschäftigte Person interagiert im Ausgangstest mit der Mail. Werden Schulung und Simulation kombiniert fortgeführt, sinkt die Rate nach neunzig Tagen auf 20,1 % und nach zwölf Monaten auf 4,2 %.

Wir nennen hier bewusst die veröffentlichten Raten und keine Schlagzeile mit „Prozent weniger“. KnowBe4s eigene Zusammenfassungen derselben Daten nannten unterschiedliche Rückgangswerte; die beiden Raten kann dagegen jede und jeder selbst prüfen.

Was diese Daten für Sie bedeuten: Nicht der einmalige Test bringt Ergebnisse, sondern die Kontinuität. Simulation gehört als Mess- und Übungskreislauf aufgesetzt, nicht als Jahresveranstaltung.

Das wichtigste Ergebnis dieses Kreislaufs ist allerdings nicht der Klick, sondern die Meldung. Eine Phishing-Mail, die binnen zwei Minuten gemeldet wird, ist ein Vorsprung für die Incident Response. Eine Mail, die stillschweigend gelöscht oder stillschweigend angeklickt wird, bringt nichts. Jede Designentscheidung sollte in eine Richtung schieben: mehr Meldungen, schnellere Meldungen.

Ziel einer Phishing-Simulation ist nicht, Beschäftigte bei einem Fehler zu ertappen. Ziel ist, das Melden einer verdächtigen Mail so selbstverständlich zu machen wie das Sperren des Bildschirms.

Für Finanzunternehmen in der EU ist das auch eine regulatorische Frage: DORA verlangt in Art. 13 Abs. 6 Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtmodul für alle Beschäftigten und die Geschäftsleitung. Simulationen liefern den Nachweis, dass diese Programme wirken. Details behandeln wir auf unserer Seite für Finanzdienstleister.

Acht Grundsätze für Phishing-Simulationen

1. Das Ziel vor dem ersten Versand festlegen

„Weniger Klicks“ ist kein Ziel, sondern eine Nebenwirkung. Schreiben Sie auf, was Sie tatsächlich verändern wollen: die Zeit bis zur ersten Meldung, den Anteil der Beschäftigten, die eine Mail melden statt sie zu ignorieren, die Zahl der Wiederholungsklicker in Hochrisikoteams. Holen Sie für diese Ziele und die Grundregeln (keine Sanktionen, niemand wird bloßgestellt) die Zustimmung der Geschäftsleitung ein. So ist das Programm geschützt, wenn eine Führungskraft klickt. Und irgendwann klickt eine Führungskraft.

2. Eine ehrliche Ausgangsmessung durchführen

Führen Sie die erste Kampagne vor jeder Ankündigung oder Schulung durch, mit einer Vorlage mittlerer Schwierigkeit und im gesamten Unternehmen. Das ist die einzige unverfälschte Messung, die Sie je bekommen, und jede spätere Verbesserungsbehauptung stützt sich darauf. Widerstehen Sie der Versuchung, den ersten Test zu entschärfen, damit die Zahlen besser aussehen.

3. Monatlich testen, alles randomisieren

Verhalten lässt nach, die Belegschaft wechselt. Ein monatlicher Rhythmus mit zufälligen Versandzeiten, wechselnden Vorlagen und gestaffelten Zielgruppen verhindert zwei klassische Fehler: die vierteljährliche „Phishing-Saison“, die alle vorhersehen lernen, und den einmaligen Massenversand, der binnen Minuten im Firmenchat enttarnt ist.

4. Den Schwierigkeitsgrad bewusst steuern

Sind alle Simulationen leicht zu erkennen, zeigen Ihre Kennzahlen Sie besser, als Sie sind. Ist jede Simulation ein meisterhaft vorbereitetes Spear-Phishing, lernen Beschäftigte Hilflosigkeit. Mit der NIST Phish Scale können Sie die Erkennungsschwierigkeit jeder Vorlage anhand ihrer Hinweise und ihrer Passung zum Kontext reproduzierbar einstufen. So mischen Sie Schwierigkeitsstufen bewusst und lesen Klickraten fair: 12 % Klicks bei einer schweren Vorlage sind ein besseres Ergebnis als 4 % bei einer offensichtlichen.

Ein konkretes Beispiel: Eine Benachrichtigung des fiktiven Paketdienstes „Blitzpaket“ von der Adresse blitzpaket.example mit dem Hinweis „Ihre Lieferadresse ist unvollständig“ ist eine leichte Vorlage; fremde Absenderdomain, unpersönliche Anrede und Dringlichkeit kommen zusammen. Dieselbe Paketbenachrichtigung, die zu einer Bestellung passt, die die Person tatsächlich erwartet, und einen internen Beschaffungsprozess nachahmt, ist deutlich schwerer. Beide Ergebnisse auf dieselbe Waage zu legen, führt Sie in die Irre.

5. Klicks niemals sanktionieren

Das ist der Punkt, an dem Sie hart bleiben sollten. Programme, die nach einer nicht bestandenen Simulation Boni kürzen, Namen veröffentlichen oder mit Kündigung drohen, erzielen immer dasselbe Ergebnis: Die Meldungen brechen ein, Beschäftigte warnen sich gegenseitig, und das Sicherheitsteam verliert die Beziehung, die es bei einem echten Vorfall am dringendsten braucht. Unterstützen Sie Einzelne durch Coaching, eskalieren Sie nur bei anhaltenden Mustern, und halten Sie all das ausdrücklich in den Programmregeln fest. In Deutschland gehört die Einbindung des Betriebsrats, wo vorhanden, ebenfalls an den Anfang.

6. Nicht nur Klicks messen, sondern Meldungen

Die Klickrate ist die Schaufensterkennzahl der Phishing-Simulation. Was die Widerstandskraft im Ernstfall vorhersagt, sind Melderate, das Verhältnis von Meldungen zu Klicks und die mediane Zeit zwischen Zustellung und erster Meldung. Ein Team mit 8 % Klickrate und 70 % Melderate ist deutlich sicherer als eines mit 3 % Klickrate, in dem niemand etwas meldet.

Wie diese Kennzahlen berechnet und berichtet werden, beschreiben wir ausführlich in unserem Beitrag zu Kennzahlen für Phishing-Simulationen.

7. Über E-Mail hinausgehen

Echte Angreifer sind längst weiter. Telefon-Phishing (Vishing), SMS-Phishing (Smishing), QR-Code-Köder (Quishing) und MFA-Fatigue-Anfragen sind heute gewöhnliche Techniken für den Erstzugang. Ein Programm, das nur E-Mail testet, misst das Bedrohungsmodell von gestern. Nehmen Sie SMS- und QR-Szenarien in die Rotation auf, und ergänzen Sie Simulationen für Kanäle, die sich nicht gefahrlos simulieren lassen, um Szenarioschulungen. Wie schnell sich der Kanalmix verändert, verfolgen wir in unserer Zusammenstellung von Social-Engineering-Statistiken.

8. Nach Risiko gruppieren, nicht nach Organigramm

Die Finanzabteilung gibt Zahlungen frei, Assistenzen der Geschäftsleitung verwalten Kalender und Reisen, IT-Administratoren halten privilegierte Zugänge. Jede Gruppe sieht andere Köder und verdient andere Szenarien. Ausgereifte Programme weisen jeder beschäftigten Person anhand von Rolle, Zugriffsrechten und bisherigem Simulationsverhalten eine Risikostufe zu und passen Schwierigkeit und Frequenz der Szenarien entsprechend an. Der Human Risk Score existiert genau dafür: Er macht aus verstreuten Simulationsergebnissen ein personenbezogenes Risikosignal, mit dem Sie arbeiten können.

Der 90-Tage-Startplan

Tag 1–15: Grundlagen. Schreiben Sie die Programmregeln (Ziele, Grundregeln, sanktionsfreier Ansatz), holen Sie die Zustimmung der Geschäftsleitung ein, richten Sie den Melde-Button für Phishing ein und kündigen Sie ihn an. Gibt es keinen Weg, mit einem Klick zu melden, lösen Sie das vor allem anderen.

Tag 16–30: Ausgangsmessung. Führen Sie die unangekündigte Ausgangskampagne mit einer eingestuften Vorlage mittlerer Schwierigkeit durch. Erfassen Sie Klickrate, Melderate und Zeit bis zur ersten Meldung. Präsentieren Sie die Ergebnisse der Leitung, ohne Namen zu nennen.

Tag 31–60: Erster Schulungszyklus. Kündigen Sie das kontinuierliche Programm an. Bieten Sie kurze, rollenbezogene Schulungen an; die Forschung zur Geschwindigkeit des Vergessens spricht für häufige, kurze Einheiten statt eines jährlichen Marathons. Führen Sie die zweite Kampagne mit wechselnden Vorlagen und zufälligem Versand durch.

Tag 61–90: In die Routine überführen. Wechseln Sie in den Monatsrhythmus. Ergänzen Sie ein Szenario außerhalb der E-Mail. Starten Sie den Coaching-Zyklus für Wiederholungsklicker. Veröffentlichen Sie ein Programm-Dashboard mit dem Trend von Klick- und Melderate; Transparenz über aggregierte Ergebnisse baut das Vertrauen auf, das sanktionsbasierte Programme zerstören.

Ab Tag 91 wird das Programm zu einem Schwungrad: simulieren, messen, coachen, Schwierigkeit steigern, wiederholen. Die Phishing-Simulation von NOUSEC automatisiert die Mechanik dahinter: Vorlagenrotation, Schwierigkeitssteuerung, personenbezogene Taktung und Just-in-time-Schulung im Moment des Klicks. So kann auch ein kleines Sicherheitsteam ein Programm im Unternehmensmaßstab betreiben.

Häufige Fehler, an denen Programme scheitern

Dieselben Fehlermuster tauchen immer wieder auf:

• in vierteljährlichen Abständen testen, die alle vorhersehen;
• das Programm allein an der Klickrate bewerten;
• emotional belastende Köder einsetzen, die Reaktion statt Lernen erzeugen (falscher Bonus, falsche Kündigungsankündigung);
• die Führungsebene von Tests ausnehmen;
• die Simulation als Produkt selbst betrachten statt als Messinstrument.

Phishing, Spoofing und ihre Varianten sind reale Bedrohung genug; es braucht keinen künstlich erzeugten Ärger im eigenen Haus.

Ein Programm für Phishing-Simulationen ist im Kern Vertrauensarbeit im großen Maßstab. Mit klaren Zielen, ehrlicher Messung und null Sanktionen haben Sie an dem Tag, an dem ein echter Angriff im Postfach landet, genau das, was Sie wollen: weniger Klicks und deutlich mehr Meldungen.