Awareness-KPIs: Trainingserfolg messen

„Wir haben alle geschult." – Dieser Satz beruhigt das Management, sagt aber nichts darüber aus, ob Ihr Unternehmen tatsächlich sicherer geworden ist. Schulungsabschlussquoten messen Anwesenheit, nicht Verhalten. Die eigentliche Frage lautet: Klicken Ihre Mitarbeitenden seltener auf gefährliche Mails – und melden sie mehr? Das beantworten nur die richtigen Awareness KPIs. Dieser Leitfaden zeigt Ihnen, welche Kennzahlen wirklich aussagekräftig sind, wie Sie sie baselinen, an welchen Benchmarks Sie sich orientieren können und – am wichtigsten – wie Sie von nackten Zahlen zu konkreten Maßnahmen kommen. Denn ein Dashboard, das niemand in Handlung übersetzt, ist nur teure Dekoration.

Awareness-Messung ist kein Selbstzweck. Sie dient drei Zielen: dem Nachweis von Fortschritt gegenüber der Geschäftsleitung, der Steuerung des Programms und – bei ISO 27001 und NIS2 – der Erfüllung von Dokumentationspflichten. Wer misst, kann steuern. Wer nicht misst, hofft.

Warum Anwesenheit der falsche KPI ist

Die häufigste Awareness-Kennzahl im Mittelstand ist die Schulungsabschlussquote: „95 Prozent haben das E-Learning absolviert." Diese Zahl ist nicht wertlos, aber sie misst das Falsche. Sie zeigt, dass Menschen durchgeklickt haben – nicht, dass sich ihr Verhalten geändert hat. Ein Mitarbeiter kann ein Modul vollständig absolvieren und trotzdem am nächsten Tag auf eine Phishing-Mail klicken.

Wirksame Awareness-Messung verlagert den Fokus von Input-Metriken (was haben wir angeboten?) zu Verhaltens-Metriken (wie handeln die Menschen tatsächlich?). Diese Verschiebung ist der wichtigste Schritt zu einer aussagekräftigen Erfolgsmessung. Verhaltens-KPIs gewinnen Sie vor allem aus Phishing-Simulationen, weil sie reales Handeln unter realistischen Bedingungen erfassen.

Merksatz
Eine Schulungsabschlussquote misst, ob jemand im Raum war. Eine Klick- und Meldequote misst, ob er etwas gelernt hat. Steuern Sie nach dem Zweiten.

Die wichtigsten Awareness-KPIs

Diese Kennzahlen bilden den Kern eines aussagekräftigen Awareness-Reportings.

Klickrate (Click Rate)

Die bekannteste Kennzahl: der Anteil der Empfänger, die in einer Phishing-Simulation auf den Link klicken. Sie ist ein guter Indikator für die akute Anfälligkeit. Typische Ausgangswerte im Mittelstand liegen bei 25 bis 35 Prozent, bei untrainierten Bereichen auch darüber. Über mehrere Trainingszyklen sollte die Klickrate deutlich sinken – einstellige Werte sind ein realistisches mittelfristiges Ziel. Konkrete Hebel, um diese Zahl zu drücken, beschreiben wir im Beitrag, wie Sie Ihre Phishing-Klickrate senken.

Eine Warnung: Die Klickrate allein verführt zu Fehlschlüssen. Eine sehr niedrige Klickrate kann auch bedeuten, dass eine Kampagne zu leicht war oder sich die Belegschaft gegenseitig gewarnt hat. Lesen Sie sie nie isoliert.

Meldequote / Reporting-Rate

Der Anteil der Empfänger, die eine verdächtige Mail aktiv melden – über den Meldebutton oder an die IT. Dies ist die wichtigste Awareness-Kennzahl überhaupt, denn sie misst aktives Schutzverhalten statt bloßer Fehlervermeidung. Eine hohe Meldequote bedeutet ein funktionierendes menschliches Frühwarnsystem. Reife Organisationen erreichen Meldequoten von 40 bis 70 Prozent. Sie sollte über die Zeit deutlich steigen – idealerweise stärker, als die Klickrate fällt.

Time-to-Report

Die Zeit zwischen Versand und erster Meldung. Im Ernstfall ist Geschwindigkeit alles: Je schneller das Security-Team von einer laufenden Phishing-Welle erfährt, desto früher kann es blockieren, warnen und Schaden begrenzen. Eine sinkende Time-to-Report von Stunden auf Minuten ist ein starkes Zeichen für gelebte Wachsamkeit.

Resilienz-Quote (Resilience Ratio)

Das Verhältnis von Meldenden zu Klickenden – oft ausgedrückt als „Reporter pro Klicker". Liegt es über 1, melden mehr Menschen, als klicken: ein Zeichen echter Resilienz. Diese kombinierte Kennzahl ist aussagekräftiger als Klick- oder Meldequote allein, weil sie beide Seiten des Verhaltens in einer Zahl bündelt und damit die Reife der Sicherheitskultur abbildet.

Wiederholungstäter (Repeat Clickers)

Der Anteil der Mitarbeitenden, die über mehrere Kampagnen hinweg wiederholt klicken. Diese kleine Gruppe verursacht oft einen Großteil des Risikos und braucht gezielte, vertrauliche Nachschulung – nicht als Sanktion, sondern als Angebot. Wichtig: Diese Auswertung erfolgt verantwortungsvoll und niemals als öffentliche Bloßstellung.

Resilienz über Zeit

Die einzelne Kampagne ist eine Momentaufnahme. Der eigentliche Wert liegt in der Entwicklung über mehrere Quartale: Sinkt die Klickrate stetig, steigt die Meldequote, verbessert sich die Resilienz-Quote? Dieser Trend ist die ehrlichste Antwort auf die Frage, ob Ihr Programm wirkt.

Praxis-Tipp
Bilden Sie aus Klickrate und Meldequote eine einzige Steuerungsgröße – die Resilienz-Quote. Sie eignet sich hervorragend fürs Management-Reporting, weil eine Zahl über 1 sofort verständlich macht: „Bei uns melden mehr Leute, als klicken."

Baselining: Ohne Startpunkt keine Aussage

Jede Kennzahl ist wertlos ohne Referenzpunkt. Deshalb beginnt seriöse Awareness-Messung mit einer Baseline – einer ersten Phishing-Simulation, bevor groß geschult wird. Sie liefert die Ausgangswerte für Klickrate, Meldequote und Time-to-Report. Erst gegen diese Baseline lässt sich Fortschritt belegen.

Beim Baselining gelten einige Regeln:

• Realistisch, nicht zu leicht. Eine Baseline mit einer offensichtlichen Spam-Mail produziert schöne, aber nutzlose Zahlen. Wählen Sie ein mittleres, realistisches Schwierigkeitsniveau.
• Repräsentativ. Beziehen Sie alle relevanten Bereiche ein, nicht nur die IT-affinen. Segmentieren Sie nach Abteilung, um Risikoschwerpunkte zu erkennen.
• Sauber dokumentiert. Halten Sie Versandzeitpunkt, Template-Schwierigkeit und Empfängerkreis fest – sonst sind spätere Vergleiche verzerrt.
• Vor dem Training. Wer erst schult und dann baselined, misst nicht den Ausgangszustand, sondern ein bereits beeinflusstes Bild.

Eine gute Baseline ist unbequem, weil sie hohe Klickraten offenlegt. Genau das ist ihr Wert: Sie schafft die ehrliche Grundlage, gegen die jeder spätere Erfolg glänzen kann. Wie eine solche Baseline methodisch sauber entsteht, lesen Sie im Beitrag zur Phishing-Simulation.

Benchmarks: Wo stehe ich im Vergleich?

Die zweite Frage nach der Baseline lautet: Sind meine Werte gut oder schlecht? Hier helfen Orientierungsgrößen – mit der wichtigen Einschränkung, dass Benchmarks je nach Branche, Unternehmensgröße und Template-Schwierigkeit stark schwanken und nur als grobe Leitplanke taugen.

• Klickrate Baseline: häufig 25–35 Prozent, in untrainierten Bereichen höher.
• Klickrate nach mehreren Zyklen: Ziel im einstelligen Bereich.
• Meldequote reif: 40–70 Prozent in gut etablierten Programmen.
• Resilienz-Quote: Werte über 1 zeigen eine reife Kultur.

Der wichtigste Benchmark sind aber nicht Branchendurchschnitte, sondern Ihr eigener Vorwert. „Wir sind besser als letztes Quartal" ist eine belastbarere Aussage als „Wir liegen im Branchenschnitt", weil externe Zahlen unter völlig anderen Bedingungen entstanden sind. Nutzen Sie externe Benchmarks zur groben Einordnung, steuern Sie aber nach Ihrer eigenen Entwicklung.

Merksatz
Der ehrlichste Benchmark sind Sie selbst von letztem Quartal. Externe Durchschnittswerte entstehen unter fremden Bedingungen – Ihr eigener Trend lügt nicht.

Von Zahlen zu Maßnahmen

Hier scheitern die meisten Awareness-Programme: Sie messen fleißig, aber die Zahlen führen zu nichts. Ein KPI entfaltet erst Wirkung, wenn er eine Handlung auslöst. Übersetzen Sie Ihre Kennzahlen konsequent in Maßnahmen:

1. Hohe Klickrate in einer Abteilung? Gezieltes Training für genau diesen Bereich statt pauschaler Wiederholung für alle.
2. Niedrige Meldequote? Den Meldeweg vereinfachen – ein gut sichtbarer „Phishing melden"-Button in Outlook senkt die Hürde drastisch. Und positives Feedback fürs Melden etablieren.
3. Lange Time-to-Report? Meldewege bekannter machen und Reaktionsprozesse im Security-Team beschleunigen.
4. Wiederholungstäter identifiziert? Vertrauliches, unterstützendes Einzel-Coaching statt anonymer Statistik.
5. Stagnierende Resilienz? Schwierigkeitsgrad erhöhen, Formate variieren, neue Angriffsmuster aufgreifen.

Dieser Kreislauf aus Messen, Interpretieren und Handeln ist das eigentliche Herz der Awareness-Steuerung. Ein Programm, das diesen Kreis schließt, verbessert sich von Quartal zu Quartal. Eines, das nur misst, verwaltet seinen Stillstand. Wie Sie die gesamte Awareness-Strategie aufsetzen, in die diese KPIs eingebettet sind, beschreibt unser Security Awareness Training Leitfaden.

Segmentierung: Wo der Durchschnitt lügt

Ein unternehmensweiter Durchschnittswert verschleiert mehr, als er zeigt. Eine Gesamt-Klickrate von 12 Prozent klingt solide – kann aber bedeuten, dass die IT bei 2 Prozent liegt und der Vertrieb bei 28 Prozent. Genau dieser Vertrieb ist Ihr eigentliches Risiko, geht im Mittelwert aber unter. Deshalb gehört zu jedem ernsthaften Awareness-Reporting die Segmentierung der KPIs nach sinnvollen Dimensionen:

• Nach Abteilung – wo sitzen die Risikoschwerpunkte? Buchhaltung, Vertrieb und Empfang sind oft exponierter als technische Bereiche.
• Nach Standort – unterschiedliche Niederlassungen haben oft sehr unterschiedliche Sicherheitskulturen.
• Nach Betriebszugehörigkeit – neue Mitarbeitende klicken statistisch häufiger; das zeigt Lücken im Onboarding.
• Nach Rolle und Privilegienlevel – ein Klick eines Administrators mit weitreichenden Rechten wiegt schwerer als der eines Sachbearbeiters.

Die Segmentierung muss dabei stets aggregiert bleiben – Sie betrachten Gruppen, nicht Einzelpersonen. Schon ab einer Gruppengröße, die keine Rückschlüsse auf Einzelne zulässt, ist die Auswertung datenschutzkonform und betriebsratstauglich. Der Gewinn ist erheblich: Statt pauschaler Maßnahmen für alle steuern Sie gezielt dorthin, wo das Risiko sitzt – und sparen Budget, indem Sie nicht die ohnehin schon Wachsamen erneut schulen.

Die häufigsten Messfehler

Awareness-Messung scheitert selten an fehlenden Daten, sondern an falscher Interpretation. Diese Fehler begegnen uns in der Praxis besonders oft:

• Nur die Klickrate betrachten. Ohne Meldequote ist das Bild halb. Eine fallende Klickrate ohne steigende Meldequote kann bloße Verunsicherung statt echter Kompetenz bedeuten.
• Schwierigkeitsgrade nicht konstant halten. Wer eine leichte Kampagne mit einer schweren vergleicht, misst die Templates, nicht die Mitarbeitenden. Dokumentieren Sie die Schwierigkeit jeder Kampagne.
• Zu früh Erfolg verkünden. Eine einzelne gute Kampagne ist Zufall, kein Trend. Belastbare Aussagen brauchen mindestens drei bis vier Zyklen.
• Vanity-Metriken berichten. Schulungsabschlussquoten und „Anzahl versendeter E-Learnings" füllen Folien, aber steuern nichts.
• Bloßstellung statt Aggregation. Listen mit Namen von Klickern zerstören Vertrauen und Meldebereitschaft – und damit die wichtigste Kennzahl überhaupt.

Wer diese Fehler vermeidet, gewinnt ein ehrliches Bild – und genau darauf kommt es an. Schöngerechnete Zahlen beruhigen das Management kurzfristig und kosten im Ernstfall doppelt.

Reporting fürs Management

Damit Awareness-KPIs Wirkung entfalten, müssen sie beim Management ankommen – verständlich und handlungsleitend. Überfrachten Sie das Reporting nicht. Drei bis fünf Kennzahlen, klar visualisiert über die Zeit, sind wirksamer als ein 20-seitiges Dashboard. Zeigen Sie den Trend (Klickrate runter, Meldequote rauf), die Resilienz-Quote als zusammenfassende Zahl und einen klaren Ausblick auf die nächsten Maßnahmen. Und behalten Sie die Governance im Blick: Berichten Sie aggregiert, nicht namentlich. Das schützt die Belegschaft und sichert die Akzeptanz des gesamten Programms.

Wie welabs Sie bei der Awareness-Messung unterstützt

Kennzahlen sind nur so gut wie die Interpretation, die ihnen folgt. welabs hilft Ihnen, die richtigen Awareness-KPIs zu definieren, sauber zu baselinen und konsequent in Maßnahmen zu übersetzen – mit Methodik aus der Konzernwelt, übersetzt auf den Mittelstand.

Wir unterstützen Sie konkret bei:

• KPI-Konzept und Baselining – wir definieren die für Sie relevanten Kennzahlen und messen Ihren Ausgangszustand. Mehr auf unserer Seite Security Awareness & Phishing-Simulation.
• Phishing-Simulation mit WePhish – unserem DSGVO-konformen, EU-gehosteten Simulationsprodukt mit aggregiertem, betriebsratstauglichem Reporting.
• Management-Reporting – verständliche KPI-Dashboards, die Fortschritt sichtbar machen und Budget rechtfertigen.
• Maßnahmenableitung – wir übersetzen Ihre Zahlen in konkrete Trainings- und Verbesserungsschritte.

Sie wollen wissen, was Ihre Awareness-Zahlen wirklich aussagen? Vereinbaren Sie ein kostenloses Erstgespräch – wir starten mit einer Baseline und einem KPI-Konzept.

Fazit

Awareness-KPIs trennen ein wirksames Programm von einer teuren Pflichtübung. Wer den Fokus von Anwesenheits- auf Verhaltenskennzahlen verschiebt – Klickrate, Meldequote, Time-to-Report, Resilienz-Quote, Wiederholungstäter – misst nicht mehr, ob Menschen im Raum waren, sondern ob sie tatsächlich sicherer handeln. Mit einer ehrlichen Baseline, vorsichtig genutzten Benchmarks und der eigenen Entwicklung als wichtigstem Maßstab entsteht ein belastbares Bild.

Entscheidend bleibt der letzte Schritt: von der Zahl zur Maßnahme. Ein KPI, der keine Handlung auslöst, ist verschwendetes Reporting. Wer den Kreislauf aus Messen, Interpretieren und Handeln Quartal für Quartal schließt, baut keine Statistik, sondern eine messbar resilientere Organisation. Und genau das ist der Sinn der ganzen Übung.