Phishing Simulation: Awareness testen

Phishing ist nach wie vor das Einfallstor Nummer eins für Cyberangriffe. Ransomware, Datenabfluss, CEO-Fraud – die Mehrzahl beginnt mit einer einzigen E-Mail und einem einzigen Klick. Die entscheidende Frage für jedes Unternehmen lautet deshalb nicht „Sind unsere Mitarbeitenden geschult?", sondern „Halten sie dem Ernstfall stand?". Genau das beantwortet eine Phishing Simulation: ein kontrollierter, mit Zustimmung durchgeführter Test, der gefälschte Phishing-Mails an die eigene Belegschaft versendet und misst, wie sie reagiert. Dieser Leitfaden zeigt Ihnen Schritt für Schritt, wie Sie eine Phishing Simulation methodisch sauber, rechtssicher und ohne Bloßstellung Ihrer Mitarbeitenden durchführen – und so aus jedem Test einen Lernmoment machen.

Wichtig vorweg: Eine Phishing Simulation ist kein Selbstzweck und schon gar kein Mittel, um „die Dummen zu finden". Sie ist ein Trainings- und Messinstrument. Wer sie als Fallenstellen missversteht, zerstört Vertrauen und Meldebereitschaft – und damit genau das, was er aufbauen will.

Ziele: Was eine Phishing Simulation wirklich leisten soll

Bevor Sie die erste Mail versenden, klären Sie die Zielsetzung. Eine gute Simulation verfolgt drei Ziele gleichzeitig:

• Messen: Wie anfällig ist die Organisation heute? Wie viele klicken, wie viele geben Daten ein, wie viele melden?
• Trainieren: Jeder Klick wird zum Lernmoment. Statt Bestrafung folgt sofortiges, konkretes Feedback.
• Kultur verankern: Über mehrere Zyklen entsteht ein Reflex – verdächtige Mails werden gemeldet statt geklickt.

Was eine Phishing Simulation ausdrücklich nicht leisten soll: Einzelne an den Pranger stellen, Mitarbeitende verunsichern oder eine Quote produzieren, mit der man jemanden abmahnt. Die Auswertung erfolgt aggregiert. Der Lerneffekt steht über der Kontrolle. Wer das von Anfang an klar kommuniziert, gewinnt die Belegschaft als Verbündete statt als Gegner.

Merksatz
Das Ziel einer Phishing Simulation ist nicht, Klicker zu finden, sondern Melder zu schaffen. Eine steigende Meldequote ist der eigentliche Erfolg.

Der Ablauf in fünf Phasen

Eine professionelle Phishing Simulation folgt einem klaren Ablauf. Diese fünf Phasen haben sich in der Praxis bewährt.

Phase 1: Baseline messen

Starten Sie immer mit einer Baseline – einer ersten Simulation, bevor Sie groß schulen. Nur so kennen Sie den realen Ausgangszustand. Diese erste Kampagne sollte ein realistisches, mittleres Schwierigkeitsniveau haben und unangekündigt laufen (die generelle Einführung des Programms ist aber kommuniziert – dazu später mehr). Typische Baseline-Klickraten im Mittelstand liegen zwischen 25 und 35 Prozent, oft höher in Bereichen ohne bisheriges Awareness-Training. Diese Zahl ist Ihr Referenzpunkt für allen weiteren Fortschritt.

Phase 2: Templates auswählen und gestalten

Die Qualität der Simulation steht und fällt mit den Templates – den nachgebauten Phishing-Mails. Sie sollten realistische, aktuelle Angriffsmuster abbilden:

• Generische Köder: Paketbenachrichtigungen, angebliche Passwort-Abläufe, vermeintliche Microsoft-365-Warnungen.
• Unternehmensbezogene Köder: gefälschte interne Tools, Personalankündigungen, IT-Service-Mails.
• Spear-Phishing: auf einzelne Abteilungen zugeschnitten, etwa eine gefälschte Rechnung für die Buchhaltung oder eine Bewerbung für die Personalabteilung.

Wichtig ist Aktualität und sprachliche Qualität. Schlecht übersetzte Vorlagen aus dem Englischen trainieren das Falsche, weil reale Angriffe auf deutsche Unternehmen heute oft in einwandfreiem Deutsch verfasst sind. Achten Sie darauf, dass Templates sprachlich und kulturell zum deutschen Arbeitsumfeld passen.

Phase 3: Schwierigkeitsgrade staffeln

Eine einzelne Simulation sagt wenig. Der Lerneffekt entsteht über eine Serie mit steigendem Schwierigkeitsgrad. Beginnen Sie mit klar erkennbaren Mustern und steigern Sie schrittweise:

• Stufe 1 (leicht): offensichtliche Merkmale – fremder Absender, generische Anrede, Tippfehler, dubiose Links.
• Stufe 2 (mittel): plausiblerer Kontext, korrektes Deutsch, ein Detail, das nicht stimmt.
• Stufe 3 (schwer): personalisierte Spear-Phishing-Mails, gefälschte interne Absender, perfekt nachgebaute Login-Seiten.

Diese Staffelung verhindert Frustration zu Beginn und sorgt dafür, dass auch geübte Mitarbeitende gefordert bleiben. Sie spiegelt zudem die reale Bedrohungslage wider, in der Angriffe immer raffinierter werden.

Phase 4: Just-in-time-Training nach dem Klick

Hier liegt das Herzstück. Klickt jemand auf einen simulierten Link, darf kein erhobener Zeigefinger folgen, sondern eine kurze, freundliche Lernseite. Sie zeigt unmittelbar: „Das war eine simulierte Phishing-Mail. Hier sind die Warnzeichen, die Sie hätten erkennen können." Dieses Just-in-time-Training im Moment des Fehlers ist lernpsychologisch um ein Vielfaches wirksamer als eine Schulung Wochen später, weil der Kontext frisch und die Aufmerksamkeit maximal ist.

Die Lernseite sollte konkret sein: Sie markiert die verräterische Absenderadresse, den abweichenden Link-Ziel-Pfad, den künstlichen Zeitdruck. Drei bis vier klare Hinweise reichen. Ton: unterstützend, nicht beschämend. Wer hier richtig kommuniziert, verwandelt einen Fehlklick in den nachhaltigsten Lernmoment des ganzen Programms.

Phase 5: Auswerten und nachsteuern

Nach jeder Kampagne werten Sie aggregiert aus: Klickrate, Dateneingabe-Rate, Meldequote, Zeit bis zur ersten Meldung. Wiederholungstäter erhalten gezielte, vertrauliche Nachschulung – nicht als Sanktion, sondern als Angebot. Die Ergebnisse fließen in die Planung der nächsten Kampagne und in die Auswahl der Schulungsinhalte ein. So schließt sich der Kreis zwischen Messen und Trainieren.

Praxis-Tipp
Versenden Sie eine Simulationskampagne nicht an alle gleichzeitig, sondern zeitlich gestaffelt über mehrere Tage. So verhindern Sie, dass sich die Belegschaft per Flurfunk warnt („Achtung, Phishing-Test läuft!") und das Ergebnis verfälscht.

Rechtliche und betriebliche Aspekte: Betriebsrat, Datenschutz, keine Bloßstellung

Eine Phishing Simulation verarbeitet personenbezogene Daten – wer hat wann auf was geklickt. Damit berührt sie Datenschutz und Mitbestimmung. Diese Punkte müssen Sie vor dem ersten Versand klären, sonst riskieren Sie rechtliche Probleme und den Verlust der Belegschaftsakzeptanz.

• Betriebsrat frühzeitig einbinden. Phishing-Simulationen können der Mitbestimmung unterliegen, weil sie das Verhalten von Mitarbeitenden erfassen. Binden Sie den Betriebsrat von Anfang an ein und schließen Sie idealerweise eine Betriebsvereinbarung, die Zweck, Umfang und Auswertungsregeln festlegt.
• Datenschutz beachten. Die Datenverarbeitung muss zweckgebunden, transparent und datensparsam sein. Klären Sie Rechtsgrundlage und Aufbewahrungsfristen mit Ihrem Datenschutzbeauftragten.
• Keine Bloßstellung Einzelner. Das wichtigste Prinzip überhaupt: Auswertungen erfolgen aggregiert. Niemand wird namentlich genannt, keine Listen von „Klickern" zirkulieren im Management. Wiederholungstäter werden vertraulich und unterstützend angesprochen.
• Programm transparent ankündigen. Kommunizieren Sie, dass Phishing-Simulationen Teil des Awareness-Programms sind – ohne konkrete Termine zu verraten. Das schafft Akzeptanz und nimmt den Beigeschmack der heimlichen Überwachung.

Diese Sorgfalt ist kein bürokratisches Hindernis, sondern Voraussetzung für Wirksamkeit. Ein Programm, das als faire Befähigung wahrgenommen wird, erzeugt Meldebereitschaft. Ein Programm, das als Überwachung empfunden wird, erzeugt Misstrauen – und Mitarbeitende, die Vorfälle aus Angst verschweigen.

KPIs: Den Erfolg richtig messen

Welche Zahlen sagen wirklich etwas über Ihre Resilienz aus? Die wichtigsten Kennzahlen einer Phishing Simulation:

• Klickrate – Anteil der Empfänger, die den Link öffnen. Die bekannteste, aber nicht die einzig wichtige Kennzahl.
• Dateneingabe-Rate – Anteil derer, die auf der gefälschten Seite tatsächlich Zugangsdaten eingeben. Sie misst die schwerwiegendere Handlung und ist oft aussagekräftiger als der bloße Klick.
• Meldequote (Reporting-Rate) – Anteil derer, die die Mail aktiv melden. Die wichtigste Erfolgskennzahl überhaupt, weil sie aktives Schutzverhalten misst.
• Time-to-Report – wie schnell die erste Meldung eingeht. Im Ernstfall entscheidet diese Zeit darüber, wie viel Schaden das Security-Team verhindern kann.
• Resilienz-Entwicklung – die Veränderung dieser Werte über mehrere Quartale. Eine einzelne Zahl ist Momentaufnahme; der Trend ist die Wahrheit.

Setzen Sie diese KPIs immer in Relation zur Baseline und betrachten Sie sie über die Zeit. Eine ausführliche Behandlung von Definition, Baselining und Benchmarks finden Sie im Beitrag zu Awareness-KPIs. Und konkrete Hebel, um die wichtigste Zahl zu verbessern, beschreiben wir im Beitrag, wie Sie Ihre Phishing-Klickrate senken.

Merksatz
Eine Klickrate ohne Meldequote ist eine halbe Messung. Erst beide zusammen zeigen, ob Ihre Organisation nur weniger klickt – oder aktiv verteidigt.

Häufige Fehler bei Phishing-Simulationen

Auch eine gut gemeinte Simulation kann mehr schaden als nutzen, wenn sie handwerklich falsch aufgesetzt ist. Diese Stolpersteine sehen wir in der Praxis am häufigsten:

• Die „Gemeinheits-Falle". Templates, die mit emotional besonders sensiblen Themen ködern – etwa eine angebliche Gehaltserhöhung, eine Kündigung oder eine Bonusauszahlung. Solche Köder funktionieren technisch hervorragend, hinterlassen aber verärgerte und gedemütigte Mitarbeitende. Der Vertrauensschaden überwiegt den Lerneffekt. Bleiben Sie bei realistischen, aber fairen Szenarien.
• Zu seltene Kampagnen. Eine Simulation pro Jahr erzeugt keinen Lerneffekt, sondern nur eine Momentaufnahme. Der Reflex „melden statt klicken" entsteht erst durch Wiederholung im Quartalsrhythmus.
• Kein Just-in-time-Training. Wer nur misst und nicht im Moment des Klicks aufklärt, verschenkt den wertvollsten Lernmoment. Die Klickseite ist kein technisches Detail, sondern das pädagogische Herzstück.
• Fehlender oder versteckter Meldebutton. Wenn Mitarbeitende nicht wissen, wie und wo sie melden, kann die Meldequote nicht steigen – egal wie gut geschult wird. Ein sichtbarer „Phishing melden"-Button in Outlook ist Grundvoraussetzung.
• Bestrafungslogik. Sobald eine Simulation als Mittel zur Sanktion wahrgenommen wird, verschweigen Mitarbeitende echte Vorfälle aus Angst. Das ist das Gegenteil des Ziels.

Praxis-Tipp
Behandeln Sie die erste Meldung jeder Kampagne als Erfolg, nicht den ersten Klick als Versagen. Wer den ersten Melder im Team sichtbar wertschätzt, verändert die Kultur schneller als jede Mahnung.

Phishing-Simulation als Teil des großen Ganzen

Eine Phishing-Simulation ist mächtig, aber sie ist nur ein Baustein. Sie testet und trainiert das Verhalten bei E-Mail-Angriffen – nicht aber Passwort-Hygiene, sicheren Umgang mit Daten oder das Erkennen von Vishing-Anrufen. Ihre volle Wirkung entfaltet sie eingebettet in ein kontinuierliches Awareness-Programm aus E-Learning, Präsenzformaten und Nudges. Die Simulation liefert die Verhaltensdaten, das Programm liefert das Wissen und die kulturelle Verankerung – beides zusammen ergibt Resilienz. Wie dieses Gesamtprogramm aufgebaut wird, beschreibt unser Security Awareness Training Leitfaden.

WePhish: Phishing-Simulation aus EU-Hand

Für die Durchführung von Phishing-Simulationen haben wir bei welabs ein eigenes Produkt entwickelt: WePhish. Es ist auf die Anforderungen des deutschen Mittelstands zugeschnitten und adressiert genau die Punkte, die in diesem Leitfaden zentral sind:

• DSGVO-konform und EU-gehostet – Daten bleiben in der EU, keine Übermittlung in Drittländer.
• Realistische deutsche Templates in gestaffelten Schwierigkeitsgraden, sprachlich und kulturell passend.
• Just-in-time-Lernseiten, die im Moment des Klicks unterstützend statt belehrend aufklären.
• Aggregiertes Reporting ohne Bloßstellung Einzelner – kompatibel mit Betriebsrats- und Datenschutzanforderungen.

WePhish ist eines von mehreren guten Werkzeugen am Markt. Wie wir Phishing-Simulationen als begleitetes Projekt umsetzen — von Scoping und IP-Whitelisting über die Szenarien bis zum Abschlussbericht — lesen Sie auf der Seite Phishing-Simulation als Service; die Plattform selbst stellen wir auf der WePhish-Produktseite vor. Entscheidend ist am Ende nicht das Tool allein, sondern die Methodik dahinter.

Wie welabs Sie bei Phishing-Simulationen unterstützt

Eine Phishing Simulation ist schnell technisch aufgesetzt – aber methodisch, rechtlich und kulturell richtig durchzuführen, ist die eigentliche Kunst. welabs begleitet Sie über den gesamten Zyklus, von der ersten Baseline bis zum etablierten Programm.

Wir unterstützen Sie konkret bei:

• Konzeption und Baseline – wir messen Ihren Ausgangszustand und definieren passende Schwierigkeitsstufen. Mehr auf unserer Seite Security Awareness & Phishing-Simulation.
• Durchführung mit WePhish – realistische, deutsche Kampagnen mit Just-in-time-Training und DSGVO-konformem Reporting.
• Betriebsrats- und Datenschutz-Abstimmung – damit Ihre Simulation rechtssicher und ohne Bloßstellung läuft.
• Auswertung und Maßnahmen – wir übersetzen Ihre KPIs in konkrete Schulungs- und Verbesserungsschritte.

Sie möchten wissen, wie anfällig Ihre Organisation heute wirklich ist? Vereinbaren Sie ein kostenloses Erstgespräch – wir starten mit einer Baseline-Simulation.

Fazit

Eine Phishing Simulation ist das ehrlichste Awareness-Instrument, das es gibt: Sie zeigt nicht, was Mitarbeitende wissen, sondern wie sie unter realistischen Bedingungen handeln. Richtig durchgeführt – mit sauberer Baseline, gestaffelten Schwierigkeitsgraden, Just-in-time-Training und aggregierter, fairer Auswertung – verwandelt sie jeden Test in einen Lernmoment und jede Belegschaft Schritt für Schritt in eine wachsame Verteidigungslinie.

Der Schlüssel liegt in der Haltung: kein Fallenstellen, sondern Befähigen. Wer Betriebsrat und Datenschutz einbindet, niemanden bloßstellt und die Meldequote ebenso ernst nimmt wie die Klickrate, baut nicht nur eine Messung, sondern eine Sicherheitskultur. Und die ist im Ernstfall mehr wert als jede Firewall.