Über 90 Prozent der erfolgreichen Cyberangriffe beginnen mit einer E-Mail. Man kann darauf mit jährlichen Pflicht-Schulungsvideos reagieren — oder ehrlich messen, wie das eigene Team auf einen realistischen Angriff reagiert. Wir betreiben für unsere Mandanten eine eigene, selbst gehostete Phishing-Simulations-Plattform und haben dabei einiges darüber gelernt, was funktioniert und was nach hinten losgeht.
Warum simulieren statt nur schulen?
Eine Schulung vermittelt Wissen; eine Simulation misst Verhalten — und das sind zwei sehr verschiedene Dinge. Nach der Schulung wissen alle, dass man Links prüfen soll. Drei Wochen später, montags um 8:40 Uhr, zwischen zwei Terminen, klickt trotzdem jeder Fünfte auf die täuschend echte „Ihr Passwort läuft ab"-Mail. Genau diese Lücke zwischen Wissen und Verhalten macht die Simulation sichtbar — und über wiederholte Kampagnen auch die Verbesserung.
Die Spielregeln, die über Erfolg oder Vertrauensbruch entscheiden
- Keine Bloßstellung Einzelner. Ausgewertet werden Quoten (Klicks, Datenpreisgabe, Meldungen) — nie einzelne Namen gegenüber Vorgesetzten. Wer klickt, landet in einer freundlichen Lernschleife, nicht auf einer Liste. Sonst meldet nie wieder jemand einen echten Vorfall.
- Betriebsrat und Datenschutz von Anfang an einbinden. Eine Simulation verarbeitet Beschäftigtendaten — Zweck, Auswertung und Aufbewahrung gehören geregelt und dokumentiert, inklusive Eintrag im Verarbeitungsverzeichnis.
- Die Meldequote ist die wichtigste Kennzahl — nicht die Klickquote. Ziel ist eine Kultur, in der die verdächtige Mail nach 90 Sekunden bei der IT liegt. Eine sinkende Klickquote bei gleichzeitig steigender Meldequote: Das ist Awareness.
- Realistisch, aber fair. Gefälschte Gehaltsabrechnungen oder Kündigungs-Mails erzeugen Angst statt Lerneffekt. Gute Szenarien sind alltagsnah: Paketdienst, geteiltes Dokument, IT-Support.
Erfahrungswert aus unseren Kampagnen: Der größte Sprung kommt nicht nach der ersten Simulation, sondern nach der zweiten — wenn das Team gemerkt hat, dass Melden gelobt wird und niemand vorgeführt wurde. Ab da arbeitet die Belegschaft mit dem Sicherheitsteam statt gegen es.
Einordnung: Baustein, nicht Wunderwaffe
Eine Simulation ersetzt weder technische Maßnahmen (Mail-Filter, Zwei-Faktor-Authentifizierung, Makro-Härtung) noch die Schulung — sie verbindet beides zu einem Kreislauf: messen, schulen, wieder messen. In einem ISMS nach ISO 27001 zahlt sie direkt auf die Awareness-Anforderungen ein; wie das größere Bild aussieht, beschreibt unser Informationssicherheits-Portal.
Fazit
Richtig aufgesetzt ist die Phishing-Simulation das ehrlichste Messinstrument der Informationssicherheit — und ein Kulturprojekt, kein Überwachungsprojekt. Wer die Fairness-Regeln ernst nimmt, bekommt beides: belastbare Zahlen für das Management und eine Belegschaft, die im Ernstfall richtig reagiert.