Phishing-Simulation & Security-Awareness-Training: So werden Mitarbeitende zur Firewall

Das Wichtigste in Kürze

• Eine Phishing-Simulation ist eine kontrollierte Sicherheitsübung: Mitarbeitende erhalten harmlose Test-Phishing-Mails, jeder Klick wird zum Lernmoment - ohne echten Schaden.
• Die Kombination mit Security-Awareness-Training wirkt nachweislich: Ohne Training fallen im Schnitt 34,3 % der Beschäftigten auf einen Phishing-Test herein - nach zwölf Monaten kontinuierlichem Training sinkt dieser Wert auf 4,6 % (KnowBe4 2024).
• Kostenrahmen: Eine SaaS-Lösung ist für KMU gut kalkulierbar - der jährliche Aufwand pro User bleibt überschaubar und liegt deutlich unter dem Schaden eines einzigen erfolgreichen Angriffs.
• Rechtlich gilt: kein Bloßstellen Einzelner, Datenschutz vorab klären, einen vorhandenen Betriebsrat früh einbinden.
• Intern machbar - aber die meisten KMU ohne eigene Security-Abteilung fahren mit einem Managed-Ansatz über einen IT-Partner besser.

Warum Technik allein nicht reicht

Spamfilter, Virenschutz und Firewalls fangen viel ab - aber nie alles. Moderne Phishing-Mails sind sprachlich fehlerfrei, greifen echten Unternehmenskontext auf und umgehen technische Schutzmaßnahmen gezielt. KI-generierte Angriffe erreichen deutlich höhere Klickraten als generische Massenmails - sie sind sprachlich fehlerfrei und wirken täuschend echt.

Der Faktor Mensch entscheidet also mit über Ihre IT-Sicherheit: Laut dem Verizon Data Breach Investigations Report (DBIR) 2024 ist bei 68 % der Sicherheitsvorfälle ein menschlicher Faktor beteiligt - und ein Phishing-Link wird in Simulationen im Median bereits nach 21 Sekunden angeklickt. Das ist keine Schwäche Ihrer Belegschaft, sondern Kalkül der Angreifenden: Sie setzen auf psychologische Tricks wie Zeitdruck, Autorität oder Neugier - klassisches Social Engineering. Dazu kommen gefälschte Absenderadressen; die Technik dahinter erklärt unser Beitrag zum Thema Spoofing.

Und das bedeutet für Sie: Wer nur in Technik investiert, nutzt die halbe Verteidigung nicht. Sicherheitsmodelle wie Zero Trust begrenzen den Schaden eines Klicks - verhindern kann ihn nur ein geschulter User.

Was ist eine Phishing-Simulation? Ablauf, Ziele, Kennzahlen

Eine Phishing-Simulation - oft auch Phishing-Test genannt - ist eine Cybersicherheitsübung zur Schulung von Mitarbeitenden: Ein Dienstleister oder Ihre IT versendet realistische, aber harmlose Phishing-E-Mails an die Belegschaft. Wer klickt, landet nicht bei Angreifenden, sondern auf einer Lernseite. Wichtig: Eine Simulation ist keine Falle und kein Prüfstand für Einzelne - sie ist eine Lernmaßnahme, die die menschliche Firewall stärkt.

Eine typische Kampagne läuft in Wellen über mehrere Wochen: Vorbereitung und Freigaben, Pilotversand an eine kleine Gruppe, gestaffelter Versand an die Belegschaft, Auswertung - und direkt gekoppeltes Training für alle, die geklickt haben.

Messbare Ziele definieren:

• Senkung der Klickrate auf einen definierten Zielwert (z. B. unter 5 %)
• Steigerung der Meldequote (Report-Rate) auf über 30 %
• Reduzierung der Fälle, in denen Zugangsdaten eingegeben werden
• Identifikation von Wiederholungs-Klickern für gezielte Schulung

Die wichtigsten Kennzahlen im Überblick:

<TABELLE>

<HEADER>

KPI

Beschreibung

Zielwert

<CONTENT>

Klickrate

Anteil der User, die auf den Link klicken

< 5 %

<CONTENT>

Meldequote

Anteil, der die Mail an die IT meldet

> 30 %

<CONTENT>

Dateneingabe-Rate

Anteil, der Zugangsdaten eingibt

< 2 %

<CONTENT>

Time-to-Report

Zeit bis zur Meldung

< 30 Min.

</TABELLE>

Dass der Ansatz wirkt, zeigt die Praxis: Bei kontinuierlicher Simulation sinkt die Klickrate über mehrere Monate spürbar. Richten Sie Ihre Ziele zusätzlich an Compliance-Anforderungen (ISO 27001, DSGVO) und den Risikoprioritäten Ihres Unternehmens aus - so dokumentieren Sie zugleich Ihre Maßnahmen zur Risikominimierung in der IT-Sicherheit.

So planen Sie eine Phishing-Kampagne

Die Durchführung von Phishing-Simulationen erfordert sorgfältige Planung. Ohne strukturierte Vorbereitung riskieren Sie verzerrte Ergebnisse und Widerstand im Team.

Zielgruppen und Stichprobe: Differenzieren Sie nach Rolle (Finanzen, HR, IT), Zugriff auf sensible Informationen und Standort. Starten Sie mit einer Pilotgruppe von rund 10 % pro Abteilung, bevor Sie skalieren.

Schwierigkeitsgrad und Themen: Die erste Test-E-Mail sollte ein mittleres Niveau haben - weder zu offensichtlich noch hochgradig personalisiert. Der Unterschied ist erheblich: Kontextualisierte Spear-Phishing-Varianten erreichen ein Vielfaches der Klickrate von standardisierten Massen-Mails.

Zeitplan und Versandfenster: Planen Sie den Versand über mehrere Wellen und vermeiden Sie vorhersehbare Muster wie „immer Montagmorgen“. Vier bis sechs Simulationen pro Jahr gelten als sinnvoller Takt für eine kontinuierliche Sensibilisierung.

Freigaben einholen: Holen Sie vor dem Start die Zustimmung von Geschäftsführung, IT, HR und Datenschutzbeauftragtem ein. Klären Sie, welche Daten erhoben werden, wer Reports einsehen darf und ob personenbezogen oder anonymisiert ausgewertet wird.

Realistische Phishing-E-Mails: Betreff, Inhalt, Personalisierung

Der Kern jeder Phishing-Kampagne sind die Mails selbst. Nur realistische E-Mails erzeugen einen echten Trainingseffekt.

Betreffzeilen und Text: Verwenden Sie Betreffzeilen, die im Unternehmenskontext plausibel klingen: „Ihre Gehaltsabrechnung - Aktion erforderlich“, „Neues Sicherheitsupdate installieren“ oder „Rechnung zur Freigabe“. Halten Sie den Text kurz und professionell, mit Logo, Signatur und Fußzeile. Vermeiden Sie leicht erkennbare Fehler - Rechtschreibfehler oder unpassende Layouts reduzieren den Lerneffekt.

Personalisierung: Der Absendername einer bekannten Führungskraft oder internen Abteilung, Bezug auf laufende Projekte oder Workflow-Änderungen - die Glaubwürdigkeit bestimmt den Trainingseffekt. Variieren Sie die Themen: Rechnungs-, Sicherheits- und HR-Szenarien erzeugen erfahrungsgemäß die höchste Anfälligkeit.

Link- oder Anhang-Szenario:

• Link-Szenarien: „Dokument zur Freigabe“, „Passwort zurücksetzen“
• Anhang-Szenarien: PDF oder Word-Dokument (technisch aufwendiger, aber realistisch)

Landingpage zur Auflösung: Erstellen Sie eine Feedback-Seite, die bei Interaktion sofort erscheint. Dieser „Teachable Moment“ zeigt den Mitarbeitenden, woran sie die Phishing-Mail hätten erkennen können - ohne echten Schaden.

Versand und Durchführung

1. Pilotversand durchführen: Testen Sie mit 5 - 10 Personen, ob die Mail zugestellt wird, Spamfilter greifen und die Landingpage funktioniert.
2. Zustellbarkeit sicherstellen: Die IT muss die Absenderdomain freigeben; SPF, DKIM und DMARC müssen korrekt konfiguriert sein, damit die simulierten Mails nicht im Spamordner landen. Die Grundlagen dazu erklärt unser Beitrag zur E-Mail-Sicherheit; bei einer gemanagten Mail-Sicherheit übernimmt Ihr Dienstleister diese Abstimmung.
3. Gestaffelt versenden: In mehreren Wellen statt an alle gleichzeitig - so können Sie zwischen den Wellen nachjustieren, und die Mitarbeitenden warnen sich nicht gegenseitig.
4. Live mitverfolgen: Beobachten Sie Öffnungen, Klicks, Dateneingaben und Meldungen in Echtzeit und reagieren Sie bei technischen Problemen sofort.

Und das bedeutet für Sie: Genau an dieser Stelle - Whitelisting, Mail-Infrastruktur, Monitoring - binden die meisten KMU ohne eigene IT-Abteilung einen externen Partner ein.

Security-Awareness-Training: mehr als ein Pflicht-E-Learning

Simulationen allein reichen nicht. Erst die Kopplung mit einem Security-Awareness-Training macht aus dem Aha-Moment nachhaltiges Verhalten.

Teachable Moments nutzen: Verknüpfen Sie jeden Klick direkt mit einem kurzen E-Learning-Modul. Wer auf eine simulierte Phishing-Mail hereinfällt, sieht sofort, an welchen Merkmalen er den Angriff hätte erkennen können.

Microlearning statt Marathonschulung: Lerneinheiten von 2 - 5 Minuten direkt nach dem Fehler wirken besser als die jährliche Pflichtveranstaltung. Gamification - Punkte, Fortschritte, Team-Vergleiche - hält die Motivation hoch und steigert die Meldequote.

In bestehende Systeme integrieren: Wenn Sie bereits eine Lernplattform (LMS) nutzen, integrieren Sie die Inhalte dort - so dokumentieren Sie Teilnahmequoten auch für Audits.

Live-Workshops für Schlüsselrollen: Für Führungskräfte, Finanzbuchhaltung oder Assistenz lohnen ergänzende Workshops, die Social-Engineering-Taktiken greifbar machen - diese Rollen stehen bei Angreifenden besonders hoch im Kurs.

Auswertung: Diese Kennzahlen zeigen, ob Ihr Programm wirkt

Die Auswertung der Klick- und Melderaten macht Fortschritt messbar und zeigt, wo Schulungsbedarf besteht.

• Öffnungsrate: Wie viele User öffnen die Mail?
• Klickrate: Wie viele klicken auf den Link? Anhang-Szenarien erzielen erfahrungsgemäß höhere Klickraten als reine Link-Mails.
• Dateneingabe-Rate: Wer gibt Passwörter oder andere Daten ein?
• Meldequote: Der wichtigste Indikator für ein reifes Programm - Ihre Mitarbeitenden müssen wissen, wie und wo sie verdächtige Mails melden.

Nach Abteilungen segmentieren: Brechen Sie die Ergebnisse auf Abteilungsebene herunter, ohne Einzelne vorzuführen. Zur Einordnung: Reife Programme in stark regulierten Branchen erreichen sehr niedrige Klickraten, während weniger sensibilisierte Branchen deutlich höher liegen.

Die Ergebnisse der Phishing-Tests zeigen, wo Schulungsbedarf besteht. Nutzen Sie sie, um Szenarien und Trainings zu verbessern - und passen Sie Ihre Simulationen an reale Phishing-Bedrohungen an, etwa aktuelle Angriffswellen in Ihrer Branche.

Rechtlich sauber simulieren: Datenschutz, Betriebsrat, Lernkultur

Eine Phishing-Simulation berührt Persönlichkeitsrechte und Datenschutz - mit klaren Spielregeln bleibt sie trotzdem unkompliziert.

• Kein Bloßstellen: Informieren Sie betroffene User vertraulich. Wer vor Kolleg*innen vorgeführt wird, meldet den nächsten echten Angriff garantiert nicht. Vereinbaren Sie anonymisierte Reports für das Management; personenbezogen wird nur dort ausgewertet, wo es für Nachschulungen nötig ist.
• DSGVO mit dem Datenschutzbeauftragten klären: Welche personenbezogenen Daten werden verarbeitet, wie lange gespeichert, wer hat Zugriff? Achten Sie bei der Software auf Datenhosting in der EU und einen Auftragsverarbeitungsvertrag.
• Betriebsrat einbinden: Phishing-Simulationen können als Verhaltens- oder Leistungskontrolle gelten und damit der Mitbestimmung unterliegen. Wenn es einen Betriebsrat gibt: früh einbinden - das ist nicht nur rechtlich geboten, sondern erhöht auch die Akzeptanz.
• Dokumentieren: Halten Sie Freigaben und Abläufe revisionssicher fest - als Teil Ihrer Sicherheitsdokumentation und für Audits (z. B. ISO 27001).

Lernkultur statt Sanktion: Ordnen Sie Wiederholungs-Klickern zusätzliche Trainingsmodule zu, statt Konsequenzen anzudrohen - Anerkennung für korrektes Melden wirkt stärker als jede Strafe. So wächst die Phishing-Awareness der gesamten Organisation. Und falls jemand bei einem echten Phishing-Angriff Zugangsdaten eingegeben hat: sofort Passwörter zurücksetzen und das Konto auf verdächtige Aktivitäten prüfen.

Intern durchführen oder machen lassen?

Bei der Phishing-Simulationssoftware gibt es drei Wege: Open Source selbst betreiben, eine SaaS-Lösung einkaufen oder das Programm komplett als Managed Service beziehen. Prüfen Sie bei der Auswahl vier Kriterien:

• Automatisierung: automatische Kampagnensteuerung, Training direkt nach dem Klick, adaptive Schwierigkeitsgrade
• Reporting: Dashboards mit Segmentierung nach Abteilung und Rolle
• Datenschutz: EU-Hosting, DSGVO-Konformität, Auftragsverarbeitungsvertrag
• Integration: Kompatibilität mit Outlook bzw. Microsoft 365 und Ihrer Lernplattform

<TABELLE>

<HEADER>

Tool

Stärke

Besonderheit

<CONTENT>

GoPhish

Selbst-Hosting, volle Kontrolle

Open-Source-Framework, keine Lizenzkosten

<CONTENT>

Microsoft Attack Simulation

Outlook-Integration

Teil von Microsoft Defender

<CONTENT>

SoSafe

KI-personalisierte Simulationen

Starker Fokus auf den deutschsprachigen Markt

<CONTENT>

Hornetsecurity Security Awareness Service

Automatisiertes Awareness-Training, Spear-Phishing-Simulation

Deutscher Anbieter, DSGVO-konform, Microsoft-365-Integration

<CONTENT>

Sophos Phish Threat

Große Vorlagenbibliothek

Über 500 Phishing-Vorlagen

<CONTENT>

Hoxhunt

Adaptive KI, Gamification

Eher für Großunternehmen ausgelegt

<CONTENT>

Cofense PhishMe

Incident-Response-Integration

Anpassbare Phishing-Simulationen

</TABELLE>

GoPhish eignet sich für technisch versierte IT-Teams mit kleinem Budget - Open Source bedeutet volle Kontrolle, aber laufenden Betriebsaufwand. Unternehmen im Microsoft-365-Umfeld können Attack Simulation Training als Teil von Microsoft Defender nutzen. SoSafe ist interessant, wenn Sie KI-personalisierte Simulationen mit DACH-Fokus suchen. Fordern Sie in jedem Fall Testzugänge oder eine Demo-Kampagne an, bevor Sie sich festlegen.

Die ehrliche Antwort für die meisten Unternehmen mit 10 - 200 Arbeitsplätzen lautet allerdings: betreiben lassen. Ein Managed-Ansatz über ein IT-Systemhaus nimmt Ihnen Kampagnensteuerung, Whitelisting, Auswertung und Training ab. Prüfen Sie dabei Referenzen aus vergleichbaren Unternehmensgrößen, deutschsprachigen Support und anonymisierte Reporting-Optionen.

Kosten & Aufwand für KMU

<TABELLE>

<HEADER>

Lösung

Kostenmodell

Anmerkung

<CONTENT>

GoPhish (Open Source)

keine Lizenzkosten

Personal- und Serverkosten einrechnen

<CONTENT>

SaaS (z. B. KnowBe4, SoSafe)

moderate Lizenz pro User

Inkl. Vorlagen, Training und Reporting

<CONTENT>

Enterprise (z. B. Hoxhunt)

höhere Lizenz pro User

KI-gestützt, für Großunternehmen

</TABELLE>

Für ein mittleres Unternehmen im Rhein-Main-Gebiet bleibt der jährliche Aufwand für Phishing-Simulationen und Security-Awareness-Training überschaubar. Zum Vergleich: Ein einziger erfolgreicher Phishing-Angriff kostet ein KMU durch Ausfall, Wiederherstellung und mögliche Meldepflichten schnell einen fünfstelligen Betrag.

Klein starten: Beginnen Sie mit einer Abteilung und 1 - 2 Kampagnen über 4 - 6 Wochen, bevor Sie auf das ganze Unternehmen skalieren.

Takt festlegen: Mindestens zwei Phishing-Tests pro Jahr, besser quartalsweise - ergänzt um anlassbezogene Kampagnen bei neuen Bedrohungen. Erhöhen Sie die Schwierigkeit schrittweise und nehmen Sie später auch Phishing-Versuche per SMS (Smishing) oder QR-Code auf.

Budget vollständig planen: Kalkulieren Sie neben der Phishing-Simulationssoftware auch Lizenzen für E-Learning-Module und gegebenenfalls externe Workshops ein.

In 5 Schritten zum Awareness-Programm

1. Ziele und Freigaben klären: Zielwerte für Klick- und Meldequote festlegen; Geschäftsführung, Datenschutzbeauftragten, IT und - falls vorhanden - Betriebsrat einbinden.
2. Werkzeug oder Partner wählen: Auswahlkriterien prüfen (Automatisierung, Reporting, DSGVO, Integration), Demo-Kampagne testen, intern oder Managed entscheiden.
3. Pilot durchführen: Eine Abteilung, 1 - 2 Kampagnen; Zustellbarkeit, Whitelist und Landingpage vorab testen.
4. Training koppeln: Teachable Moments und Microlearning aktivieren, einen einfachen Meldeweg etablieren (z. B. Melde-Button in Outlook).
5. Messen und skalieren: Kennzahlen je Welle auswerten, Szenarien nachschärfen, quartalsweise auf das ganze Unternehmen ausrollen.

Der Erfolg einer Phishing-Simulation hängt nicht an einer einzelnen Kampagne, sondern an der Zusammenarbeit von IT, Management und Mitarbeitenden über viele Zyklen hinweg. Cybersicherheit ist kein einmaliges Projekt, sondern ein laufender Prozess.

FAQ: Häufige Fragen zu Phishing-Simulation und Awareness-Training

<FAQ>

<FRAGE>

Wie oft sollten wir eine Phishing-Simulation durchführen?

<ANTWORT>
Mindestens zweimal pro Jahr, besser quartalsweise. Entscheidend ist die Kontinuität: Einmalige Aktionen verpuffen, regelmäßige Wellen mit wechselnden Szenarien halten die Aufmerksamkeit hoch, ohne zu ermüden.

<FRAGE>

Was sagt eine Klickrate wirklich aus?

<ANTWORT>
Sie ist eine Momentaufnahme, kein Urteil über Ihre Belegschaft. Eine hochpersonalisierte Mail erreicht auch bei geschulten Teams hohe Werte - ein Vielfaches dessen, was Standard-Mails schaffen. Aussagekräftiger sind der Trend über mehrere Wellen und die Meldequote.

<FRAGE>

Muss der Betriebsrat zustimmen?

<ANTWORT>
Wenn ein Betriebsrat existiert, sollten Sie ihn in jedem Fall früh einbinden: Phishing-Simulationen können als Verhaltens- oder Leistungskontrolle mitbestimmungspflichtig sein. Eine gemeinsame Vereinbarung - etwa zu anonymisierter Auswertung - schafft Rechtssicherheit und Akzeptanz. Im Zweifel holen Sie rechtlichen Rat ein.

<FRAGE>

Was kostet Security-Awareness-Training pro Mitarbeiter*in?

<ANTWORT>
SaaS-Pakete inklusive Phishing-Simulationen liegen pro User und Jahr im überschaubaren Bereich; Enterprise-Lösungen darüber. Open-Source-Werkzeuge kosten keine Lizenz, dafür interne Arbeitszeit für Betrieb und Pflege.

</FAQ>

Fazit: Mitarbeitende zur Firewall machen

Kein Tool und keine Firewall schützt so wirksam vor Phishing wie User, die Angriffe erkennen und melden. Starten Sie mit einem kleinen Pilotprojekt, messen Sie Ihre Ergebnisse und bauen Sie das Programm Schritt für Schritt aus.

Wenn Sie Phishing-Simulation und Security-Awareness-Training nicht selbst stemmen möchten: Als IT-Systemhaus für den Mittelstand im Rhein-Main-Gebiet begleitet juunit Sie von der ersten Kampagne bis zum laufenden Awareness-Programm. Lassen Sie sich beraten - unsere IT-Sicherheitsberatung zeigt Ihnen, wo Sie stehen und welcher Einstieg zu Ihrem Unternehmen passt.

Quellen und weiterführende Informationen

Die Einschätzungen in diesem Beitrag stützen sich auf öffentlich zugängliche Lageberichte und Studien anerkannter Stellen:

• BSI - Spam, Phishing & Co.
• BSI - Die Lage der IT-Sicherheit in Deutschland (Lagebericht)
• Verizon - Data Breach Investigations Report (DBIR) 2026
• KnowBe4 - Phishing by Industry Benchmarking Report 2026
• ENISA - Threat Landscape

Dieser Beitrag ersetzt keine rechtliche Beratung. Bei konkreten Datenschutz- oder Mitbestimmungsfragen wenden Sie sich an einen Fachanwalt für IT-Recht oder Ihren Datenschutzbeauftragten.

Die Umsetzung von Normanforderungen ist unternehmensspezifisch. Dieser Beitrag bietet eine Übersicht, ersetzt aber keine Audit-Beratung.