Wie funktionieren Phishing-Simulationen in Schulungen?

Was ist eine Phishing-Simulation, und was tut sie genau?

Eine Phishing-Simulation ist ein nachgestellter Phishing-Angriff, den Sie (oder Ihr Anbieter) an eine vordefinierte Gruppe von Mitarbeitenden senden. Die Nachrichten sehen aus wie echte Phishing-Mails, doch ein Klick führt nicht zu einem Angreifer, sondern zu einer sicheren Landingpage Ihrer Plattform. Dort erhält die Mitarbeitende eine kurze Erklärung dazu, was sie hätte erkennen können.

Das Ziel ist nicht, Menschen auflaufen zu lassen. Das Ziel ist, zwei Verhaltensweisen sichtbar zu machen: wie viele Mitarbeitende auf eine verdächtige Nachricht klicken (die Klickquote) und wie viele die Nachricht der IT melden (die Meldequote). Diese beiden Zahlen zusammen ergeben ein viel reicheres Bild als ein klassischer Test oder ein E-Learning-Ergebnis: sie zeigen, wie Mitarbeitende unter Druck handeln.

Eine gut aufgesetzte Phishing-Simulation ist ein wiederkehrender Teil Ihres Security-Awareness-Programms, keine Einmal-Aktion. Eine einzelne Messung sagt wenig; erst über zwölf Monate sehen Sie, ob die Klickquote sinkt und die Meldequote steigt, und erst dann wissen Sie, dass Ihr Programm wirkt.

Der technische Aufbau: vom Template zum Bericht

Eine Phishing-Simulation besteht aus vier Bausteinen, die eine gute Plattform mit wenigen Klicks kombiniert.

• Ein Template: Aussehen und Inhalt der Nachricht. Das kann eine nachgestellte Mail eines Paketdiensts sein, eine Fake-Rechnung, eine Microsoft-365-Anmeldeaufforderung oder eine Fake-Nachricht vom IT-Helpdesk. Eine gute Plattform bietet Dutzende Templates pro Branche, in jeder Sprache, die Ihre Organisation braucht.
• Eine Zielgruppe: wer die Nachricht erhält. Das kann die ganze Organisation sein, eine Abteilung, eine Rolle (alle Finance-Mitarbeitenden) oder eine Stichprobe. Eine gute Plattform synchronisiert Zielgruppen automatisch aus Ihrem HR-System oder Microsoft Entra ID.
• Eine Planung: wann die Nachricht versendet wird. Der Zeitpunkt beeinflusst das Ergebnis spürbar: ein hektischer Montagmorgen liefert andere Zahlen als ein ruhiger Freitagnachmittag. Eine gute Plattform erlaubt einen Jahreszyklus im Voraus zu planen, sodass das Programm ohne aktives Eingreifen läuft.
• Eine Landingpage und ein Bericht: was nach einem Klick passiert und was Sie zurücksehen. Bei einem Klick erhält die Mitarbeitende eine kurze Erklärung, die Plattform erfasst, wer geklickt und wer gemeldet hat, und Sie sehen ein Dashboard mit Klick- und Meldequoten pro Abteilung.

Was eine Simulation misst und was nicht

Eine Phishing-Simulation misst drei Dinge sehr gut und drei Dinge nicht. Diese Unterscheidung scharf zu halten ist wichtig, sonst ziehen Sie falsche Schlüsse.

Was eine Simulation misst: die Klickquote (welcher Anteil klickt auf eine verdächtige Nachricht), die Meldequote (welcher Anteil meldet über den Melde-Button oder Helpdesk) und die Zeit bis zur ersten Meldung (wie schnell jemand Alarm schlägt). Diese drei Zahlen zusammen ergeben ein zuverlässiges Bild der Meldekultur in Ihrer Organisation.

Was eine Simulation nicht misst: die Intelligenz einzelner Mitarbeitender, theoretisches Phishing-Wissen oder wie jemand unter echtem Angriffsdruck handeln wird. Wer auf eine gut gemachte KI-Simulation klickt, ist nicht „dumm“; er ist ein durchschnittlicher Nutzer in einem realistischen Angriff. Genau für diese Art Angriff sollte Ihr Programm trainieren.

In der Praxis ist das die wichtigste Erkenntnis: eine Organisation mit niedriger Klickquote und niedriger Meldequote ist nicht sicher. Es ist eine Organisation, in der Menschen schlicht nicht mehr melden. Eine Organisation mit durchschnittlicher Klickquote und hoher Meldequote ist hingegen widerstandsfähig, weil echte Angriffe schnell sichtbar werden.

Die drei Regeln, die Lernen von Bestrafung trennen

Eine Phishing-Simulation kann in falschen Händen mehr zerstören als aufbauen. Drei Regeln entscheiden, ob Ihre Simulation ein Lerninstrument wird oder ein Werkzeug, das die Meldekultur untergräbt.

• Meldungen messen, Meldungen kommunizieren, Meldungen würdigen. Wer eine Simulation meldet, erhält eine kurze Dankesnachricht. Wenn ein Team gut auf Meldungen abschneidet, erwähnen Sie das in einem Newsletter. So wird Melden sichtbar als positives Verhalten und die Quote steigt Monat für Monat.
• Niemals einen Klick bestrafen. Wer klickt, erhält eine kurze Erklärung: „Das war eine Simulation. Das sind die drei Zeichen, die Sie hätten erkennen können.“ Schluss. Keine Mail an die Führungskraft, keine Pflicht-Nachschulung, keine Erwähnung im Beurteilungsgespräch. Ein Klick ist ein Lernmoment, kein Verstoß.
• Niemals individuelle Zahlen an Führungskräfte berichten. Aggregierte Zahlen pro Abteilung helfen zu entscheiden, wo Inhalte verstärkt werden müssen. Individuelle Zahlen an die Führungskraft: nie. Der Moment, in dem das passiert, ist der Moment, in dem Mitarbeitende aufhören zu melden, und damit verlieren Sie Ihre wichtigste Verteidigungsschicht gegen echte Angriffe.
• Den Rhythmus auf den Organisationskontext abstimmen. Eine Simulation während einer Reorganisation oder kurz vor der Bonus-Auszahlung fühlt sich wie ein aggressiver Akt an, nicht wie Training. Menschen sind dann ohnehin verunsichert, und was Sie beschädigen, ist nicht die Klickquote, sondern das Vertrauen ins Programm. Eine schlecht getimte Simulation kann ein Awareness-Programm jahrelang zurückwerfen.

Moderne Simulationsformen und die Feedback-Schleife

Eine Phishing-Simulation, die 2026 immer noch nur klassische E-Mails mit holprigen Sätzen verschickt, trainiert Mitarbeitende auf ein Angriffsmuster, das es kaum noch gibt. Realistische Simulationen nehmen die modernen Angriffstechniken aus der Praxis mit.

• Klassische Phishing-Mail, aber in fehlerfreier Sprache und mit perfektem Branding, erzeugt, wie es ein KI-Angreifer in Sekunden tut. Das ist der wichtigste Basistyp im Jahr 2026.
• Smishing (SMS-Phishing) an das berufliche oder hinterlegte private Telefon, mit kurzem Text und gekürzter URL. Das trainiert Erkennen auf dem Gerät, auf dem Menschen am wenigsten kritisch sind.
• Quishing (QR-Phishing) per Bild in einer Mail oder auf einem Poster. Der QR-Code führt zu einer sicheren Landingpage. Das übt das Muster, dass E-Mail-Filter keine QR-Codes lesen.
• MFA-Fatigue-Szenario: ein kurzer Schwall nachgestellter Push-Benachrichtigungen oder eine Anmeldeaufforderung zu ungewöhnlicher Zeit. Das trainiert die Erkennung von Adversary-in-the-Middle-Mustern und Push-Bombing.
• Die Feedback-Schleife: wer klickt, erhält sofort ein kurzes Microlearning-Modul mit den drei Zeichen, die er hätte erkennen können. Keine Verwaltung, keine Eskalation, einfach ein direkter Lernmoment. Diese Verknüpfung von Klick und Lernen macht aus einer Simulation Training statt Kontrolle.

Wie Sie das in Ihrem Awareness-Programm verankern

Eine Phishing-Simulation ist keine Einzelaktion, sondern Teil eines breiteren Awareness-Zyklus. In der Praxis funktioniert ein Rhythmus von vier bis sechs Simulationen pro Jahr für die meisten Organisationen am besten, abwechselnd mit kurzen E-Learning-Modulen und periodischer Kommunikation über Intranet, Plakate oder Teambesprechungen.

Beginnen Sie mit einer Nullmessung, bevor Sie inhaltlich starten. Sie gibt einen ehrlichen Ausgangspunkt: ohne gezieltes Programm liegt eine Organisation meist bei 25 bis 35 Prozent Klickquote und 10 bis 15 Prozent Meldequote. Mit einem reifen Programm sinkt die Klickquote in zwölf bis achtzehn Monaten auf 5 bis 10 Prozent, die Meldequote steigt auf 60 bis 75 Prozent. Der Vergleich mit der eigenen Nullmessung ist wichtiger als der Vergleich mit externen Benchmarks.

Verbinden Sie die Simulation mit der echten Realität Ihrer Organisation. Senden Sie nicht immer das gleiche generische Template, sondern Szenarien, die zu dem passen, was Ihre Mitarbeitenden in der Inbox sehen: Lieferantenkommunikation für Finance, Kundenmails für Service, IT-Meldungen für alle. Je näher die Simulation an der Realität liegt, desto mehr lernt eine Mitarbeitende aus einem Fehler.

Und zuletzt: lassen Sie den Melde-Button sichtbar im Mail-Client, verbunden mit einem einfachen Triage-Prozess. Eine hohe Meldequote ist nur nützlich, wenn auch etwas mit den Meldungen geschieht: schnelle Rückmeldung an die Meldenden, tägliche Triage durch das Security-Team und bei einem echten Angriff eine zügige Warnung an die übrige Organisation. Erst dann wird die Simulation mehr als eine isolierte Zahl: sie wird Teil eines funktionierenden Verteidigungsprozesses.

Verwandte Artikel

• Warum Phishing-Simulationen funktionieren
• Wenn Phishing-Simulationen kontraproduktiv sind
• Phishing-KPIs, die wirklich aussagen
• E-Mail-Sicherheit und Social Engineering

Quellen

• CISA: Social Engineering und Phishing vermeiden
• NCSC NL: Phishing (Übersicht)
• SANS Security Awareness: phishing benchmarks

FAQ

Was ist eine Phishing-Simulation genau?

Eine Phishing-Simulation ist ein kontrollierter, nachgestellter Phishing-Angriff, den Sie an Ihre eigenen Mitarbeitenden senden, um zu sehen, wie viele klicken und wie viele melden. Es ist kein echter Angriff: ein Klick führt zu einer sicheren Landingpage der Plattform mit kurzer Erklärung.

Soll ich Mitarbeitende vorab über Simulationen informieren?

Ja, allgemein. Kündigen Sie zum Programmstart an, dass Phishing-Simulationen Teil des Programms sind und welchen Zweck sie haben. Einzelne Simulationen werden nicht angekündigt, das würde Messen unmöglich machen, aber das Grundprinzip soll bekannt und in der Richtlinie verankert sein.

Was ist eine gute Klickquote in einer Phishing-Simulation?

Ohne gezieltes Programm liegt eine durchschnittliche Organisation bei 25 bis 35 Prozent Klickquote. Mit einem reifen Programm sinkt sie in zwölf bis achtzehn Monaten auf 5 bis 10 Prozent. Wichtiger als die absolute Zahl ist die Bewegung gegenüber der eigenen Nullmessung.

Darf ich individuelle Klickergebnisse mit Führungskräften teilen?

Nein. Sobald Mitarbeitende wissen, dass ihr individuelles Klickverhalten an die Führungskraft geht, sinken Meldungen stark. Damit verlieren Sie die frühe Erkennung echter Angriffe. Aggregierte Zahlen pro Abteilung sind dagegen sinnvoll, um Inhalte gezielt zu verstärken.

Wie oft sollte ich Phishing-Simulationen durchführen?

Vier bis sechs Simulationen pro Jahr funktionieren in den meisten Organisationen gut. Häufiger führt zu Ermüdung, seltener bietet zu wenig Übung. Wichtiger als die Anzahl ist die Abwechslung in Form (E-Mail, Smishing, Quishing) und Schwierigkeit.

Was unterscheidet eine Phishing-Simulation von einem echten Phishing-Angriff?

Technisch ähneln sie sich, doch bei einer Simulation führt der Link zu einer sicheren Landingpage Ihrer Plattform statt zu einem Angreifer. Es werden keine Passwörter oder Daten erbeutet und keine Schadsoftware installiert. Festgehalten wird nur, wer geklickt und wer gemeldet hat.

Woran erkenne ich, dass meine Phishing-Simulationen wirken?

Schauen Sie über sechs bis zwölf Monate auf drei Zahlen: die Klickquote soll sinken, die Meldequote soll steigen, und die Zeit bis zur ersten Meldung soll kürzer werden. Eine einzelne Simulation sagt wenig; erst der Trend über mehrere Simulationen zeigt, ob das Programm wirkt.