Eine täuschend echte E-Mail zur angeblichen Microsoft-365-Anmeldung, eine dringende Rechnung eines bekannten Lieferanten oder eine Nachricht der Geschäftsführung: Genau solche Situationen entscheiden im Alltag darüber, ob ein Angriff gestoppt wird oder Zugangsdaten in falsche Hände geraten. Wer Phishing Simulationen im Unternehmen durchführen möchte, prüft nicht nur das Wissen einzelner Mitarbeitender. Er schafft eine belastbare Grundlage, um Sicherheitsrisiken gezielt und ohne Schuldzuweisungen zu reduzieren.
Technische Schutzmaßnahmen wie E-Mail-Filter, Multi-Faktor-Authentifizierung und laufende Updates bleiben unverzichtbar. Sie können jedoch nicht jede gefährliche Nachricht abfangen. Angreifer passen Inhalte, Absender und Zeitpunkte laufend an. Deshalb gehört ein sicherer Umgang mit verdächtigen E-Mails zur täglichen Sicherheitsarbeit – besonders in kleinen und mittleren Unternehmen, in denen ein Sicherheitsvorfall schnell den Betrieb beeinträchtigen kann.
Warum Phishing-Simulationen mehr leisten als eine Schulung
Eine klassische Sicherheitsunterweisung vermittelt Regeln: keine unbekannten Anhänge öffnen, Links prüfen, Zugangsdaten nicht weitergeben. Das ist sinnvoll, wird im Arbeitsalltag aber leicht zur Routine. Eine Simulation zeigt unter realistischen Bedingungen, ob Mitarbeitende die Hinweise auch dann erkennen, wenn eine Nachricht dringend wirkt oder zu einem vertrauten Prozess zu passen scheint.
Der Nutzen liegt nicht darin, Fehltritte aufzudecken. Entscheidend ist, typische Angriffsmuster sichtbar zu machen und daraus konkrete Verbesserungen abzuleiten. Vielleicht werden gefälschte Anmeldeseiten häufig geöffnet. Vielleicht melden Mitarbeitende verdächtige Nachrichten zu selten an die IT. Oder die Rechnungsprüfung sollte verbindlicher geregelt werden. Eine gute Simulation liefert genau diese Hinweise.
Für die Geschäftsführung entsteht zudem ein realistischeres Bild der Risikolage. Statt sich auf Vermutungen zu verlassen, kann sie Maßnahmen priorisieren: weitere Sensibilisierung, bessere Meldewege, technische Anpassungen oder klarere Freigabeprozesse. Das schützt nicht nur Daten, sondern auch Zahlungswege, Kundenbeziehungen und die eigene Handlungsfähigkeit.
Phishing Simulationen im Unternehmen durchführen: mit klarer Vorbereitung
Eine wirksame Kampagne beginnt nicht mit dem Versand einer Test-E-Mail. Zunächst sollte festgelegt werden, welches Ziel erreicht werden soll. Geht es darum, die allgemeine Aufmerksamkeit zu messen? Soll der Umgang mit gefälschten Microsoft-365-Anmeldungen trainiert werden? Oder steht das Risiko von CEO-Fraud und manipulierten Zahlungsanweisungen im Mittelpunkt? Je klarer das Ziel, desto sinnvoller lassen sich Szenarien und Auswertung gestalten.
Ebenso wichtig ist der organisatorische Rahmen. Geschäftsführung, IT, Datenschutz und – sofern vorhanden – Betriebsrat sollten frühzeitig eingebunden werden. Das schafft Transparenz und verhindert, dass eine gut gemeinte Maßnahme als Überwachung wahrgenommen wird. Bei personenbezogenen Auswertungen sind Zweck, Umfang, Zugriffsrechte und Aufbewahrungsdauer besonders sorgfältig zu definieren.
Eine Simulation darf nicht zu unnötigem Druck führen. Einzelne Mitarbeitende öffentlich zu vergleichen oder Ergebnisse für disziplinarische Maßnahmen zu nutzen, schadet der Sicherheitskultur. Sinnvoller ist eine anonymisierte Auswertung auf Team- oder Unternehmensebene. Wenn individuelle Nachschulungen erforderlich sind, sollten sie unterstützend, vertraulich und nachvollziehbar erfolgen.
Realistische Szenarien wählen, aber Grenzen beachten
Die beste Test-E-Mail orientiert sich an Angriffen, die zum Unternehmen passen. Ein Handwerksbetrieb mit vielen Lieferanten wird andere Risiken haben als eine Kanzlei oder ein produzierendes Unternehmen. Typische Themen sind Rechnungen, Paketbenachrichtigungen, Urlaubsvertretungen, Passwortabläufe, Bewerbungen oder Freigaben durch die Geschäftsführung.
Realistisch bedeutet allerdings nicht, gezielt Ängste auszunutzen. Nachrichten zu angeblichen Kündigungen, schweren Krankheitsfällen oder persönlichen Notlagen sind meist keine gute Wahl. Sie können Vertrauen beschädigen und sind für ein aussagekräftiges Training nicht erforderlich. Besser sind plausible, sachliche Szenarien mit erkennbaren Warnsignalen: eine leicht abweichende Absenderadresse, eine ungewöhnliche URL, Zeitdruck oder eine untypische Aufforderung.
Auch der technische Aufbau verlangt Sorgfalt. Die Simulation darf keine echten Zugangsdaten erfassen und keine schädlichen Inhalte enthalten. Klickt jemand auf einen Test-Link, sollte eine neutrale Lernseite folgen. Diese kann kurz erklären, woran die Nachricht zu erkennen war, und den richtigen nächsten Schritt nennen: nicht weiterklicken, Nachricht melden und bei Unsicherheit nachfragen.
Der Ablauf: testen, direkt erklären, nachhaltig verbessern
In der Praxis hat sich ein wiederkehrender Ablauf bewährt. Vor dem ersten Versand werden Zielgruppe, Zeitraum, Szenario und Kommunikationsweg abgestimmt. Ob die Belegschaft vorab allgemein über regelmäßige Sicherheitsübungen informiert wird, hängt von Unternehmenskultur und Zielsetzung ab. Eine Grundinformation schafft oft Akzeptanz, ohne den Trainingseffekt zu nehmen.
Nach dem Versand sollten die Ergebnisse zeitnah ausgewertet werden. Dabei reichen reine Klickzahlen nicht aus. Relevant ist auch, wie viele Empfänger die E-Mail geöffnet, Daten eingegeben oder die Nachricht korrekt gemeldet haben. Besonders positiv ist eine steigende Meldequote. Sie zeigt, dass Mitarbeitende nicht nur vorsichtiger werden, sondern aktiv zum Schutz des Unternehmens beitragen.
Die anschließende Kommunikation entscheidet über den langfristigen Nutzen. Statt eine Quote kommentarlos weiterzugeben, sollten die wichtigsten Merkmale des Szenarios erklärt werden. War die Absenderdomain auffällig? Führte der Link auf eine fremde Adresse? War die Aufforderung ungewöhnlich dringend? Solche Beispiele bleiben besser im Gedächtnis als abstrakte Regeln.
Ergänzend empfiehlt sich eine kurze, leicht verständliche Auffrischung. Das kann eine kompakte Anleitung, ein Teamtermin oder eine gezielte Unterweisung für bestimmte Risikobereiche sein. Besonders sensible Funktionen wie Buchhaltung, Personalwesen, Vertrieb oder Assistenz der Geschäftsführung profitieren von Szenarien, die ihre tatsächlichen Arbeitsprozesse abbilden.
Kennzahlen richtig einordnen statt nur Klicks zu zählen
Eine hohe Klickrate ist kein Beweis für mangelndes Engagement. Sie kann darauf hindeuten, dass das Szenario sehr überzeugend war, dass neue Mitarbeitende noch nicht geschult wurden oder dass die E-Mail-Kultur im Unternehmen besonders stark auf schnelle Bearbeitung ausgerichtet ist. Erst im Vergleich mehrerer Kampagnen entsteht ein aussagekräftiges Bild.
Sinnvolle Kennzahlen sind die Öffnungsrate, Klickrate, Eingaberate auf einer simulierten Anmeldeseite und Melderate. Mindestens ebenso wichtig ist die Entwicklung über die Zeit. Sinkende Klickzahlen und mehr gemeldete Nachrichten sind ein gutes Zeichen. Steigen die Werte in bestimmten Teams wieder an, kann das auf Personalwechsel, hohe Arbeitsbelastung oder neue Angriffsmethoden hinweisen.
Die Ergebnisse sollten immer mit technischen und organisatorischen Maßnahmen zusammen betrachtet werden. Wenn etwa viele Mitarbeitende auf eine gefälschte Microsoft-365-Seite klicken, ist Sensibilisierung notwendig. Gleichzeitig sollte geprüft werden, ob Multi-Faktor-Authentifizierung konsequent umgesetzt ist, ob der E-Mail-Schutz richtig konfiguriert wurde und ob verdächtige Anmeldungen zuverlässig erkannt werden. Sicherheit entsteht durch das Zusammenspiel mehrerer Schutzebenen.
Datenschutz und Vertrauen sind Teil der Sicherheitsstrategie
Bei Phishing-Simulationen werden häufig Nutzungsdaten verarbeitet. Deshalb braucht es eine datenschutzkonforme Umsetzung mit klaren Zuständigkeiten. Unternehmen sollten dokumentieren, welche Daten zu welchem Zweck erhoben werden, wer sie einsehen darf und wann sie gelöscht werden. Eine Auswertung nach dem Prinzip der Datensparsamkeit ist meist der richtige Weg.
Auch die Kommunikation muss eindeutig sein. Mitarbeitende sollten wissen, an wen sie verdächtige E-Mails weiterleiten können und dass Nachfragen ausdrücklich erwünscht sind. Ein leicht erreichbarer Ansprechpartner in der IT nimmt Unsicherheit aus der Situation. Wer eine Nachricht lieber einmal zu viel meldet, handelt richtig.
Für viele mittelständische Unternehmen fehlt im Tagesgeschäft die Zeit, Kampagnen sauber zu planen, technisch umzusetzen und nachvollziehbar auszuwerten. Hier kann ein externer IT-Partner unterstützen: von der Auswahl passender Szenarien über die datenschutzbewusste Durchführung bis zu konkreten Maßnahmen nach der Auswertung. Reiner IT-Systems verbindet dabei technische Schutzmaßnahmen mit persönlicher Betreuung, damit Sicherheitsarbeit im Betrieb praktikabel bleibt.
Phishing-Simulationen entfalten ihre Wirkung nicht durch eine einzelne, besonders raffinierte Test-Mail. Sie wirken, wenn Mitarbeitende regelmäßig üben, Vorfälle ohne Angst melden können und die IT auf klare Prozesse zurückgreift. So wird aus Aufmerksamkeit im Einzelfall eine Sicherheitskultur, die auch dann trägt, wenn eine echte Angriffsmail zur ungünstigsten Zeit eintrifft.