Phishing-Simulation einführen: Ablauf, Recht und die besten Anbieter

Was ist eine Phishing-Simulation?

Eine Phishing-Simulation ist ein kontrollierter Test, bei dem Mitarbeitende gefälschte Phishing-Mails erhalten, um ihr Erkennungs‑ und Reaktionsverhalten zu prüfen. Ziel ist es, das Sicherheitsbewusstsein zu steigern, typische Fehlentscheidungen zu identifizieren und gezielte Schulungsmaßnahmen abzuleiten. Durch das Nachstellen echter Angriffsmuster lernen Beschäftigte, verdächtige Zeichen zu erkennen, bevor ein echter Phishing-Versuch erfolgreich wird.

Der Ablauf folgt meist einem festen Rhythmus: Zunächst wird ein Szenario ausgewählt, das aktuelle Taktiken wie gefälschte Login-Seiten oder manipulierte Anhänge nachahmt. Anschließend wird die Kampagne an die Belegschaft ausgesendet, die Ergebnisse werden anonym ausgewertet und in einem Feedback-Gespräch präsentiert. Abschließend erhalten die Teilnehmenden Lernmodule, die speziell auf erkannte Schwächen eingehen.

Im Gegensatz zu echten Angriffen nutzt die Simulation keine realen personenbezogenen Daten und bleibt vollständig DSGVO-konform. Sie dient ausschließlich dem internen Training und erzeugt keine betrieblichen Risiken. Neben dem reinen Klick-Verhalten misst die Simulation auch, wie schnell Nutzer verdächtige Mails melden oder die IT informieren.

Weitere Details zur Funktionsweise und zur Auswahl geeigneter Tools liefert Cynet. Mimecast beschreibt ergänzend, wie Unternehmen den Lernfortschritt über automatisierte Reports verfolgen können.

Wie läuft eine Phishing-Simulation ab?

Der Prozess beginnt mit einer Beratung, in der das Unternehmen gemeinsam mit dem Anbieter geeignete Szenarien auswählt. Typische Vorlagen decken Kreditanfragen, Lieferanten-Updates oder interne IT-Hinweise ab. Anschließend wird die Kampagne vorbereitet: Die gewählte Menge von 100 – 200 E-Mails wird an die Belegschaft verteilt, wobei die Nachrichten realistisch, aber eindeutig als Test gekennzeichnet werden.

Während der Durchführungsphase werden die Klick‑ und Weiterleitungs-Raten automatisch erfasst. Nach Abschluss wertet das System die Daten aus und generiert einen Bericht, der sowohl aggregierte Kennzahlen als auch individuelle Ergebnisse enthält. In einem Feedback-Gespräch erklärt der Dienstleister, warum bestimmte Mails erfolgreich waren und welche Verhaltensmuster verbessert werden müssen.

Der nächste Schritt ist die Wiederholungs‑ bzw. Selbstlern-Phase. Mitarbeitende erhalten gezielte Micro-Learning-Module, die unmittelbar nach einem Fehlklick starten. So wird das Gelernte sofort angewendet. Der Zyklus wiederholt sich in regelmäßigen Abständen, um die Klick-Rate von etwa 12 % im ersten Durchlauf auf unter 5 % zu senken.

Ein praktisches Beispiel für eine integrierte Schulungsplattform liefert Phishing-Simulation für KMU. Weitere Details zur Ablaufgestaltung finden sich bei MÜNS Media und in den Best-Practice-Hinweisen von SoSafe.

Welche rechtlichen Vorgaben müssen beachtet werden?

Die Durchführung einer Phishing-Simulation muss nach der DSGVO erfolgen. Das bedeutet, dass keine realen personenbezogenen Daten von Mitarbeitenden in den Test-Mails verwendet werden dürfen. Stattdessen sollten Platzhalter oder fiktive Namen zum Einsatz kommen, um die Anonymität zu wahren.

Ergebnisse der Kampagne gehören ebenfalls zu geschützten Daten. Die Auswertung muss anonymisiert erfolgen, sodass einzelne Personen nicht identifizierbar sind. Dies erleichtert die spätere Berichterstattung an das Management und reduziert das Risiko einer Datenschutzverletzung.

Transparenz gegenüber der Belegschaft ist ein weiterer Pflichtpunkt. Vor dem Start sollten Unternehmen kommunizieren, dass eine Testkampagne geplant ist, und die Ziele klar darstellen. Nach Abschluss ist ein Feedback-Gespräch wichtig, in dem die Ergebnisse erklärt und notwendige Verhaltensänderungen besprochen werden.

Ein zentrales Element ist die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO. Sie prüft, ob die Simulation ein unverhältnismäßiges Risiko für die Betroffenen darstellt. Ist das Risiko hoch, muss ein DSB nach Art. 38 BDSG (seit 2019) eingebunden werden, um geeignete Schutzmaßnahmen zu definieren.

Schließlich gelten Phishing-Simulationen als „Awareness-Maßnahme“ im Rahmen von mit Informationssicherheits-Standards und NIS‑2. Sie unterstützen die Erfüllung von § 5 BSI-Grundschutz und stärken die Gesamt-Compliance-Strategie. Weitere Details zur Einbindung in ein ISMS finden sich beim Informationssicherheitsbeauftragten Dresden.

Wie fügt sich eine Phishing-Simulation in mit Informationssicherheits-Standards und NIS‑2 ein?

Phishing-Simulationen gelten als zentrale Awareness-Maßnahme einer ISMS-Strategie. Sie unterstützen die Kontrollen von mit Informationssicherheits-Standards, etwa A.12.2.1 (Schulung von Mitarbeitern) und A.7.2.2 (Sensibilisierung für Sicherheitsrisiken). Gleichzeitig liefert das Ergebnis-Dashboard wichtige Kennzahlen für die NIS‑2‑Compliance, weil die Richtlinie explizit die Etablierung von Echtzeit-Monitoring‑ und Reporting-Mechanismen fordert.

Im Artikel des Informationssicherheitsbeauftragten Dresden wird erklärt, dass Phishing-Simulationen unter § 5 BSI-Grundschutz als „Awareness-Maßnahmen“ eingestuft werden und damit zur Erfüllung der Grundschutz-Bausteine C – Mitarbeiterschulung beitragen. Ein typisches Reporting-Dashboard zeigt neben der Klick-Rate pro Kampagne auch die durchschnittliche Reaktionszeit und den Fortschritt der einzelnen Abteilungen.

Ein Praxis-Beispiel: Nach der ersten Kampagne liegt die Klick-Rate bei etwa 12 %. Durch wiederholte Schulungen sinkt sie auf unter 5 % – ein Trend, den viele Anbieter in ihren Analyse-Tools visualisieren. Diese Zahlen ermöglichen es, gezielte Verbesserungs‑ und Investitionsentscheidungen zu treffen, um sowohl mit Informationssicherheits-Standards als auch NIS‑2 nachhaltig zu unterstützen.

Ein Überblick über aktuelle Tools und ihre KI-gestützten Szenarien findet sich im Hoxhunt-Vergleich. Dort wird zudem beschrieben, wie automatisierte Reportings in ein zentrales NIS‑2‑Dashboard integriert werden können, um die Compliance-Nachweise für Aufsichtsbehörden zu erleichtern.

Welche Trends prägen Phishing-Simulationen 2026?

Im vergangenen Jahr haben KI-gestützte Templates den Realitätsgrad von Phishing-Kampagnen stark erhöht. Durch maschinelles Lernen lassen sich aktuelle Angriffs-TTPs wie Deep-Fake-Mails automatisiert erzeugen, was die Lernkurve der Nutzer beschleunigt Hoxhunt-Blog.

Gamification-Elemente setzen auf Punktesysteme, Leaderboards und digitale Badges, um die Motivation zu steigern. Anbieter wie Guardey verbinden diese Mechanik mit Reward-Programmen, sodass Mitarbeitende sofort sehen, wo sie im Vergleich zu Kollegen stehen Guardey-Übersicht.

Ein weiterer Trend ist die Integration in NIS‑2‑Compliance-Dashboards. Dort werden zentrale KPIs wie Klick-Rate, Durchlaufzeit und Schulungs-Abschluss visualisiert, wodurch Verantwortliche zeitnah Maßnahmen ableiten können.

Self-Service-Portale ermöglichen es Nutzern, eigene Lernpfade zu wählen und erhalten automatisierte Erinnerungen für Nachschulungen. Dies reduziert den administrativen Aufwand und erhöht die Akzeptanz.

Hybrid-Modelle kombinieren SaaS-Management mit On-Premise-Datenhaltung. Unternehmen, die besonders sensible Daten verarbeiten, profitieren von lokaler Speicherung bei gleichzeitig zentraler Cloud-Steuerung.

Micro-Learning-Kampagnen setzen auf kurze, situative Lernmodule von fünf Minuten, die unmittelbar nach einer Simulation ausgeliefert werden. So wird das Gelernte direkt angewandt.

Erweiterte Reporting-Analytics liefern Risikoprofile pro Abteilung, Heatmaps und branchenweite Benchmarks. Diese tiefergehenden Analysen unterstützen das kontinuierliche Optimieren von Awareness-Programmen.

Welche Anbieter zählen zu den Marktführern im DACH-Raum?

Im Jahr 2026 dominieren sechs Anbieter das Phishing-Simulations-Segment in Deutschland, Österreich und der Schweiz. KnowBe4 punktet mit einem umfangreichen KI-Framework, das aktuelle Angriffstaktiken automatisiert und Szenarien in Echtzeit generiert. Hugo Learn setzt auf ein rein gamifiziertes Lernmodell: Punkte, Ranglisten und Badges motivieren Mitarbeitende, schnell zu reagieren.

SafeTrain, jetzt unter der Marke SoSafe, kombiniert modular aufgebaute Trainings mit einer Cloud-SaaS-Lösung, die Unternehmen jeder Größe ohne lokales Deployment nutzt. Guardey differenziert sich durch ein hybrides Modell – die Management-Console läuft in der Cloud, sensible Daten können on-premise gespeichert werden, was besonders bei stark regulierten Branchen gefragt ist.

PhishingBox bietet ein breites Template-Portfolio, das Deep-Fake-Mails und mobile Phishing-Angriffe abdeckt; die Plattform integriert sich nahtlos in gängige SIEM‑ und NIS‑2‑Dashboards. Fortinet erweitert sein Portfolio um ein integriertes Threat-Intelligence-Modul, das automatisierte Updates für Phishing-Templates bereitstellt und gleichzeitig Netzwerk-Performance-Daten analysiert.

Unabhängige Marktanalysen bestätigen diese Auswahl als repräsentativ für den DACH-Raum. Die Übersicht in A7 Security fasst die Stärken der Anbieter zusammen und liefert zusätzliche Benchmarks für Unternehmen, die ihre Awareness-Strategie planen.

Wie hoch ist die Erfolgsquote von Phishing-Simulationen?

Viele Unternehmen starten mit einer Klick-Rate von über 30 % im Vor-Test. Nach einem dreimonatigen Simulations-Zyklus sinkt die Quote häufig unter 7 %. Die erste Kampagne liegt im Schnitt bei 12 % Klick-Rate; nach drei gezielten Schulungen fällt sie auf weniger als 5 %. Damit können Unternehmen ihre Anfälligkeit für Phishing um bis zu 80 % reduzieren.

Der Best-Practice-Guide von BrSide liefert die genannten Schwankungen zwischen Vor-Test und 3‑Monats-Ergebnis. SoSafe beschreibt, dass die durchschnittliche Klick-Rate im ersten Durchlauf bei 12 % liegt und nach drei Schulungsrunden unter 5 % fällt.

Diese Zahlen zeigen, dass ein gut strukturiertes Simulations-Programm messbare Verbesserungen liefert. Unternehmen, die regelmäßig Phishing-Tests durchführen und das Feedback sofort in Lernmodule einbinden, erreichen die größten Reduktionen. Der Trend geht dabei zu automatisierten Analysen und kurzen Micro-Learning-Einheiten, die das Gelernte unmittelbar nach einer Simulation vertiefen.

Wie viel kostet die Einführung einer Phishing-Simulation?

Die Preisgestaltung variiert stark nach Lizenzmodell, Nutzerzahl und Funktionsumfang. Viele Anbieter rechnen pro aktivem Nutzer, wodurch kleine Unternehmen mit wenigen Dutzend Mitarbeitenden relativ niedrige Monatsgebühren zahlen, während Großkonzerne mit tausenden Nutzern oft ein Jahresabonnement mit gestaffelten Rabatten wählen. Für Organisationen, die Daten vor Ort halten müssen, gibt es On-Premise-Lösungen, die als Einmalzahlung plus Wartungsvertrag abgerechnet werden.

Zusätzlich zu reinen Lizenzkosten kommen häufig Service-Leistungen wie Beratung, Szenario-Entwicklung oder Reporting-Modules hinzu. Diese Optionen spiegeln den gewünschten Grad an Individualisierung wider: Ein Basispaket bietet vorgefertigte Phishing-Templates, während ein Premium-Bundle KI-gestützte Szenarien, Gamification-Elemente und API-Anbindungen umfasst.

Die Gesamtkosten hängen zudem davon ab, wie viele Simulationen pro Jahr durchgeführt werden und ob Schulungen oder Mikro-Lernmodule integriert sind. Unternehmen sollten zunächst den Bedarf ermitteln und anschließend Angebote vergleichen.

Mehrere Anbieter stellen kostenlose Demo-Versionen bereit, die einen ersten Eindruck ermöglichen, ohne sofort investieren zu müssen. So können Interessierte die Bedienoberfläche von Fortinet oder die gamifizierten Lernmodule von Guardey unverbindlich testen.

Welche Ressourcen und Schritte sind intern nötig?

Der Start gelingt, wenn das Management das Projekt aktiv unterstützt. Ein Stakeholder-Buy-In schafft die notwendige Akzeptanz und definiert Budget sowie Zielvorgaben. Anschließend sollte ein Projektleiter benannt werden, der die Koordination zwischen IT, Personal‑ und Rechtsabteilung übernimmt.

Ein erster Meilenstein ist die Definition von Szenarien. Dabei orientieren sich viele Unternehmen an den Do’s & Don’ts von Awaretrain, die typische Angriffsformen wie credential-harvesting oder Business-Email-Compromise beschreiben. Parallel wird ein Kommunikationsplan erarbeitet, der die Vorankündigung, das Vorgehen während der Simulation und das anschließende Feedback klar darlegt.

Für den Ersten Roll-out empfiehlt sich ein Pilot in einer kleinen Abteilung. So lässt sich das Szenario testen, die technische Anbindung prüfen – etwa die Integration ins E-Mail-Gateway oder in Microsoft Defender for Office 365 – wie im Microsoft-Leitfaden beschrieben – und erste Rückmeldungen sammeln.

Schulungsressourcen müssen bereitstehen: kurze Lernvideos, interaktive Quizze und ein Micro-Learning-Modul, das unmittelbar nach einer Phishing-Mail erscheint. Ein kontinuierliches Monitoring prüft Klick-Raten und identifiziert Mitarbeitende, die weiterführende Trainings benötigen.

Technisch sind stabile Netzwerk‑ und DNS-Einträge nötig, um simulierte Links sicher zu hosten. Zudem sollte das Reporting-Tool automatisierte Auswertungen liefern, die zentrale KPI-Dashboards ergänzen.

Wie kann der Erfolg langfristig gemessen und optimiert werden?

Wesentliche Kennzahlen umfassen die Klick-Rate, die durchschnittliche Reporting-Zeit und die Abschluss-Quote von Lernmodulen. Eine niedrige Klick-Rate nach drei Monaten weist auf wirksame Schulungsmaßnahmen hin, während schnelle Reporting-Zeiten zeigen, dass Mitarbeitende Vorfälle umgehend melden.

Durch die Analyse von Risikoprofilen pro Abteilung lassen sich gezielte Schwachstellen erkennen. So kann beispielsweise die IT-Abteilung zusätzlich zu generellen Inhalten individuelle Szenarien erhalten, um spezifische Risiken zu adressieren.

Benchmarking über Branchen hinweg ermöglicht den Vergleich der eigenen Werte mit dem Durchschnitt von Unternehmen ähnlicher Größe. Anbieter wie jene, die in der Cloudsek-Übersicht gelistet sind, stellen automatisierte Reportings bereit, die Heatmaps und Trend-Grafiken für jede Kennzahl bieten.

Regelmäßige Feedback-Loops schließen den Optimierungszyklus: Nach jeder Kampagne erhalten Mitarbeitende sofortige Lerninhalte, während das Management quartalsweise Ergebnisse auswertet und Inhalte anpasst. Die Praxis-Tipps aus dem BRSide-Leitfaden empfehlen, diese Schleife mindestens viermal pro Jahr zu wiederholen, um die Lernkurve nachhaltig zu steigern.