Phishing Simulation – Mitarbeiter testen und sensibilisieren

Eine Phishing Simulation ist ein kontrollierter, simulierter Phishing-Angriff gegen die eigenen Mitarbeiter, um deren Wachsamkeit zu testen und gezielt zu verbessern. In einer Welt, in der über 90% aller erfolgreichen Cyberangriffe mit einer Phishing-E-Mail beginnen, ist die regelmäßige Überprüfung und Schulung der Mitarbeiter eine der wirksamsten Sicherheitsmaßnahmen überhaupt.

Die DATUREX GmbH führt professionelle Phishing-Simulationen als Teil eines vollständigen Security Awareness Programms durch — mit realistischen Szenarien, detaillierter Auswertung und sofortigem Lerneffekt.

Was ist eine Phishing Simulation?

Bei einer Phishing Simulation werden realistische, aber harmlose Phishing-E-Mails an die Mitarbeiter eines Unternehmens gesendet. Die Reaktionen werden anonym gemessen:

• Öffnungsrate — Wie viele haben die E-Mail geöffnet?
• Klickrate — Wie viele haben auf den Link geklickt?
• Eingaberate — Wie viele haben Zugangsdaten auf der Fake-Seite eingegeben?
• Melderate — Wie viele haben die E-Mail korrekt als Phishing gemeldet?
• Anhang-Öffnungsrate — Wie viele haben einen simulierten Schad-Anhang geöffnet?

Mitarbeiter, die auf die Simulation hereinfallen, werden sofort auf eine Lernseite weitergeleitet — der Lerneffekt ist am größten, wenn der Fehler gerade passiert ist.

Warum Phishing Simulationen?

Der Mensch bleibt das schwächste Glied

• Über 90% aller Cyberangriffe beginnen mit einer Phishing-E-Mail
• Selbst technisch versierte Mitarbeiter fallen auf gut gemachte Phishing-Mails herein
• Social Engineering wird durch KI immer überzeugender (Deepfakes, personalisierte Angriffe)
• Einmalige Schulungen reichen nicht — nur regelmäßiges Training senkt die Klickrate nachhaltig

Messbare Ergebnisse

• Baseline messen: Wie anfällig ist Ihr Unternehmen aktuell?
• Fortschritt tracken: Wie entwickelt sich die Klickrate über die Zeit?
• Risikobereiche identifizieren: Welche Abteilungen brauchen zusätzliche Schulung?
• Compliance nachweisen: Dokumentierte Sensibilisierung für ISO 27001, NIS2

KI-gestütztes Phishing — die neue Bedrohungsstufe

Moderne Phishing-Angriffe nutzen künstliche Intelligenz für:

• Perfekte Sprache — KI-generierte E-Mails ohne Grammatik- oder Rechtschreibfehler in jeder Sprache
• Personalisierung — Automatische Anpassung an das Ziel basierend auf Social-Media-Profilen und öffentlichen Informationen
• Voice Phishing (Vishing) — KI-generierte Stimmen, die Vorgesetzte oder Kollegen imitieren
• Deepfake Video Calls — Gefälschte Videokonferenzen mit Geschäftsführer-Identität

Diese Entwicklung macht regelmäßige Phishing-Simulationen wichtiger denn je — die Angriffe werden immer schwerer zu erkennen.

Ablauf einer Phishing Simulation

1. Planung — Szenarien definieren, Zielgruppen festlegen, Zeitraum bestimmen, Eskalationswege klären
2. Szenario-Erstellung — Realistische Phishing-Mails erstellen (z.B. Microsoft-365-Update, Paket-Benachrichtigung, CEO-Anfrage, IT-Helpdesk)
3. Fake-Landingpages — Überzeugende Login-Seiten nachbauen (z.B. Microsoft-Login, VPN-Portal)
4. Versand — Gestaffelt versenden (nicht alle gleichzeitig, um Flurfunk zu minimieren)
5. Tracking — Öffnungen, Klicks, Eingaben und Meldungen anonym erfassen
6. Sofortiges Feedback — Wer klickt, sieht sofort eine Lernseite mit Erklärung
7. Auswertung — Detaillierter Report: Gesamtergebnis, Abteilungsvergleich, Trends
8. Folgemaßnahmen — Gezielte Nachschulung für Hochrisiko-Gruppen

Phishing Simulation Szenarien

Typische Szenarien

• Microsoft 365 / Outlook — „Ihr Passwort läuft ab“ oder „Neues Dokument geteilt“
• Paketdienst — „Ihr DHL-Paket konnte nicht zugestellt werden“
• CEO Fraud — Gefälschte E-Mail vom Geschäftsführer mit dringender Anfrage
• IT-Helpdesk — „Bitte bestätigen Sie Ihre Zugangsdaten für das neue System“
• HR/Lohnabrechnung — „Ihre Gehaltsabrechnung für März steht bereit“
• LinkedIn/Social — „Jemand hat Ihr Profil besucht“ oder „Neue Kontaktanfrage“
• Saisonale Anlässe — Weihnachtsgutschein, Steuerrückerstattung, Black Friday Angebot

Branchenspezifische Szenarien

• Gesundheitswesen — Gefälschte Laborergebnisse, Krankenkassen-Mitteilungen, ePA-Benachrichtigungen
• Finanzsektor — BaFin-Rundschreiben, SWIFT-Benachrichtigungen, Zahlungsfreigaben
• Produktion — Lieferanten-Rechnungen, Bestellbestätigungen, Zollbescheide
• Öffentliche Verwaltung — Ministerielle Rundschreiben, BSI-Warnungen, interne Dienstanweisungen

Schwierigkeitsstufen

• Leicht — Offensichtliche Fehler (Rechtschreibung, verdächtiger Absender, generische Anrede)
• Mittel — Realistisch aussehend, aber erkennbare Warnsignale bei genauem Hinsehen
• Schwer — Hochpersonalisiert, vertrauter Absender (Spear-Phishing), kaum von echt zu unterscheiden

Phishing Simulation erfolgreich implementieren

Unternehmenskultur beachten

Der Erfolg einer Phishing-Simulation hängt maßgeblich von der Unternehmenskultur ab:

• Lernkultur statt Bestrafung — Phishing-Simulationen sind ein Trainingstool, kein Instrument zur Mitarbeiterkontrolle
• Management-Buy-In — Die Geschäftsführung muss das Programm unterstützen und mit gutem Beispiel vorangehen
• Positive Verstärkung — Mitarbeiter, die Phishing korrekt melden, sollten Anerkennung erhalten
• Transparenz — Mitarbeiter wissen, dass Simulationen durchgeführt werden (nur nicht wann genau)

Eskalationsmanagement

Vor jeder Simulation müssen klare Eskalationswege definiert werden:

• Was passiert, wenn ein Mitarbeiter die Simulation als echten Angriff an die IT meldet?
• Wer informiert den Mitarbeiter, dass es sich um eine Simulation handelt?
• Was passiert, wenn die Simulation versehentlich ein echtes Sicherheitsproblem auslöst?

Phishing Simulation Tools

• KnowBe4 — Marktführer: 15.000+ Templates, automatisierte Kampagnen, umfangreiche Schulungsbibliothek, Phishing-Knopf für Outlook
• Proofpoint Security Awareness — Enterprise-Lösung mit Threat-Intelligence-Integration
• Cofense PhishMe — Fokus auf Phishing-Erkennung und Mitarbeiter-Meldung
• GoPhish — Open-Source-Phishing-Framework. Kostenlos, Self-Hosted, flexibel. Ideal für den Einstieg und technisch versierte Teams
• Hoxhunt — KI-basierte, gamifizierte Phishing-Simulationen
• SoSafe — Deutsche Lösung mit DSGVO-konformem Ansatz und Awareness-Plattform. Besonders für den DACH-Markt geeignet

Typische Ergebnisse und Benchmarks

• Erste Simulation (Baseline): 20-30% Klickrate ist normal (manche Unternehmen: bis 50%!)
• Nach 6 Monaten regelmäßiger Simulation: Klickrate sinkt auf 10-15%
• Nach 12+ Monaten: Unter 5% Klickrate ist ein realistisches Ziel
• Melderate: Idealerweise über 70% — Mitarbeiter melden verdächtige Mails aktiv

Faktoren, die die Klickrate beeinflussen

• Szenario-Relevanz — Unternehmens- und branchenspezifische Szenarien haben höhere Klickraten als generische
• Zeitpunkt — Montagmorgens und Freitagnachmittags ist die Wachsamkeit geringer
• Personalisierung — E-Mails mit persönlicher Anrede und bekanntem Absender haben 3-5x höhere Klickraten
• Dringlichkeit — Zeitdruck („innerhalb von 2 Stunden“) erhöht die Klickrate signifikant
• Abteilung — Buchhaltung, HR und Assistenz zeigen erfahrungsgemäß höhere Klickraten als IT-Abteilungen

Phishing-Melde-Button — der wichtige Baustein

Ein dedizierter Phishing-Melde-Button in Outlook oder Google Workspace ermöglicht Mitarbeitern, verdächtige E-Mails mit einem Klick zu melden. Dies ist aus mehreren Gründen zentral:

• Niedrige Hemmschwelle — Ein Klick ist einfacher als eine E-Mail an die IT zu schreiben
• Sofortiges Feedback — Bei Simulationen erhält der Mitarbeiter sofort positive Bestätigung
• Frühwarnsystem — Echte Phishing-Mails werden schneller erkannt und können für alle blockiert werden
• Messbarkeit — Die Melderate ist die wichtigste Metrik (wichtiger als die Klickrate!)

Rechtliche Aspekte

• Betriebsrat — Phishing-Simulationen sollten mit dem Betriebsrat abgestimmt werden (Mitbestimmung nach § 87 BetrVG). Betriebsvereinbarung empfohlen
• Anonymisierung — Ergebnisse sollten anonymisiert oder pseudonymisiert ausgewertet werden — keine individuellen Konsequenzen!
• Transparenz — Mitarbeiter sollten grundsätzlich über das Awareness-Programm informiert sein (nicht über den genauen Zeitpunkt)
• DSGVO — Die Verarbeitung der Simulationsdaten muss datenschutzkonform erfolgen. Datenschutz-Folgenabschätzung prüfen
• Positive Kultur — Ziel ist Lernen, nicht Bestrafung. „Blame-free“ Ansatz fördern

Phishing Simulation und ISMS

Phishing-Simulationen sind ein integraler Bestandteil eines Informationssicherheits-Managementsystems:

• ISO 27001 — A.7.2.2 fordert regelmäßige Sensibilisierung und Schulung. Phishing-Simulationen dokumentieren die Wirksamkeit
• NIS2 — Fordert Cybersicherheitsschulungen für die Geschäftsleitung und Mitarbeiter
• BSI IT-Grundschutz — ORP.3 Sensibilisierung und Schulung zur Informationssicherheit

Phishing Simulation Programm — strategischer Aufbau

Ein effektives Phishing-Simulationsprogramm folgt einer strategischen Jahresplanung:

Jahresplan-Beispiel

• Q1: Baseline-Messung mit einfachem bis mittlerem Schwierigkeitsgrad. Alle Mitarbeiter gleichzeitig. Ergebnis als Ausgangswert für alle folgenden Messungen
• Q2: Zwei Simulationen mit mittlerem Schwierigkeitsgrad. Unterschiedliche Szenarien für verschiedene Abteilungen. Gezielte Nachschulung für Hochrisiko-Gruppen aus Q1
• Q3: Eine schwierige Simulation (Spear-Phishing mit Personalisierung). Zusätzlich: Vishing-Test (Telefonphishing) für Führungskräfte und Finanzabteilung
• Q4: Saisonales Szenario (Weihnachtsgutschein, Jahresbonus). Jahresauswertung: Vergleich mit Baseline, Trend-Analyse, ROI-Berechnung

ROI einer Phishing Simulation

Die Investitionsrentabilität lässt sich mit eigenen Annahmen abschätzen, zum Beispiel so:

• Kosten eines Phishing-Vorfalls — Angenommen, ein erfolgreicher Phishing-Angriff kostet 50.000-200.000 € (Incident Response, Produktivitätsverlust, ggf. Datenverlust und Bußgelder)
• Kosten des Programms — angenommen 5.000-15.000 €/Jahr für ein professionelles Phishing-Simulationsprogramm mit Plattform und Betreuung
• Risikoreduktion — Sinkt die Klickrate im Programmverlauf etwa von 25 % auf 5 %, sinkt auch die Wahrscheinlichkeit eines erfolgreichen Angriffs deutlich
• ROI — Verhindert das Programm über einige Jahre auch nur einen einzigen Vorfall, übersteigt die Ersparnis die Programmkosten um ein Mehrfaches

Über Phishing hinaus — erweiterte Social-Engineering-Tests

Neben klassischem E-Mail-Phishing sollten auch andere Social-Engineering-Vektoren getestet werden:

• Vishing (Voice Phishing) — Telefonanrufe, bei denen der Anrufer sich als IT-Support, Bank oder Geschäftspartner ausgibt und Zugangsdaten oder Überweisungen erbittet
• Smishing (SMS Phishing) — SMS-Nachrichten mit schädlichen Links, oft getarnt als Paketbenachrichtigung oder Bankwarnung
• USB-Drop-Tests — Präparierte USB-Sticks auf dem Firmengelände platzieren und messen, wie viele Mitarbeiter sie an ihren Rechner anschließen
• Tailgating-Tests — Testen, ob unbekannte Personen Zugang zu gesicherten Bereichen erhalten, indem sie einfach hinter Mitarbeitern hergehen
• Pretexting — Komplexere Szenarien, bei denen der Tester eine falsche Identität aufbaut und über mehrere Interaktionen Informationen oder Zugang erlangt

Phishing-Resilienz aufbauen — langfristige Strategie

Eine nachhaltige Phishing-Resilienz erfordert mehr als nur regelmäßige Simulationen. Es geht darum, eine sicherheitsbewusste Unternehmenskultur zu etablieren:

Die vier Säulen der Phishing-Resilienz

• Technische Kontrollen — E-Mail-Security-Gateway mit Sandbox, DMARC/DKIM/SPF-Konfiguration, Web-Filtering, Link-Rewriting
• Regelmäßige Simulationen — Monatliche oder quartalsweise Tests mit steigender Schwierigkeit und wechselnden Szenarien
• Kontinuierliches Training — Security Awareness Schulungen mit aktuellen Beispielen, Micro-Learnings und Gamification
• Melde-Kultur — Mitarbeiter werden ermutigt und belohnt, verdächtige E-Mails zu melden. Jede Meldung ist wertvoll, auch bei Fehlalarmen

Der IT-Sicherheitsbeauftragte koordiniert diese Maßnahmen und stellt sicher, dass sie im ISMS dokumentiert und regelmäßig überprüft werden. Die Ergebnisse der Phishing-Simulationen fließen in die jährliche Managementbewertung ein und dienen als Kennzahl für die Wirksamkeit der Awareness-Maßnahmen.

Phishing Simulation und Penetrationstests

Phishing-Simulationen und Penetrationstests ergänzen sich optimal: Während der Pentest die technischen Schwachstellen der IT-Infrastruktur aufdeckt, testet die Phishing-Simulation die menschliche Schwachstelle. In einem vollständigen Red-Team-Assessment werden beide Ansätze kombiniert — der Tester nutzt Phishing als initialen Angriffsvektor und versucht dann, sich lateral im Netzwerk zu bewegen. Diese Kombination liefert das realistischste Bild der tatsächlichen Angreifbarkeit Ihres Unternehmens.

DATUREX GmbH — Phishing Simulation Service

• Baseline-Test — Erste Simulation zur Messung des aktuellen Awareness-Levels
• Regelmäßige Kampagnen — Monatliche oder quartalsweise Simulationen mit steigender Schwierigkeit
• Maßgeschneiderte Szenarien — Branchenspezifische und unternehmensspezifische Phishing-Mails
• Detaillierte Auswertung — Reports mit Abteilungsvergleich, Trends und Handlungsempfehlungen
• Sofort-Schulung — Integrierte Lernmodule für Mitarbeiter, die auf Simulationen hereinfallen
• Awareness-Gesamtprogramm — Phishing-Simulation als Teil einer vollständigen Security-Awareness-Strategie
• IT-Sicherheitsberatung — Ganzheitlicher Ansatz für Ihre Informationssicherheit