Phishing-Simulation einführen: Ablauf in sieben Schritten

Was eine Phishing-Simulation ist — und was sie nicht ist

Eine Phishing-Simulation ist eine kontrollierte, unschädliche Test-Mail an die eigene Belegschaft. Sie misst nicht, was Menschen wissen, sondern wie sie im Arbeitsalltag reagieren. Das Thema hat Gewicht: Nach dem Threat Landscape 2025 der ENISA war Phishing im Berichtszeitraum Juli 2024 bis Juni 2025 mit rund 60 Prozent der dominierende Weg für den Erstzugriff auf ein Netz — in ENISAs Zählung einschließlich Vishing, Malspam und Malvertising. Drei Klarstellungen gehören trotzdem an den Anfang. Erstens soll eine Simulation keine Leistungskontrolle sein und zielt nicht auf einzelne Personen — dass sie technisch dazu geeignet wäre, ist genau der Grund für den Mitbestimmungsschritt weiter unten. Zweitens ist sie keine Unterweisung im Sinne von § 12 Arbeitsschutzgesetz: Der betrifft Sicherheit und Gesundheitsschutz bei der Arbeit, nicht die Informationssicherheit. Drittens verlangt sie der IT-Grundschutz nicht: Der Baustein ORP.3 „Sensibilisierung und Schulung“ des IT-Grundschutz-Kompendiums (Edition 2023, weiterhin die aktuelle Fassung) enthält keine Anforderung zu Simulationen; das Wort kommt dort nicht vor. Das BSI empfiehlt sie lediglich in einem Ratgeber zur IT-Sicherheits-Awareness. Wie eine Simulation in ein größeres Security-Awareness-Programm eingebettet wird, ist an anderer Stelle beschrieben — dort auch anbieterbasierte Wirksamkeitszahlen, die sich mit der unabhängigen Forschung nicht decken; dazu unten mehr. Hier geht es um die Einführung des einzelnen Instruments, in sieben Schritten:

1. den Rechtsrahmen klären
2. Ziel und Erfolgsmaß festlegen
3. Baseline unangekündigt erheben
4. den Köder auswählen und dokumentieren
5. die Kampagne durchführen
6. aggregiert auswerten
7. nachschulen und den Rhythmus festlegen

Schritt 1: den Rechtsrahmen klären

Dieser Schritt steht bewusst vorn, weil er nachträglich nicht heilbar ist. Eine Simulation verarbeitet personenbezogene Daten von Beschäftigten — wer wann worauf geklickt hat. Eine Einwilligung trägt hier regelmäßig nicht: Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein hat schon 2018 darauf hingewiesen, dass das Machtgefälle im Arbeitsverhältnis der Freiwilligkeit entgegensteht und eine im Detail informierte Einwilligung die Reaktionen auf den Test verfälschen würde. Diskutiert wird deshalb der Weg über eine Kollektivvereinbarung nach § 26 Absatz 4 in Verbindung mit Absatz 1 BDSG und Artikel 88 DSGVO. Dazu gehört die Offenheit, dass die Rechtslage in Bewegung ist: Der Europäische Gerichtshof hat 2023 in der Rechtssache C-34/21 zu einer hessischen Vorschrift entschieden, dass nationale Regelungen zum Beschäftigtendatenschutz unangewendet bleiben müssen, wenn sie über eine Wiederholung der allgemeinen Erlaubnistatbestände hinaus keine besonderen Schutzmaßnahmen nach Artikel 88 Absatz 2 DSGVO vorsehen. Weil § 26 Absatz 1 Satz 1 BDSG der geprüften Landesnorm weitgehend entspricht, gehen Aufsichtsbehörden davon aus, dass die Entscheidung auch auf ihn durchschlägt; entschieden ist das für § 26 BDSG bislang nicht. Und eine Orientierungshilfe der Datenschutzkonferenz speziell zu Phishing-Simulationen gibt es bislang nicht.

Zweiter Strang ist die Mitbestimmung. § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz gibt dem Betriebsrat ein Mitbestimmungsrecht bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“ — soweit keine gesetzliche oder tarifliche Regelung besteht. Wann eine Einrichtung dazu „bestimmt“ ist, beschreibt das Bundesarbeitsgericht in ständiger Rechtsprechung: Es kommt darauf an, ob sie objektiv geeignet ist, Verhaltens- oder Leistungsinformationen zu erheben oder aufzuzeichnen; auf eine subjektive Überwachungsabsicht des Arbeitgebers kommt es nicht an. Zuletzt bestätigt hat das Gericht diesen Satz im Beschluss vom 16. Juli 2024, der dafür auf Entscheidungen aus 2013 und 2016 verweist. In Behörden des Bundes findet sich eine inhaltsgleiche Regelung in § 80 Absatz 1 Nummer 21 Bundespersonalvertretungsgesetz; für Länder und Kommunen gelten die jeweiligen Landespersonalvertretungsgesetze.

Schritt 2 und 3: Ziel festlegen und Baseline erheben

Bevor die erste Mail rausgeht, braucht die Kampagne ein benanntes Ziel — und zwar eines, das nicht „niedrige Klickrate“ heißt. Tragfähig sind Ziele wie: Wir wollen wissen, wie schnell verdächtige Mails gemeldet werden, und wir wollen diese Meldequote über vier Durchläufe steigern. Der Baustein ORP.3 sieht für die Erfolgskontrolle die Standard-Anforderung ORP.3.A8 „Messung und Auswertung des Lernerfolgs“ vor: Die Messungen sollten sowohl quantitative als auch qualitative Aspekte berücksichtigen. Eine einzelne Prozentzahl wird dem nicht gerecht.

Die Baseline ist der erste, unangekündigte Durchlauf. Er dient nicht der Bewertung, sondern als Nullmessung: Ohne ihn lässt sich später nicht sagen, ob eine Veränderung auf die Maßnahme oder auf einen leichteren Köder zurückgeht. Wichtig ist, dass Betriebsrat oder Personalvertretung und die Datenschutzverantwortlichen zu diesem Zeitpunkt bereits eingebunden sind — unangekündigt heißt unangekündigt gegenüber der Belegschaft, nicht gegenüber den Gremien. Zwei Festlegungen gehören ebenfalls in diesen Schritt: Wird die gesamte Belegschaft angeschrieben oder eine Stichprobe, und wird das Vorhaben als solches vorab angekündigt? Beides ist vertretbar, solange es dokumentiert und über die Durchläufe konstant gehalten wird — sonst vergleicht man später Äpfel mit Birnen.

Schritt 4: den Köder wählen und dokumentieren

Der Schwierigkeitsgrad des Köders entscheidet mehr über das Ergebnis als jede Schulung davor. In der randomisierten Feldstudie am Universitätsklinikum der University of California San Diego, auf die weiter unten näher eingegangen wird, schwankte die Fehlerrate je nach Köder zwischen 1,8 und 30,8 Prozent — bei derselben Belegschaft. Wer also Kampagnen unterschiedlicher Schwierigkeit vergleicht, misst den Köder, nicht die Belegschaft. Ein strukturiertes Verfahren zur Einordnung der Schwierigkeit ist die Phish Scale des US-amerikanischen NIST: Sie bewertet Köder anhand nachvollziehbarer Merkmale — der Auffälligkeit der Warnsignale und der Plausibilität des Szenarios für die jeweilige Zielgruppe — statt nach Bauchgefühl. Praktisch heißt das: Schwierigkeitsgrad dokumentieren, über die Durchläufe konstant halten oder Veränderungen ausweisen. Inhaltlich lohnt der Blick auf typische Muster aus dem Social Engineering; welche Merkmale Beschäftigte erkennen sollen, ist unter Phishing erkennen beschrieben.

Schritt 5: die Kampagne durchführen

Technisch braucht es zwei Vorbereitungen: einen Absender, der nicht am Spamfilter hängen bleibt, samt abgestimmter Ausnahme in den Schutzsystemen — sonst misst die Kampagne die Filterqualität statt das Verhalten — und einen Meldeweg, der zum Zeitpunkt der Kampagne funktioniert und den alle kennen. Für den technischen Ablauf hat das Landesamt für Sicherheit in der Informationstechnik in Bayern eine Installationsanleitung für das Open-Source-Werkzeug „gophish“ erarbeitet, die dem Dreischritt Wissen, Üben, Messen folgt und die Auswertung ausdrücklich anonymisiert vorsieht; erhältlich ist sie über die Beratungsstelle des Landesamts.

Zur Durchführung gehören drei Festlegungen, die oft vergessen werden. Erstens die Laufzeit: Ein Fenster von wenigen Arbeitstagen bildet den Alltag besser ab als ein einzelner Stichtag, an dem Urlaub und Schichtdienst das Bild verzerren. Zweitens die Landing-Page nach dem Klick: Sie sollte in einem Satz erklären, was gerade passiert ist, und ohne Schuldzuweisung auskommen. Drittens die Kommunikation danach: Wer nach der Welle nichts hört, erlebt die Simulation als Falle statt als Übung. Ein kurzer, aggregierter Rückblick an alle Beschäftigten schließt den Durchlauf ab.

Schritt 6: auswerten, ohne bloßzustellen

Die Auswertung ist der Punkt, an dem Simulationen kippen. Ergebnisse gehören aggregiert berichtet — nach Bereich oder Standort, nicht nach Person. Einzelauswertungen sind nicht nur datenschutzrechtlich heikel, sie sind auch kontraproduktiv: Das britische National Cyber Security Centre hält in seiner Leitlinie zu Phishing-Angriffen fest, dass es nicht funktioniert, Beschäftigten das Klicken vorzuwerfen — und dass eine Organisation, die die Abwesenheit von Meldungen belohnt, sich Schweigen erzieht. Praktisch heißt das: kein Ranking, keine namentliche Rückmeldung an Führungskräfte, keine arbeitsrechtliche Konsequenz aus einem Klick. Wer meldet, bekommt eine Bestätigung; wer klickt, bekommt eine Erklärung.

Was in der Kollektivvereinbarung stehen sollte, ergibt sich aus Artikel 88 Absatz 2 DSGVO: Er verlangt geeignete und besondere Maßnahmen zur Wahrung der menschlichen Würde, der berechtigten Interessen und der Grundrechte der Beschäftigten — ausdrücklich auch im Hinblick auf Überwachungssysteme am Arbeitsplatz. Das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein leitet daraus für Phishing-Simulationen ab, dass die allgemeinen Anforderungen unverändert gelten — vom Grundsatz der Datensparsamkeit über Transparenz und technische wie organisatorische Maßnahmen bis zu den Betroffenenrechten. Praktisch sind das drei Festlegungen: Wer bekommt Zugriff auf die Rohdaten der Kampagne, wie lange werden sie aufbewahrt, und ab welchem Zeitpunkt liegt nur noch die aggregierte Auswertung vor. Wer den Personenbezug nach der Auswertung nicht mehr braucht, sollte ihn auch nicht mehr vorhalten.

Schritt 7: nachschulen und wiederholen — was die Evidenz zeigt

An dieser Stelle verdient der Beitrag eine unbequeme Ehrlichkeit. Die methodisch stärkste bislang veröffentlichte Untersuchung — randomisiert und mit echter Kontrollgruppe — zur Wirkung von Phishing-Training ist eine Feldstudie am Universitätsklinikum der University of California San Diego, vorgestellt beim IEEE Symposium on Security and Privacy 2025: über acht Monate, zehn Kampagnen, mehr als 19.500 Beschäftigte. Ergebnis: Die jährliche Sicherheitsschulung zeigte keinen statistisch signifikanten Effekt auf die Klickwahrscheinlichkeit; das unmittelbar nach dem Klick eingeblendete Kurztraining verbesserte sie um 1,7 Prozentpunkte. Mehr als die Hälfte dieser Trainings wurde binnen zehn Sekunden weggeklickt. Eine Langzeitstudie der ETH Zürich mit über 14.000 Beschäftigten kam zu einem ähnlichen Bild. Beide Datensätze stammen aus den USA und der Schweiz; eine vergleichbare deutsche Erhebung liegt nicht vor.

Bemerkenswert ist ein zweiter Befund der San-Diego-Studie: Bei rein statischem Trainingsmaterial stieg die Wahrscheinlichkeit, beim nächsten Mal wieder zu klicken, mit jeder zusätzlichen absolvierten Sitzung an. Häufiger wiederholen ist also keine Antwort auf ein wirkungsloses Format. Ein festes Intervall schreibt ohnehin niemand vor; sinnvoll ist ein Rhythmus, der zur Erfolgskontrolle passt. Daraus folgt nicht, dass Simulationen nutzlos sind — es folgt daraus, dass sie als Messinstrument taugen und nicht als Lernmaßnahme. Auch das BSI führt im Baustein ORP.3 einen eigenen Abschnitt zu unwirksamen Sensibilisierungsaktivitäten und nennt dort unter anderem fehlende Management-Unterstützung, unklare Ziele und mangelnde Erfolgskontrolle. Der Schluss für die Praxis: Die Simulation liefert das Lagebild, die eigentliche Vermittlung läuft über wiederkehrende, kurze Lerneinheiten — bei Bridgly über die Schulungen zu Datenschutz und Informationssicherheit. Für Behörden ist der Rahmen unter Security Awareness in der Behörde beschrieben.

Warum die Klickrate ohne die Köderschwierigkeit nichts misst

Welche Kennzahlen ein Awareness-Programm insgesamt führt, ist im Programm-Artikel beschrieben. Für die einzelne Simulation kommt eine Bedingung hinzu, die dort offenbleibt: Ohne dokumentierten Schwierigkeitsgrad ist keine dieser Zahlen über zwei Durchläufe hinweg vergleichbar. Eine Klickrate, die von zwölf auf sechs Prozent fällt, kann Lernerfolg bedeuten — oder schlicht einen leichteren Köder in der zweiten Welle. Die Spanne von 1,8 bis 30,8 Prozent bei derselben Belegschaft zeigt, wie groß dieser Effekt ist. Belastbar wird eine Zeitreihe deshalb erst, wenn der Schwierigkeitsgrad je Welle festgehalten und beim Vergleich mitgeführt wird — und wenn neben der Klickrate die Meldequote und die Zeit bis zur ersten Meldung erhoben werden, weil eine einzige frühe Meldung eine ganze Welle stoppen kann. Wie belastbar solche Messungen insgesamt sind, zeigt eine unabhängige Nachrechnung von 2025 auf Basis der NIST-Systematik: Weder bei den Klicks noch bei den Meldungen fand sie einen signifikanten Trainingseffekt.