Phishing Simulation: Mitarbeiter sicher testen und Awareness stärken

Eine Phishing Simulation ist ein kontrollierter Test, bei dem Mitarbeitende realistische, aber ungefährliche Phishing-Mails erhalten. Ziel ist nicht, einzelne Personen bloßzustellen, sondern das Sicherheitsverhalten im Arbeitsalltag zu verbessern: Wird eine verdächtige Nachricht erkannt? Wird ein Link angeklickt? Werden Zugangsdaten eingegeben? Wird die E-Mail richtig gemeldet?

Für Unternehmen ist das wichtig, weil viele Cyberangriffe mit E-Mails beginnen. Phishing betrifft nicht nur die IT, sondern auch Buchhaltung, Geschäftsführung, HR, Vertrieb und alle Teams, die täglich mit externen Nachrichten arbeiten. Besonders gefährlich sind gefälschte Rechnungen, angebliche Microsoft-365-Logins, Paketbenachrichtigungen, Bewerbungsunterlagen oder Nachrichten von vermeintlichen Führungskräften.

Dieser Artikel zeigt, wie eine Phishing Simulation sinnvoll geplant wird, welche Regeln für Datenschutz und Fairness wichtig sind, welche Kennzahlen wirklich helfen und wie Unternehmen daraus konkrete Awareness-Maßnahmen ableiten. Der Fokus liegt auf einer verständlichen und praxistauglichen Umsetzung für KMU und mittelständische Unternehmen.



Inhaltsverzeichnis

• Was ist eine Phishing Simulation?
• Warum ist eine Phishing Simulation sinnvoll?
• Wie läuft eine Phishing Simulation ab?
• Phishing Simulation richtig planen
• Datenschutz, Transparenz und Betriebsrat
• Welche Phishing-Szenarien sind sinnvoll?
• Welche KPIs sollte man auswerten?
• Typische Fehler bei Phishing Simulationen
• Phishing Simulation mit FIGULI CONSULTING umsetzen
• Fazit
• FAQ zur Phishing Simulation

Was ist eine Phishing Simulation?

Eine Phishing Simulation ist eine geplante Sicherheitsübung. Mitarbeitende erhalten realistisch gestaltete Test-E-Mails, die typische Phishing-Angriffe nachbilden. Diese Nachrichten können zum Beispiel einen Link, eine gefälschte Login-Seite, einen angeblichen Anhang oder eine Aufforderung zur Handlung enthalten.

Der Unterschied zu echtem Phishing: Die Simulation ist kontrolliert, ungefährlich und dokumentiert. Es werden keine echten Schadprogramme versendet und keine echten Zugangsdaten gespeichert. Stattdessen wird gemessen, wie Mitarbeitende reagieren und ob interne Meldewege funktionieren.

Eine Phishing Simulation prüft zum Beispiel:

• ob verdächtige E-Mails erkannt werden
• ob Links oder Anhänge angeklickt werden
• ob Zugangsdaten eingegeben würden
• ob Mitarbeitende die Nachricht melden
• wie schnell eine Meldung erfolgt
• ob Helpdesk oder IT richtig reagieren
• welche Teams zusätzliche Schulung brauchen

Wichtig ist die Haltung dahinter: Eine gute Phishing Simulation ist kein Test zum „Erwischen“ von Mitarbeitenden. Sie ist ein Lerninstrument, um Risiken sichtbar zu machen, Meldewege zu trainieren und Sicherheitsbewusstsein im Alltag zu stärken.

Warum ist eine Phishing Simulation sinnvoll?

Eine Phishing Simulation ist sinnvoll, weil sie zeigt, wie gut Mitarbeitende auf realistische Betrugsversuche reagieren. Klassische Schulungen erklären zwar Regeln, zeigen aber nicht immer, ob diese Regeln im hektischen Arbeitsalltag auch angewendet werden.

Gerade in KMU können erfolgreiche Phishing-Angriffe erhebliche Folgen haben. Ein kompromittiertes Microsoft-365-Konto, eine manipulierte Rechnung oder ein gefälschter Login kann zu Datenabfluss, Zahlungsbetrug, Malware oder Betriebsunterbrechungen führen.

Eine Phishing Simulation hilft Unternehmen dabei:

• den aktuellen Awareness-Stand zu messen
• typische Risikosituationen zu erkennen
• Meldewege zu trainieren
• Schulungen gezielter zu planen
• Reaktionszeiten zu verbessern
• Führungskräfte und Fachbereiche einzubinden
• technische Schutzmaßnahmen besser zu bewerten

Besonders wichtig: Es geht nicht nur darum, die Klickrate zu senken. Noch wichtiger ist, dass verdächtige Nachrichten schnell und richtig gemeldet werden. Denn auch in gut geschützten Umgebungen kann eine gefährliche E-Mail durchrutschen.

Offizielle Präventionsmaßnahmen gegen Phishing bieten zusätzliche Orientierung dazu, wie verdächtige Nachrichten geprüft, gemeldet und technische Schutzmaßnahmen ergänzt werden können.



Genau deshalb gehören Phishing Simulation und E-Mail Sicherheit zusammen. Technische Schutzmaßnahmen wie Spamfilter, E-Mail Security, MFA und sichere Endgeräte sind wichtig. Die Simulation ergänzt diese Maßnahmen, indem sie den Faktor Mensch und die internen Prozesse trainiert.

Wie läuft eine Phishing Simulation ab?

Eine Phishing Simulation läuft in mehreren klaren Schritten ab. Zuerst werden Ziel, Zielgruppe und Szenario festgelegt. Danach werden Test-E-Mail, Landingpage, Tracking, Meldeweg und Auswertung vorbereitet. Anschließend wird die Kampagne verschickt, ausgewertet und mit kurzen Lernmaßnahmen verbunden.

Ein einfacher Ablauf sieht so aus:

1. Ziel festlegen
2. Zielgruppe bestimmen
3. Szenario auswählen
4. Test-E-Mail und Landingpage erstellen
5. Datenschutz und Kommunikation klären
6. technischen Test durchführen
7. Kampagne versenden
8. Klicks, Meldungen und Reaktionszeiten auswerten
9. Lernimpulse und Schulungen ableiten
10. später einen Re-Test durchführen

Der wichtigste Punkt ist das Follow-up. Eine Simulation ohne Auswertung und Training bringt wenig. Der Lerneffekt entsteht erst, wenn Mitarbeitende verstehen, welche Warnsignale übersehen wurden und wie sie beim nächsten Mal richtig reagieren.

Phishing Simulation richtig planen

Eine gute Phishing Simulation beginnt nicht mit dem Versand einer Test-Mail, sondern mit Planung. Unternehmen sollten vorher klären, was genau getestet werden soll, welche Zielgruppen einbezogen werden und welche Erkenntnis am Ende entstehen soll.

Sinnvolle Ziele sind:

• Meldequote erhöhen
• Klickrate senken
• Meldezeit verkürzen
• Risiken in bestimmten Rollen erkennen
• sichere Prozesse bei Rechnungen oder Logins stärken
• Awareness-Schulungen gezielter planen
• echte Vorfälle schneller erkennen

Nicht sinnvoll sind Ziele wie öffentliche Rankings, Bloßstellung einzelner Personen oder ein möglichst schwieriger Test. Solche Ansätze beschädigen Vertrauen und können dazu führen, dass Mitarbeitende echte Verdachtsfälle später nicht mehr melden.

Gerade bei der Planung kann externe Unterstützung sinnvoll sein. FIGULI CONSULTING unterstützt Unternehmen nicht nur bei einzelnen Phishing Simulationen, sondern beim Aufbau wirksamer IT-Sicherheits- und Awareness-Maßnahmen. Dazu gehören klare Meldewege, verständliche Schulungsimpulse, technische E-Mail-Schutzmaßnahmen, Microsoft-365-Sicherheit und ein Reporting, das Risiken sichtbar macht, ohne Mitarbeitende bloßzustellen.
So wird aus einem einzelnen Test kein isoliertes Projekt, sondern ein sinnvoller Bestandteil der gesamten Sicherheitsstrategie.

IT-Sicherheit und Awareness mit FIGULI besprechen

Welche Zielgruppen sollten einbezogen werden?

Nicht alle Rollen haben dasselbe Risiko. Deshalb sollte eine Phishing Simulation Zielgruppen bewusst auswählen. Besonders relevant sind Teams, die viele externe E-Mails erhalten oder mit sensiblen Vorgängen arbeiten.

Typische Zielgruppen sind:

• Buchhaltung und Finance
• Geschäftsführung und Assistenz
• HR und Recruiting
• Vertrieb und Kundenservice
• IT und Administration
• Projektleitung
• Shared Mailboxes wie office@ oder buchhaltung@

Gerade Finance, HR und Geschäftsführung sind häufig attraktiv für Angreifer, weil dort Rechnungen, Freigaben, Personalunterlagen oder vertrauliche Informationen verarbeitet werden.

Wie oft sollte man eine Phishing Simulation durchführen?

Für viele KMU ist ein quartalsweiser Rhythmus sinnvoll. Das bedeutet: eine erste Baseline-Kampagne, danach regelmäßige Wiederholungen mit vergleichbaren Szenarien und kurzen Lernimpulsen.

Wichtiger als die perfekte Frequenz ist die Regelmäßigkeit. Eine einmalige Simulation erzeugt Aufmerksamkeit, verändert aber selten dauerhaftes Verhalten. Besser ist ein wiederholbarer Prozess mit überschaubaren Kampagnen, klarer Auswertung und Re-Tests nach Schulungen oder Prozessänderungen.

Datenschutz, Transparenz und Betriebsrat

Eine Phishing Simulation muss fair und datenschutzkonform umgesetzt werden. Dabei geht es vor allem um Zweckbindung, Datenminimierung, Speicherfristen, Zugriffsrechte und transparente Kommunikation.

Mitarbeitende sollten wissen, dass das Unternehmen Awareness-Maßnahmen und Phishing Simulationen durchführt. Es ist nicht nötig, konkrete Zeitpunkte oder Szenarien vorab zu nennen. Aber der Zweck muss klar sein: Lernen, Meldewege verbessern und Sicherheitsrisiken reduzieren.

Wichtige Punkte sind:

• Zweck der Simulation dokumentieren
• nur notwendige Daten erfassen
• keine echten Passwörter speichern
• Speicherfristen definieren
• Zugriff auf Auswertungen begrenzen
• Ergebnisse möglichst aggregiert auswerten
• Betriebsrat oder Datenschutzverantwortliche früh einbinden
• keine öffentlichen Ranglisten erstellen

Wenn ein Betriebsrat vorhanden ist, sollte er frühzeitig eingebunden werden. Das gilt besonders dann, wenn personenbezogene Verhaltensdaten verarbeitet werden. Auch Datenschutzbeauftragte, IT-Sicherheit und HR sollten wissen, wie Zweck, Datenfelder, Reporting und Follow-up geregelt sind.

Eine saubere Umsetzung reduziert nicht nur rechtliche Risiken, sondern verbessert auch die Akzeptanz. Wenn Mitarbeitende verstehen, dass es um Lernen statt Kontrolle geht, steigt die Bereitschaft, verdächtige E-Mails zu melden.

Welche Phishing-Szenarien sind sinnvoll?

Gute Phishing-Szenarien orientieren sich an echten Arbeitsprozessen. Sie sollten realistisch sein, aber nicht unfair oder manipulativ. Ziel ist ein Lerneffekt, nicht maximale Verunsicherung.



Sinnvolle Szenarien sind zum Beispiel:

• angebliche Microsoft-365-Anmeldung
• gefälschte Rechnung
• angebliche Bankdatenänderung eines Lieferanten
• HR-Dokument oder Richtlinienupdate
• Paket- oder Versandbenachrichtigung
• SharePoint- oder OneDrive-Freigabe
• Terminänderung oder Kalenderfreigabe
• angebliche Sicherheitswarnung
• QR-Code in einer E-Mail

Für jedes Szenario sollte ein Lernziel definiert werden. Bei einer gefälschten Rechnung geht es zum Beispiel um Rückbestätigung und Vier-Augen-Prinzip. Bei einem Microsoft-365-Login geht es um URL-Prüfung, MFA-Verhalten und Meldeweg.

Was sollte vermieden werden?

Vermeiden sollte man Szenarien, die unnötig Angst, Scham oder persönlichen Druck erzeugen. Dazu gehören private Themen, Gesundheitsinformationen, Kündigungsandrohungen, Gehaltsversprechen oder stark emotionale Köder.

Solche Kampagnen können kurzfristig hohe Klickraten erzeugen, langfristig aber Vertrauen zerstören. Besser sind realistische, faire Szenarien mit konkretem Bezug zum Arbeitsalltag.

Welche KPIs sollte man auswerten?

Bei einer Phishing Simulation sind mehrere Kennzahlen wichtig. Die Klickrate allein reicht nicht aus. Sie zeigt zwar, wie oft ein Link angeklickt wurde, sagt aber wenig darüber aus, ob die Organisation insgesamt widerstandsfähiger wird.

Wichtige KPIs sind:

• Klickrate
• Eingaberate auf Landingpages
• Melderate
• Time-to-Report
• Wiederholerquote
• Meldequalität
• Risikomuster nach Rolle oder Prozess
• Entwicklung über mehrere Kampagnen

Besonders wertvoll sind Melderate und Time-to-Report. Wenn eine verdächtige Nachricht schnell gemeldet wird, kann IT oder Security reagieren, bevor größerer Schaden entsteht.

KPI-Tabelle für Phishing Simulationen

Wichtig ist der Trend. Eine einzelne Kampagne kann durch Szenario, Timing oder technische Filter verfälscht sein. Aussagekräftig wird die Auswertung erst über mehrere Kampagnen hinweg.

Typische Fehler bei Phishing Simulationen

Viele Phishing Simulationen scheitern nicht an der Technik, sondern an Kommunikation, Zielsetzung oder fehlendem Follow-up. Wenn Mitarbeitende das Gefühl haben, kontrolliert oder bloßgestellt zu werden, sinkt die Akzeptanz.

Häufige Fehler sind:

• unklare Ziele
• zu harte oder unfaire Köder
• keine Vorab-Kommunikation
• fehlende Datenschutzabstimmung
• zu viel personenbezogenes Reporting
• keine Schulung nach der Kampagne
• Fokus nur auf Klickrate
• zu viele Szenarien gleichzeitig
• Helpdesk nicht vorbereitet
• keine Wiederholung oder kein Re-Test

Eine gute Simulation bleibt überschaubar, fair und lernorientiert. Sie zeigt nicht nur, wo jemand geklickt hat, sondern was im Prozess verbessert werden kann.

Phishing Simulation mit FIGULI CONSULTING umsetzen

Eine Phishing Simulation entfaltet ihren Nutzen erst dann vollständig, wenn sie sauber geplant, fair kommuniziert und in ein Awareness-Programm eingebettet wird. Genau hier kann FIGULI CONSULTING  unterstützen.

FIGULI CONSULTING hilft Unternehmen dabei, Phishing Simulationen praxistauglich aufzusetzen: von Zieldefinition und Szenario-Auswahl über Datenschutz- und Kommunikationskonzept bis zu Reporting, Lernmaßnahmen und Re-Tests. Dabei geht es nicht um bloße Mitarbeitertests, sondern um messbare Verbesserung von E-Mail Sicherheit, Meldewegen und Sicherheitsbewusstsein.

FIGULI kann insbesondere unterstützen bei:

• Auswahl geeigneter Szenarien
• Planung von Pilot und Baseline
• Abstimmung von Datenschutz und Reporting
• Erstellung verständlicher Lernimpulse
• Auswertung von KPIs
• Ableitung konkreter Awareness-Maßnahmen
• Verbindung mit E-Mail Security und Endpoint Security
• wiederkehrenden Re-Tests

Gerade wenn Unternehmen bereits Microsoft 365, E-Mail Security oder Security-Lösungen wie Hornet Security nutzen, kann FIGULI helfen, Phishing Simulationen sinnvoll mit technischen Schutzmaßnahmen und Awareness zu verbinden.

Fazit

Eine Phishing Simulation ist ein wirksames Werkzeug, um Sicherheitsbewusstsein im Unternehmen messbar zu verbessern. Sie zeigt, wie Mitarbeitende im Alltag auf verdächtige Nachrichten reagieren, ob Meldewege funktionieren und welche Prozesse nachgeschärft werden müssen.

Entscheidend ist die richtige Umsetzung. Eine gute Phishing Simulation ist fair, verständlich, datenschutzkonform und mit konkreten Lernmaßnahmen verbunden. Sie misst nicht nur Klicks, sondern auch Meldungen, Reaktionszeiten und Risikomuster.

Für KMU und mittelständische Unternehmen ist ein schlanker Ansatz meist am besten: klare Ziele, wenige realistische Szenarien, einfache Meldewege, kurze Lernimpulse und regelmäßige Re-Tests. So wird aus einer Simulation kein einmaliger Test, sondern ein kontinuierlicher Beitrag zur IT-Sicherheit.

Wenn intern Zeit, Know-how oder geeignete Tools fehlen, kann FIGULI CONSULTING dabei unterstützen, Phishing Simulationen in ein breiteres Sicherheitskonzept einzubetten. Dazu gehören E-Mail Sicherheit, Microsoft-365-Schutz, klare Meldewege, Awareness-Maßnahmen und technische Schutzschichten, die im Alltag wirklich funktionieren.

IT-Sicherheit und Awareness mit FIGULI besprechen

FAQ zur Phishing Simulation

Was ist eine Phishing Simulation?

Eine Phishing Simulation ist ein kontrollierter Test mit realistisch gestalteten, aber ungefährlichen Phishing-Nachrichten. Ziel ist, das Sicherheitsverhalten von Mitarbeitenden zu verbessern, Meldewege zu trainieren und typische Risikomuster zu erkennen.

Warum ist eine Phishing Simulation sinnvoll?

Eine Phishing Simulation ist sinnvoll, weil sie zeigt, wie Mitarbeitende im Arbeitsalltag auf verdächtige E-Mails reagieren. Unternehmen erkennen dadurch, wo Schulungen, Meldewege oder technische Schutzmaßnahmen verbessert werden sollten.

Wie oft sollte man eine Phishing Simulation durchführen?

Für viele KMU ist ein quartalsweiser Rhythmus sinnvoll. Wichtig sind regelmäßige Wiederholungen, vergleichbare Szenarien, kurze Lernimpulse und Re-Tests nach Schulungs- oder Prozessänderungen.

Welche KPIs sind bei Phishing Simulationen wichtig?

Wichtige KPIs sind Klickrate, Eingaberate, Melderate, Time-to-Report, Wiederholerquote und Meldequalität. Besonders aussagekräftig sind Melderate und Reaktionszeit, weil sie zeigen, wie schnell ein Unternehmen auf Verdachtsfälle reagieren kann.

Ist eine Phishing Simulation DSGVO-konform möglich?

Ja, eine Phishing Simulation kann DSGVO-konform umgesetzt werden, wenn Zweck, Datenumfang, Speicherfristen, Zugriffsrechte und Reporting klar geregelt sind. Es sollten keine echten Zugangsdaten gespeichert und Ergebnisse möglichst aggregiert ausgewertet werden.

Welche Phishing-Szenarien eignen sich für KMU?

Für KMU eignen sich realistische Szenarien aus dem Arbeitsalltag: gefälschte Rechnungen, Microsoft-365-Logins, SharePoint-Freigaben, HR-Dokumente, Paketbenachrichtigungen oder Bankdatenänderungen. Wichtig ist, dass jedes Szenario ein klares Lernziel hat.

Wie verhindert man, dass Mitarbeitende bloßgestellt werden?

Unternehmen sollten klar kommunizieren, dass es um Lernen und Risikoreduktion geht. Reporting sollte möglichst aggregiert erfolgen, öffentliche Rankings sollten vermieden werden. Nach einem Klick sollte ein kurzer, respektvoller Lernimpuls folgen.