Warum viele Simulationen wenig bewirken und wie man realistische, lernwirksame Szenarien gestaltet, ohne Schuldzuweisung
Die Phishing-Mail, die in jeder Schulung gezeigt wird – und trotzdem funktioniert
Die Nachricht sieht harmlos aus. Betreff: „Aktualisierung Ihrer persönlichen Daten im HR-Portal“. Freundliche Anrede, korrekte Signatur, ein Link, der auf den ersten Blick nach interner Anwendung aussieht.
Ein Mitarbeiter öffnet die Mail mitten in einem vollen Arbeitstag. Er hat noch drei Aufgaben auf der Liste, ein Meeting in zehn Minuten und zwei offene Rückfragen aus dem Teamchat. Er klickt, weil er es für eine legitime interne Anfrage hält.
Was er nicht weiß: Es handelt sich um eine Phishing-Simulation. Der Klick triggert eine Schulungsseite. Kurz darauf steht sein Name auf einer Auswertungsliste. Im nächsten Jour fixe wird er von seinem Vorgesetzten halb scherzhaft, halb vorwurfsvoll angesprochen. Das Security-Team vermerkt die Simulation als „Erfolg“, denn die Kampagne hat Klicks erzeugt und damit angeblich Erkenntnisse geliefert.
Gelernt hat niemand etwas. Der Mitarbeiter fühlt sich ertappt. Das Vertrauen in die Security-Abteilung sinkt. Die Kennzahlen sehen gut aus, die Kompetenz hat sich nicht verändert.
Genau hier liegt das Kernproblem vieler Phishing-Simulationen: Sie produzieren Zahlen, aber keine besser gewappneten Menschen.
Warum Phishing-Simulationen ein mächtiges Werkzeug sind – und gleichzeitig oft nutzlos
Richtig gemacht sind Phishing-Simulationen eines der wirksamsten Instrumente in der Security Awareness. Sie bringen reale Situationen in den Arbeitsalltag, machen abstrakte Bedrohungen greifbar und liefern konkrete Anlässe für Gespräche und Lernmomente.
Menschen lernen durch Wiederholung, durch unmittelbare Rückmeldung und durch kontextnahe Erfahrungen. Eine gut gestaltete Simulation erfüllt alle drei Punkte: Sie taucht mitten im Alltag auf, fordert eine Entscheidung und bietet im besten Fall direkt eine Erklärung, warum diese Entscheidung gut oder verbesserungswürdig war.
Die Realität in vielen Unternehmen sieht anders aus. Simulationen werden vor allem als Kontrollwerkzeug betrieben. Man will wissen, „wer klickt“. Man sammelt Klickzahlen, erstellt Rankings, verschickt Tabellen mit „Top-Clickern“ an Führungskräfte. Aus einem Lerninstrument wird eine versteckte Prüfung, bei der Fehler vor allem dokumentiert werden, um sie in Berichten zu verwerten.
So entsteht Misstrauen. Mitarbeiter erleben Security nicht als Unterstützung, sondern als Instanz, die sie „erwischt“. Sie fragen sich, ob jede ungewöhnliche Mail eine Falle sein könnte. Die Hemmschwelle, ehrlich zuzugeben, dass man unsicher war oder eventuell auf etwas hereingefallen ist, steigt. Genau das Gegenteil dessen, was man im Ernstfall braucht.
Das große Missverständnis dahinter: Die Annahme, dass der Klick selbst das Problem sei. In Wirklichkeit ist der Klick nur ein Symptom. Dahinter stehen Stress, Zeitdruck, soziale Muster, Vertrauen in interne Kommunikation und oft auch eine unklare Erwartungshaltung: Was darf ich annehmen? Wann muss ich skeptisch sein? Wann lohnt es sich, nachzufragen?
Die Angreiferperspektive: Warum echtes Phishing kaum etwas mit Schulungsmails zu tun hat
Wer verstehen will, wie Phishing-Simulationen gestaltet sein sollten, muss sich anschauen, wie echte Angriffe funktionieren.
Moderne Phishing-Kampagnen sind selten plump. Sie sind psychologisch fein abgestimmt. Angreifer nutzen Dringlichkeit („Bitte heute noch erledigen“), Neugier („Sie wurden für ein neues Projekt ausgewählt“), soziale Normen („Alle Kollegen haben bereits bestätigt“) und Autorität („Nachricht vom Management“).
Der Kontext macht den Unterschied. Eine Mail mit dem Betreff „Lohnabrechnung verfügbar“ wirkt an einem zufälligen Datum vielleicht neutral. Am Tag der Gehaltsauszahlung trifft sie einen Nerv. Eine Nachricht zum Thema „Neue VPN-Richtlinie“ entfaltet mehr Wirkung, wenn es tatsächlich ein laufendes Infrastrukturprojekt gibt.
Angreifer nutzen Informationen, die in vielen Schulungen völlig ausgeblendet bleiben. Sie lesen öffentliche Profile, interne News, Social-Media-Beiträge, Stellenanzeigen, Pressemitteilungen. Sie imitieren Tonalitäten, die im Unternehmen üblich sind.
Eine Simulation, die immer wieder mit generischen Standardvorlagen arbeitet, bildet diese Realität nicht ab. Sie testet, ob Mitarbeiter eine offensichtliche Gefahr erkennen. Sie trainiert nicht, wie man mit glaubwürdigen Angriffen umgeht.
Was Phishing-Simulationen nicht leisten
An dieser Stelle hilft ein klarer Realitätscheck:
- Phishing-Simulationen messen nicht das gesamte Sicherheitsniveau eines Unternehmens, sondern nur das Verhalten in einem begrenzten Szenario.
- Sie ersetzen kein umfassendes Awareness-Programm, sondern sind nur ein Baustein darin.
- Sie identifizieren keine „schlechten“ Mitarbeiter, sondern zeigen, wie Menschen unter bestimmten Bedingungen reagieren.
- Sie sind kein Kontrollinstrument, auch wenn sie oft so genutzt werden.
- Sie wirken nicht, weil sie überraschend oder gemein sind, sondern weil sie relevant und gut eingebettet sind.
Wer Simulationen von vornherein als Prüfwerkzeug versteht, vergibt ihr größtes Potenzial.
Was gute Simulationen ausmacht – die Grundprinzipien
Eine gute Phishing-Simulation fühlt sich an wie eine echte Nachricht aus dem Unternehmen. Sie ist so gestaltet, dass sie typische Kommunikationsmuster imitiert, ohne bewusst unfair zu sein.
Realismus ist zentral. Echte Angreifer verschicken selten Mails mit groben Rechtschreibfehlern und absurden Geschichten. Sie orientieren sich an echten Prozessen. Genau das sollten Simulationen ebenfalls tun.
Kontext schlägt Zufall. Es macht einen Unterschied, ob ein Szenario zur Situation einer Abteilung passt. Ein Entwicklungsteam reagiert anders als Vertrieb oder HR. Ein generischer Betreff funktioniert im Zweifel für niemanden gut.
Lernorientierung bedeutet, dass der Moment nach dem Klick nicht als „Erwischt!“ gestaltet wird, sondern als Einstieg in eine Erklärung. Warum war diese Mail verdächtig. Welche Signale hätte man beachten können. Was war gut, was war riskant.
Transparenz schützt vor Vertrauensverlust. Wenn im Unternehmen klar ist, dass Simulationen stattfinden, warum sie stattfinden und wie mit Ergebnissen umgegangen wird, sind die Mitarbeiter eher bereit, sie als Hilfe zu akzeptieren. Geheimniskrämerei verstärkt nur den Eindruck, unter Beobachtung zu stehen.
Die Frequenz sollte so gewählt werden, dass Lernen möglich ist, ohne den Alltag zu überlasten. Wer ständig simuliert, erzeugt Müdigkeit. Wer zu selten simuliert, verpasst Wiederholungseffekte.
Mini-Szenario: Eine wirklich gut gemachte Simulation
Stellen wir uns eine Simulation vor, die an einem typischen Monatsanfang stattfindet. Viele Mitarbeiter erwarten in dieser Zeit Informationen zu Abrechnung, Zielvereinbarung oder Projektbudgets.
Eine Mail geht an eine ausgewählte Gruppe, die tatsächlich mit internen HR- oder Finance-Systemen arbeitet. Die Tonalität entspricht der üblichen internen Kommunikation. Absenderadresse, Layout und Wortwahl sind glaubwürdig, aber die Mail enthält ein paar subtile Unstimmigkeiten: eine leicht abweichende URL, eine für das Unternehmen untypische Formulierung, eine ungewöhnliche Aufforderung zur Eingabe persönlicher Daten.
In dieser Simulation gibt es zwei Erfolgskriterien: Mitarbeiter, die die Mail melden, zeigen hohes Bewusstsein. Mitarbeiter, die klicken, erhalten unmittelbar eine Erklärung, warum die Mail kritisch war, und werden nicht bloßgestellt.
Die Qualität der Simulation zeigt sich daran, dass Menschen ins Nachdenken kommen. Sie werden nicht verunsichert, sondern trainieren ihre Fähigkeit, Details zu erkennen und im Zweifelsfall nachzufragen.
Dos & Don’ts – was gute Programme tun und was sie vermeiden
Hier lässt sich vieles auf einige klare Grundsätze verdichten.
Dos
- Szenarien an realen Fällen ausrichten, die zum Unternehmen passen, statt generische Templates zu kopieren.
- Mitarbeiter nach einem Klick nicht allein lassen, sondern aktiv unterstützen, erklären, einordnen, Mut machen.
- Feedback so zeitnah wie möglich geben, idealerweise direkt nach Interaktion, damit der Lerneffekt an die Situation geknüpft bleibt.
- Simulationen mit anderen Awareness-Maßnahmen verzahnen und die Ergebnisse in Schulungen, Teamrunden oder kurze Lernnuggets einfließen lassen.
- Erfolgreiche Meldungen positiv hervorheben, damit „Melden“ als Erfolg wahrgenommen wird, nicht nur „Nicht-Klicken“.
- Kontext wie Arbeitslast, Stress oder Projektspitzen berücksichtigen, wenn Ergebnisse bewertet werden.
Don’ts
- Keine Rankings oder Bloßstellungen von Einzelpersonen oder Teams, weder offen noch hinten herum im Führungskreis.
- Keine völlig unrealistischen, rein technischen Köder, die nichts mit dem Arbeitsalltag zu tun haben.
- Keine altbekannten „Nigerianischer Prinz“-Motive, die niemand ernsthaft mehr klickt und die damit nur falsche Sicherheit vermitteln.
- Keine bewusst schlecht gemachten Layouts, die zwar leicht zu erkennen sind, aber keinen Lernwert bieten.
- Keine Kampagnen ohne Bezug zur aktuellen Situation im Unternehmen, die aus Sicht der Mitarbeiter wie zufällig eingestreute Tests wirken.
Der organisatorische Faktor: Warum Prozesse über Erfolg oder Misserfolg entscheiden
Eine gute Phishing-Simulation endet nicht beim Versenden der Mail. Sie beginnt dort erst richtig.
Mitarbeiter brauchen einfache Meldewege. Ein Button im Mailclient ist besser als eine komplexe Anleitung in einem Wiki, das niemand im Stress nachschlägt. Wenn das Melden genauso einfach ist wie das Löschen, steigt die Wahrscheinlichkeit, dass es auch genutzt wird.
SOC und IT müssen vorbereitet sein. Wenn eine Simulation läuft, werden Meldungen kommen. Wer dann überrascht reagiert, verspielt Vertrauen. Besser ist es, wenn Analysten wissen, welche Szenarien aktiv sind, welche Antworten sinnvoll sind und wie man Rückfragen konstruktiv aufnimmt.
Kommunikation ist nicht Beiwerk, sondern Teil der Verteidigung. Wenn nach einer Simulation transparent erklärt wird, was das Ziel war, was man gelernt hat und wie die Organisation daraus besser wird, fühlen sich Mitarbeiter als Teil des Sicherheitsprozesses.
Ideal ist es, Simulationen auch mit Incident-Response-Prozessen zu verknüpfen. Wenn eine Simulation zeigt, dass ein bestimmter Typ Angriff kaum gemeldet wird, ist das ein starkes Signal, IR-Playbooks oder Alert-Kategorien zu überarbeiten.
Wie man Ergebnisse bewertet – ohne in KPI-Fallen zu tappen
Die Klickrate ist eine verfügbare Kennzahl, aber sie ist selten die wichtigste. Eine leicht sinkende Klickrate kann gut sein, muss es aber nicht. Wenn gleichzeitig niemand mehr Vorfälle meldet, ist das ein Alarmzeichen.
Melderaten sind häufig aussagekräftiger. Wie viele Mitarbeiter haben eine verdächtige Mail gemeldet. Wie schnell ist diese Meldung erfolgt. Welche Rückfragen wurden gestellt.
Eine segmentierte Auswertung hilft, Muster zu verstehen. Ein Team mit hoher Belastung im Projektgeschäft reagiert vielleicht anders als ein Team mit klaren Arbeitsroutinen. Führungskräfte, die ihre Mails überwiegend auf dem Smartphone bearbeiten, haben andere Herausforderungen als Kollegen, die überwiegend am Desktop arbeiten.
Wirkliches Lernen zeigt sich über Zeitreihen. Ein einzelner Test sagt wenig. Wiederholte Kampagnen über Monate zeigen, ob Bildung und Kultur tatsächlich wirken. Gerade qualitative Beobachtungen sind wichtig: Werden in Meetings öfter Sicherheitsfragen gestellt. Kommen mehr Anfragen bei der Security-Abteilung an. Ändert sich der Ton in der internen Kommunikation.
Fallbeispiel: Von Misstrauen zu Kompetenz
Ein mittelständisches Unternehmen startet sein Phishing-Programm mit guten Absichten. Man will „endlich Zahlen haben“. Die erste Kampagne zeigt eine hohe Klickrate. Das Management reagiert mit Druck, der Ton wird härter, Namen werden intern thematisiert.
Die Folgen sind deutlich: In den nächsten Kampagnen gehen die Klickzahlen zwar leicht zurück, aber die Zahl der Meldungen sinkt drastisch. Mitarbeiter löschen verdächtige Mails lieber, als sie zu melden, um nicht mit dem Thema in Verbindung gebracht zu werden.
Nach einem echten Phishing-Vorfall zieht das Unternehmen Konsequenzen. Die Simulationen werden neu gedacht. Statt Schuldzuweisung tritt Kommunikation in den Vordergrund. Vor Beginn der nächsten Kampagnen wird erklärt, warum man simuliert, wie mit Ergebnissen umgegangen wird und dass Meldungen ausdrücklich erwünscht sind.
Die Szenarien werden näher an echte Vorfälle im eigenen Umfeld angelehnt. Nach jedem Test erhalten die Betroffenen eine kurze, klare Erklärung und optional ein Micro-Learning. Erfolge werden in Meetings positiv erwähnt, ohne Namen zu nennen.
Nach einigen Monaten verändern sich die Zahlen. Die Klickrate sinkt moderat, aber die Melderate steigt deutlich. Vor allem reagieren Mitarbeiter schneller. In einigen Fällen werden verdächtige echte Mails gemeldet, bevor sie Schaden anrichten. Security wird nicht mehr ausschließlich als Kontrollinstanz wahrgenommen, sondern als Partner.
Genau dort entfaltet ein Phishing-Programm seinen wirklichen Wert.
Technische Perspektive: Wie Tools helfen – und wo sie an Grenzen stoßen
Technische Plattformen für Phishing-Simulationen nehmen viel Arbeit ab. Sie ermöglichen Rollouts, Auswertungen, Zielgruppensegmentierung, Integration in M365 oder Google Workspace und das Ausspielen von Schulungsinhalten. Das ist hilfreich, besonders in größeren Umgebungen.
Die besten Simulationen entstehen trotzdem selten auf Knopfdruck. Sie basieren auf einem Verständnis der eigenen Kommunikationskultur. Sie orientieren sich an echten Mailvorlagen, an internen Prozessen, an aktuellen Projekten. Viele dieser Feinheiten lassen sich nicht automatisiert generieren, sondern entstehen in Zusammenarbeit zwischen Security, Kommunikation und Fachbereichen.
Tools liefern Infrastruktur. Pädagogische Qualität und psychologisches Fingerspitzengefühl müssen aus der Organisation kommen. Eine Plattform, die nur „Template XY“ in festen Intervallen versendet, schafft Kennzahlen, aber noch keine Sicherheitskultur.
Fazit: Phishing-Simulationen sind ein Lerninstrument, kein Test
Phishing-Simulationen können ein kraftvolles Element moderner Security Awareness sein. Sie können helfen, reale Angriffsformen greifbar zu machen, Reflexe zu schulen und Meldewege zu etablieren.
Sie entfalten diesen Nutzen aber nur, wenn sie als Lerninstrument verstanden werden, nicht als Prüfwerkzeug. Erfolg misst sich nicht an einer möglichst niedrigen Klickrate, sondern an wachsender Kompetenz: mehr Meldungen, bessere Rückfragen, bewussteres Handeln im Alltag.
Gute Simulationen sind psychologisch, nicht primär technisch. Sie respektieren die Realität der Mitarbeiter, nehmen Stress und Arbeitsdruck ernst und setzen auf Kooperation statt auf Angst.
Unternehmen profitieren, wenn sie Vertrauen statt Druck erzeugen. Das eigentliche Ziel ist nicht, jeden Klick zu verhindern. Das Ziel ist, dass Mitarbeiter sich trauen, bei Unsicherheit die Hand zu heben und zu sagen: „Hier stimmt etwas nicht.“
Wer das erreicht, hat mit seinem Phishing-Programm mehr erreicht als jede Statistik zeigen kann.