Eine Phishing-Simulation ist ein Awareness-Instrument. Wir verschicken zu Trainingszwecken E-Mails, die echten Phishing-Angriffen nachempfunden sind, und beobachten, wie darauf reagiert wird. Es geht ausdrücklich nicht darum, Ihre Technik anzugreifen. Eine Phishing-Simulation ist deshalb kein Penetrationstest und kein technischer Angriffstest, sondern ein didaktisches Werkzeug, das Verhalten sichtbar macht und Lernen ermöglicht.
Am Anfang steht eine Ausgangsmessung, die zeigt, wo Ihr Team heute steht. Darauf folgen über das Jahr verteilte Kampagnen mit unterschiedlichen Szenarien. Wer auf eine simulierte Mail klickt, erhält unmittelbar eine kurze Lerneinheit, die den Fehler erklärt. Anschließend werten wir die Ergebnisse aus und passen die nächsten Kampagnen an. Durch die Wiederholung wird aus einem einmaligen Test ein spürbarer Lerneffekt.
Zwei Werte zeigen den Fortschritt besonders gut. Die Klickrate misst, wie viele Personen auf eine simulierte Mail hereinfallen. Die Meldequote misst, wie viele die verdächtige Mail aktiv melden. Zu Beginn liegt die Klickrate oft bei 20 bis 35 Prozent. Als Zielwert nach etwa zwölf Monaten gelten eine Klickrate unter 10 Prozent und eine Meldequote über 30 Prozent. Wie schnell Phishing wirkt, zeigt eine Zahl aus dem Verizon-Bericht: Im Median dauert es weniger als 60 Sekunden, bis jemand auf eine Phishing-Mail hereinfällt.
Eine Phishing-Simulation darf niemanden an den Pranger stellen. Wer klickt, hat einen Angriff erlebt, kein Vergehen begangen. Deshalb werten wir anonymisiert aus und richten den Blick auf die Entwicklung des gesamten Teams, nicht auf einzelne Personen. Diese positive Lernkultur ist entscheidend, denn nur wer sich sicher fühlt, meldet einen echten Vorfall auch offen.
Bei einer Phishing-Simulation sind rechtliche Punkte zu beachten. Weil die eingesetzte Plattform grundsätzlich geeignet ist, Verhalten zu erfassen, ist in Unternehmen mit Betriebsrat dessen Mitbestimmung nach dem Betriebsverfassungsgesetz erforderlich. Vor der ersten Kampagne wird dann eine Betriebsvereinbarung geschlossen. Datenschutzrechtlich ist Ihr Unternehmen verantwortlich, der Plattformanbieter ist Auftragsverarbeiter, weshalb ein Auftragsverarbeitungsvertrag nötig ist. Die Auswertung erfolgt anonymisiert und dient nicht der Kontrolle einzelner Beschäftigter. Wir bevorzugen Anbieter mit Hosting in der EU und begleiten Sie durch diese organisatorischen Schritte. Diese Hinweise ersetzen keine Rechtsberatung im Einzelfall.
Eine Phishing-Simulation entfaltet ihre volle Wirkung erst zusammen mit einer Security-Awareness-Schulung. Die Simulation deckt auf, wo Handlungsbedarf besteht, die Schulung liefert das nötige Wissen. Gemeinsam ergeben sie einen Kreislauf aus Testen und Lernen, der das Sicherheitsniveau dauerhaft hebt.
Eine Phishing-Simulation bieten wir als Teil eines Awareness-Programms oder als einzelne begleitete Kampagne an. Ihren konkreten Preis stimmen wir mit Ihnen ab. Den Anfang macht eine kostenlose Erstberatung, gern mit einer ersten Ausgangsmessung.
Der Mensch ist der wichtigste Faktor für Sicherheit. Sehen Sie, wie Security-Awareness-Schulungen, Phishing-Simulationen und Datenschutzschulungen ineinandergreifen und Ihr Team wirksam schützen.
