Wie man ein wirksames Phishing-Simulationsprogramm betreibt

Ein Phishing-Simulationsprogramm ist keine „Erwischt“-Übung — es ist ein Mess- und Schulungssystem. Schlecht betrieben, untergräbt es Vertrauen und lehrt nichts; gut betrieben, liefert es eine belastbare, sich verbessernde Kennzahl für eine Ihrer größten Angriffsflächen.

Das Ziel vor dem ersten Versand festlegen

Entscheiden Sie, was Sie tatsächlich messen. Häufige Ziele:

• Verhaltens-Widerstandskraft — Klickrate, Rate der Zugangsdaten-Eingabe und entscheidend die Meldequote.
• Zeit bis zur Meldung — wie schnell Ihre schnellsten 10 % eine aktive Kampagne sichtbar machen.
• Abdeckung — welche Abteilungen, Rollen oder Regionen hinterherhinken.

Die mit Abstand nützlichste Kennzahl ist oft nicht die Klickrate, sondern die Meldequote, denn eine Belegschaft, die schnell meldet, gibt Ihrem SOC das Signal, das es braucht, um einen echten Angriff in Minuten einzudämmen.

Das Programmdesign richtig aufsetzen

Erst Basislinie, dann verbessern

Fahren Sie eine anfängliche, leichte Basiskampagne, um festzustellen, wo Sie stehen. Veröffentlichen Sie die Basislinie nie und knüpfen Sie keine Namen daran — ihre Aufgabe ist ein Startwert, keine Verantwortlichkeit.

Segmentieren und randomisieren

Senden Sie über ein Zeitfenster an repräsentative Segmente, statt alle montags um 9:00 zu bombardieren. Gleichzeitige Sendungen lösen Flurwarnungen aus („Vorsicht vor der Fake-Mail“), die Ihre Daten verfälschen.

Schwierigkeit mit der Zeit steigern

Ordnen Sie Kampagnen einer Schwierigkeitsleiter zu:

• Leicht: generisches „Paketzustellung fehlgeschlagen“, offensichtlicher externer Absender.
• Mittel: gefälschtes internes Werkzeug (HR-Portal, Leistungsanmeldung), plausibler Vorwand.
• Schwer: gezielte, kontextbezogene Köder mit Bezug auf echte Projekte, getaktet auf reale Ereignisse (Anmeldefristen, Steuersaison, eine Umstrukturierung).

Passen Sie die Schwierigkeit an die Reife an. Schwere Köder gegen eine ungeschulte Belegschaft erzeugen nur eine demoralisierende Klickrate.

Betriebsregeln, die das Vertrauen wahren

• Klicks nie bestrafen. Strafende Programme bringen Menschen dazu, Fehler zu verbergen und nicht zu melden. Belohnen Sie stattdessen das Melden.
• Schulung im lehrbaren Moment liefern. Die Landing-Page nach einem Klick sollte kurz sein, nicht beschämen und die konkreten Merkmale erklären.
• Mit Stakeholdern abstimmen. Geben Sie SOC/Helpdesk Bescheid, damit eine Spitze an Meldungen nicht für einen echten Vorfall gehalten wird, und weisen Sie HR/Recht zur Datenverarbeitung ein.
• Sensible Kontexte respektieren. Vermeiden Sie Köder, die echte Gehaltskürzungen, Boni oder Trauerfälle vortäuschen — sie richten echten Schaden an und provozieren Gegenreaktionen.

Messen, worauf es ankommt

Verfolgen Sie Trends, keine Einzelzahlen:

Meldequote        = gemeldet / zugestellt
Klickrate         = geklickt / zugestellt
Kompromittierungsrate = Zugangsdaten eingegeben / zugestellt
Widerstands-Verhältnis = Melder / Klicker   (Ziel: > 1 und steigend)
Median der Zeit bis zur Meldung
Wiederholungsklicker-%  (dieselben Nutzer über Kampagnen hinweg)

Ein gesundes Programm zeigt über aufeinanderfolgende Quartale steigende Meldequote und sinkende Zeit bis zur Meldung, wobei Wiederholungsklicker gezielte Nachbetreuung statt Flächen-Nachschulung erhalten.

Ein Hinweis zur technischen Messung

Hüten Sie sich vor aufgeblähten Zahlen durch Sicherheitswerkzeuge, die Links vorab anklicken (URL-Sandboxes, Link-Rewriter, Mail-Security-Scanner). Setzen Sie Ihren Simulationsabsender und Ihre Infrastruktur in diesen Systemen auf die Allowlist oder filtern Sie deren User-Agents und Quell-IPs, damit ein Scanner nicht als „Klick“ protokolliert wird.

Ein einfacher Quartalsrhythmus

1. Planen — Thema, Schwierigkeitsstufe und Zielsegmente wählen.
2. Senden — über mehrere Tage gestaffelt.
3. Schulen — punktgenaue Inhalte für die, die klicken; Anerkennung für Melder.
4. Berichten — Trends an die Führung, gezielte Maßnahmen für rückständige Segmente.
5. Iterieren — Schwierigkeit steigern, wenn die Widerstandskraft wächst.

Behandeln Sie Simulationen wie Feueralarmübungen, nicht wie Prüfungen. Es geht um eine schnellere, ruhigere, besser vorbereitete Reaktion — nicht um eine Liste von Schuldigen.

Wie GottaPhish hilft

Betreiben Sie ein Simulationsprogramm schlecht — uneinheitliche Szenarien, keine Messung, keine Nachverfolgung — und Sie untergraben Vertrauen, während Sie nichts lernen. GottaPhish und sein Expertenteam fahren den ganzen Zyklus für Sie: KI-personalisierte Simulationen, die von leichten Basislinien bis zu gezielten, kontextbewussten Ködern skalieren, gestaffelter Versand, punktgenaue Schulung im Moment des Klicks und Dashboards, die Meldequote, Zeit bis zur Meldung, Widerstands-Verhältnis und Wiederholungsklicker je Segment verfolgen. Unsere Fachleute arbeiten direkt mit Ihnen an Szenarien, richten Kampagnen ein und rollen sie aus (samt phishing-resistenter MFA, wenn die Preisgabe von Zugangsdaten das eigentliche Risiko ist) und deuten die Ergebnisse, damit jede Runde das Verhalten messbar verbessert statt bloß Zahlen zu erzeugen.