Phishing-Simulation im eigenen Unternehmen: So bereiten Sie die erste Testkampagne vor

Wer im eigenen Unternehmen eine Phishing-Simulation vorbereiten will, braucht vor allem eines: einen klaren organisatorischen Fahrplan, bevor die erste Testmail überhaupt verschickt wird. Für IT-Verantwortliche in kleinen und mittleren Unternehmen ist eine solche Kampagne oft der erste sichtbare Baustein einer strukturierten Security-Awareness-Arbeit. Genau deshalb entscheidet die Vorbereitung darüber, ob die Belegschaft das Ergebnis als Lerngelegenheit oder als Kontrollmaßnahme wahrnimmt. Wird eine erste Testkampagne unvorbereitet oder zu aggressiv angesetzt, verpufft der Effekt schnell: Mitarbeiter fühlen sich vorgeführt, statt für den Umgang mit verdächtigen Mails sensibilisiert zu werden. Dieser Beitrag beschreibt den Ablauf einer ersten internen Testkampagne aus Prozesssicht, von der Zielsetzung über die Durchführung bis zur Auswertung, ohne dabei auf konkrete Täuschungstechniken einzugehen, die ohnehin dem jeweiligen Simulationswerkzeug oder dem beauftragten Dienstleister vorbehalten bleiben.

Vorbereitung: Ziele, Freigaben und den richtigen Rahmen festlegen

Bevor die erste Kampagne überhaupt geplant wird, sollte feststehen, wofür sie steht: nicht als Prüfung einzelner Mitarbeiter, sondern als Werkzeug, um Aufmerksamkeit für verdächtige E-Mails zu schärfen. Diese Zielsetzung entscheidet über Tonalität, Auswertung und Kommunikation der gesamten Aktion.

1. Ziel schriftlich festhalten: Der Grundsatz lautet Sensibilisierung statt Bloßstellung. Er sollte in einer kurzen internen Notiz stehen, auf die sich alle Beteiligten später berufen können.
2. Geschäftsführung und Betriebsrat einbinden: Da eine Phishing-Simulation technisch das Verhalten einzelner Mitarbeiter erfasst, greifen häufig Mitbestimmungsrechte bei Maßnahmen, die geeignet sind, Verhalten oder Leistung zu überwachen. Holen Sie sich vorab eine arbeitsrechtliche Einschätzung ein und stimmen Sie das Vorgehen mit der Arbeitnehmervertretung ab, statt sich auf eine spätere nachträgliche Information zu verlassen.
3. Schwierigkeitsgrad bewusst niedrig ansetzen: Für die erste Kampagne eignen sich Szenarien mit klar erkennbaren Warnsignalen, etwa eine leicht abweichende Absenderdomain oder eine ungewöhnliche, unter Zeitdruck gestellte Aufforderung. Eine zu raffinierte erste Simulation demotiviert eher, als dass sie einen Lerneffekt erzeugt.
4. Zielgruppe eingrenzen: Beginnen Sie mit einer einzelnen Abteilung oder einer überschaubaren Gruppe, bevor die Simulation auf das gesamte Unternehmen ausgeweitet wird. So lassen sich Technik, Kommunikation und Auswertungsprozess im kleinen Rahmen erproben.
5. Support-Kanal vorab einrichten: Legen Sie fest, an wen sich Mitarbeiter wenden können, wenn sie unsicher sind, ob eine E-Mail echt ist, am besten dieselbe Anlaufstelle, die auch im echten Verdachtsfall zuständig ist.
6. Simulationswerkzeug oder Dienstleister sorgfältig auswählen: Achten Sie bei der Auswahl auf einen DSGVO-konformen Umgang mit den erhobenen Daten, insbesondere darauf, wo die Klick- und Auswertungsdaten gespeichert werden, und klären Sie die Verarbeitung vorab mit dem betrieblichen Datenschutz ab.
7. IT-Support intern vorwarnen: Informieren Sie den First-Level-Support, dass in einem festgelegten Zeitraum eine interne Testkampagne läuft, damit eingehende Rückfragen richtig eingeordnet werden können, ohne dass die Belegschaft im Detail vorgewarnt wird.

Durchführung: Kampagne starten und Rückfragen ernst nehmen

Sobald Ziel, Freigabe und Zielgruppe feststehen, geht es an die eigentliche Durchführung. Auch hier zahlt sich ein ruhiger, gut kommunizierter Ablauf aus.

1. Zeitfenster festlegen: Definieren Sie einen klaren Testzeitraum, in dem die Simulation läuft, damit die Auswertung später eindeutig zugeordnet werden kann.
2. Support-Kanal aktiv bewerben: Weisen Sie im Rahmen der allgemeinen Sicherheitskommunikation noch einmal darauf hin, dass verdächtige Mails jederzeit gemeldet werden können. Das sollte als allgemeiner Hinweis erfolgen, nicht als Vorabwarnung zur konkreten Kampagne.
3. Reaktionen laufend beobachten: Verfolgen Sie während der Laufzeit, wie viele Rückfragen im Support-Kanal eingehen, und reagieren Sie zeitnah, damit aus Unsicherheit keine Verunsicherung wird.
4. Technische Fehlerquellen ausschließen: Prüfen Sie, ob die Simulation korrekt zugestellt wird und nicht durch Spam- oder Sicherheitsfilter verzerrt wird, damit die spätere Auswertung belastbar bleibt.
5. Zeitpunkt bewusst wählen: Vermeiden Sie Zeiträume mit ohnehin hoher Arbeitsbelastung, etwa Monats- oder Jahresabschluss, damit die Testkampagne nicht mit echtem Zeitdruck zusammenfällt und das Ergebnis verzerrt.

Nachbereitung: Auswerten, schulen und den nächsten Durchlauf planen

Der eigentliche Lerneffekt einer Phishing-Simulation entsteht nicht durch die Kampagne selbst, sondern durch das, was danach passiert.

1. Ergebnisse aggregiert auswerten: Werten Sie die Klickraten auf Team- oder Unternehmensebene aus, nicht namentlich je Mitarbeiter. Eine öffentliche oder auch nur teaminterne Nennung einzelner Personen widerspricht dem Sensibilisierungsziel und kann zusätzlich arbeitsrechtlich heikel sein.
2. Direktes Feedback im Moment des Klicks: Wer auf den Testlink klickt, sollte unmittelbar eine kurze, sachliche Erklärung erhalten, woran die Mail als Simulation erkennbar gewesen wäre. Dieser Moment unmittelbar nach der Handlung ist erfahrungsgemäß wirksamer als eine allgemeine Schulung Wochen später.
3. Ergebnis an die Belegschaft zurückspiegeln: Kommunizieren Sie das aggregierte Ergebnis offen, etwa in einer kurzen internen Mitteilung, und ordnen Sie es als gemeinsamen Lernstand ein statt als Bewertung.
4. Wiederholung terminieren: Planen Sie einen zweiten Durchlauf nach einigen Monaten ein, um die Entwicklung zu messen und die Schwierigkeit schrittweise zu steigern.
5. Erkenntnisse dokumentieren: Halten Sie fest, welche Fragen im Support-Kanal am häufigsten aufkamen und welche Formulierungen in der Testmail besonders gut oder schlecht funktioniert haben. Diese Erfahrung fließt in die Planung des nächsten Durchlaufs ein.
6. In eine dauerhafte Routine überführen: Eine einzelne Kampagne verpufft erfahrungsgemäß, wenn sie nicht an weitere Maßnahmen anschließt. Verknüpfen Sie die Simulation mit einer laufenden Security-Awareness-Routine, etwa kurzen wiederkehrenden Schulungseinheiten statt einer einmaligen Aktion.

Häufige Fragen

Muss der Betriebsrat bei einer Phishing-Simulation zustimmen?

In vielen Fällen greifen Mitbestimmungsrechte, da die Auswertung grundsätzlich geeignet ist, das Verhalten einzelner Mitarbeiter zu erfassen. Ob und in welcher Form eine Zustimmung erforderlich ist, hängt vom Einzelfall ab und sollte vorab arbeitsrechtlich geprüft werden, statt sich auf eine allgemeine Einschätzung zu verlassen.

Wie schwer sollte die erste Testkampagne sein?

Für den Einstieg empfiehlt sich ein Szenario mit erkennbaren Warnsignalen, etwa einer ungewöhnlichen Absenderdomain oder einer auffälligen Dringlichkeitsaufforderung. Der Schwierigkeitsgrad lässt sich in späteren Durchläufen schrittweise steigern, sobald die Belegschaft mit dem Format vertraut ist.

Was passiert mit Mitarbeitern, die auf den Testlink klicken?

Sie erhalten unmittelbar eine kurze, konstruktive Erklärung zur Simulation, aber keine namentliche Meldung an Vorgesetzte oder Kollegen. In die Auswertung fließt nur die aggregierte, anonymisierte Kennzahl der jeweiligen Gruppe ein.

netzorange begleitet kleine und mittlere Unternehmen als inhabergeführtes IT-Systemhaus aus Köln seit 2004 bei der Vorbereitung und Einordnung solcher Kampagnen in eine dauerhafte Sicherheitsroutine. Mehr dazu im Beitrag Security-Awareness-Schulung & Phishing-Simulationen oder direkt über die Kontaktseite.