Phishing-Simulation: Was die Klickrate nicht misst

/01Phishing-Simulation: was sie ist und was nicht

Eine Phishing-Simulation ist eine kontrollierte Täuschung: Der eigene Betrieb oder ein beauftragter Dienstleister schickt Mitarbeitern eine Mail, die einem echten Phishing-Angriff nachempfunden ist, und zeichnet auf, was damit geschieht. Wer öffnet, wer klickt, wer auf der nachgebauten Anmeldeseite ein Passwort eingibt, wer die Mail meldet. Der Link führt auf einen Server, den der Betrieb selbst kontrolliert. Es entsteht kein Schaden, nur ein Protokoll.

Was eine Simulation nicht ist: eine Schulung. Sie ersetzt kein Training, in dem jemand erklärt, woran man eine gefälschte Absenderadresse erkennt und wo der Melden-Knopf sitzt. Sie ist auch kein Penetrationstest, obwohl beides gern in einen Topf geworfen wird. Der Pentest prüft Technik und darf dabei eindringen; die Simulation prüft Verhalten und darf nichts weiter als eine Landing-Page anzeigen. Und sie ist keine Leistungsbeurteilung einzelner Personen. Sobald ein Betrieb sie so nutzt, verliert er das Einzige, was eine Simulation liefern kann: ehrliche Zahlen über das Verhalten einer Belegschaft, die nichts zu befürchten hat.

Die Simulation steht im Programm zwischen Schulung und Ernstfall. Die Schulung vermittelt, die Simulation misst, ob das Vermittelte unter Alltagsbedingungen trägt: im Posteingang zwischen vierzig anderen Mails, um 16:50 Uhr, mit einem Betreff, der nach einer offenen Rechnung klingt. Wie ein Awareness-Programm insgesamt aufgebaut ist, haben wir in einem eigenen Beitrag zu Security Awareness beschrieben; hier geht es um den Messteil.

/02Warum die Klickrate in die Irre führt

Die Klickrate ist die Zahl, die jedes Werkzeug zuerst zeigt, und die Zahl, die in jeder Geschäftsführungsrunde als Erstes fällt. Sie hat drei Probleme.

Erstens misst sie den Köder, nicht den Betrieb. Eine Mail vom angeblichen Paketdienst mit Rechtschreibfehlern erzeugt eine niedrige Klickrate. Eine Mail, die den echten Namen der Geschäftsführerin trägt, auf ein reales Projekt verweist und um 8:05 Uhr eintrifft, erzeugt eine hohe. Beide Werte beschreiben dieselbe Belegschaft. Wer zwei Kampagnen mit unterschiedlich schweren Ködern vergleicht und daraus einen Trend liest, vergleicht Äpfel mit dem Wetter. Microsoft hat dafür in seinem Werkzeug eine eigene Größe eingeführt, die „predicted compromise rate", die aus anonymisierten Ergebnissen anderer Tenants schätzt, wie viele Empfänger ein bestimmter Köder erwartbar fängt. Das ist das stille Eingeständnis, dass eine rohe Klickrate ohne Schwierigkeitsangabe wertlos ist.

Zweitens ist die Klickrate ein Maß für den Fehler, den ein Angreifer nur einmal braucht. Bei 200 Empfängern und einer Klickrate von zwei Prozent haben vier Menschen geklickt. Für den Angreifer ist das ein voller Erfolg; er brauchte einen. Für die Statistik ist es ein hervorragendes Ergebnis. Eine Kennzahl, bei der „hervorragend" und „kompromittiert" derselbe Wert sind, taugt nicht zur Steuerung.

Drittens erzeugt sie den falschen Anreiz. Wer an der Klickrate gemessen wird, verbessert die Klickrate: mit leichteren Ködern, mit Vorwarnungen, mit dem Ausschluss der Abteilung, die letztes Mal schlecht abgeschnitten hat. Wir haben Betriebe gesehen, die ihre Klickrate binnen eines Jahres halbiert haben und deren Meldequote im selben Zeitraum bei null blieb. Ehrlich: Dieser Betrieb ist nicht sicherer geworden. Er hat gelernt, die eigene Simulation zu erkennen.

/03Kennzahlen, die etwas aussagen

Die Meldequote ist der Anteil der Empfänger, die die Mail über den vorgesehenen Weg an die IT gemeldet haben: über den Melden-Knopf im Mailprogramm, ein Postfach wie phishing@ oder ein Ticket. Sie misst, was im Ernstfall den Unterschied macht. Ein Angreifer schickt seine Mail selten an eine Person, sondern an zwanzig oder zweihundert. Meldet eine davon, kann die IT die Mail bei den übrigen aus dem Postfach entfernen, die Domain sperren und prüfen, ob schon jemand geklickt hat. Meldet niemand, läuft der Angriff, bis er auffällt.

Die Zeit bis zur ersten Meldung ist die zweite Größe, und sie ist die wichtigste. Ob die erste Meldung nach vier Minuten oder nach vier Stunden eintrifft, entscheidet darüber, ob die Reaktion vor oder nach dem ersten Klick beginnt. Sie lässt sich nur messen, wenn der Meldeweg an einer Stelle endet, die Zeitstempel schreibt: einem Ticketsystem, einem Postfach mit Eingangsdatum oder dem SIEM. Ein Zuruf über den Flur zählt nicht, weil er nicht messbar ist und weil er im Ernstfall die falsche Person erreicht.

Die Datenabgabequote zählt, wer auf der nachgebauten Anmeldeseite tatsächlich Zugangsdaten eingetippt hat. Sie ist enger als die Klickrate und näher am Schaden. Ein Klick auf einen Link ist bei gepatchtem Browser und EDR auf dem Endgerät oft folgenlos; ein eingegebenes Passwort ist es nicht, jedenfalls nicht ohne MFA und auch mit MFA nur eingeschränkt, weil Angreifer die Sitzung nach der zweiten Faktoreingabe abgreifen können.

Die Wiederholerquote schließlich fragt, wie viele der Klicker aus der vorigen Kampagne erneut geklickt haben. Sie ist die einzige Klick-Kennzahl, die einen Lerneffekt sichtbar macht, und sie darf nur aggregiert ausgewertet werden; dazu mehr in Abschnitt /05.

Die letzte Zeile ist die, die am seltensten erhoben wird und am meisten zählt. Steigt nach einer Kampagne die Zahl der gemeldeten echten Phishing-Mails, hat die Simulation gewirkt. Bleibt sie gleich, haben die Mitarbeiter gelernt, die Simulation zu erkennen, nicht das Phishing.

/04Kampagnendesign: Schwierigkeit, Takt und Tabus

Eine brauchbare Kampagne hat drei Schwierigkeitsstufen, und jede Stufe ist dokumentiert, damit spätere Kampagnen vergleichbar bleiben. Stufe eins ist der generische Köder: fremder Absender, allgemeiner Betreff, sichtbar falsche Domain. Stufe zwei nutzt Kontext, der öffentlich verfügbar ist: der Name des Betriebs, ein bekannter Lieferant, eine plausible Rechnungsnummer. Stufe drei nutzt internen Kontext: den Namen eines Kollegen, ein laufendes Projekt, den Tonfall interner Mails. Stufe drei ist das, was ein gezielter Angreifer nach zwei Stunden auf LinkedIn und der Firmenwebsite hinbekommt. Wer nur Stufe eins fährt, misst, ob die Belegschaft offensichtlichen Unsinn erkennt. Das kann sie meistens.

Der Takt liegt in der Praxis bei einer Kampagne im Quartal, verteilt über mehrere Tage und Uhrzeiten, nicht alle Empfänger am selben Dienstag um neun. Gophish hat dafür das Feld „Send Emails By", das den Versand gleichmäßig zwischen Start und Enddatum verteilt; Microsofts Werkzeug erledigt das über Simulation Automations. Wer alle zweihundert Mails in derselben Minute verschickt, misst, wie schnell sich die Nachricht „nicht klicken, ist die IT" im Haus verbreitet. Das ist ein interessanter Wert, aber ein anderer.

Drei Dinge gehören nicht in eine Kampagne. Erstens keine Bloßstellung: Keine Namensliste der Klicker an die Abteilungsleitung, kein Ranking der Abteilungen im Intranet, kein Vermerk in der Personalakte. Zweitens keine Bestrafung: Wer geklickt hat, bekommt eine kurze Erklärung auf der Landing-Page und ein fünfminütiges Modul, keine Abmahnung und keinen Pflichttermin am Freitagnachmittag. Drittens keine Köder, die ins Private zielen oder Vertrauen zerstören: Gehaltsanpassung, Kündigungswelle, Bonusauszahlung, Todesfall im Kollegenkreis, Corona-Regelung. Dass solche Köder wirken, ist bekannt; dass sie das Betriebsklima kosten, auch. Microsofts eigene Domainliste für Simulationen enthält payrolltooling.com und salarytoolint.com. Dass ein Werkzeug etwas anbietet, heißt nicht, dass Sie es verwenden sollten.

Was stattdessen wirkt: Köder aus dem Arbeitsalltag. Die Freigabe eines Dokuments, eine Terminverschiebung, ein angeblich voller Mailspeicher, eine Zwei-Faktor-Bestätigung, die niemand angefordert hat. Diese Köder sind realistisch, weil sie das sind, was Angreifer tatsächlich schicken, und sie lassen sich nach der Auflösung ohne Peinlichkeit besprechen.

/05Der rechtliche Rahmen: Betriebsrat und Datenschutz

Vorab: Wir sind IT-Dienstleister, keine Kanzlei. Was folgt, ist die Aufzählung der Punkte, die Sie vor der ersten Kampagne mit Ihrem Datenschutzbeauftragten und, falls vorhanden, Ihrem Betriebsrat klären müssen. Die Bewertung im Einzelfall nehmen wir Ihnen nicht ab.

Der Betriebsrat ist der erste Punkt. § 87 Abs. 1 BetrVG gibt ihm ein Mitbestimmungsrecht unter anderem in „Fragen der Ordnung des Betriebs und des Verhaltens der Arbeitnehmer im Betrieb" (Nr. 1) und bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen" (Nr. 6). Eine Simulation, die Klicks pro Person protokolliert, fällt nach unserem Verständnis sehr nah an beide Nummern heran. Ob sie darunter fällt, entscheiden nicht wir. In der Praxis läuft es auf eine Betriebsvereinbarung hinaus, die festlegt, was erhoben wird, wer es sieht, wie lange es liegt und dass keine arbeitsrechtlichen Folgen daran hängen. Betriebe, die diesen Schritt überspringen, riskieren, dass die Ergebnisse nicht verwertet werden dürfen und dass die Kampagne das Vertrauen kostet, das sie aufbauen sollte.

Der zweite Punkt ist die DSGVO. Eine Simulation verarbeitet personenbezogene Daten: wer wann geklickt hat, von welcher IP, mit welchem Browser. Der Grundsatz der Datenminimierung gilt hier ohne Ausnahme. Unsere Empfehlung, die sich mit dem deckt, was Datenschutzbeauftragte in unseren Projekten verlangt haben: Auswertung nur aggregiert, auf Ebene des Betriebs oder von Gruppen, die groß genug sind, dass niemand rückverfolgbar ist. Personenbezogene Rohdaten werden nach einer festgelegten Frist gelöscht, und zwar im Werkzeug, nicht nur im Bericht. Wer die Wiederholerquote messen will, braucht dafür eine pseudonyme Kennung über zwei Kampagnen hinweg; auch das gehört in die Vereinbarung. Ein beauftragter Dienstleister, der die Kampagne fährt, braucht einen Auftragsverarbeitungsvertrag, und die Löschfristen gehören in dessen Anlage.

Der dritte Punkt wird gern vergessen: die Marke, die der Köder nachahmt. Eine Landing-Page, die das Anmeldefenster von Microsoft 365 oder der Hausbank nachbaut, verwendet fremde Logos und Namen. Für die interne Simulation ist das üblich; wasserdicht ist es nicht. Nutzen Sie, wo möglich, neutrale oder eigene Marken, und dokumentieren Sie, dass die Seite nur aus dem eigenen Netz erreichbar war.

/06NIS2 und die Schulungspflicht im BSIG

Das NIS2-Umsetzungsgesetz ist am 6. Dezember 2025 in Kraft getreten; die Pflichten stehen seither im neu gefassten BSIG. § 30 Abs. 2 zählt die Risikomanagementmaßnahmen auf, die besonders wichtige und wichtige Einrichtungen umsetzen müssen, und nennt in Nummer 7 „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik". § 38 Abs. 3 verpflichtet die Geschäftsleitungen zusätzlich, „regelmäßig an Schulungen teilzunehmen", um Risiken und Risikomanagementpraktiken bewerten zu können. Ein Intervall nennt das Gesetz an keiner der beiden Stellen. Was das für Geschäftsführer persönlich bedeutet, steht in unserem Beitrag zur NIS2-Schulungspflicht.

Eine Phishing-Simulation ist im BSIG nicht vorgeschrieben. Sie ist aber eines der wenigen Instrumente, mit denen sich eine „Sensibilisierungsmaßnahme" gegenüber einer Behörde oder einem Auditor mit Zahlen belegen lässt: Datum, Empfängerkreis, Schwierigkeitsstufe, Meldequote, abgeleitete Maßnahme. Ein Teilnahmezertifikat aus einer Schulung belegt Anwesenheit. Eine Simulation belegt Wirkung, oder deren Ausbleiben, und das ist im ISMS nach ISO 27001 genauso verwertbar wie unter NIS2.

Der Nachweis funktioniert nur, wenn er als Nachweis gedacht ist. Dazu gehören ein Kampagnenprotokoll mit den Rahmendaten, die aggregierte Auswertung, die Betriebsvereinbarung oder der Beschluss, auf dem die Kampagne beruht, und die Maßnahme, die aus dem Ergebnis folgt. Eine Kampagne ohne abgeleitete Maßnahme ist für den Auditor eine Messung ohne Konsequenz, und genau danach fragt er.

/07Werkzeuge: Gophish und Attack Simulation Training

Für den Mittelstand kommen in der Praxis zwei Werkzeuge in Frage. Beide haben wir im Einsatz, für unterschiedliche Kunden.

Gophish

Gophish ist quelloffen, in Go geschrieben und läuft als einzelne Binärdatei auf einem eigenen Linux-Server. Die Konfiguration steht in einer config.json; laut Dokumentation lauscht die Verwaltungsoberfläche voreingestellt nur lokal auf Port 3333 mit TLS, der Phishing-Server, der die Landing-Pages ausliefert, auf allen Adressen auf Port 80. Für den Betrieb setzen wir davor einen Reverse-Proxy mit gültigem Zertifikat und binden die Verwaltung an einen VPN-Zugang.

{
  "admin_server": {
    "listen_url": "127.0.0.1:3333",
    "use_tls": true,
    "cert_path": "gophish.crt",
    "key_path": "gophish.key"
  },
  "phish_server": {
    "listen_url": "0.0.0.0:80",
    "use_tls": false
  },
  "db_name": "sqlite3",
  "db_path": "gophish.db",
  "contact_address": "it-sicherheit@example.de",
  "logging": { "filename": "" }
}

# Zusammenfassung einer Kampagne über die API (Key im Authorization-Header)
$ curl -s -H "Authorization: Bearer $GOPHISH_API_KEY" \
    https://127.0.0.1:3333/api/campaigns/7/summary | jq .stats
{
  "total": 212,
  "sent": 212,
  "opened": 148,
  "clicked": 19,
  "submitted_data": 6,
  "email_reported": 41,
  "error": 0
}

Die Zahlen im Beispiel sind erfunden und dienen der Form. Was echt ist: Gophish zählt je Empfänger „Email Sent", „Email Opened", „Clicked Link" und „Submitted Data", führt ein Feld reported und liefert in der Zusammenfassung den Zähler email_reported. Die Meldung selbst setzt voraus, dass Ihr Melden-Knopf oder Ihr Meldeprozess diesen Wert zurückschreibt; von allein weiß Gophish nicht, dass jemand in Outlook auf „Melden" geklickt hat. Der Export geht als CSV, wahlweise als Status je Empfänger oder als Rohereignisse mit Zeitstempel. Aus den Rohereignissen rechnen wir die Zeit bis zur ersten Meldung.

Ehrlich: Gophish liefert Ihnen den Versand und das Protokoll. Vorlagen, Landing-Pages, Schulungsmodule, Datenschutz und die Auswertung sind Ihre Arbeit oder die Ihres Dienstleisters. Dafür liegen alle Daten auf Ihrem Server, und Sie entscheiden, wann sie gelöscht werden.

Attack Simulation Training in Microsoft Defender for Office 365

Wer in Microsoft 365 arbeitet, findet im Defender-Portal ein fertiges Werkzeug. Es setzt laut Microsoft Learn (Stand der Dokumentation 3. Juli 2026) eine Lizenz Microsoft 365 E5 oder Defender for Office 365 Plan 2 voraus; E3-Kunden bekommen als Testversion nur einen Credential-Harvest-Köder mit zwei Trainingsmodulen. Prüfen Sie den Lizenzstand, bevor Sie planen; Business Premium enthält Plan 1, und der reicht nicht. Eine 90-Tage-Testversion von Plan 2 gibt es im Portal.

Das Werkzeug bringt sieben Techniken mit, darunter Credential Harvest, Malware Attachment, Link to Malware, Drive-by URL und OAuth Consent Grant, dazu Vorlagen, Landing-Pages, Trainingsmodule und die genannte Vorhersage der Trefferquote je Köder. Es nutzt Safe Links, um Klicks zu zählen, und liest Meldungen über den eingebauten Melden-Knopf in Outlook direkt ein. Das ist der große Vorteil gegenüber Gophish: Die Meldequote entsteht ohne Bastelei.

Zwei Einschränkungen aus derselben Dokumentation. Erstens: Für die Region DEU, also Tenants mit Datenstandort Deutschland, sind laut Microsoft „alle Funktionen außer der Telemetrie gemeldeter E-Mails" verfügbar; Microsoft arbeite an der Freischaltung. Das heißt: Ausgerechnet die Kennzahl, um die es in diesem Artikel geht, fehlt dort im Moment. Zweitens unterstützt das Werkzeug On-Premises-Postfächer nur mit eingeschränktem Reporting, und es gibt keine PowerShell-Cmdlets dafür. Wer einen hybriden Exchange fährt, prüft vorher, ob die Zahlen vollständig ankommen.

/08Fallstricke: Allowlisting, Gateway, Vertrauen, Müdigkeit

Die technische Falle heißt Allowlisting. Damit die Simulationsmail überhaupt ankommt, muss sie am Spamfilter vorbei. In Exchange Online geschieht das über die Advanced-Delivery-Richtlinie, in der laut Microsoft bis zu 50 Domains, 10 Sende-IP-Adressen und 30 Simulations-URLs hinterlegt werden können; für einen Treffer müssen Domain und Sende-IP gemeinsam passen. Safe Links schreibt die Links weiterhin um, blockiert sie aber nicht. Wer stattdessen die Domain pauschal in die Allowliste des Spamfilters setzt, hat ein Loch gebaut, durch das jeder Angreifer mit derselben Absenderdomain kommt. Microsoft warnt in der Dokumentation ausdrücklich davor, bei Mailrouting über ein externes Gateway die IP des eigenen Gateways einzutragen, weil dann jeder Absender, der die Simulationsdomain fälscht, ungefiltert durchkäme. Dieselbe Logik gilt für jedes andere Gateway: Die Ausnahme so eng wie möglich, mit Ablaufdatum, und nach der Kampagne wieder raus.

Die zweite Falle ist das Gateway selbst. Ein gut eingestelltes Mailgateway fängt Stufe-eins-Köder ab, bevor ein Mensch sie sieht. Das ist erfreulich und verfälscht die Messung: Was der Filter frisst, kann niemand melden. Deshalb gehört ins Kampagnenprotokoll, wie viele Mails zugestellt wurden, und die Quoten beziehen sich auf die zugestellten, nicht auf die verschickten. Gophish zählt dafür sent und error getrennt.

Die dritte Falle ist der Vertrauensschaden, und sie ist die teuerste. Eine Kampagne, die als Falle empfunden wird, kostet genau das Verhalten, das sie fördern soll: Wer sich vorgeführt fühlt, meldet beim nächsten Mal nichts mehr, weil er befürchtet, wieder Teil eines Tests zu sein. Vorbeugen lässt sich mit drei Dingen: eine Ankündigung, dass es Simulationen gibt, ohne Datum; eine Auflösung nach jeder Kampagne mit aggregierten Zahlen für alle; und eine sichtbare Regel, dass Melden nie falsch ist, auch wenn es die Simulation war. Wer meldet, bekommt ein Danke, kein Augenrollen.

Die vierte Falle ist Simulationsmüdigkeit. Nach der sechsten Kampagne mit demselben Aufbau erkennt die Belegschaft nicht das Phishing, sondern das Muster: der Absender aus derselben Domain, die Landing-Page mit demselben Logo, der Versand immer im ersten Monat des Quartals. Die Meldequote steigt, die Aussagekraft sinkt. Gegenmittel sind wechselnde Absenderdomains, wechselnde Techniken, darunter auch QR-Codes und Anhänge, und ein Abgleich mit der letzten Zeile der Tabelle aus Abschnitt /03: Werden auch echte Phishing-Mails häufiger gemeldet, oder nur unsere?

/09Wann eine Simulation die falsche Maßnahme ist

Eine Simulation misst einen Prozess. Gibt es den Prozess nicht, misst sie nichts. Vier Situationen, in denen wir Kunden von einer Kampagne abraten.

• Es gibt keinen Meldeweg. Wenn Mitarbeiter nicht wissen, wohin mit einer verdächtigen Mail, weil es weder Knopf noch Postfach noch Ansprechperson gibt, liefert die Simulation eine Meldequote von null und die Erkenntnis, dass niemand meldet. Das wussten Sie vorher. Bauen Sie zuerst den Meldeweg, machen Sie ihn in einer Schulung bekannt, und messen Sie danach.
• Es gibt keine MFA. Solange ein Passwort allein zum Postfach oder ins VPN führt, ist die Datenabgabequote die einzige Kennzahl, die zählt, und jeder einzelne Treffer ist ein voller Erfolg für den Angreifer. Die Einführung von Passkeys oder einer anderen phishing-resistenten Anmeldung senkt das Risiko mehr als jede Kampagne; wie das geht, steht in unserem Beitrag zu MFA richtig einführen. Die Simulation kommt danach.
• Niemand reagiert auf Meldungen. Eine Meldequote von dreißig Prozent nützt nichts, wenn das phishing@-Postfach einmal die Woche gelesen wird. Wer nicht innerhalb von Minuten auf eine Meldung reagieren kann, misst mit der Simulation eine Fähigkeit, die im Ernstfall verpufft. Hier ist der Incident-Response-Prozess oder ein SOC die Maßnahme, nicht die Kampagne.
• Die Simulation soll Schuldige finden. Wenn die Geschäftsführung wissen will, „wer bei uns immer klickt", ist die Kampagne kein Sicherheitsinstrument, sondern eine Leistungskontrolle mit allen Folgen aus Abschnitt /05. Dann lieber keine.

Wann sie sich lohnt: Meldeweg vorhanden, MFA ausgerollt, jemand liest das Postfach, Betriebsrat und Datenschutz sind an Bord, und die Geschäftsführung will eine Zahl, die etwas über den Betrieb sagt und nicht über einzelne Menschen. Dann ist eine Kampagne im Quartal mit drei Schwierigkeitsstufen, aggregierter Auswertung und einer Nachschulung für die, die es wollen, eine der günstigsten Maßnahmen, die ein Betrieb ergreifen kann. Für einen Betrieb mit 200 Postfächern ist der Aufwand ein Serverchen und zwei Arbeitstage im Quartal, wenn die Vorlagen einmal stehen. Der Ertrag ist eine IT, die von einem echten Angriff nach Minuten erfährt statt nach Tagen. Das ist der Unterschied zwischen einem gelöschten Postfacheintrag und einem wochenlangen Wiederanlauf.

Nüchtern betrachtet ist die Klickrate das Fieberthermometer, und die Meldequote ist das Immunsystem. Man kann Fieber senken, ohne dass der Patient gesünder wird. Bauen Sie das Immunsystem.

/10Häufige Fragen