Phishing-Simulationfür Kommunen und Unternehmen
Realistische Angriffe üben. Reaktionen messen. Beschäftigte fair und praxisnah sensibilisieren.
Mit einer softwaregestützten Phishing-Simulation lässt sich überprüfen, wie Beschäftigte auf realistisch gestaltete Phishing-E-Mails reagieren. Die Kampagne wird durch die Compliance Werkstatt vorbereitet, technisch durchgeführt und ausgewertet. Dabei geht es nicht um Bloßstellung oder eine versteckte Leistungsbewertung, sondern um messbare Security Awareness und konkrete Lernimpulse für den Arbeitsalltag.
Was ist eine Phishing-Simulation?
Eine Phishing-Simulation – häufig auch als Phishing-Test oder simulierte Phishing-Kampagne bezeichnet – bildet typische Angriffsversuche in einer kontrollierten Umgebung nach. Beschäftigte erhalten eine realistisch gestaltete, aber ungefährliche Test-E-Mail. Je nach Szenario führt sie auf eine eigens eingerichtete Simulationsseite. Dort können definierte Interaktionen gemessen werden, ohne echte Zugangsdaten oder sensible Inhalte zu benötigen.
Der Nutzen liegt nicht in einer möglichst hohen Klickquote. Eine gute Phishing-Simulation zeigt, an welchen Stellen Security Awareness im Alltag bereits funktioniert und wo Beschäftigte zusätzliche Orientierung brauchen. Deshalb werden die simulierten Phishing-Mails mit erkennbaren Warnsignalen versehen und nach der Aktion unmittelbar aufgelöst. So entsteht aus einem Phishing-Test ein konkreter Lernmoment.
Die Compliance Werkstatt plant die Kampagne als Managed Service: Szenarien, Varianten, Versand, datensparsame Ereignismessung, Lernseite und Auswertung werden zentral vorbereitet. Kundinnen und Kunden benötigen dafür keinen eigenen Administrationszugang zur Phishing-Software.
Phishing erkennen lernt man am besten an realistischen Situationen.
Phishing-E-Mails wirken heute oft professionell. Absender, Sprache, Logos und typische Arbeitsabläufe werden so nachgebildet, dass ein kurzer Moment der Unaufmerksamkeit genügt. Eine Simulation schafft einen geschützten Rahmen, in dem Beschäftigte typische Warnsignale erkennen und den richtigen Umgang üben können.
Die Szenarien werden realistisch gestaltet, enthalten aber bewusst faire Erkennungsmerkmale. Ziel ist nicht, Beschäftigte mit nahezu unlösbaren Täuschungen „hereinzulegen“, sondern Aufmerksamkeit, Meldeverhalten und sichere Routinen zu stärken.
Beispielsweise vermeintliche Passwortabläufe, Dokumentenfreigaben, interne IT-Hinweise, Rechnungsänderungen oder Nachrichten, die sich an bekannten kommunalen Arbeitsabläufen orientieren.
Gefälschte Lieferantenkommunikation, Cloud-Freigaben, angebliche Personalinformationen, Paketbenachrichtigungen oder IT-Support-Mails können kontrolliert simuliert werden.
Die Simulation soll eine konstruktive Sicherheitskultur fördern. Auffälligkeiten werden erklärt, Ergebnisse sachlich ausgewertet und Beschäftigte nicht öffentlich bewertet oder bloßgestellt.
Kommunale Phishing-Tests brauchen andere Szenarien als Standardkampagnen.
In Verwaltungen entstehen glaubwürdige Phishing-Situationen häufig aus typischen internen Abläufen: IT-Hinweise, Dokumentenfreigaben, Personalthemen, Rechnungen, Sitzungsunterlagen oder vermeintliche Nachrichten von Dienstleistern. Genau diese Nähe zum Arbeitsalltag macht eine Simulation wirksam – sie muss aber fair bleiben und darf keine echten vertraulichen Informationen ausnutzen.
Vor dem Start werden Ziel, Teilnehmerkreis, Szenarien, Auswertung und interne Zuständigkeiten festgelegt. Der behördliche Datenschutzbeauftragte sollte frühzeitig eingebunden werden. Je nach Ausgestaltung sind außerdem Beteiligungsrechte der Personalvertretung zu prüfen. Die Simulation wird bewusst als Awareness-Maßnahme aufgebaut und nicht als versteckte Leistungs- oder Verhaltenskontrolle.
IT, Personal, Dokumentenfreigaben, Rechnungen oder Fachanwendungen können realistisch nachgebildet werden.
Beteiligung und Datenschutz werden vor der Kampagne organisatorisch geklärt, nicht erst nach dem Versand.
Ergebnisse dienen der Sensibilisierung und Verbesserung von Abläufen, nicht einem öffentlichen Ranking einzelner Beschäftigter.
Eine Kampagne kann mit 2–4 unterschiedlichen Varianten arbeiten, damit nicht alle Empfänger dieselbe Prüfmail erhalten.
Von der Vorbereitung bis zum Auswertungsbericht.
Die Phishing-Simulation wird als gemanagte Kampagne durchgeführt. Kundenseitig ist kein eigener Administrationszugang zur Compliance Werkbank erforderlich.
Teilnehmerzahl, Zielgruppe, Zeitraum, Szenario, Auswertung und interne Beteiligte werden vor dem Start festgelegt.
Versand, sichere Simulationslinks, Landingpage und Tracking werden eingerichtet und vor dem Start technisch getestet.
Die ausgewählten Beschäftigten erhalten die simulierte Phishing-Mail. Je nach Szenario werden definierte Interaktionen erfasst.
Die Ergebnisse werden zusammengefasst, Auffälligkeiten erläutert und konkrete Maßnahmen für die weitere Sensibilisierung empfohlen.
Welche Reaktionen können in einer Kampagne gemessen werden?
Die Simulation soll nur die Ereignisse erfassen, die für den vereinbarten Awareness-Zweck erforderlich sind. Im Mittelpunkt stehen deshalb konkrete Interaktionen auf der Simulationsseite – nicht möglichst viele technische Messwerte.
Ein möglicher interner Datensatz beschränkt sich beispielsweise auf Empfänger-ID, Kampagnen-ID, definierte Ereignisse und die dazugehörigen Zeitpunkte. Inhalte aus einem Testformular, echte Passwörter oder Tastatureingaben sind für die Auswertung nicht erforderlich.
Ob der individuelle Simulationslink tatsächlich zur vorgesehenen Simulationsseite geführt hat. Automatisierte Linkprüfungen von Mail-Sicherheitsdiensten sollen dabei technisch möglichst von einer echten Nutzerinteraktion unterschieden werden.
Ob ein Eingabeversuch stattgefunden hat. Übermittelt wird nur das Ereignis der Formularaktion; die eingegebenen Zeichen sollen clientseitig verworfen und weder übertragen noch gespeichert werden.
Ob nach der simulierten Aktion die Auflösung, die konkreten Warnsignale und die wichtigsten Lernhinweise angezeigt wurden.
Ob der vorgesehene Hinweis- und Bestätigungsschritt abgeschlossen wurde. Damit wird nicht behauptet, dass Inhalte tatsächlich vollständig gelesen oder verstanden wurden.
Eine Phishing-Simulation verarbeitet regelmäßig Beschäftigtendaten und kann Verhalten sichtbar machen. Deshalb sollten Zweck, Umfang, Auswertung, Speicherdauer, Zugriffsrechte und Löschung vorab festgelegt werden. Eine personenbezogene Detailauswertung sollte nicht zum Selbstzweck werden.
Bewusst nicht vorgesehen: Eine reine „E-Mail geöffnet“-Kennzahl soll nicht als zentrale Erfolgsmetrik verwendet werden. Öffnungsraten können durch Bildblocker, Datenschutzfunktionen und automatisierte Mail-Sicherheitsmechanismen technisch verfälscht werden und sind deshalb deutlich weniger aussagekräftig als echte Interaktionen auf der Simulationsseite.
Die Auswertung soll Ereignisse statt Inhalte speichern. Technisch genügt beispielsweise: Simulationsseite erreicht – ja/nein, Testformular abgesendet – ja/nein, Lernseite erreicht – ja/nein und Lernschritt bestätigt – ja/nein. Eingegebene Formularwerte werden für diesen Zweck nicht benötigt.
Auf einen Blick erkennen, wo der nächste Lernimpuls ansetzen sollte.
Die tatsächlichen Kennzahlen hängen von Kampagne, Teilnehmerkreis und vereinbartem Auswertungsmodell ab. Die folgende Darstellung zeigt nur beispielhaft, wie ein kompakter Bericht aufgebaut sein kann.
Statt einer unübersichtlichen technischen Statistik soll die Auswertung die wesentlichen Ereignisse nachvollziehbar darstellen. Entscheidend ist nicht, einzelne Personen an den Pranger zu stellen, sondern Muster zu erkennen und daraus nächste Maßnahmen abzuleiten.
Realistisch genug zum Lernen – fair genug zum Erkennen.
Die Qualität einer Phishing-Simulation hängt nicht davon ab, Beschäftigte um jeden Preis zum Klicken zu bringen. Gute Szenarien orientieren sich am tatsächlichen Arbeitsalltag und enthalten erkennbare Warnsignale, die im anschließenden Lernmoment verständlich erklärt werden.
Eine angebliche Passwortablauf- oder Kontosicherheitsmeldung mit auffälliger Absenderdomain, ungewöhnlichem Linkziel oder untypischer Dringlichkeit.
Eine vermeintliche interne Dokumentenfreigabe oder digitale Unterschrift mit einem Link, der bei genauer Prüfung nicht zum bekannten System gehört.
Eine angebliche Änderung von Zahlungsdaten oder eine dringende Rechnung, bei der Absender, Formulierung oder Prozess nicht zum üblichen Ablauf passen.
Eine Nachricht zu vermeintlichen Unterlagen, Änderungen oder Portalen, die Neugier oder Zeitdruck auslöst, aber erkennbare Unstimmigkeiten enthält.
Paketbenachrichtigungen, Kalenderfreigaben oder kurzfristige Terminänderungen eignen sich für weniger organisationsspezifische Awareness-Kampagnen.
Auf Wunsch kann das Szenario stärker an typische Abläufe der jeweiligen Organisation angepasst werden, ohne echte interne Geheimnisse oder sensible Informationen zu verwenden.
Eine Kampagne sollte nicht für alle Beschäftigten gleich aussehen.
Wenn sämtliche Empfänger dieselbe Phishing-Mail erhalten, verbreitet sich die Warnung häufig schnell intern. Deshalb ist vorgesehen, pro Kampagne mehrere Varianten einzusetzen. Je nach Größe und Zielgruppe können 2–4 unterschiedliche Szenarien oder Variationen derselben Grundidee verwendet werden.
Die Varianten unterscheiden sich zum Beispiel bei Betreff, Absenderdarstellung, Anlass, Gestaltung und Warnsignalen. Die Schwierigkeit bleibt dabei vergleichbar. So wird die Kampagne realistischer, ohne einzelne Gruppen unfair stärker zu täuschen.
Hinweis auf eine angeblich auslaufende Anmeldung oder notwendige Kontoprüfung.
Faire Warnsignale: Domain, Linkziel, ungewöhnliche DringlichkeitVermeintliche interne Freigabe eines Dokuments oder einer digitalen Unterschrift.
Faire Warnsignale: unbekanntes Zielsystem, untypische FormulierungAngebliche Rechnung, Mahnung oder Änderung einer Bankverbindung.
Faire Warnsignale: Prozessabweichung, Absender, ZahlungsdruckInterne Ankündigung, neues Portal oder vermeintlich vertrauliche Personalunterlage.
Faire Warnsignale: ungewöhnlicher Kanal, Link und AbsenderdetailsPhishing-Simulation als Managed Service statt zusätzlicher Softwarearbeit.
Die technische Kampagnenverwaltung wird als internes Modul der Compliance Werkbank betrieben. Die Compliance Werkstatt richtet Empfänger, Szenarien, Varianten, Versand, Simulationsseiten und Auswertung ein. Für Kundinnen und Kunden ist kein eigener Phishing-Administrationsbereich erforderlich und es muss keine zusätzliche Awareness-Software eingeführt oder gepflegt werden.
Dadurch bleibt der Ablauf übersichtlich: Die Organisation stimmt Rahmen und Teilnehmerkreis ab, die technische Durchführung erfolgt zentral und nach der Kampagne wird ein verständlicher Bericht bereitgestellt.
Keine eigene Installation, keine Kampagnenkonfiguration, kein separates Phishing-Dashboard und keine komplizierte Administration. Die technische Umsetzung liegt bei der Compliance Werkstatt.
Was Sie nach einer Phishing-Kampagne erhalten.
Die Simulation endet nicht beim Versand. Der eigentliche Mehrwert entsteht durch eine verständliche Auflösung und eine Auswertung, aus der sich konkrete nächste Schritte ableiten lassen.
Abstimmung von Teilnehmerkreis, Zeitraum, Schwierigkeitsgrad, Szenarien und 2–4 geeigneten Varianten.
Versand, signierte Simulationslinks, Landingpage, datensparsame Ereignismessung und technische Vorabtests.
Direkte Auflösung mit verständlicher Erklärung der konkreten Warnsignale und des richtigen Verhaltens.
Kompakte Darstellung der vereinbarten Kennzahlen und Einordnung der auffälligen Muster.
Konkrete Hinweise für weitere Awareness-Maßnahmen, interne Kommunikation oder eine gezielte Folgekampagne.
Mehrere Kampagnen können mit unterschiedlichen Szenarien und festgelegten Startterminen als Awareness-Serie geplant werden.
Transparenter Festpreis statt langfristiger Softwarelizenz.
Für den Start ist ein einfaches Kampagnenmodell geplant. Der Einführungspreis soll für kleinere Teilnehmerkreise bereits die wesentlichen Leistungen einer gemanagten Kampagne enthalten. Bei größeren Teilnehmerzahlen, mehreren Organisationseinheiten oder einer Kampagnenserie wird ein individuelles Festpreisangebot erstellt. Während der Pilotphase kann sich die Preisstruktur noch ändern.
Der geplante Einstiegspreis umfasst für kleinere Kampagnen die Einrichtung, mindestens zwei Szenariovarianten, Versand, Simulations-Landingpage, datensparsame Ereignismessung, Lernseite und eine kompakte Abschlussauswertung. So ist direkt erkennbar, welche Leistung hinter dem Kampagnenpreis steht.
Wichtig: Der Preis ist derzeit noch als Einführungspreis geplant und wird erst mit dem offiziellen Start verbindlich.
Für kleinere Pilotkampagnen. Teilnehmerzahl und Leistungsumfang werden vor Beauftragung transparent bestätigt.
Häufige Fragen zur Phishing-Simulation.
Ist die Phishing-Simulation bereits verfügbar?
Die Funktion befindet sich derzeit in Vorbereitung. Pilotkampagnen sollen starten, sobald technische Tests, Versand, Auswertung und Datenschutzprozess vollständig freigegeben sind. Interessierte Organisationen können sich bereits unverbindlich vormerken lassen.
Was kostet eine Phishing-Simulation?
Als Einführungspreis sind derzeit Kampagnen ab 490 € netto geplant. Der endgültige Festpreis richtet sich unter anderem nach Teilnehmerzahl, Szenario und Auswertungsumfang und wird vor Beauftragung transparent bestätigt.
Werden echte Passwörter oder Zugangsdaten gespeichert?
Nein. Für die geplante Simulation werden keine echten Passwörter oder Zugangsdaten benötigt. Bei einem Testformular soll ausschließlich das Ereignis „Formular abgesendet“ an den Server übermittelt werden. Die eingegebenen Zeichen selbst sollen clientseitig verworfen und weder übertragen noch gespeichert werden.
Wird auch gemessen, ob eine Phishing-Mail geöffnet wurde?
Eine reine Öffnungsrate ist nicht als zentrale Kennzahl vorgesehen. Solche Werte können durch Bildblocker, Datenschutzfunktionen und automatisierte Sicherheitsprüfungen verfälscht werden. Aussagekräftiger sind definierte Interaktionen auf der Simulationsseite.
Werden einzelne Beschäftigte bewertet?
Die Simulation ist als Awareness-Maßnahme gedacht, nicht als öffentliches Ranking oder Pranger. Welche personenbezogenen Auswertungen überhaupt erforderlich und zulässig sind, wird vorab festgelegt und auf den vereinbarten Zweck begrenzt.
Ist eine Phishing-Simulation für Kommunen möglich?
Ja. Gerade für Kommunen können verwaltungsnahe Szenarien entwickelt werden. Vor dem Start sollten Datenschutz, Informationssicherheit und mögliche Beteiligungsrechte der Personalvertretung organisatorisch geklärt werden.
Muss der Personalrat beteiligt werden?
Das hängt von der konkreten Ausgestaltung ab. Bei bayerischen öffentlichen Stellen sind Beteiligungsrechte insbesondere dann zu prüfen, wenn technische Einrichtungen geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen. Die Prüfung sollte vor dem Start erfolgen.
Braucht der Kunde einen eigenen Zugang zur Software?
Nein. Die Kampagnenverwaltung ist als internes Modul der Compliance Werkbank vorgesehen. Einrichtung, Durchführung und Auswertung erfolgen durch die Compliance Werkstatt.
Erhalten alle Beschäftigten dieselbe Phishing-Mail?
Nicht zwingend. Vorgesehen sind je nach Kampagne 2–4 unterschiedliche Varianten oder Szenarien. Dadurch wird vermieden, dass sich eine einzelne Prüfmail sofort innerhalb der gesamten Organisation herumspricht. Die Varianten sollen hinsichtlich Schwierigkeit und Fairness vergleichbar bleiben.
Können mehrere Phishing-Kampagnen zu festen Terminen geplant werden?
Ja. Eine Awareness-Serie kann aus mehreren Kampagnen bestehen, die zu vorab festgelegten Terminen mit unterschiedlichen Szenarien starten. Umfang, Teilnehmerkreis und Auswertung werden für die Serie vorab vereinbart.
Wie realistisch sind die Phishing-Mails?
Die Szenarien sollen professionell und realistisch wirken, enthalten aber bewusst faire Warnsignale. Ziel ist ein nachvollziehbarer Lerneffekt und nicht eine möglichst hohe Klickquote um jeden Preis.
Security Awareness sollte technisch und organisatorisch zusammenpassen.
Das Bundesamt für Sicherheit in der Informationstechnik nennt Awareness-Kampagnen und Phishing-Tests als Bausteine zur Sensibilisierung von Beschäftigten. Für öffentliche Stellen kommen zusätzlich Datenschutz- und Personalvertretungsfragen hinzu.
Interesse an einer Phishing-Simulation?
Die Pilotphase befindet sich in Vorbereitung. Kommunen und Unternehmen können sich bereits unverbindlich vormerken lassen. Sobald die ersten Kampagnen freigegeben sind, erhalten Interessierte Informationen zu Ablauf, Umfang und verbindlichem Einführungspreis.
