Phishing-Test für Ihre Mitarbeiter

Spamfilter, Virenschutz und Firewalls fangen viel ab – aber nicht alles. Am Ende landet die entscheidende Nachricht im Postfach eines Menschen, der in wenigen Sekunden entscheidet, ob er klickt. Ob Ihre Belegschaft verdächtige Nachrichten zuverlässig erkennt, wissen Sie erst, wenn Sie es messen. Ein Phishing-Test ersetzt Vermutungen durch belastbare Zahlen und zeigt, wo Ihr Unternehmen heute steht. Die folgenden Werte aus anerkannten Branchenberichten machen deutlich, warum sich dieser Blick lohnt:

Ein Test macht sichtbar, wo besonders häufig geklickt wird, wie gut der Meldeweg funktioniert und ob bisherige Schulungen im Alltag ankommen. Das ist eine sachliche Entscheidungsgrundlage – etwa dafür, welche Schulungen Vorrang haben oder wie sich die Anforderungen der NIS2-Richtlinie an Schulung und Cyberhygiene erfüllen lassen. Denn Social Engineering zielt auf menschliches Verhalten statt auf technische Lücken – genau das prüft ein Phishing-Test.

Ein guter Phishing-Test liefert nicht nur eine einzelne Zahl, sondern ein differenziertes Bild. SECMIND erfasst dafür genau drei Reaktionen auf die Testmail:

Aus Klick- und Meldeverhalten ergibt sich ein Risiko-Score pro Abteilung, der auf einen Blick zeigt, wo Handlungsbedarf besteht. Die Auswertung erfolgt anonymisiert auf Abteilungsebene – personenbezogene Ranglisten entstehen nicht. Wichtig für die Einordnung: Eine niedrige Klickquote allein ist noch kein Erfolg. Aussagekräftiger ist die Kombination aus wenigen Klicks und vielen Meldungen, denn sie zeigt eine aktive, wachsame Sicherheitskultur.

Grundsätzlich ja: Arbeitgeber dürfen ihre Belegschaft im Rahmen der IT-Sicherheit sensibilisieren und dafür auch Phishing-Tests einsetzen. Weil dabei personenbezogene Daten verarbeitet und Verhalten gemessen wird, sollten drei Punkte von Anfang an geregelt sein:

Datenschutz (DSGVO)

Ein Phishing-Test verarbeitet die E-Mail-Adressen und in der Regel auch Namen und Abteilung der Empfänger sowie deren Reaktion auf die Testmail. Er braucht daher eine tragfähige Rechtsgrundlage – häufig das berechtigte Interesse an der IT-Sicherheit –, folgt der Datenminimierung und muss transparent sein. Die Details klären Sie am besten mit Ihrem Datenschutzbeauftragten. SECMIND unterstützt eine datensparsame Umsetzung: Verarbeitung ausschließlich auf Servern in Deutschland, anonymisierte Auswertung auf Abteilungsebene, keine Erfassung von Passwörtern, AV-Vertrag nach Art. 28 DSGVO und Löschkonzept inklusive.

Betriebsrat und Mitbestimmung

Besteht ein Betriebsrat, sollte er frühzeitig eingebunden werden: Maßnahmen, mit denen sich Verhalten von Beschäftigten technisch auswerten lässt, können nach § 87 Abs. 1 Nr. 6 BetrVG mitbestimmungspflichtig sein. Bewährt hat sich eine schriftliche Vereinbarung über Zweck, Umfang, anonymisierte Auswertung und den Verzicht auf arbeitsrechtliche Konsequenzen. Im öffentlichen Dienst ist entsprechend die Beteiligung des Personalrats zu prüfen.

Information der Belegschaft

Heimliche Tests ohne jede Vorinformation untergraben Vertrauen. Bewährt hat sich ein Mittelweg: Informieren Sie vorab allgemein darüber, dass Phishing-Tests stattfinden, zu welchem Zweck und wie die Ergebnisse verwendet werden – nennen Sie aber keinen Termin. Ein Hinweis in der IT-Richtlinie und im Onboarding hält die Information auch für neue Mitarbeitende präsent.

Der wichtigste Moment eines Phishing-Tests ist der Augenblick unmittelbar nach dem Klick. Wer bei SECMIND auf einen simulierten Link klickt, landet sofort auf einer Lernseite. Sie erklärt sachlich, dass es ein Test war, dass keine Passwörter gespeichert wurden und dass es keine Konsequenzen gibt – und zeigt dann die sechs wichtigsten Warnsignale. Dieser Lernmoment wirkt, weil die Aufmerksamkeit genau jetzt am größten ist.

Für Sie als Verantwortliche folgt die Auswertung: Der Report zeigt, wo häufig geklickt oder zuverlässig gemeldet wurde, und liefert Handlungsempfehlungen. Typische nächste Schritte:

Das strukturierte Wissen rund um den Test vermittelt ein Security-Awareness-Training. Und für den Fall, dass doch einmal eine echte Phishing-Mail durchkommt, erklärt unser Ratgeber Phishing-Mail erhalten – was tun? die richtigen Sofortmaßnahmen.

Ein Phishing-Test prüft letztlich eine einzige Fähigkeit: verdächtige Nachrichten zu erkennen, bevor man handelt. Die meisten Phishing-Versuche folgen wiederkehrenden Mustern – ob per E-Mail, per SMS (Smishing), am Telefon (Vishing) oder über QR-Codes. Diese sechs Warnsignale zeigt SECMIND auch auf der Lernseite nach einem Klick:

Keines dieser Merkmale ist allein ein Beweis, und professionelle Angriffe wie CEO-Fraud kommen oft ohne Tippfehler aus. Es gilt: im Zweifel nicht klicken, sondern über einen bekannten, offiziellen Weg nachfragen. Die ausführliche Anleitung bietet der Ratgeber Phishing-Mails erkennen.