Eine Phishing-Übung soll üben, dass eine verdächtige Mail einen kurzen Weg zur Betreuung hat, nicht dass einzelne Personen in der nächsten Besprechung vorgeführt werden. Sobald aus der Übung ein Theater wird, meldet beim nächsten echten Fall niemand mehr. Der technische Meldeknopf, ein Postfach, das während der Geschäftszeiten gelesen wird, und eine Auswertung ohne Namensliste sind deshalb der Kern. Die Klickzahl allein sagt wenig.

Warum Klick-Ranglisten das Gegenteil bewirken

Betriebe kaufen Simulationen oft als einmaliges Event. Die Mail ist reißerisch, die Aufdeckung ist laut, und wer geklickt hat, steht indirekt am Pranger. Danach sinkt die Bereitschaft, Unsicherheit zuzugeben. Gleichzeitig fehlt der langweilige Teil: Was passiert mit einer Meldung am Dienstagvormittag, wer ruft zurück, und welche Mail wird wirklich untersucht. Ohne diesen Weg trainiert die Übung nur Aufmerksamkeit für ein Spiel.

Ob eine Übung gegenüber Mitarbeitenden zulässig ist und ob Ergebnisse personenbezogen gespeichert werden dürfen, entscheiden Geschäftsführung und Rechtsberatung, nicht der Anbieter der Simulation. Wir brauchen vorab den Rahmen: keine Veröffentlichung von Namen, kein Zugriff auf private Postfächer, ein Zeitraum, der nicht in die Lohnverrechnung oder in eine bereits laufende Störung fällt. Die technische Auswertung beschränkt sich auf das, was dieser Rahmen erlaubt.

Meldeweg, ruhige Auswertung, technische Ergänzung

  1. Rahmen. Klären Sie mit Beratung und Führung, ob personenbezogene Ergebnisse erlaubt sind, und schreiben Sie das Verbot der Bloßstellung auf.
  2. Weg. Richten Sie einen Meldeknopf oder eine klare Adresse ein, die an Werktagen gelesen wird, bevor die erste Übung hinausgeht.
  3. Termin. Legen Sie die Übung nicht auf Abschluss, Lohn oder einen bereits kritischen Betriebstag.
  4. Auswertung. Besprechen Sie Muster, etwa Absender und Dringlichkeit, ohne Namen in der Runde.
  5. Nachzug. Koppeln Sie die Übung an eine technische Maßnahme, zum Beispiel Kennzeichnung externer Absender oder Mehrfaktor an den Konten.

Eine Übung ersetzt keine Sperre für Makros und keine Mehrfaktor-Anmeldung. Sie zeigt nur, ob Menschen einen Verdacht loswerden können. Wenn die Meldung in einem vollen Postfach untergeht, ist das der Befund, nicht die Ungeschicklichkeit der Belegschaft. Den Befund beheben wir im Mailweg und in der Betreuung.

Woran Projekte in der Praxis scheitern

  • Namen der Personen, die geklickt haben, in einem Meeting oder auf einem Aushang zeigen.
  • Die Übung ohne vorherigen Meldeweg starten und sich danach wundern, dass nur Stille zurückkommt.
  • Ergebnisse monatelang personenbezogen liegen lassen, obwohl niemand den Zweck noch braucht.
  • Die Simulation auf einen Tag legen, an dem die Buchhaltung ohnehin unter Druck steht.

Beispiel aus dem Betriebsalltag

Ein Planungsbüro hatte eine Übung hinter sich, nach der einzelne Personen in der Teambesprechung genannt wurden. Die nächste verdächtige Lieferantenmail wurde nicht gemeldet, sondern gelöscht. Wir haben den Meldeknopf auf eine Funktionsadresse gelegt, die während der Geschäftszeiten bei der Betreuung ankommt, und die folgende Übung nur noch nach Mustern besprochen. Gemeldet wurde wieder, weil niemand mit einer Vorführung rechnen musste.

Kurze Entscheidungshilfe

  • Gibt es einen Meldeweg, den eine Vertretung an einem Werktag liest?
  • Ist schriftlich klar, dass Namen nicht veröffentlicht werden?
  • Hat Ihre Beratung den Rahmen für personenbezogene Ergebnisse geklärt?
  • Hängt an der Übung mindestens eine technische Verbesserung, nicht nur eine Folie?

Wenn eine Phishing-Übung, die der Betrieb aushält bei Ihnen ansteht, klären wir den Umfang unverbindlich: IT-Sicherheit. Weiterleitung nach außen stoppen Alternativ direkt Kontakt aufnehmen oder die häufigen Fragen lesen.