Phishing ist nach wie vor der Ausgangspunkt der meisten Sicherheitsvorfälle. Keine Zero-Days, keine Supply-Chain-Angriffe, kein neuartiger Exploit. Phishing. Ein Mitarbeitender klickt auf einen Link, gibt seine Zugangsdaten auf einer gefälschten Seite ein, und ein Angreifer ist im System.

Technische Schutzmaßnahmen fangen vieles ab, aber nicht alles. Die E-Mails, die durchkommen, sind diejenigen, die echt wirken, zum richtigen Zeitpunkt eintreffen und die richtige Person ins Visier nehmen. Die einzige Möglichkeit zu prüfen, ob Ihre Mitarbeitenden solche E-Mails erkennen, besteht darin, sie selbst zu versenden – sicher und bevor es ein Angreifer tut.

Genau das leisten Phishing-Simulationstools. Sie senden Ihren Nutzern realistische gefälschte Phishing-E-Mails, messen, wer klickt, wer meldet und wer Zugangsdaten eingibt, und machen aus diesen Ergebnissen Schulungen. Die besseren Plattformen tun dies kontinuierlich, passen den Schwierigkeitsgrad an die Leistung jedes Nutzers an und liefern Ihnen ein Reporting, das Sie der Geschäftsleitung oder Auditoren tatsächlich vorlegen können.

Dieser Leitfaden stellt die 10 Phishing-Simulationsplattformen vor, die 2026 eine nähere Betrachtung wert sind. Wir haben uns angesehen, was jede besonders gut kann, wofür sie sich eignet und für wen sie konzipiert ist.

Worauf Sie bei einer Phishing-Simulationsplattform achten sollten

Bevor wir in die Liste einsteigen, lohnt es sich zu wissen, was ein gutes Phishing-Simulationstool von einem unterscheidet, das lediglich ein Compliance-Kästchen abhakt.

Realismus zählt. Die Vorlagen sollten wie die E-Mails aussehen, die Ihre Nutzer tatsächlich erhalten. Markenimitationen, internes Spoofing, Angriffe über Anhänge, Seiten zum Abgreifen von Zugangsdaten. Wenn sich die Simulationen nicht echt anfühlen, vermitteln sie nichts Brauchbares.

Automatisierung spart Ihnen Zeit. Jedes Quartal manuelle Kampagnen durchzuführen, ist ein Zeitfresser. Plattformen, die Planung, Vorlagenrotation und nachgelagerte Schulungen automatisieren, ermöglichen es Ihnen, ein Programm zu betreiben, ohne dass es zum zweiten Job wird.

Verhaltensverfolgung statt Klickraten. Die Klickrate allein sagt nicht viel aus. Sie wollen sehen, wer die E-Mail gemeldet hat, wer sie ignoriert hat, wer sich im Laufe der Zeit verbessert hat und wer immer wieder auf dieselben Tricks hereinfällt. Das sind die Daten, die das Risiko tatsächlich senken.

Passung zu Ihrem Betriebsmodell. Ein MSP, der 40 Kunden betreut, benötigt Mandantenfähigkeit und White-Labeling. Ein internes IT-Team in einem Mittelstandsunternehmen braucht ein übersichtliches Reporting und geringen Verwaltungsaufwand. Sicherheitsteams in Großunternehmen wünschen sich möglicherweise tiefe Integrationen in ihren bestehenden Stack. Die richtige Plattform hängt davon ab, wie Sie arbeiten.

Plattformvergleich im Überblick

‍

Die 10 besten Phishing-Simulationstools für 2026

1) usecure

https://usecure.io

Was es ist

usecure ist eine Human-Risk-Management-Plattform, die automatisierte Phishing-Simulationen als Teil eines umfassenderen Systems zur Reduzierung des menschlichen Cyberrisikos enthält. Die Phishing-Komponente namens uPhish ermöglicht es Ihnen, simulierte Angriffe über Ihre gesamte Nutzerbasis hinweg durchzuführen – mit Vorlagen zur Markenimitation, individuellen Kampagnen, Spear-Phishing-Szenarien und Domain-Spoofing.

Was usecure von den meisten Einträgen der Liste unterscheidet, ist der geringe manuelle Aufwand im Betrieb. AutoPhish übernimmt die Planung automatisch und sendet jedem Nutzer in zufälligen Abständen innerhalb eines von Ihnen festgelegten Zeitfensters (etwa alle vier bis acht Wochen) eine simulierte Phishing-E-Mail. Sie wählen die Produktivitätstools aus, auf die sich Ihre Nutzer stützen, und AutoPhish wählt passende Vorlagen aus. Die Simulationen treffen während der Arbeitszeit ein, in der bevorzugten Sprache des Nutzers und mit realistischem Timing.

Klickt jemand, wird er sofort in ein kurzes Schulungsmodul aufgenommen, das erklärt, was er übersehen hat. Dieser Kreislauf läuft kontinuierlich, ohne dass Sie jeden Monat neue Kampagnen einrichten müssen.

Über Phishing hinaus umfasst usecure eine risikoadaptierte Security-Awareness-Schulung, Richtlinienverwaltung, Dark-Web-Monitoring sowie Human Risk Scores, die den Fortschritt im Zeitverlauf nachverfolgen. Für MSPs gibt es mandantenfähige Verwaltung, White-Labeling, automatisiertes Reporting und eine Lizenzierung pro Nutzer. Sie können Phishing-Simulation und Schulung als Managed Service über Dutzende von Kunden hinweg aus einem einzigen Portal bereitstellen.

Wo es hilft

• Laufende Phishing-Tests ohne den Aufwand des Kampagnenmanagements
• Senkung der Klickraten und Nachweis von Fortschritten gegenüber Kunden oder der Geschäftsleitung
• Unterstützung der Anforderungen von ISO 27001, GDPR und Cyberversicherungen
• MSPs, die Human Risk Management als wiederholbaren Service anbieten

Zentrale Funktionen

• AutoPhish mit konfigurierbarer Häufigkeit, Vorlagenfilterung und Steuerung der Arbeitszeiten
• Simulationen zu Markenimitation, Spear-Phishing, Anhängen und dem Abgreifen von Zugangsdaten
• Message Injection für eine zuverlässige Zustellung im Posteingang bei M365 und Google Workspace
• Sofortige Inline-Schulung für kompromittierte Nutzer
• Human Risk Scores mit Trend-Reporting über Nutzer, Abteilungen oder Kunden hinweg
• Mandantenfähiges MSP-Portal mit White-Labeling
• Dark-Web-Monitoring von Zugangsdaten
• Richtlinienverteilung und Nachverfolgung der Bestätigung
• Über 15 Spoof-Domains und mehrsprachige Vorlagenbibliothek

Am besten geeignet für

MSPs und KMU, die Phishing-Simulation mit minimalem Verwaltungsaufwand in ein umfassenderes Programm zur Reduzierung des menschlichen Risikos integrieren möchten.

2) KnowBe4

https://www.knowbe4.com

Was es ist

KnowBe4 ist einer der größten Namen im Bereich Security-Awareness-Schulung und länger am Markt als die meisten anderen. Die Phishing-Simulationskonsole gibt Ihnen Zugriff auf Tausende von Vorlagen, die alles vom Abgreifen von Zugangsdaten bis hin zum CEO-Betrug abdecken. Sie können automatisierte Kampagnen durchführen, die PhishAlert-Meldeschaltfläche nutzen und ein Risk-Scoring über Ihre gesamte Nutzerbasis erhalten.

Die Schulungsbibliothek ist gewaltig. Wenn Sie Umfang und Vielfalt benötigen, hat KnowBe4 dafür wahrscheinlich eine Vorlage oder ein Schulungsmodul. Diese Breite hat jedoch einen Haken. Administratoren berichten häufig von einer steileren Lernkurve bei den erweiterten Funktionen, und die Verwaltung von Kampagnen in großem Maßstab kann mehr manuellen Aufwand erfordern als bei manchen Alternativen.

Einige Nutzer haben zudem angemerkt, dass die Inhalte mit der Zeit repetitiv wirken können und dass es je nach Tarifstufe Grenzen bei den Anpassungsoptionen gibt.

Zentrale Funktionen

• Eine der größten Phishing-Vorlagenbibliotheken am Markt
• PhishAlert-Meldeschaltfläche
• KI-empfohlene Schulungen und automatisierte Kampagnen
• Risk-Scoring und Analysen
• Integrationen mit M365 und Active Directory

Am besten geeignet für

Organisationen, die Wert auf inhaltliche Breite legen und über die internen Ressourcen verfügen, um Kampagnen durchzuführen und zu optimieren.

3) Hoxhunt

https://hoxhunt.com

Was es ist

Hoxhunt ist rund um adaptive Phishing-Schulung mit einem starken Gamification-Ansatz aufgebaut. Die Plattform nutzt KI, um den Schwierigkeitsgrad der Simulationen für jeden Nutzer anhand seiner Leistung anzupassen, und sendet anspruchsvollere Phishing-E-Mails an Personen, die regelmäßig melden, sowie einfachere an jene, die noch dazulernen.

Die Simulationen laufen über E-Mail, Slack und Microsoft Teams. Nutzer, die simuliertes Phishing melden, sammeln Punkte und steigen in Bestenlisten auf, was zu einer deutlich höheren Nutzerbindung führt als bei herkömmlichen Plattformen. Klickt jemand, statt zu melden, erhält er eine sofortige Mikroschulung.

Hoxhunt bietet zudem Deepfake-Phishing-Simulationen, bei denen KI-generierte Video- und Sprachinhalte Szenarien zur Imitation von Führungskräften nachbilden. Das ist ein Alleinstellungsmerkmal für Organisationen, die ihre Teams auf raffiniertere Formen des Social Engineering vorbereiten.

Die Kehrseite: Hoxhunt ist im Enterprise-Segment angesiedelt und entsprechend bepreist. Die anfängliche Einrichtung kann aufwendiger sein als bei manchen Alternativen, und das Admin-Dashboard gilt als weniger intuitiv als die Endnutzererfahrung.

Zentrale Funktionen

• KI-gesteuerter adaptiver Schwierigkeitsgrad über vier Stufen
• Gamification mit Punkten, Bestenlisten und Belohnungen
• Simulationen über E-Mail, Slack und Teams
• Deepfake-Phishing-Simulationen
• Echtzeit-Feedback und Mikroschulung
• Über 30 Sprachen

Am besten geeignet für

Mittelständische und große Organisationen, die bereit sind, in eine Plattform zur Verhaltensänderung mit hoher Nutzerbindung zu investieren.

4) Cofense

https://cofense.com

Was es ist

Cofense konzentriert sich auf die andere Seite des Phishing-Problems: was passiert, nachdem jemand eine verdächtige E-Mail erkannt hat. Die Plattform ist rund um Phishing-Meldung und -Triage aufgebaut und hilft Sicherheitsteams, echte Bedrohungen schneller zu erkennen, indem sie analysiert, was Mitarbeitende melden.

Es gibt eine Simulationskomponente (Cofense PhishMe), mit der Sie individuelle Phishing-Kampagnen mit rollenbasierten Szenarien, Anhang-Simulationen und dem Abgreifen von Zugangsdaten durchführen können. Das Reporting ist stark darin, Wiederholungstäter zu identifizieren und Daten in SOC-Workflows einzuspeisen.

Doch Cofense neigt stärker zu Detektion und Reaktion als zu Schulung. Die Endnutzererfahrung ist nicht so gamifiziert oder fesselnd wie bei einigen Wettbewerbern, und einige Nutzer merken an, dass der Verwaltungsaufwand höher ist als erwartet.

Zentrale Funktionen

• PhishMe-Simulationskampagnen mit rollenbasiertem Targeting
• Phishing-Meldeschaltfläche mit einem Klick
• Werkzeuge zur Vorfallanalyse und -Triage
• Kennzahlen zu Nutzermeldungen und Identifizierung von Wiederholungstätern
• Reaktionsschnelle Zustellungssteuerung

Am besten geeignet für

Security-Operations-Teams, die Phishing-Detektion und -Reaktion gegenüber schulungsgetriebenen Programmen priorisieren.

5) Proofpoint Security Awareness

https://www.proofpoint.com

Was es ist

Das Phishing-Simulationsangebot von Proofpoint ist in dessen umfassenderes E-Mail-Sicherheitsökosystem eingebettet. Die Assess-Plattform kombiniert Phishing-, Smishing- und USB-Simulationen mit Threat Intelligence aus den Detektionsfähigkeiten von Proofpoint. Der People Risk Explorer identifiziert die Nutzer, die am stärksten ins Visier genommen werden oder am ehesten klicken – auf Basis tatsächlicher Bedrohungsdaten.

Mitarbeitende, die Simulationen nicht bestehen, können automatisch in adaptive Lernpfade aufgenommen werden. Das Reporting ist auf Sicherheitsteams in Großunternehmen ausgerichtet, die Transparenz über das Nutzerrisiko parallel zu E-Mail-Bedrohungsdaten wünschen.

Der Haken ist, dass Proofpoint am besten funktioniert, wenn Sie ohnehin bereits Proofpoint einsetzen. Als eigenständiges Phishing-Simulationstool ist es weniger flexibel als spezialisierte Plattformen. Auch die Nutzerbindung bleibt tendenziell hinter stärker gamifizierten Optionen zurück.

Zentrale Funktionen

• Phishing-, Smishing- und USB-Simulationen
• People Risk Explorer auf Basis von Bedrohungsdaten
• Automatische Aufnahme in adaptive Lernpfade
• Integration in den E-Mail-Sicherheits-Stack von Proofpoint
• Enterprise-Reporting

Am besten geeignet für

Mittelständische und große Organisationen, die bereits in das Ökosystem von Proofpoint investiert haben.

6) SoSafe

https://sosafe-awareness.com

Was es ist

SoSafe ist eine europäische Plattform, die gamifizierte Security-Awareness-Schulung mit KI-gesteuerten Phishing-Simulationen verbindet. Das Simulation Studio ermöglicht es Administratoren, mithilfe von KI in wenigen Minuten individuelle Phishing-Vorlagen zu erstellen, und die Adaptive Difficulty Engine der Plattform passt Häufigkeit und Komplexität der Simulationen für jeden Nutzer an.

Die Simulationen decken E-Mail, SMS (Smishing) und QR-Codes ab, und SoSafe hat kürzlich Vishing-Simulationen (Voice-Phishing) im Early Access eingeführt. Der Phishing Report Button bietet Mitarbeitenden eine Möglichkeit, verdächtige E-Mails mit sofortigem Feedback zu melden.

SoSafe legt starken Wert auf GDPR-Konformität und Privacy by Design und speichert alle Daten innerhalb der EU. Mitte 2025 wurde eine MSP-Plattform mit mandantenfähiger Verwaltung, ohne Mindestlizenzanforderungen und mit direkter Message Injection eingeführt, die komplexes Whitelisting umgeht.

Die Vorlagen sind in bis zu 30 Sprachen verfügbar, und die Plattform integriert sich mit M365, Google Workspace, SAP SuccessFactors und weiteren.

Zentrale Funktionen

• KI-gestütztes Simulation Studio für individuelle Vorlagen
• Adaptive Difficulty Engine
• Kanalübergreifende Simulationen (E-Mail, SMS, QR, Vishing im Early Access)
• Phishing Report Button mit sofortigem Feedback
• GDPR-konform, Datenspeicherung in der EU
• MSP-Plattform mit mandantenfähiger Verwaltung
• Unterstützung für über 30 Sprachen

Am besten geeignet für

Mittelständische Organisationen und MSPs in Europa, die starke Datenschutzkontrollen neben wirksamen Phishing-Simulationen benötigen.

7) MetaCompliance

https://www.metacompliance.com

Was es ist

Das Phishing-Simulationstool von MetaCompliance, MetaPhish, ist Teil einer umfassenderen Compliance- und Security-Awareness-Suite. Die Plattform bietet eine Bibliothek vorgefertigter Phishing-Vorlagen, die Erstellung individueller Kampagnen, die Segmentierung der Zielgruppe nach Rolle oder Abteilung sowie Lernerlebnisse im Moment des Klicks, wenn Nutzer mit simulierten E-Mails interagieren.

Die Vorlagen sind in 43 Sprachen verfügbar, was eines der breitesten mehrsprachigen Angebote dieser Liste darstellt. Kampagnen lassen sich mit gestaffelter Planung, zufälligen Targeting-Prozentsätzen und individuellen Zustellfenstern konfigurieren.

Das Reporting deckt Öffnungsraten, Klickraten und Kompromittierungsraten über Abteilungen und Nutzergruppen hinweg ab. Die Plattform wird häufig von Organisationen in regulierten Branchen gewählt, in denen Compliance-Dokumentation und Richtlinienverwaltung die maßgeblichen Treiber sind.

Einige Nutzer haben von Schwierigkeiten bei der anfänglichen Einrichtung berichtet, insbesondere rund um die Konfiguration von Spamfiltern und die Verwaltung von Ausschlusslisten.

Zentrale Funktionen

• MetaPhish-Simulationsplattform mit vorgefertigten und individuellen Vorlagen
• Unterstützung für 43 Sprachen
• Zielgruppensegmentierung nach Abteilung, Rolle und Kompetenzniveau
• Lernen im Moment des Klicks mit Nano-Schulungsvideos
• Gestaffelte und geplante Zustellung
• Compliance- und Richtlinien-Reporting

Am besten geeignet für

Organisationen in regulierten Branchen, die Phishing-Simulationen benötigen, die an umfassendere Governance- und Compliance-Programme angebunden sind.

8) Infosec IQ

https://www.infosecinstitute.com

Was es ist

Infosec IQ (vom Infosec Institute) ist eine Security-Awareness-Schulungsplattform, die Phishing-Simulationen als Teil eines strukturierten Schulungsprogramms umfasst. Die Plattform konzentriert sich auf rollenbasierte Schulungspfade, die Phishing, Passwortsicherheit, Datenschutz und regulatorische Themen abdecken.

Phishing-Simulationen werden typischerweise als Kampagnen parallel zu geplanten Schulungsmodulen durchgeführt, mit einem Reporting, das auf Compliance- und Audit-Anforderungen ausgerichtet ist. Der Ansatz ist strukturierter und weniger adaptiv als bei verhaltensgetriebenen Plattformen.

Infosec IQ wird tendenziell von Organisationen gewählt, die Schulungsabdeckung und Abschlussquoten für Audits nachweisen müssen, statt von solchen, die auf eine kontinuierliche Reduzierung des Verhaltensrisikos fokussiert sind.

Zentrale Funktionen

• Phishing-Simulationskampagnen
• Rollenbasierte Schulungspfade
• Compliance- und Audit-Reporting
• Schulungsbibliothek zu Phishing, Passwörtern, Datenschutz

Am besten geeignet für

Organisationen, die dokumentierte Schulungsprogramme benötigen, die an Compliance-Frameworks angebunden sind.

9) Barracuda Security Awareness Training

https://www.barracuda.com

Was es ist

Das Security-Awareness-Angebot von Barracuda umfasst grundlegende Phishing-Simulationen und Schulungsinhalte als Teil seines umfassenderen Sicherheitsportfolios. Die Plattform ist darauf ausgelegt, zugänglich und leicht einführbar zu sein, insbesondere für KMU und MSPs, die Barracuda bereits für E-Mail- oder Netzwerksicherheit nutzen.

Die Phishing-Simulationen fungieren eher als Erweiterung des umfassenderen Barracuda-Stacks denn als eigenständiges Human-Risk-Management-Programm. Wenn Sie bereits in Barracuda für E-Mail-Schutz, Firewall oder Backup investiert haben, lässt sich die Awareness-Schulung problemlos ergänzen.

Der Kompromiss ist die Tiefe. Die Phishing-Simulationsfähigkeiten von Barracuda sind grundlegender als die spezialisierter Plattformen. Die Vorlagenbibliotheken sind kleiner, die adaptiven Funktionen begrenzt, und das Reporting geht nicht so in die Tiefe wie bei eigens entwickelten Phishing-Tools.

Zentrale Funktionen

• Phishing-Simulationskampagnen
• Awareness-Schulungsinhalte
• Reporting-Dashboards
• Integration mit der E-Mail-Sicherheit von Barracuda

Am besten geeignet für

KMU und MSPs, die eine grundlegende Phishing-Simulation gebündelt in einem bestehenden Barracuda-Sicherheits-Stack wünschen.

10) Phished

https://phished.io

Was es ist

Phished ist eine belgische Plattform, die KI nutzt, um Phishing-Simulationen zu automatisieren und zu personalisieren. Die Plattform passt den Schwierigkeitsgrad an das Kompetenzniveau jedes Nutzers an und sendet zunehmend anspruchsvollere Simulationen an Nutzer, die Bedrohungen konsequent melden, sowie einfachere an jene, die mehr Übung benötigen.

Ein herausragendes Merkmal ist der geringe Einrichtungsaufwand der Plattform. Phished wirbt mit einem Bereitstellungsfenster von ein bis zwei Stunden, wobei die KI danach Vorlagenauswahl, Planung und Schwierigkeitssteigerung übernimmt. Klickt ein Nutzer auf ein simuliertes Phishing, erhält er ein Nanolearning-Modul, das erklärt, was schiefgelaufen ist.

Die Plattform umfasst außerdem eine KI-Prompt-Funktion zur schnellen Erstellung individueller Simulationen, einen Phished Report Button zur Meldung sowie eine Zero Incident Mail-Schulungsumgebung. Gamifizierte Schulungseinheiten begleiten die Simulationen.

Phished ist am stärksten im EU-Markt und bei KMU, die eine automatisierte Plattform mit geringem Verwaltungsaufwand suchen. Im Enterprise-Segment und auf dem nordamerikanischen Markt ist es im Vergleich zu einigen der größeren Anbieter weniger etabliert.

Zentrale Funktionen

• KI-gesteuerte, nach Niveaustufen gestaffelte Phishing-Simulationen
• Bereitstellung in ein bis zwei Stunden
• Nanolearning für kompromittierte Nutzer
• Phished Report Button
• Gamifizierte Schulungseinheiten
• Erstellung individueller Simulationen über KI-Prompts

Am besten geeignet für

KMU, insbesondere in der EU, die eine schlanke, automatisierte Phishing-Simulationsplattform suchen.

So wählen Sie die richtige Phishing-Simulationsplattform

Beginnen Sie mit dem, was Sie tatsächlich erreichen wollen. Wenn das Ziel Compliance ist, bringen Plattformen mit strukturiertem Reporting und rollenbasierten Pfaden Sie ans Ziel. Wenn das Ziel eine messbare Risikoreduzierung ist, brauchen Sie etwas, das sich an das Nutzerverhalten anpasst und Fortschritte im Zeitverlauf mit Phishing-Daten belegt – nicht nur mit Kursabschlüssen.

Überlegen Sie, wie viel Zeit Sie investieren können. Plattformen mit manuellen Kampagnen funktionieren, wenn Sie dediziertes Personal zu deren Verwaltung haben. Wenn nicht – und die meisten MSPs und schlanken IT-Teams haben das nicht –, sparen Ihnen automatisierte Plattformen wie usecure oder Phished erheblich Zeit und halten die Programme zugleich konsistent am Laufen.

Passen Sie die Plattform an Ihr Betriebsmodell an. MSPs benötigen mandantenfähige Verwaltung, White-Labeling und flexible Lizenzierung. Internen Teams ist die Reporting-Tiefe oder die Integration in bestehende Tools möglicherweise wichtiger. Sicherheitsteams in Großunternehmen priorisieren vielleicht Threat Intelligence oder die SOC-Integration.

Überlegen Sie, wie gutes Reporting aussieht. Die Phishing-Klickrate ist die naheliegende Kennzahl, aber eine grobe. Die Meldequote sagt mehr darüber aus, ob sich das Verhalten tatsächlich ändert. Trenddaten im Zeitverlauf, Risikoscores pro Nutzer und Aufschlüsselungen auf Abteilungsebene sind das, was Sie brauchen, um der Geschäftsleitung, Kunden oder Auditoren Fortschritte aufzuzeigen.

Übersehen Sie den Realismus nicht. Ihre Nutzer lernen nichts aus Phishing-Simulationen, die sie sofort durchschauen. Vorlagen, die tatsächliche Angriffsmuster widerspiegeln, Markenimitationen von Tools, die Ihre Nutzer kennen, und mehrkanalige Simulationen machen das Programm allesamt wirksamer.

FAQ

Was ist eine Phishing-Simulation?

Eine Phishing-Simulation ist ein kontrollierter Test, bei dem gefälschte Phishing-E-Mails an Mitarbeitende gesendet werden, um zu messen, wie sie reagieren. Nutzer, die klicken, Anhänge öffnen oder Zugangsdaten eingeben, werden markiert und erhalten in der Regel eine nachgelagerte Schulung. Der Zweck besteht darin, Schwachstellen zu erkennen und bessere Gewohnheiten aufzubauen, bevor ein echter Angriff eintrifft.

Wie oft sollten Sie Phishing-Simulationen durchführen?

Die meisten Plattformen empfehlen mindestens monatlich. Einige führen Simulationen alle vier bis acht Wochen pro Nutzer durch. Die Belege zeigen durchgängig, dass die Schulungseffekte ohne Auffrischung nach einigen Monaten nachlassen, sodass vierteljährliche Kampagnen für sich genommen nicht häufig genug sind, um eine dauerhafte Verhaltensänderung zu bewirken.

Was ist der Unterschied zwischen Phishing-Simulation und Security-Awareness-Schulung?

Die Phishing-Simulation testet, wie Nutzer auf realistische Angriffsszenarien reagieren. Die Security-Awareness-Schulung schult Nutzer umfassender zu Bedrohungen und deckt Themen wie Passworthygiene, Social Engineering, Datenschutz und Compliance ab. Die wirksamsten Programme kombinieren beides und nutzen Simulationen, um zu überprüfen, ob die Schulung tatsächlich wirkt.

Können MSPs Phishing-Simulation als Managed Service anbieten?

Ja. Mehrere Plattformen auf dieser Liste sind dafür konzipiert. usecure, SoSafe und Barracuda bieten allesamt mandantenfähige MSP-Portale. Entscheidend ist, eine Plattform zu finden, auf der Sie mehrere Kunden verwalten, Kampagnen automatisieren und Reporting erstellen können, ohne ständig jedes Konto einzeln anfassen zu müssen.

Reduzieren Phishing-Simulationen tatsächlich Sicherheitsvorfälle?

Wenn sie kontinuierlich durchgeführt und mit gezielter Schulung kombiniert werden, ja. Organisationen, die nachhaltige Phishing-Programme betreiben, berichten von Klickraten, die von Ausgangswerten von 20–30 % über 12 bis 18 Monate auf einen niedrigen einstelligen Prozentbereich sinken. Die wichtigere Kennzahl ist, ob Mitarbeitende beginnen, verdächtige E-Mails zu melden, was Ihre Nutzerbasis von einer Schwachstelle in ein Frühwarnsystem verwandelt.

Was ist mit KI-generiertem Phishing? Sollten Simulationen das widerspiegeln?

Das sollten sie. KI-Phishing-E-Mails weisen nicht mehr die Rechtschreibfehler und das ungeschickte Layout auf, auf die Nutzer vor fünf Jahren trainiert wurden zu achten. Moderne Simulationen sollten gut formulierte, kontextuell relevante E-Mails enthalten, die nachbilden, was KI-Tools erzeugen. Einige Plattformen (Hoxhunt, SoSafe, Phished) beginnen, KI einzusetzen, um Simulationsinhalte zu generieren, die das aktuelle Raffinesseniveau der Angriffe widerspiegeln.

‍