Security & Compliance

Phishing-Simulation

Allgemeine Infos

Eine Phishing-Simulation ist ein technischer Baustein der Security Awareness. Sie testet unter realistischen Bedingungen, wie Mitarbeitende auf gefälschte Mails reagieren, und verknüpft das Ergebnis direkt mit Training. Das Ziel ist Lernen, nicht Bloßstellung.

Gemessen werden Klickrate, Eingabe von Zugangsdaten und Meldequote. Die reine Klickrate ist eine schwache Kennzahl, weil sie stark vom gewählten Szenario abhängt. Aussagekräftiger ist, wie viele Mitarbeitende die Mail über den offiziellen Weg melden und wie schnell.

Im Microsoft-Umfeld heißt das Werkzeug Attack Simulation Training (deutsch Angriffssimulationstraining) und ist Teil von Defender for Office 365 Plan 2. Es löste den früheren Attack Simulator in Office 365 ab. Daneben gibt es Drittanbieter mit eigenen Lernplattformen und deutschsprachigen Vorlagen.

Funktionsweise & Details

Eine Simulation in Attack Simulation Training wird in diesen Schritten aufgebaut:

  1. Technik wählen, etwa Credential Harvest, Schadanhang, Link im Anhang, Link zu Schadsoftware, Drive-by-URL oder OAuth-Zustimmung.
  2. Payload wählen oder selbst erstellen, auch mit QR-Code, und eine Landingpage festlegen.
  3. Zielgruppe, Zeitplan und Ausschlüsse definieren.
  4. Training zuweisen, das betroffene Benutzer nach einem Fehler automatisch erhalten.
  5. Bericht auswerten: Klicks, Kompromittierungen, Meldungen und vorhergesagte Kompromittierungsrate.

Simulationsautomatisierung, Payload-Automatisierung und reine Trainingskampagnen ohne Test ergänzen das. Verwaltet wird mit Entra-Rollen wie Attack Simulation Administrator (volle Kampagnenverwaltung) und Attack Payload Author (nur Payloads).

Vorteile & Nutzen

  • Realistische Messung des Verhaltens statt reiner Wissensabfrage
  • Training direkt nach dem Fehler bleibt besser hängen als eine nachträgliche Schulung
  • Messbare Entwicklung über Monate für Berichte an Geschäftsleitung und Auditoren
  • Eigene Payloads erlauben Szenarien passend zu Branche und aktuellen Maschen

Praxisbeispiel

Ein Verlag mit 70 Mitarbeitenden startet nach Abstimmung mit dem Betriebsrat eine Kampagne mit einer gefälschten Paketbenachrichtigung. 18 Prozent klicken, 6 Prozent melden die Mail über den Outlook-Button. Wer klickt, erhält automatisch ein Kurztraining, berichtet werden nur Abteilungswerte. Drei Monate später klicken bei einem neuen Szenario weniger Mitarbeitende, und die Meldequote ist gestiegen.

Worauf sollte man achten?

  • Betriebsrat und Datenschutz vor dem Start einbinden und Auswertungen nicht personenbezogen berichten
  • Keine Szenarien wählen, die Ängste auslösen, etwa gefälschte Kündigungen oder Gehaltsmitteilungen
  • Sicherstellen, dass Simulationen nicht von vorgeschalteten Filtern oder Gateways blockiert werden
  • Die Meldequote stärker gewichten als die Klickrate
  • Simulationen immer mit Training und einem klaren Meldeweg verbinden

Lizenz & Verfügbarkeit

Attack Simulation Training erfordert Microsoft 365 E5 oder Defender for Office 365 Plan 2 (enthalten oder als Add-on). Defender for Office 365 Plan 1, wie in Business Premium und seit Juni 2026 im Rollout für Microsoft 365 E3, enthält es nicht. E3-Kunden erhalten laut Microsoft eine eingeschränkte Testversion mit nur der Technik Credential Harvest und zwei Trainingsangeboten. Zum Ausprobieren gibt es eine 90-tägige Plan-2-Testversion im Defender-Portal. Drittanbieter werden separat lizenziert. Stand: Oktober 2026.

Fazit

Phishing-Simulationen sind ein sinnvoller Baustein, aber kein Selbstzweck. Sie wirken nur zusammen mit Training, Meldeweg und einer Kultur ohne Schuldzuweisung.

Weiterführende Links

Verwandte Artikel