Was ist eine Phishing-Simulation?
Eine Phishing-Simulation ist ein Test unter Alltagsbedingungen: Beschäftigte erhalten ohne Vorwarnung eine präparierte Nachricht und entscheiden, ob sie klicken, ignorieren oder melden. Für Einrichtungen unter dem BSI-Gesetz gehören „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“ zu den Mindestmaßnahmen des § 30 Abs. 2 Nr. 7 BSIG. Eine Simulation ist eine solche Sensibilisierungsmaßnahme und gehört in ein Programm zur Security Awareness.
Was unterscheidet eine Phishing-Simulation von einer Schulung?
Eine Schulung vermittelt Wissen, eine Phishing-Simulation prüft eine Reaktion unter Zeitdruck: zwischen zwei Terminen, bei hoher Nachrichtenlast, ohne Ankündigung der einzelnen Welle. Ohne Grundschulung und ohne bekannten Meldeweg bleibt die Simulation ein Test ohne Lernangebot. Wie beides im Managementsystem verankert wird, beschreibt der Ratgeber ISMS einführen.
Eine Simulation bewertet keine Personen. Sie misst, wie die Organisation auf einen Köder reagiert; ein einzelner Klick ist kein Urteil über die Person, die ihn ausgelöst hat.
Meldequote statt Klickrate
Die aussagekräftigen Kennzahlen einer Phishing-Simulation sind die Meldequote und die Zeit bis zur ersten Meldung. In einem echten Angriff kann ein einziger Klick genügen. Die Zeit bis zur ersten Meldung entscheidet dagegen, ob die Sicherheitsorganisation reagiert, während der Angriff läuft.
Führen Sie die Klickrate deshalb nur als Nebengröße. Die Kennzahl prägt die Botschaft an die Belegschaft: Erwünscht ist das Melden, nicht Fehlerfreiheit. Wie eine Meldung in die Vorfallbehandlung übergeht, beschreibt die Seite zu Incident Response.
Muss der Betriebsrat einer Phishing-Simulation zustimmen?
Bei einer Phishing-Simulation kann der Betriebsrat ein Mitbestimmungsrecht haben. § 87 Abs. 1 Nr. 6 BetrVG gibt ihm ein Mitbestimmungsrecht bei der „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Ob eine Simulation darunter fällt, hängt davon ab, welche Daten das Werkzeug erhebt und ob es Klicks einzelnen Personen zuordnen kann. Das ist im Einzelfall arbeitsrechtlich zu prüfen.
Kommt keine Einigung zustande, entscheidet nach § 87 Abs. 2 BetrVG die Einigungsstelle. Binden Sie den Betriebsrat deshalb vor der ersten Kampagne ein und regeln Sie Zweck, Auswertungstiefe, Speicherdauer und den Ausschluss individueller Sanktionen schriftlich.
Datenschutz: aggregiert statt personenbezogen auswerten
Eine Phishing-Simulation verarbeitet Daten über das Verhalten von Beschäftigten und unterliegt damit dem Datenschutzrecht. Zu klären sind Zweck, Rechtsgrundlage, Umfang der erhobenen Daten, Speicherdauer, Zugriffsberechtigte und der Einsatz externer Dienstleister. Der Datenschutzbeauftragte gehört von Anfang an dazu.
Begrenzen Sie die Auswertung vorab:
- Auswertung auf Ebene der Organisation oder größerer Einheiten,
- keine Ranglisten von Personen oder kleinen Teams,
- keine arbeitsrechtlichen Folgen aus einem Klick,
- kurze, festgelegte Speicherdauer der Rohdaten,
- eine Rückmeldung direkt nach dem Klick, die erklärt, woran die Nachricht erkennbar gewesen wäre.
Ablauf einer Kampagne in fünf Phasen
Eine Kampagne läuft in fünf Phasen; die rechtliche Klärung steht am Anfang, nicht in der Nachbereitung.
| Phase | Was geschieht | Wer ist zu beteiligen |
|---|---|---|
| 1 Rahmen klären | Zweck, erhobene Daten, Auswertungstiefe, Speicherdauer und Ausschluss individueller Folgen schriftlich festlegen | Datenschutzbeauftragter, Betriebsrat, Rechtsberatung |
| 2 Vorbereiten | Szenario und Schwierigkeitsgrad wählen, Meldeweg mit dem Servicedesk abstimmen, Programm als solches ankündigen | Sicherheitsorganisation, Servicedesk, Kommunikation |
| 3 Durchführen | Versand über den Tag verteilt, Rückmeldung unmittelbar nach dem Klick | Sicherheitsorganisation |
| 4 Auswerten | Meldequote und Zeit bis zur ersten Meldung als Hauptgrößen, Klickrate ergänzend, Auswertung aggregiert | Sicherheitsorganisation, Datenschutzbeauftragter |
| 5 Nachhalten | Ableitungen als Maßnahmen mit Verantwortlichem und Termin führen, Rohdaten fristgerecht löschen | Sicherheitsorganisation, Fachbereiche |
Phase 5 entscheidet über den Nutzen: Eine Kampagne, deren Ergebnis keine Aufgabe mit Verantwortlichem auslöst, wiederholt im nächsten Jahr dieselbe Messung.
Welche Köder sollte eine Phishing-Simulation vermeiden?
Eine Phishing-Simulation sollte Köder vermeiden, die persönliche Betroffenheit ausnutzen: Gehalt, Bonus, Kündigung, Gesundheit oder Todesfälle. Solche Köder kosten das Vertrauen, das die Meldebereitschaft braucht. Für die übrigen Köder gelten drei Regeln:
- Steigern Sie den Schwierigkeitsgrad über die Zeit, statt mit einem kaum erkennbaren Köder zu beginnen.
- Verteilen Sie die Kampagnen über das Jahr, statt sie zu bündeln.
- Kündigen Sie das Programm an, nicht die einzelne Welle.