Was die Simulation leisten kann
Eine Simulation erzeugt eine realistische Entscheidungssituation. Genau das unterscheidet sie von einer Schulung: Beschäftigte üben nicht Wissen ab, sondern eine Reaktion unter Alltagsbedingungen: zwischen zwei Terminen, bei hoher Nachrichtenlast, ohne Vorwarnung.
Was sie nicht leistet, ist eine Bewertung von Personen. Die Klickwahrscheinlichkeit hängt stark von Zeitdruck, Rolle, Nachrichtentyp und Gestaltung des Köders ab. Aus einem Klick lässt sich keine belastbare Aussage über eine einzelne Person ableiten, aus vielen Klicks aber eine über die Organisation.
Die entscheidende Kennzahl ist die Meldequote
Die verbreitete Fixierung auf die Klickrate führt in die Irre. In einer echten Kampagne genügt ein einziger Klick, um Zugang zu verschaffen; die Klickrate lässt sich also nie auf null senken. Was den Unterschied macht, ist die Zeit bis zur ersten Meldung: Sie entscheidet, ob die Sicherheitsorganisation reagieren kann, während der Angriff läuft.
Führen Sie deshalb Meldequote und Zeit bis zur ersten Meldung als Hauptkennzahlen und die Klickrate nur als Nebengröße. Das verändert auch die Botschaft im Unternehmen: Melden ist erwünscht, nicht Fehlerfreiheit.
Rechtliche und mitbestimmungsrechtliche Voraussetzungen
Phishing-Simulationen berühren zwei Bereiche, die in Deutschland vor der ersten Kampagne zu klären sind.
- Beschäftigtendatenschutz. Eine Simulation verarbeitet Daten über das Verhalten von Beschäftigten. Zu klären sind Zweck, Rechtsgrundlage, Umfang der erhobenen Daten, Speicherdauer, Zugriffsberechtigte und der Einsatz externer Dienstleister. Beteiligen Sie den Datenschutzbeauftragten von Anfang an, nicht erst zur Abnahme.
- Mitbestimmung. Maßnahmen, die geeignet sind, Verhalten oder Leistung von Beschäftigten zu überwachen, können der Mitbestimmung des Betriebsrats unterliegen. Wo ein Betriebsrat besteht, sollte er frühzeitig eingebunden werden; eine Regelung zu Zweck, Auswertung und Ausschluss individueller Sanktionen schafft für beide Seiten Klarheit.
Beide Punkte sind ausgestaltungsabhängig. Lassen Sie das konkrete Vorgehen rechtlich prüfen, statt sich auf allgemeine Aussagen zur Zulässigkeit zu stützen.
Auswertung: aggregiert statt personenbezogen
Tragfähig ist ein Vorgehen, das die Auswertung von vornherein begrenzt: Auswertung auf Ebene der Organisation oder größerer Einheiten, keine Ranglisten von Personen oder kleinen Teams, keine arbeitsrechtlichen Folgen aus einem Klick, definierte kurze Speicherdauer der Rohdaten sowie eine Rückmeldung, die direkt an den Klick anschließt und erklärt, woran die Nachricht erkennbar gewesen wäre.
Wer stattdessen individuelle Auswertungen führt, erhält kurzfristig bessere Zahlen und langfristig weniger Meldungen.
Gestaltung einer Kampagne
Steigern Sie den Schwierigkeitsgrad über die Zeit, statt mit einem kaum erkennbaren Köder zu beginnen. Verteilen Sie Kampagnen über das Jahr, statt sie zu bündeln. Kündigen Sie das Programm als solches an, nicht die einzelne Welle. Verzichten Sie auf Köder, die persönliche Betroffenheit ausnutzen – Gehalt, Bonus, Kündigung, Gesundheitsthemen oder Todesfälle. Solche Köder funktionieren, kosten aber Vertrauen, das für die Meldebereitschaft gebraucht wird. Stimmen Sie den Meldeweg vorher mit dem Servicedesk ab, damit die Meldungen nicht als Störung untergehen.
Einbettung
Eine Simulation ohne begleitendes Programm ist ein Test ohne Lernangebot. Sie gehört in ein Awareness-Konzept mit Grundschulung, wiederkehrenden Impulsen und einem bekannten, niedrigschwelligen Meldeweg. Der Wert entsteht nicht durch die Kampagne, sondern durch das, was zwischen den Kampagnen passiert.