Phishing-Simulation: Die Klickrate ist nicht die Kennzahl

Bei Tohan SA, einem Unternehmen der ROMARM-Gruppe, brauchten die Angreifer zwei E-Mail-Konten. Sie kompromittierten sie, richteten eine Weiterleitung ein, um den Schriftverkehr in Ruhe mitzulesen, und veränderten anschließend Dokumente, die bereits in laufenden Konversationen zirkulierten. Das Ergebnis, festgehalten im Jahresbericht 2025 der rumänischen Cybersicherheitsbehörde DNSC: betrügerische Überweisungen von mehr als 20.000 Euro. Keine Phishing-Simulation aus dem Monat davor hätte eine Zahl geliefert, die das vorhergesagt hätte.

Die naheliegende Reaktion auf einen solchen Fall ist, eine Sicherheitsschulung und eine Simulation auf den eigenen E-Mail-Verteiler einzukaufen. Das ist eine gute Reaktion. Das Problem beginnt mit dem Bericht danach: Fast alle schauen auf eine einzige Zahl, den Anteil der Mitarbeitenden, die geklickt haben, und ziehen daraus Schlüsse, die diese Zahl nicht trägt.

Die Klickrate einer Phishing-Simulation sagt mehr über den Köder als über die Menschen

Das größte veröffentlichte randomisierte Experiment dazu lief acht Monate lang bei UC San Diego Health, mit über 19.500 Beschäftigten und zehn Kampagnen, und wurde auf dem IEEE Symposium on Security and Privacy 2025 vorgestellt (Ho, Mirian, Luo, Savage, Voelker u. a.). In derselben Population, im selben Zeitraum, erzeugte ein Köder vom Typ „Passwort aktualisieren" 1,82 % Klicks. Ein Köder vom Typ „Änderung der Urlaubsregelung" erzeugte 30,8 %. Rund siebzehnmal so viel, bei denselben Menschen.

Die praktische Konsequenz ist unangenehm für jeden, der jemals eine Folie mit einem nach unten zeigenden Pfeil präsentiert hat. „Wir haben die Klickrate von 22 % auf 9 % gesenkt" bedeutet nichts, wenn sich die Köder zwischen den Runden geändert haben — und in der Praxis ändern sie sich fast immer, weil der Anbieter die Vorlagen rotiert, damit sie nicht vorhersehbar werden. Gemessen haben Sie die Schwierigkeit des Köders, nicht die Wachsamkeit des Teams.

Das Zweite, was die Zahl verdeckt, ist das Messfenster. Im ersten Monat klickten rund 10 % der Beschäftigten. Über acht Monate hinweg klickten mehr als 50 % auf mindestens einen simulierten Link. Dieselbe Organisation, dieselben Menschen: „10 %" und „mehr als die Hälfte" sind beide wahr und beschreiben dasselbe, nur anders gemessen.

Das Dritte ist die Wirkung der Schulung selbst. Die Lernseite, die unmittelbar nach dem Klick erscheint, das Standardformat der Branche, brachte eine statistisch signifikante Reduktion — aber von etwa 1,7 Prozentpunkten bei der durchschnittlichen Fehlerquote. Und zwischen einer kürzlich absolvierten jährlichen Pflichtschulung und der Wahrscheinlichkeit, auf Phishing hereinzufallen, fand sich kein signifikanter Zusammenhang. Keine Transformation, kein spektakulärer Rückgang für eine Verkaufsseite: 1,7 Prozentpunkte.

• Unterschiedliche Köder zwischen den Runden — der Vergleich von Runde zu Runde wird sinnlos.
• Unterschiedliche Messfenster — ein Monat und acht Monate liefern Zahlen, die sich zu widersprechen scheinen.
• Wer geklickt und es sofort gemeldet hat, und wer geklickt und geschwiegen hat, sehen im Bericht identisch aus.
• Wer den Köder erkannt und nichts weiter getan hat, taucht überhaupt nicht auf — in der Klickrate sind diese Menschen unsichtbar.
• Die Zahl sagt nichts darüber, was nach dem Klick passiert ist: ob ein Passwort eingegeben wurde, ob der zweite Faktor gehalten hat, ob die Sitzung übernommen wurde.

Und der rumänische Kontext lässt keinen Raum für Entspannung. Laut DNSC-Jahresbericht 2025 stiegen Phishing-Vorfälle um 70,6 %, von 2.917 auf 4.975; Kontokompromittierungen um 353 %, auf 1.125 Fälle; Betrug und Betrugsversuche um 91 %, von 2.061 auf 3.937. Im selben Zeitraum gingen Brute-Force-Angriffe um 72,7 % zurück (von 172 auf 47) und DDoS um 52,8 % (von 72 auf 34). Die Angreifer haben nicht aufgegeben — sie haben ihren Aufwand von der rohen Rechenkraft auf den Menschen verlagert.

Was Sie tatsächlich messen: die Meldequote und die Zeit bis zur Meldung

Die Ausgabe 2024 des Verizon DBIR maß einen Median von 21 Sekunden vom Öffnen der E-Mail bis zum Klick auf den Link und weitere 28 Sekunden bis zur Eingabe der Daten. Unter einer Minute, von Anfang bis Ende. In diesem Fenster greift niemand ein. Ein Filter, der die Nachricht bei der Zustellung nicht erkannt hat, erkennt sie auch nicht in 21 Sekunden, und wer sich bereits entschieden hat, überlegt es sich in Sekunde 40 nicht anders.

Das Einzige, was ein Mensch besser kann als ein Filter, ist die Hand zu heben. Ein Klick ist ein Ereignis über eine Person; eine Meldung ist ein Ereignis über die Organisation, weil sie die Prüfung für alle anderen auslöst, die dieselbe Nachricht bekommen und noch nicht geöffnet haben. Zwei Zahlen zählen deshalb mehr als die Klickrate: welcher Anteil der Empfänger die Nachricht gemeldet hat und wie viel Zeit im Median zwischen Zustellung und erster Meldung vergangen ist. Beide bleiben von Runde zu Runde vergleichbar, auch wenn sich der Köder ändert, weil sie ein Verhalten messen und nicht die Schwierigkeit einer Falle.

Dasselbe Team, derselbe Zeitraum: 1,82 % oder 30,8 %. Der Unterschied lag nicht in den Menschen, sondern in der Betreffzeile.

Dieselbe Studie erklärt auch, warum durchschnittliche Schulungen die Zahl so wenig bewegen: 75 % der Nutzer verbrachten höchstens eine Minute mit dem Lernmaterial, rund ein Drittel schloss es ohne jede Interaktion. Die einzige Form, die mit einem echten Rückgang künftiger Fehler verbunden war — etwa 19 % relative Reduktion —, war tatsächlich abgeschlossenes interaktives Training. Die Teilgruppe, die eine Schulung zu Ende bringt, ist allerdings selbstselektiert: Das waren vermutlich ohnehin die aufmerksameren Menschen. Das ist eine plausible Hypothese, kein Kausalnachweis. Es deutet aber darauf hin, wo das Problem liegt: nicht im Inhalt, sondern im Abschluss.

Schulung ist Schicht 2 von 3, nicht die ganze Verteidigung

Bevor Sie entscheiden, wie viel Sie in die menschliche Schicht investieren, lohnt es sich zu wissen, wie schwer sie wiegt. Hier scheinen sich die Quellen zu widersprechen, und es ist wichtig zu sagen, warum. ENISA Threat Landscape 2025 führt auf Basis von rund 4.900 in der EU beobachteten Vorfällen zwischen Juli 2024 und Juni 2025 Phishing als Vektor Nummer eins für den Erstzugriff an, mit 60 % der Fälle, gegenüber 21,3 % für das Ausnutzen von Schwachstellen. Der Verizon DBIR 2026, der weltweit bestätigte Sicherheitsverletzungen zählt und jeder Verletzung genau einen initialen Zugriffsvektor zuordnet, nennt Phishing mit 16 %, unter dem Ausnutzen von Schwachstellen (31 %) und nahe am Missbrauch von Zugangsdaten (13 %). Inhaltlich widersprechen sie sich nicht: Sie zählen Unterschiedliches, beobachtete Vorfälle gegenüber bestätigten Verletzungen. In beiden Lesarten liegt Phishing unter den ersten drei, im DNSC-Bericht 2025 ist es der wichtigste identifizierte Vektor, und der Faktor Mensch taucht laut DBIR 2026 in 62 % der Verletzungen auf. Mehr nicht — und nicht weniger.

Schicht eins ist alles, was nie bei einem Menschen ankommt. Von den durch E-Mail-Gateways blockierten Angriffen waren laut DBIR 2026 80 % Credential- oder Session-Phishing, 10 % Malware-Zustellung, 5 % Callback-Phishing und 3 % Business E-Mail Compromise. Schicht zwei ist Schulung und Simulation. Schicht drei ist das, was passiert, wenn jemand trotzdem klickt — und hier ist die einzige Authentifizierungskategorie, die CISA und NIST gegen moderne Kontoübernahmen als wirksam anerkennen, phishing-resistente MFA: FIDO2/WebAuthn, gerätegebundene Passkeys, Zertifikate. Der Grund ist technischer Natur, nicht werblicher: Sie bindet die Authentifizierung kryptografisch an die Domain. SMS, TOTP-Codes und Push-Benachrichtigungen bleiben phishbar, weil ein Adversary-in-the-Middle-Proxy das Session-Cookie nach einer vollkommen erfolgreichen Anmeldung abgreift.

Warum Schicht drei auch dann zählt, wenn die Schulung gut läuft: Die Hälfte der Ransomware-Opfer im DBIR 2026 hatte in den vorangegangenen 95 Tagen ein Ereignis mit kompromittierten Zugangsdaten oder eine Infostealer-Infektion. Gestohlene Zugangsdaten richten nicht an dem Tag Schaden an, an dem sie gestohlen werden. Sie richten drei Monate später Schaden an, wenn niemand mehr die beiden Ereignisse miteinander verbindet.

Es gibt noch eine Grenze, die Schulungsanbieter selten erwähnen, wir eingeschlossen, wenn wir ein Paket verkaufen, das per E-Mail simuliert. Laut DBIR 2026 nutzen 41 % der Social-Engineering-Verletzungen einen anderen Kanal als E-Mail, rund ein Viertel läuft über soziale Medien oder Telefon; Vishing-Simulationen sind etwa 40 % häufiger erfolgreich als E-Mail-Simulationen (Median-Klickrate 2 % gegenüber 1,4 %, auf Simulationsdaten, nicht auf realen Verletzungen). In Rumänien ist der Abstand noch deutlicher: Im ersten Halbjahr 2026 waren 42 % der beim DNSC gemeldeten Vorfälle Vishing, 14 % klassisches Phishing und 13 % Smishing. Eine E-Mail-Simulation testet einen relativ betrachtet rückläufigen Vektor. Der Rest wird in der Live-Session und in der Prozedur abgedeckt, nicht in der Simulation.

Wie Sie ein Programm bauen, das das Risiko bewegt und nicht nur den Bericht

1. 1Legen Sie einen Satz Referenzköder fest. Zwei bis drei Vorlagen, die in jeder Runde identisch sind, der Rest rotierend. Nur bei den festen dürfen Sie die Entwicklung über die Zeit vergleichen.
2. 2Bringen Sie einen Melde-Button auf einen Klick Entfernung, direkt in den E-Mail-Client, den die Leute tatsächlich benutzen. Wenn Melden bedeutet, eine E-Mail an die IT mit der verdächtigen Nachricht im Anhang zu schreiben, bleibt die Meldequote nahe null, egal wie viel geschult wird.
3. 3Messen Sie die Meldequote und die mediane Zeit bis zur ersten Meldung, Runde für Runde. Das sind die Zahlen, die Sie nach oben bringen; die Klickrate ist nur ihr Kontext.
4. 4Machen Sie das Melden für die Mitarbeitenden folgenlos. Keine Namenslisten, keine Spitzen in der Besprechung. Wer Spott fürchtet, verschweigt den Klick, und ein verschwiegener Klick kostet mehr als zehn gemeldete.
5. 5Verbinden Sie die Meldung mit jemandem, der sie tatsächlich anschaut, in einem definierten Zeitfenster — sonst wird der Button zur Blackbox. Wir haben separat darüber geschrieben, was passiert, wenn der Alarm losgeht.
6. 6Investieren Sie in den Abschluss, nicht in die Menge an Inhalt. Eine Live-Session mit Beispielen aus Ihrer Branche, gefolgt von kurzem E-Learning, wird eher zu Ende gebracht als ein Modul, das per E-Mail verschickt und im Posteingang vergessen wird.
7. 7Schreiben Sie die Prozedur zur Verifikation über einen zweiten Kanal für jede Zahlungsaufforderung, jede Änderung der Bankverbindung und jede Rechnungskorrektur: ein Anruf auf einer vorab bekannten Nummer, niemals auf der aus der E-Mail. Genau der Mechanismus von Tohan SA endet hier, nicht in der Simulation.
8. 8Stellen Sie E-Mail- und Administrationskonten auf phishing-resistente MFA um, bevor Sie eine weitere Schulungsrunde ansetzen. Das ist eine Maßnahme, die von niemandes Wachsamkeit abhängt.
9. 9Streichen Sie den Rat „achten Sie auf Rechtschreibfehler" aus dem Lehrplan. Das DNSC warnt, dass betrügerische Nachrichten in Rumänien inzwischen in korrektem Rumänisch verfasst sind und das Erscheinungsbild legitimer Institutionen exakt nachbilden.

Was Sie konkret in einem Angebot für Schulung und Simulation verlangen

Ein seriöser Anbieter beantwortet die folgende Liste ohne Zögern. Sind die Antworten vage, kaufen Sie einen Bericht und kein Programm.

• Welche Köder zwischen den Runden konstant bleiben und welche rotieren — mit Begründung der Auswahl.
• Ob der Bericht die Meldequote und die mediane Zeit bis zur ersten Meldung enthält und nicht nur die Klickrate.
• Welche Kanäle die Simulation tatsächlich abdeckt. Wenn es nur E-Mail ist, lassen Sie sich das ausdrücklich sagen und besprechen Sie die Prozedur für Telefon und SMS separat.
• Wie der Abschluss der Schulung nachverfolgt wird, nicht nur ihr Versand.
• Was mit der Person passiert, die in jeder Runde klickt: ein Gespräch und eine Prozessänderung, keine Sanktion.
• Die Taktung: eine einmalige Maßnahme vor einem Audit oder ein wiederkehrendes Programm mit monatlicher Simulation.

Als Kostenanhaltspunkt: In unseren Paketen beginnt eine zweistündige Live-Session mit branchenspezifischen Materialien plus Simulation auf den E-Mail-Verteiler bei 2.800 RON für bis zu 25 Mitarbeitende und 4.500 RON für 26–75. Die wiederkehrende Variante, vier Sessions pro Jahr plus eine Simulation pro Monat, kostet 1.900 RON monatlich für bis zu 50 Mitarbeitende und 3.500 RON monatlich für 50–150. Den Klickraten-Bericht liefern wir mit, weil ihn alle verlangen; in diesem Artikel geht es darum, was man sonst noch darin lesen muss, damit er etwas bedeutet. Und in unserer Leistung Cybersicherheit nennen wir als erwartetes Ergebnis eine messbare Senkung der Klickrate, von 25–30 % auf unter 5 % in sechs Monaten — das ist unser Ziel, im Einklang mit dem, was große Anbieter von Verhaltensprogrammen über ihre eigenen Kunden berichten, und es gehört zur Ehrlichkeit zu sagen, dass die oben genannte randomisierte Studie Effekte dieser Größenordnung auf Populationsebene nicht stützt.

Fällt Ihr Unternehmen unter NIS2, hat das Thema auch eine Compliance-Seite. Artikel 20 Absatz 2 der Richtlinie gilt EU-weit: Die Leitungsorgane wesentlicher und wichtiger Einrichtungen müssen an Schulungen teilnehmen, und die Einrichtungen müssen ihren Beschäftigten regelmäßig vergleichbare Schulungen anbieten. In Deutschland wird diese Anforderung über das NIS2-Umsetzungsgesetz und das BSIG in nationales Recht überführt, in Rumänien über das Gesetz Nr. 124 vom 7. Juli 2025 zur Bestätigung der Dringlichkeitsverordnung Nr. 155/2024 (Amtsblatt Nr. 638 vom 07.07.2025), dort in Artikel 14 Absatz 2. Wenn Sie nicht sicher sind, in welche Kategorie Sie fallen, haben wir separat beschrieben, wie Sie Ihre Einstufung und Ihre Pflichten prüfen.

Fazit

Die Klickrate ist leicht zu messen, leicht auf eine Folie zu bringen und fast unmöglich korrekt zu interpretieren: Dasselbe Team produziert 1,8 % oder 30,8 %, je nachdem, was in der Betreffzeile steht. Verfolgenswert ist, wie schnell jemand die Hand hebt — und wie gut die Authentifizierung hält, wenn die Hand nicht rechtzeitig hochgeht. Wenn Sie möchten, dass wir uns gemeinsam Ihren letzten Simulationsbericht ansehen, oder Ihren ersten: Lassen Sie uns 30 Minuten sprechen.