Automatisierte Phishing-Tests vs. manuelle Kampagnen: Was ist das Beste für dein Unternehmen?

Phishing-E-Mails mögen nicht glamourös sein, aber sie sind die hinterhältigen Betrüger der Cyberwelt. Sie tauchen im Posteingang auf und geben vor, wichtige Nachrichten zu sein - eine Rechnung, eine Passwortrücksetzung, vielleicht sogar eine gefälschte LinkedIn-Einladung. Und leider funktionieren sie immer noch viel zu oft. Tatsächlich sind 74% der Sicherheitsverletzungen auf das menschliche Element zurückzuführen, wobei Phishing eine der häufigsten Einbruchsmethoden ist [1][2].

Deshalb setzen Unternehmen aller Größenordnungen auf Phishing-Simulationen - im Grunde "Übungs-Phishing-Angriffe", bei denen die Mitarbeiter/innen in einer sicheren Umgebung lernen, verdächtige Nachrichten zu erkennen. Stell dir das wie eine Feuerwehrübung vor, aber für deinen Posteingang. Das Ziel ist es, den Mitarbeitern zu helfen, Instinkte zu entwickeln und sie in eine "menschliche Firewall" zu verwandeln

Aber die Frage ist: Solltest du Phishing-Simulationen manuell durchführen (indem du selbst oder mit Hilfe von Beratern gefälschte Phishing-E-Mails erstellst) oder dich auf eine automatisierte Plattform verlassen (einen Dienst, der dir die Arbeit abnimmt)? Jede Methode hat ihre Vorteile und Fallstricke. Lass uns beide auf eine Art und Weise erkunden, die aufschlussreich und praktisch ist und einfach ein bisschen mehr Spaß macht.

Warum Phishing-Simulationen wichtig sind (und nicht nur deine Mitarbeiter erschrecken)

Die Idee ist einfach. Dein Unternehmen verschickt eine gefälschte Phishing-E-Mail. Wenn ein Mitarbeiter darauf klickt oder seine Anmeldedaten eingibt, ist das keine Katastrophe, sondern ein lehrreicher Moment. Und im Gegensatz zu langweiligen PowerPoint-Folien über Sicherheit bleiben diese Simulationen hängen. Die Leute erinnern sich daran, worauf sie hereingefallen sind, und werden beim nächsten Mal besser darin, die echte Sache zu erkennen [3][4].

Hinzu kommt, dass die Aufsichtsbehörden aufpassen. Standards wie die NIS2-Richtlinie der EU verlangen nicht nur Firewalls und Antivirensoftware - sie erwarten auch den Nachweis, dass deine Mitarbeiter geschult und regelmäßig getestet werden [6]. Mit einem soliden Phishing-Simulationsprogramm kannst du beides abhaken: bessere Sicherheit und Einhaltung der Vorschriften.

Manuelle Phishing-Kampagnen: Handgemacht, mit Liebe (und Anstrengung)

Was passiert also, wenn du die manuelle Variante wählst?

Was das ist: Dein IT-/Sicherheitsteam (oder angeheuerte Berater) denkt sich Phishing-Szenarien aus, entwirft E-Mails, verschickt sie und verfolgt später, wer geklickt hat. Vielleicht ist es eine gefälschte Rechnung. Vielleicht ist es eine gefälschte "CEO-Anfrage" Kreativität ist das A und O.
Das Gute: Manuelle Kampagnen können unglaublich realistisch sein. Ein Berater, der dein Unternehmen kennt, kann Spear-Phishing-E-Mails erstellen, die sich auf reale Projekte oder internen Jargon beziehen. Diese maßgeschneiderten Simulationen fühlen sich unangenehm real an - und genau das ist der Punkt.
Das Schlechte: Sie sind teuer und zeitaufwändig. Nischenanbieter verlangen oft $3-$6 pro Mitarbeiter und Monat [[8]] (https://caniphish.com/phishing-simulation), was sich schnell summiert. Du machst es selbst? Es mag "kostenlos" erscheinen, aber dein Team verbringt trotzdem Stunden damit, Köder zu entwerfen, Domains einzurichten und Ergebnisse auszuwerten. Open-Source-Tools wie GoPhish sind leistungsstark, aber sie müssen ständig gewartet werden [10].

Auch die Skalierbarkeit bereitet Kopfzerbrechen. Die meisten Unternehmen, die manuell vorgehen, führen nur ein paar Kampagnen pro Jahr durch - oft in Verbindung mit dem Cybersecurity Awareness Month. Das ist zwar besser als nichts, aber bei weitem nicht die kontinuierliche Stärkung, die die Beschäftigten wirklich brauchen.

Und seien wir ehrlich: Der Kreativität geht die Luft aus. Nach ein paar Versuchen wird die "gefälschte Amazon-Quittung" oder das "Zurücksetzen des Passworts" alt. Ohne neue Ideen fangen die Mitarbeiter an, das Muster wiederzuerkennen, und das macht den Zweck zunichte.

Fazit: Manuelle Kampagnen sind großartig für sehr gezielte, einmalige Übungen. Aber für regelmäßige Schulungen im gesamten Unternehmen können sie Ressourcen verbrauchen und sind nicht gut skalierbar.

Automatisierte Phishing-Plattformen: Einstellen, vergessen, fortlaufend schulen

Lass uns jetzt über Automatisierung sprechen.

Automatisierte Phishing-Plattformen (z. B. KnowBe4, Hoxhunt, Cofense oder neuere Anbieter wie AutoPhish) sind SaaS-Tools, die Phishing-Simulationen einfach, skalierbar und konsistent machen. Anstatt dass dein Team E-Mails manuell verfasst und Klicks protokolliert, übernimmt die Plattform diese Aufgabe:

Die Erstellung realistischer Phishing-E-Mails (oft aus einer großen Vorlagenbibliothek, die mit den neuesten Betrugstrends aktualisiert wird [[16]] (https://caniphish.com/phishing-simulation)).
Das Versenden der E-Mails nach einem von dir festgelegten Zeitplan.
Verfolge genau, wer geklickt, gemeldet oder ignoriert hat.
Sofortige Rückmeldung oder Schulung für Mitarbeiter, die darauf hereinfallen.

Einige Plattformen nutzen sogar KI, um einzigartige Phishing-Köder zu generieren, die sich im Laufe der Zeit weiterentwickeln, so dass die Mitarbeiter nicht nur eine feste Vorlage auswendig lernen können [[18]] (https://autophish.io/blog/phishing-simulations-as-a-service-explained-smarter-employee-training-with-autophish).

Die großen Vorteile

Effizienz und Skalierbarkeit: Versende Tausende von E-Mails mit ein paar Klicks. Egal, ob du 50 oder 5.000 Mitarbeiter hast, die Plattform schafft das ohne zusätzliche Arbeit.
Erschwinglichkeit: Die Preise liegen normalerweise bei $0,45-$1,25 pro Mitarbeiter und Monat [[22]] (https://caniphish.com/phishing-simulation). Vergleicht man das mit den Millionen, die ein echter Einbruch kosten kann (durchschnittliche weltweite Kosten: 4,45 Mio. $ im Jahr 2024 [23]), ist es ein Schnäppchen.
Konsistenz: Du kannst monatliche oder sogar wöchentliche Tests planen. Einige Plattformen liefern die Tests nach dem Zufallsprinzip, damit die Mitarbeiter nicht lernen, sie zu einer bestimmten Zeit zu erwarten.
Daten und Einblicke: Automatisierte Plattformen bieten Dashboards, Trendanalysen und Berichte zur Einhaltung von Vorschriften. Willst du wissen, ob deine Finanzabteilung klickanfällig ist oder ob sich dein Bewusstsein von Quartal zu Quartal verbessert? Einfache [[26]] (https://autophish.io/blog/phishing-simulations-as-a-service-explained-smarter-employee-training-with-autophish).
Geringe Belastung: Anstatt dass dein Team gefälschte E-Mails schreibt, überprüft es einfach die Ergebnisse. Das ist eine enorme Zeitersparnis.

Ein netter Bonus: Just-in-Time Training

Wenn ein Mitarbeiter klickt, kann die Plattform ihm sofort eine kurze Informationsseite anzeigen: "Ups! Das hast du übersehen." Dieses unmittelbare Feedback verwandelt Fehler in lehrreiche Momente. Manuelle Nachfassaktionen können diese Konsequenz nicht immer gewährleisten.

Seite an Seite: Manuell vs. Automatisiert

Faktor	Manuelle Kampagnen (In-House/Berater)	Automatisierte Plattformen
Kosten	Hoch ($3-$6/Benutzer/Monat oder Personalzeit)	Niedrig ($0,45-$1,25/Benutzer/Monat)
Skalierbarkeit	Schwer zu skalieren über gelegentliche Tests hinaus	Skaliert leicht auf Tausende
Häufigkeit	Unregelmäßig (jährlich oder vierteljährlich)	Kontinuierlich (monatlich, wöchentlich, nach dem Zufallsprinzip)
Realismus	Kann hochgradig maßgeschneidert werden, spear-phishy	Breites Spektrum an realistischen, sich entwickelnden Vorlagen
Anpassung	Unbegrenzt, aber ressourcenintensiv	Flexibel, mit vielen eingebauten Optionen
Teambelastung	Schwer (Zeit, Kreativität, Berichte)	Leicht (Dashboards überprüfen, Einstellungen anpassen)
Berichterstattung	Grundlegend, oft statisch	Detaillierte Dashboards, einhaltungsfähige Daten

Welche solltest du wählen?

Das hängt von deinen Zielen und Ressourcen ab:

Manuell ist sinnvoll, wenn:
- Du einmalige, sehr gezielte Tests durchführen willst (wie Spear-Phishing-Tests).
- Du bereits ein erfahrenes Red Team hast, das Spaß an dieser Arbeit hat.
Automatisch ist sinnvoll, wenn:
- Du ein kontinuierliches, skalierbares Training für dein gesamtes Personal möchtest.
- Du ein KMU bist, das nicht über endlose Budgets oder Personalstunden verfügt.
- Du auf Knopfdruck Compliance-freundliche Berichte benötigst.

Die meisten Unternehmen nutzen die Automatisierung für ihre alltäglichen Schulungen und streuen gelegentlich manuelle Kampagnen für besondere Fälle ein. Das ist oft der Sweet Spot.

Warum gerade KMUs sich darum kümmern sollten

Kleine und mittelständische Unternehmen sind ein lohnendes Ziel für Angreifer, aber oft fehlt es an Sicherheitspersonal. Die Einstellung von Beratern ist kostspielig. Interne manuelle Kampagnen fressen die knappe Zeit auf. Deshalb sind automatisierte Phishing-Tests - vor allem von Plattformen wie AutoPhish, die speziell für KMU entwickelt wurden - so attraktiv [[24]] (https://autophish.io/blog/phishing-simulations-as-a-service-explained-smarter-employee-training-with-autophish).

AutoPhish, zum Beispiel, bietet:

KI-gestützte, immer frische Phishing-E-Mails [19].
Automatische Zeitplanung (monatlich, vierteljährlich oder individuell) [25].
Schnelle Einrichtung (unter 30 Minuten) [28].
GDPR-freundliches Design, bei dem keine sensiblen Daten gespeichert werden [35].

Es ist im Grunde ein Sicherheitsbewusstsein auf Unternehmensniveau, das auch für Unternehmen ohne Unternehmensbudget zugänglich ist.

Wrapping It Up

Phishing wird sich ständig weiterentwickeln - die Angreifer machen keinen Urlaub. Der beste Weg, um die Nase vorn zu haben, ist, dass deine Mitarbeiter/innen geschult und wachsam sind und unerwarteten E-Mails gegenüber skeptisch sind.

Manuelle Kampagnen sind wie handgemachte Gourmet-Schulungen. Beeindruckend, aber kostspielig und begrenzt.
Automatisierte Plattformen sind wie Essenspakete: zuverlässig, erschwinglich und skalierbar. Du bekommst Abwechslung und Konsistenz, ohne dich in der Küche abrackern zu müssen.

Für die meisten Unternehmen, vor allem für KMU, ist die Automatisierung ein unschlagbarer Vorteil. Sie hält das Programm am Laufen, sorgt für kontinuierliches Lernen und überlastet dein Team nicht. Und wenn du mal einen maßgeschneiderten Spear-Phishing-Test machen willst, kannst du immer noch einen manuellen Test hinzufügen.

Am Ende ist es am wichtigsten, dass du deine Mitarbeiter/innen testest, schulst und zu deiner ersten Verteidigungslinie machst. Schließlich ist eine gut ausgebildete Belegschaft die billigste (und klügste) Versicherung für Cybersicherheit, die es gibt.