Wie oft sollten Sie Phishing-Simulationen durchführen?

Cover image credit: U.S. Air Force photo by Senior Airman Sir Wyrick, public domain, via Wikimedia Commons.

Die meisten Organisationen sollten Phishing-Simulationen in einem verlässlichen monatlichen oder vierteljährlichen Rhythmus durchführen und bei veränderten Risiken gezielt nachsteuern. Monatliche Simulationen eignen sich gut für Teams, die Ergebnisse schnell auswerten und mit leichtgewichtigem Coaching nachfassen können. Vierteljährliche Simulationen sind oft besser für kleinere Teams, stark regulierte Umgebungen oder Organisationen, die gerade erst Vertrauen bei Mitarbeitenden und Betriebsräten aufbauen.

Der falsche Takt liegt meist in einem von zwei Extremen: einer jährlichen Pflichtübung, an die sich niemand mehr erinnert, oder einer pausenlosen Testflut, die Menschen Security nur noch übel nehmen lässt. Ziel ist es nicht, einfach mehr simulierte Phishing-E-Mails zu versenden. Ziel ist es, Mitarbeitenden zu helfen, verdächtige Anfragen zu erkennen, schneller zu melden und Security-Teams Nachweise dafür zu liefern, dass Awareness-Arbeit langfristig Wirkung zeigt.

Dieser Leitfaden richtet sich an Security Engineers, IT-Admins, CISOs und Compliance-Verantwortliche, die ein sichereres Phishing-Simulationsprogramm entwerfen. Er konzentriert sich ausschließlich auf defensive Awareness-Schulungen. Er enthält keine Phishing-Vorlagen, Techniken zum Erfassen von Zugangsdaten, Umgehungen von Zustellmechanismen oder operative Anweisungen für Angriffe.

Die Kurzantwort: erst vierteljährlich starten, dann in Richtung monatlich reifen

Wenn Sie bei null anfangen, reichen vierteljährliche Phishing-Simulationen in der Regel aus, um eine Ausgangsbasis zu schaffen, ohne Mitarbeitende oder Administratoren zu überfordern. Nach zwei oder drei Durchläufen gehen viele Organisationen zu monatlichen, leichtgewichtigen Simulationen über, vor allem wenn Planung, Reporting und Nachschulungen automatisiert und gut greifbar sind.

Ein praxistaugliches Startmodell sieht so aus:

Organisationsstand	Empfohlener Takt	Warum es funktioniert
Neues Programm, wenig Vertrauen, wenig Admin-Zeit	Vierteljährlich	Schafft eine Ausgangsbasis und lässt trotzdem Zeit für Kommunikation, Auswertung und Abstimmung mit Richtlinien.
Kleines oder mittelgroßes Team mit etwas Automatisierung	Monatlich oder alle 6-8 Wochen	Hält das Bewusstsein frisch, ohne jede Kampagne zum Großprojekt zu machen.
Hochrisikorollen wie Finance, HR, IT und Führungskräfte	Monatlich plus gezieltes Coaching	Diese Teams verarbeiten sensible Anfragen und profitieren von relevanterer Übung.
Stark regulierte oder auditintensive Umgebung	Vierteljährliche Basis plus dokumentierte Nachverfolgung	Liefert Nachweise zum Turnus und senkt zugleich das Risiko hastig und schlecht gesteuerter Kampagnen.
Nach einem größeren Vorfall oder Prozesswechsel	Zielgerichtete Simulation innerhalb von 30-60 Tagen	Verankert eine konkrete Lektion, solange das Risiko noch präsent ist.

Der Takt sollte so unauffällig sein, dass er durchhaltbar bleibt, und so abwechslungsreich, dass er etwas lehrt. Wenn Mitarbeitende allein am Zeitpunkt „den monatlichen Phishing-Test“ erkennen können, ist das Programm zu mechanisch.

Warum jährliche Phishing-Tests meist zu schwach sind

Jährliche Phishing-Simulationen sind leicht zu planen und einfach im Compliance-Kalender zu erklären. Man vergisst sie aber auch genauso leicht wieder.

Ein jährlicher Test kann zwar eine Ausgangsbasis liefern, erzeugt aber selten allein Verhaltensänderungen. Gewohnheiten ändern sich durch wiederholte Übung, kurze Feedbackschleifen und sichtbare Melderoutinen. Wenn Mitarbeitende nur einmal im Jahr eine simulierte Phishing-Mail sehen, erhalten Security-Teams eher einen dünnen Messpunkt als einen brauchbaren Trend.

Jährliche Kampagnen schaffen außerdem ein Meldeproblem. Eine einzelne Klickquote sagt nicht aus, ob:

Mitarbeitende verdächtige Nachrichten schneller melden
riskantes Verhalten auf bestimmte Rollen oder Workflows konzentriert ist
Nachschulungen die Ergebnisse verbessern
neue Mitarbeitende die Meldeerwartungen verstehen
aktuelle Bedrohungsmuster in den Awareness-Inhalten abgebildet sind

Für Compliance-Teams geht es nicht nur um die Häufigkeit. Es geht um die Qualität der Nachweise. Ein Programm, das nur einmal im Jahr läuft, zeigt vielleicht, dass Schulung stattgefunden hat, liefert aber schwächere Belege dafür, dass die Organisation Ergebnisse auswertet und die Kontrolle verbessert.

Warum zu viele Simulationen nach hinten losgehen können

Phishing-Simulationen zu oft durchzuführen kann einen anderen Fehlschlag auslösen: Ermüdung.

Mitarbeitende beginnen dann womöglich, jede ungewöhnliche Nachricht für einen Trick des Security-Teams zu halten. Führungskräfte wehren sich, weil Kampagnen die Arbeit unterbrechen. Der Helpdesk bekommt mehr Rauschen, als er sinnvoll triagieren kann. Betriebsräte oder Datenschutz-Stakeholder stellen vielleicht die Verhältnismäßigkeit des Programms infrage.

Hohe Frequenz ist nur dann sinnvoll, wenn die Organisation operativ reif genug ist, sie zu tragen. Prüfen Sie vor einer Erhöhung des Takts, ob Sie Folgendes leisten können:

Ergebnisse innerhalb weniger Arbeitstage auswerten
erklären, was sich nach jeder Kampagne geändert hat
Nachschulungen kurz und relevant halten
keine öffentliche Bloßstellung oder strafende Bewertungen einsetzen
Kampagnen nach Rolle, Region und Risiko segmentieren
Freigaben, Aufbewahrung und Reporting-Regeln dokumentieren

Wenn Sie die Schleife nicht schließen können, erhöhen Sie die Frequenz nicht. Mehr Kampagnen ohne mehr Lernen erzeugen nur mehr Daten.

Den Takt um Lernschleifen herum aufbauen, nicht um die Zahl der Kampagnen

Ein starker Phishing-Simulations-Takt besteht aus vier Teilen:

Ausgangsbasis
Übung
Nachverfolgung
Auswertung

Die Ausgangsbasis zeigt, wo die Organisation startet. Übung gibt Mitarbeitenden wiederholte Berührungspunkte mit realistischen, aber sicheren Entscheidungssituationen. Nachverfolgung macht aus Fehlern kurze Lernmomente. Die Auswertung zeigt, ob das Programm Verhalten verbessert und die Governance-Anforderungen erfüllt.

Hier kommt das Reporting von Phishing-Simulationen ins Spiel. Die Klickrate allein reicht nicht aus. Nützliche Kennzahlen sind unter anderem Melderate, Zeit bis zur Meldung, Wiederholungsrisiko-Trends, Abdeckung, Trainingsabschluss und Exporte für Nachweise. AutoPhish behandelt diese Kennzahlen ausführlicher im Leitfaden zu Phishing-Simulation-Reporting.

Ihr Takt sollte genug Zeit lassen, damit sich diese Schleife vollständig schließen kann. Eine monatliche Kampagne kann funktionieren, wenn Reporting und Nachverfolgung weitgehend automatisiert sind. Eine vierteljährliche Kampagne kann besser sein, wenn jede Auswertung handschriftliche Tabellenarbeit erfordert.

Ein Taktmodell, das Security-Teams tatsächlich betreiben können

Für viele Organisationen ist ein gestaffelter Takt das nachhaltigste Modell:

Ebene	Häufigkeit	Zweck
Unternehmensweite Ausgangsbasis	Vierteljährlich	Misst das allgemeine Bewusstsein und schafft Nachweise für die wiederkehrende Wirkung der Kontrolle.
Rollenspezifische Szenarien	Monatlich oder alle 6-8 Wochen	Gibt Hochrisikoteams relevante Übung, ohne alle ständig zu testen.
Onboarding für neue Mitarbeitende	Während des Onboardings, dann im nächsten normalen Zyklus	Setzt Erwartungen früh und verhindert, dass neue Mitarbeitende monatelang ohne Schulung bleiben.
Vorfallsbezogene Nachverfolgung	Innerhalb von 30-60 Tagen	Verankert eine konkrete Lektion nach einer echten Phishing-Welle, einem Prozesswechsel oder einem Beinahevorfall.
Führungskräfte-Review	Vierteljährlich	Macht aus Kennzahlen Entscheidungen statt Eitelkeitsdiagrammen.

Dieses Modell hält das Programm aktiv, ohne jede Person in jede Kampagne zu ziehen. Es hilft auch Compliance-Teams, Umfang, Takt und Auswertung über die Zeit nachvollziehbar darzustellen.

Häufigkeit nach Risiko steuern, nicht nach den Standardwerten des Anbieters

Viele Phishing-Simulationsplattformen machen es leicht, wiederkehrende Kampagnen zu planen. Das ist hilfreich, aber die Standardvorgaben des Anbieters sollten nicht Ihr Risikomodell bestimmen.

Nutzen Sie diese Faktoren für die Wahl der Häufigkeit:

Geschäftsrisiko: Finance, HR, IT, Recht, Beschaffung und Führungskräfte sehen oft Phishing-Szenarien mit höherer Wirkung.
Fluktuation: Mehr neue Mitarbeitende bedeuten meist mehr Bedarf an Onboarding und Baseline-Takt.
Aktuelle Vorfälle: Eine reale Phishing-Welle, ein kompromittiertes Postfach, ein Rechnungsbetrugsversuch oder ein Muster von MFA-Missbrauch kann gezielte Nachverfolgung rechtfertigen.
Operative Kapazität: Wenn Security Meldungen nicht auswerten, Nutzerfragen nicht beantworten oder Trainings nicht anpassen kann, ist der Takt zu aggressiv.
Erwartungen an den Datenschutz: Betriebsräte, Arbeitnehmervertretungen und Datenschutzteams verlangen möglicherweise klare Hinweise, Aufbewahrungsgrenzen und verhältnismäßige Messung.
Compliance-Nachweise: Einige Teams brauchen eine dokumentierte, wiederkehrende Awareness-Kontrolle, sollten aber vermeiden zu behaupten, dass Simulationen allein „Compliance sicherstellen“.

Bei datenschutzsensiblen Programmen sollten Sie Taktentscheidungen mit klaren Regeln zu Datenminimierung, Aufbewahrung und Reporting kombinieren. Der AutoPhish-Leitfaden zu datenschutzfreundlichem Phishing-Training ist eine nützliche Ergänzung, wenn Sie Betriebsräte oder Datenschutz-Stakeholder einbinden müssen.

Was zwischen den Simulationen variieren sollte

Takt bedeutet nicht, jeden Monat denselben Test zu wiederholen.

Mitarbeitende sollten verschiedene defensive Entscheidungen üben:

verdächtige Zahlungs- oder Rechnungsanfragen erkennen
Änderungen an Bankverbindungen oder Gehaltsdaten verifizieren
verdächtige QR-Codes oder mobile Nachrichten melden
innehalten, bevor SaaS-App-Berechtigungen erteilt werden
den Kontext des Absenders prüfen, bevor auf Dringlichkeit reagiert wird
den freigegebenen Meldekanal statt des Weiterleitens von Screenshots nutzen

Halten Sie die Szenarien realistisch genug, um etwas zu lehren, aber nicht so operativ detailliert, dass das Training zum Handbuch für Angreifer wird. Eine gute Faustregel: simulieren Sie den Entscheidungspunkt, nicht den Ausnutzungspfad.

Zum Beispiel ist es sinnvoll, Mitarbeitende darauf zu trainieren, vor der Freigabe einer ungewöhnlichen Anfrage innezuhalten. Es ist nicht sinnvoll, detaillierte Anweisungen zum Umgehen von E-Mail-Kontrollen oder zum Abgreifen von Zugangsdaten zu veröffentlichen. Die öffentliche Phishing-Leitlinie der CISA ist eine gute externe Basis für defensive Erkennungs- und Meldebegriffe.

Wie sich Trainingsmüdigkeit vermeiden lässt

Trainingsmüdigkeit entsteht nicht nur durch Häufigkeit. Sie entsteht durch schlechtes Programmdesign.

Mitarbeitende akzeptieren Phishing-Simulationen eher, wenn das Programm klar, fair und nützlich ist. Das bedeutet:

Existenz und Zweck des Programms vor dem Test ankündigen
Mitarbeitende nicht bloßstellen oder individuelle Versagenslisten veröffentlichen
Nachschulungen kurz halten
erklären, wie Meldungen dem Security-Team helfen
Szenarien variieren, ohne grausame oder emotional manipulative Köder zu verwenden
nicht während bekannter Hochstressphasen testen, außer es gibt einen triftigen Grund
aggregierte Verbesserungen gegenüber Führung und Belegschaft zeigen

Wenn Mitarbeitende glauben, das Programm sei dazu da, sie zu erwischen, optimieren sie darauf, nicht erwischt zu werden. Wenn sie glauben, das Programm solle Meldungen sicherer und schneller machen, werden die Kennzahlen deutlich hilfreicher.

Wann monatliche Phishing-Simulationen sinnvoll sind

Monatliche Phishing-Simulationen sind sinnvoll, wenn die Organisation ein wiederholbares Betriebsmodell hat.

Ein monatlicher Takt passt, wenn:

Simulationen leicht zu planen und freizugeben sind
Melde-Definitionen stabil sind
Nachschulungen automatisiert oder leichtgewichtig sind
Security Ergebnisse schnell auswerten kann
Führungskräfte den Zweck verstehen
Datenschutz- und Mitarbeitervertretungsregeln bereits geklärt sind
das Programm Meldeverhalten misst und nicht nur Klicks

Monatlich heißt nicht, dass jede Person jeden Monat dieselbe Simulation bekommt. Ein besseres Modell ist die Rotation von Kohorten und Rollen. Finance erhält vielleicht ein Szenario, IT ein anderes und die allgemeine Belegschaft eine leichtere Ausgangsbasis. Das Programm bleibt aktiv, fühlt sich aber nicht wie ständiges Testen an.

Wenn Ihr Team den operativen Aufwand wiederkehrender Kampagnen vergleicht, erklärt der Artikel über automatisierte Phishing-Tests vs. manuelle Kampagnen, warum der Takt oft bricht, sobald zu viel Arbeit manuell bleibt.

Wann vierteljährliche Phishing-Simulationen besser sind

Vierteljährliche Phishing-Simulationen sind oft die bessere Standardwahl, wenn die Organisation mehr Kontrolle und Vertrauen als Tempo braucht.

Ein vierteljährlicher Takt ist sinnvoll, wenn:

Sie ein neues Programm einführen
Arbeitnehmervertretungen den Ansatz prüfen müssen
das Security-Team nur wenig Zeit für Kampagnenbetrieb hat
die Organisation sehr sensibel auf Überwachung von Mitarbeitenden reagiert
die Führung saubere Evidence-Pakete statt lauter Dashboards möchte
jede Kampagne eine manuelle Koordination über Regionen oder Geschäftseinheiten hinweg erfordert

Vierteljährlich muss nicht passiv heißen. Sie können trotzdem Onboarding-Schulungen durchführen, kurze Erinnerungen veröffentlichen, echte gemeldete Phishing-Beispiele besprechen und Meldeabläufe zwischen den Simulationszyklen verbessern.

Der Fehler ist, vierteljährlich mit „einrichten und vergessen“ gleichzusetzen. Ein vierteljährlicher Takt sollte weiterhin Auswertung, Nachverfolgung und dokumentierte Entscheidungen enthalten.

Ein einfacher 12-Monats-Kalender für Phishing-Simulationen

Hier ist eine praktische Jahresstruktur für eine mittelgroße Organisation:

Monat	Aktivität
Januar	Programminfo aktualisieren, freigegebenen Meldekanal erinnern, Baseline-Simulation.
Februar	Ergebnisse auswerten, Training für Hochrisikogruppen aktualisieren.
März	Rollenspezifische Simulation für Finance oder HR.
April	Vierteljährliches Leadership-Review und Evidence-Export.
Mai	Simulation für die allgemeine Belegschaft mit einem anderen Entscheidungspunkt.
Juni	Prüfung der neuen Mitarbeitenden und Review des Melde-Workflows.
Juli	Rollenspezifisches Szenario für IT, Admins oder Führungskräfte.
August	Datenschutz- und Aufbewahrungsprüfung; Hinweise bei Bedarf anpassen.
September	Simulation für die allgemeine Belegschaft und Nachschulung.
Oktober	Verstärkung des Security-Awareness-Monats, ohne Mitarbeitende zu überlasten.
November	Gezielte Simulation auf Basis aktueller Bedrohungsmuster.
Dezember	Jahrestrend-Review, Learnings, Entscheidung zum Takt für das nächste Jahr.

Dieser Zeitplan ist nur ein Ausgangspunkt. Der beste Takt ist derjenige, den Ihr Team konsistent betreiben kann, ohne Vertrauen zu verlieren.

Was Compliance-Teams dokumentieren sollten

Phishing-Simulationen können Compliance-Nachweise unterstützen, sollten aber nicht als magische Compliance-Garantie dargestellt werden.

Dokumentieren Sie das Programm als wiederkehrende Awareness- und Kontrollverbesserungsmaßnahme:

Ziel und Umfang des Programms
Kampagnenkalender und Takt
Freigabeprozess
Mitarbeitendeninformation und Datenschutzleitplanken
Regeln zur Aufbewahrung von Daten
Definitionen der Kennzahlen
aggregierte Ergebnisse
Nachverfolgungsmaßnahmen
Review durch Führung oder Kontrolleigner
auf Basis der Ergebnisse vorgenommene Änderungen

Diese Art von Nachweisen ist in der Regel belastbarer als eine einzelne jährliche Pass/Fail-Grafik. Sie zeigt, dass die Organisation das Awareness-Programm betreibt, Ergebnisse prüft und sich über die Zeit verbessert.

Takt-Checkliste vor dem Start

Bevor Sie monatliche, vierteljährliche oder gezielte Simulationen wählen, beantworten Sie diese Fragen:

Welches Verhalten wollen wir verbessern: Erkennen, Melden, Verifizieren oder Abschluss der Nachverfolgung?
Welche Gruppen sind im Scope, und welche brauchen besondere Behandlung?
Wie oft können wir Ergebnisse auswerten, ohne in Hektik zu verfallen?
Welche Daten erheben wir, und wie lange bewahren wir sie auf?
Wie erhalten Mitarbeitende Feedback?
Was berichten wir an die Führung?
Was würde uns veranlassen, die Frequenz zu senken?
Was würde eine Erhöhung der Frequenz rechtfertigen?
Wie zeigen wir, dass sich das Programm nach jedem Zyklus verbessert hat?

Wenn diese Antworten unklar sind, beginnen Sie mit einem geringeren Takt und verbessern zuerst das Betriebsmodell.

FAQ

Ist eine monatliche Phishing-Simulation zu häufig?

Nicht unbedingt. Eine monatliche Phishing-Simulation kann funktionieren, wenn die Kampagnen leichtgewichtig, rollenbewusst, datenschutzsensibel und mit nützlichem Feedback verbunden sind. Zu häufig wird es, wenn Mitarbeitende sich bedrängt fühlen, Meldungen nicht ausgewertet werden oder Security nicht erklären kann, was sich nach jeder Kampagne geändert hat.

Reicht eine vierteljährliche Phishing-Simulation aus?

Eine vierteljährliche Simulation reicht oft für ein Baseline-Programm aus, vor allem für kleinere Teams oder Organisationen, die sorgfältige Governance benötigen. Sie sollte zwischen den Kampagnen trotzdem Nachverfolgung, Auswertung der Meldungen und dokumentierte Verbesserungsmaßnahmen umfassen.

Soll jeder Mitarbeitende jede Simulation erhalten?

Nein. Viele Organisationen erzielen bessere Ergebnisse, wenn sie Kohorten rotieren und Szenarien nach Rollen zuschneiden. Hochrisikogruppen brauchen möglicherweise häufigere Übung, während die allgemeine Belegschaft einem breiteren Baseline-Takt folgen kann.

Sollten fehlgeschlagene Phishing-Tests verpflichtende Schulungen auslösen?

Manchmal, aber halten Sie es verhältnismäßig. Kurzes, unmittelbares Feedback funktioniert meist besser als lange Strafschulungen. Muster mit Wiederholungsrisiko können zusätzliche Nachschulung rechtfertigen, aber vermeiden Sie öffentliche Bloßstellung oder automatische Eskalationen ohne menschliche Prüfung.

Beweisen Phishing-Simulationen Compliance?

Keine einzelne Phishing-Simulation beweist Compliance. Ein gut betriebenes Programm kann Compliance-Nachweise unterstützen, indem es Takt, Umfang, Ergebnisse, Nachverfolgung und Review zeigt. Vermeiden Sie Behauptungen, dass ein Tool oder eine Kampagne „Compliance sicherstellt“.

Welcher Takt ist für ein erstes Phishing-Simulationsprogramm am sichersten?

Starten Sie vierteljährlich, kommunizieren Sie klar, messen Sie das Meldeverhalten und werten Sie die Ergebnisse gemeinsam mit Stakeholdern aus. Gehen Sie erst dann zu monatlichen oder gezielten Simulationen über, wenn das Verfahren Vertrauen genießt und operativ beherrschbar ist.

Bauen Sie einen Takt, den Ihr Team durchhalten kann

Die beste Häufigkeit für Phishing-Simulationen ist nicht die höchste. Es ist der Rhythmus, der Mitarbeitenden Übung verschafft, Security-Teams brauchbare Berichte liefert und Nachweise erzeugt, ohne Ermüdung auszulösen.

Für viele Organisationen bedeutet das vierteljährliche Baselines, monatliche oder rollenbasierte Nachverfolgung dort, wo das Risiko höher ist, und kurze Coaching-Momente an konkreten Lerneffekten ausgerichtet.

Wenn Sie eine schlanke, datenschutzbewusste Möglichkeit suchen, wiederkehrende Phishing-Simulationen zu betreiben, Nachschulungen zu automatisieren und Reporting für Führung und Compliance nutzbar zu halten, Sign Up.