Phishing-Wahnsinn im Jahr 2026: nicht mehr gepflegt und riskant – was stattdessen verwenden?

Phishing Frenzy taucht in Suchergebnissen immer noch auf, weil es einst ein bekanntes Open-Source-Phishing-Framework war. Das Projekt beschreibt sich selbst als Ruby-on-Rails-Phishing-Framework, und das öffentliche Repository zieht weiterhin die Aufmerksamkeit von Teams auf sich, die kostenlose Awareness-Tools vergleichen.

Das macht es aber noch lange nicht zu einer guten Wahl für ein modernes Security-Awareness-Programm. Die aktuelle öffentliche Codebasis zeigt Legacy-Abhängigkeiten aus der Rails-Ära, darunter Ruby 2.3.0 und Rails 4.2.x in der Gemfile, und der zuletzt auf GitHub sichtbare Commit stammt aus November 2023. Für ein Tool, das Mitarbeitendendaten, Kampagneninfrastruktur, E-Mail-Zustellung und sensible Trainingsergebnisse berühren kann, ist das ein ernstes operatives Signal.

Dieser Leitfaden erklärt, wo Phishing Frenzy vielleicht noch sinnvoll sein kann, warum die meisten Teams es nicht für produktive Awareness-Trainings einsetzen sollten und was stattdessen zu nutzen ist, wenn das Ziel sicherere, wiederholbare Phishing-Simulationen mit weniger Aufwand im laufenden Betrieb sind.

Wofür Phishing Frenzy gebaut wurde

Phishing Frenzy wurde als Webanwendung für die Verwaltung von Phishing-Kampagnen entwickelt. In seinem ursprünglichen Kontext ergab das Sinn: Penetrationstester und Security-Teams wollten Vorlagen, Kampagnen, Landing Pages, Statistiken und Berichte organisieren, ohne alles von Hand zusammenzustecken.

Dieses Modell unterscheidet sich stark von dem, was die meisten Organisationen heute brauchen.

Security-Teams fragen nicht mehr nur: „Können wir einen Phishing-Test durchführen?“ Sie fragen:

• Können wir wiederkehrende Simulationen betreiben, ohne fragile Infrastruktur zu warten?
• Können wir nützliche Trends zeigen, ohne eine Kultur der Schuldzuweisung zu erzeugen?
• Können wir Datenschutz-, Betriebsrats- und Audit-Anforderungen erfüllen?
• Können wir steuern, wer Kampagnen starten und wer Ergebnisse sehen darf?
• Können wir moderne Kanäle wie QR, Mobile und rollenspezifische Szenarien einbinden?
• Können wir vermeiden, dass Administratoren lernen müssen, Angriffswerkzeuge zu bedienen?

Wenn das eigentliche Ziel ein ausgereiftes Awareness-Programm ist, ist das Framework nur ein kleiner Teil der Aufgabe.

Warum Phishing Frenzy 2026 riskant ist

Open-Source-Tools sind nicht automatisch riskant. Das Problem ist Eignung, Wartung und Schadensradius. Ein selbst gehostetes Phishing-Framework kann zur Belastung werden, wenn es alt, schlecht gepflegt oder ohne starke Governance betrieben wird.

Legacy-Abhängigkeiten erzeugen Sicherheits- und Wartungsdruck

Das öffentliche Phishing-Frenzy-Repository zeigt weiterhin das Profil einer alten Rails-Anwendung. Das ist wichtig, weil Phishing-Simulationsinfrastruktur kein harmloses internes Dashboard ist. Sie kann E-Mail-Versand, Nutzertracking, Authentifizierung, Vorlagen, Landing Pages, Anhänge und Reporting-Daten umfassen.

Wenn ein Framework auf alten Laufzeitannahmen basiert, übernimmt Ihr Team Aufgaben, die wenig mit Awareness-Ergebnissen zu tun haben:

• Patchen und Abhängigkeitsprüfung
• Betrieb eines veralteten Ruby/Rails-Stacks
• Absicherung des Admin-Zugangs
• Isolierung der Kampagneninfrastruktur
• Schutz gespeicherter Mitarbeitendendaten
• Validierung von E-Mail-Zustellbarkeit und Domain-Reputation
• Fehlerbehebung, wenn eine Kampagne bereits terminiert ist

Diese Aufgaben sind nicht unmöglich, aber für die meisten IT- und Security-Teams teuer und ablenkend.

Tool-Denken ist nicht dasselbe wie ein Awareness-Programm

Phishing Frenzy gehört zu einer Generation von Tools, die auf Kampagnenausführung ausgelegt sind. Moderne Awareness-Programme brauchen mehr als nur Ausführung.

Sie brauchen Leitplanken, Freigaben, Segmentierung, Aufbewahrungsregeln, Berichte, die Führungskräfte verstehen können, und klare Grenzen dafür, was die Organisation nicht simulieren will. Sie brauchen außerdem einen Weg, den Kreis nach einer Kampagne zu schließen: Schulung, Coaching, Prozessverbesserungen und messbare Fortschritte.

Wenn das Tool vor allem beim Starten von Kampagnen hilft, müssen Sie das Programm darum herum trotzdem noch selbst aufbauen.

Reporting kann schwer vertrauenswürdig werden

Klickraten lassen sich leicht überdeuten. Ohne sorgfältiges Reporting erzeugen Simulationen eher Lärm als bessere Entscheidungen.

Eine hilfreiche Awareness-Plattform sollte operative Fragen beantworten helfen:

• Welche Gruppen haben sich nach Follow-up-Training verbessert?
• Welche Szenariotypen erzeugen wiederkehrendes Expositionsrisiko?
• Melden Mitarbeitende verdächtige Nachrichten schneller?
• Können Führungskräfte Team-Muster sehen, ohne unnötige Einzelsichtbarkeit?
• Kann die Security-Leitung Belege für Governance-Reviews exportieren?

Wenn die Reporting-Schicht zu schmal ist, wird das Programm zu einer Reihe isolierter Tests statt zu einem Lernsystem.

Datenschutz und Governance sind heute zentrale Anforderungen

Mitarbeitersimulationen verarbeiten personenbezogene Daten. In vielen Organisationen, besonders in Europa, bedeutet das Datenschutzprüfung, Betriebsratserwartungen, dokumentierte Aufbewahrung und sorgfältige Zugriffskontrolle.

Die Frage ist nicht nur: „Dürfen wir das rechtlich?“ Sondern auch: „Können wir erklären, warum diese Daten erhoben werden, wer sie sieht, wie lange wir sie aufbewahren und welche Maßnahmen daraus folgen?“

Für die breitere Struktur von Awareness-Programmen bleibt NIST SP 800-50 eine nützliche Referenz zum Aufbau von Security-Awareness- und Schulungsprogrammen. Sie unterstreicht den Punkt, dass Training ein gesteuertes Programm ist und kein einmaliges technisches Experiment.

Wann Phishing Frenzy noch akzeptabel sein könnte

Es gibt enge Fälle, in denen ein altes Open-Source-Framework noch vernünftig sein kann:

• ein kontrolliertes Labor
• eine Forschungsumgebung
• ein kurzer interner Proof of Concept
• ein Penetrationstest, bei dem der Betreiber für die Infrastruktur verantwortlich ist
• ein Migrationsprojekt, bei dem historische Kampagnendaten analysiert werden müssen

Selbst dann sollte man es wie sicherheitskritische Infrastruktur behandeln. Nicht leichtfertig exponieren, keine unnötigen Mitarbeitendendaten speichern und nicht davon ausgehen, dass „Open Source“ gleichbedeutend mit „betrieblich sicher“ ist.

Für normales Awareness-Training sollten die meisten Teams stattdessen eine gepflegte Plattform oder einen Managed Workflow wählen.

Was statt Phishing Frenzy zu verwenden ist

Eine starke Phishing-Frenzy-Alternative sollte das Betriebsrisiko senken und gleichzeitig die Qualität des Awareness-Programms erhöhen.

1. Eine gepflegte Phishing-Simulationsplattform verwenden

Für die meisten Teams ist der beste Ersatz eine gepflegte Awareness-Plattform, die Kampagnen, Reporting, Nutzerabläufe und Governance an einem Ort abdeckt.

Achten Sie auf:

• Automatisierung wiederkehrender Kampagnen
• Freigabeworkflows
• rollenbasierte Zugriffskontrolle
• trainingsorientierte Landing-Erlebnisse
• sichere Szenario-Bibliotheken
• datenschutzbewusstes Reporting
• exportierbare Nachweise für Führung und Audits
• klare Regeln zur Datenaufbewahrung

Wenn Sie Open-Source-Tools mit Managed-Optionen vergleichen, kann dieser verwandte Leitfaden helfen: Open-source phishing simulation tools vs managed solutions.

2. Programmsteuerung wichtiger nehmen als rohe Sendeleistung

Eine Phishing-Simulationsplattform sollte nicht nur daran gemessen werden, wie realistisch ihre Vorlagen sein können. Die bessere Frage ist, ob sie Ihrem Team hilft, sichere Simulationen konsistent zu betreiben.

Fragen Sie Anbieter:

1. Können wir sensible Köderkategorien per Richtlinie blockieren?
2. Können Kampagnen vor dem Start eine Freigabe erfordern?
3. Können Ergebnisse auf Teamebene gezeigt werden, ohne Einzelpersonen unnötig offenzulegen?
4. Können wir Aufbewahrungs- und Löschregeln definieren?
5. Können wir Meldeverhalten messen, nicht nur Klicks?
6. Unterstützen wir mobile-first-Szenarien wie QR und SMS-ähnliche Trainings?
7. Können wir Nachweise für interne Governance exportieren?

Die richtige Plattform sollte den verantwortungsvollen Weg einfacher machen als den riskanten.

3. Reporting wählen, das Entscheidungen verändert

Gutes Reporting hilft Teams zu entscheiden, was als Nächstes zu tun ist. Es sollte nicht einfach Mitarbeitende nach Fehlern sortieren.

Nützliche Metriken sind:

• Melderate
• Zeit bis zur Meldung
• Muster wiederholter Exposition
• Abschluss von Training nach einer Simulation
• Trends nach Abteilung oder Kohorte
• Risikosignale auf Szenario-Ebene
• Verbesserung im Zeitverlauf

Hier kann auch ein Managed-Ansatz helfen. Wenn Reporting, Segmentierung und Nachschulung in den Workflow eingebaut sind, bleibt das Programm nach dem Versand der Kampagne weniger leicht stecken.

Wie AutoPhish in das Ersatzmuster passt

AutoPhish ist für Teams gebaut, die die Vorteile von Phishing-Simulationen wollen, ohne Legacy-Infrastruktur für Angriffswerkzeuge selbst betreiben zu müssen.

Statt von einem Admin zu verlangen, ein altes Framework zu warten, Versandinfrastruktur zu konfigurieren, Kampagnenmaterial zu verwalten und Berichte manuell zu bauen, konzentriert sich AutoPhish auf wiederholbare Awareness-Abläufe:

• Simulationsworkflows, die auf Trainingsergebnisse ausgelegt sind
• Automatisierung für wiederkehrende Kampagnen und Follow-up
• übersichtliches Reporting für Security- und Führungskreise
• datenschutzbewusste Verarbeitung von Ergebnissen
• Governance-freundliche Programmstruktur

Das heißt nicht, dass jede Organisation denselben Rollout-Pfad hat. Manche Teams starten mit einem kleinen Pilot, manche brauchen zuerst eine Betriebsratsabstimmung, und manche wollen ein bestehendes Tool ersetzen. Der wichtige Schritt ist, von „wir können einen Test versenden“ zu „wir können ein belastbares Awareness-Programm betreiben“ zu wechseln.

Einen genaueren Blick auf den Plattformansatz finden Sie in der AutoPhish training platform.

Migrations-Checkliste: weg von Phishing Frenzy

Wenn Sie Phishing Frenzy bereits nutzen oder eine alte Installation übernommen haben, gehen Sie mit einem kontrollierten Migrationsplan vor.

1. Bestandsaufnahme aktueller Kampagnen, Vorlagen, Domains und gespeicherter Ergebnisse.
2. Entscheiden, welche historischen Daten aufbewahrt, anonymisiert, exportiert oder gelöscht werden sollen.
3. Prüfen, wer Admin-Zugriff hat, und alles Unnötige entziehen.
4. Dokumentieren, welche Szenariokategorien erlaubt und verboten sind.
5. Freigabe-, Reporting- und Aufbewahrungsregeln vor der nächsten Kampagne festlegen.
6. Einen kleinen Pilot in der Ersatzplattform durchführen.
7. Reporting-Qualität, operativen Aufwand und Vertrauen der Stakeholder vergleichen.
8. Die alte Infrastruktur außer Betrieb nehmen, sobald sie nicht mehr benötigt wird.

Das Ziel ist nicht nur, Werkzeuge auszutauschen. Das Ziel ist, das Betriebsrisiko zu senken und gleichzeitig die Lernergebnisse zu verbessern.

FAQ

Wird Phishing Frenzy noch gepflegt?

Das öffentliche GitHub-Repository zeigt noch Aktivität, aber es vermittelt weiterhin das Profil einer Legacy-Anwendung und sollte nicht als moderne, vollständig gepflegte Awareness-Plattform behandelt werden. Bevor Sie es nutzen, prüfen Sie das Repository, die Abhängigkeiten, die Issues und Ihre eigene Fähigkeit, den Stack abzusichern und zu betreiben.

Ist Phishing Frenzy für internes Awareness-Training sicher?

Es kann in einem streng kontrollierten Labor oder einer spezialisierten Engagement-Situation nutzbar sein, aber die meisten Organisationen sollten sich nicht auf ein altes, selbst gehostetes Phishing-Framework für laufendes Awareness-Training verlassen. Der operative, datenschutzrechtliche und wartungsbezogene Aufwand überwiegt in der Regel den Vorteil der Lizenzkosten.

Was ist die beste Alternative zu Phishing Frenzy?

Die beste Alternative ist eine gepflegte Plattform für Phishing-Simulation und Awareness, die Automatisierung, Reporting, Datenschutzkontrollen, Freigaben und Follow-up-Training unterstützt. Für Teams, die weniger Infrastrukturverantwortung wollen, ist eine Managed-Plattform wie AutoPhish meist besser geeignet als ein weiteres selbst gehostetes Toolkit.

Sollten wir stattdessen GoPhish verwenden?

GoPhish ist bekannter als Phishing Frenzy, aber dieselbe Grundfrage bleibt: Wollen Sie ein Phishing-Toolkit betreiben oder ein Awareness-Programm? Wenn Sie Governance, Reporting, Automatisierung und weniger Betriebsaufwand brauchen, sollten Sie stattdessen Managed-Alternativen prüfen.

Bereit, veraltete Phishing-Tools zu ersetzen?

Wenn Phishing Frenzy Sie hierhergeführt hat, weil Sie alte Open-Source-Phishing-Tools vergleichen, nutzen Sie diese Suche als Weckruf. Entscheiden Sie, ob Ihr Team Infrastruktur warten oder Awareness-Ergebnisse verbessern will.

AutoPhish ist für den zweiten Weg konzipiert: kontrollierte Simulationen, klareres Reporting und sicherere Abläufe im laufenden Betrieb.

Registrieren Sie sich, um ein Phishing-Awareness-Programm aufzubauen, ohne Legacy-Infrastruktur für Angriffswerkzeuge zu betreiben.