Ein großer Teil erfolgreicher Cyberangriffe beginnt mit einer E-Mail – nicht über eine technische Lücke, sondern über einen Klick. Ein Phishing-Test für Mitarbeiter prüft genau diesen Weg: Er verschickt gefälschte, aber harmlose Phishing-Mails im eigenen Unternehmen und misst, wie darauf reagiert wird. Dieser Ratgeber erklärt, wie ein solcher Test abläuft, was die Kosten bestimmt und worauf Sie bei der Auswahl eines Anbieters achten sollten.
Was ist ein Phishing-Test für Mitarbeiter?
Ein Phishing-Test – auch Phishing-Simulation genannt – ist eine kontrollierte Übung: Das Unternehmen verschickt an die eigenen Mitarbeitenden E-Mails, die echten Betrugsversuchen nachempfunden sind. Wer auf einen Link klickt oder Daten eingibt, landet nicht bei einem Angreifer, sondern auf einer Aufklärungsseite. So zeigt sich, wie Mitarbeitende auf das gewählte Szenario reagieren – und an welcher Stelle Schulung am meisten bringt.
Der Zweck ist ausdrücklich nicht, einzelne Personen vorzuführen, sondern den Schulungsbedarf der Organisation sichtbar zu machen. Deshalb werden Ergebnisse seriöser Anbieter zusammengefasst ausgewertet, nicht als namentliche Rangliste.
Ablauf in fünf Schritten
Ein professioneller Phishing-Test folgt in der Regel diesem Muster:
- 1. Planung & Abstimmung: Zielgruppen, Zeitraum und Szenario werden mit IT und Personalabteilung festgelegt. Ein bestehender Betriebsrat ist frühzeitig einzubeziehen – nach § 87 Abs. 1 Nr. 6 BetrVG kann ein Mitbestimmungsrecht bestehen, das vor dem Test geklärt sein muss. Auch die Rechtsgrundlage und die Information der Beschäftigten gehören hierher.
- 2. Köder-E-Mail erstellen: Die Simulation nutzt ein realistisches Szenario, etwa eine angebliche Paketbenachrichtigung, eine Passwort-Warnung oder eine interne Freigabeanfrage.
- 3. Testzustellung: Vor dem Versand erhalten Sie die Mail selbst und prüfen sie, damit nichts Unerwartetes an die Belegschaft geht.
- 4. Versand & Messung: Erfasst wird vor allem, wer den Link anklickt und wer auf der nachgebauten Seite Daten eingeben würde – jeweils als Kennzahl, nicht als Pranger. Reine Öffnungsraten sind durch Sicherheitsfilter und automatische Abrufe nur eingeschränkt aussagekräftig; im Fokus steht die Klickrate.
- 5. Auswertung & Aufklärung: Wer klickt, erhält sofort eine Erklärung, woran die Fälschung zu erkennen gewesen wäre. Zum Abschluss gibt es einen Bericht mit Klickrate, Risikogruppen und Handlungsempfehlungen.
Wie Sie dabei datenschutzkonform vorgehen – Rechtsgrundlage, Betriebsrat, Auswertung – zeigt unser Ratgeber Phishing-Simulation und DSGVO.
Was kostet ein Phishing-Test?
Die Kosten hängen vor allem von drei Faktoren ab: der Zahl der Mitarbeitenden, dem Umfang (einmaliger Test oder wiederkehrende Kampagne) und davon, ob eine Schulung inbegriffen ist. Grob lassen sich drei Modelle unterscheiden:
- Kostenloser Selbsttest: Ein Quiz, mit dem einzelne Personen ihr eigenes Gespür prüfen. Das ersetzt keine betriebliche Kampagne, ist aber ein guter, kostenloser Einstieg ins Thema.
- Einmalige Kampagne: Ein begleiteter Test für das ganze Unternehmen mit Abschlussbericht. Bei Serancon beginnt eine einmalige Kampagne bei 69,90 € zzgl. MwSt. (ab 10 Empfänger); der Gesamtpreis richtet sich nach der Zahl der Empfänger.
- Laufendes Programm: Mehrere Kampagnen pro Jahr, kombiniert mit Awareness-Schulungen. Hier wird häufig pro Mitarbeitendem und Jahr abgerechnet.
Entscheidend ist weniger der absolute Preis als das Verhältnis zum möglichen Schaden eines erfolgreichen Angriffs. Für ein Angebot, das Empfängerzahl, Umfang und eine mögliche Schulung berücksichtigt, erreichen Sie uns über das Kontaktformular.
Worauf Sie bei Anbietern achten sollten
Nicht jeder Phishing-Test ist gleich. Diese Punkte trennen seriöse Angebote von bloßer Panikmache:
- Aufklärung statt Bloßstellung: Gute Anbieter setzen auf Lernen. Wer klickt, wird aufgeklärt, nicht sanktioniert.
- Datenschutz eingebaut: Zusammengefasste Auswertung, keine Speicherung eingegebener Passwörter, klare Löschfristen und ein Auftragsverarbeitungsvertrag.
- Testzustellung vorab: Sie sollten die Köder-Mail vor dem Versand selbst sehen.
- Realistische, aktuelle Szenarien: Die Vorlagen sollten zu Ihrer Branche und zu aktuellen Betrugsmaschen passen.
- Anschluss an Schulung: Ein Test allein verändert wenig. Erst die Kombination mit einer Schulung baut Wissen auf.
So läuft der Phishing-Test bei Serancon
Die E-Mail-Phishing-Simulation von Serancon ist auf Aufklärung ausgelegt: gemeinsame Planung, Testzustellung vor dem Versand, eine Aufklärungsseite statt einer Falle und ein Abschlussbericht ohne Namen oder E-Mail-Adressen. Einzelne Reaktionen erscheinen dort nur unter einem zufälligen Code.
Den Schulungsteil übernimmt auf Wunsch die Security-Awareness-Schulung. Und wenn Sie das Thema zunächst unverbindlich ausprobieren möchten, bietet unser kostenloses Phishing-Quiz einen niedrigschwelligen Einstieg – ganz ohne Anmeldung.
Fazit
Ein Phishing-Test für Mitarbeiter ist eine wirkungsvolle und vergleichsweise günstige Maßnahme, um das Einfallstor E-Mail zu verkleinern. Wichtig sind ein durchdachter Ablauf, Datenschutz von Anfang an und die Verbindung aus Test und Schulung. Fragen zur Umsetzung beantworten wir gern über das Kontaktformular.