Phishing-Simulation: warum die Klickrate die falsche Kennzahl ist

Quartalsberichte von Awareness-Programmen sehen fast immer gleich aus. Oben steht eine Kurve, die von zwölf Prozent auf drei fällt, darunter ein Satz über gestiegenes Sicherheitsbewusstsein. Was in diesen Berichten regelmäßig fehlt, ist die zweite Zahl: wie viele der angeschriebenen Beschäftigten die simulierte E-Mail gemeldet haben. In vielen Auswertungen wird sie gar nicht erhoben, weil es keinen Meldeweg gibt, den man zählen könnte.

Damit misst das Programm ausschließlich, wie oft es misslungen ist. Eine sinkende Klickrate kann bedeuten, dass Beschäftigte den Angriff erkennen — sie kann aber genauso bedeuten, dass sie das Simulationsmuster erkennen, dass sie generell weniger mit E-Mails arbeiten oder dass sie gelernt haben, im Zweifel nichts zu tun. Alle drei Verläufe erzeugen dieselbe schöne Kurve. Nur einer davon ist eine Verbesserung der Abwehrlage.

Was die Klickrate misst — und was sie nicht misst

Die Klickrate ist eine Fehlerquote: Anteil der zugestellten Simulationsmails, bei denen jemand den Link geöffnet oder Daten eingegeben hat. Sie beschreibt einen Zustand nach dem Fehler, nicht die Reaktionsfähigkeit der Organisation. Über die große Mehrheit der Belegschaft, die nicht geklickt hat, sagt sie nichts — weder ob die Mail überhaupt bemerkt wurde, noch ob sie gelöscht, ignoriert oder gemeldet wurde.

Hinzu kommt ein Bodeneffekt. Der Verizon DBIR 2025 hat die Verteilung der Klickraten über 7.743 Organisationen ausgewertet und hält fest, dass der Wert auch nach langer Programmlaufzeit nicht gegen null geht; im Median blieb rund 1,5 Prozent der Belegschaft dauerhaft anfällig. Eine Kennzahl, die sich einem harten Boden nähert, verliert ihre Steuerungswirkung: Die Differenz zwischen einem guten und einem sehr guten Programm verschwindet im Rauschen.

Zugleich ist das Zeitfenster, das die Klickrate beschreibt, extrem kurz. Nach dem DBIR 2024 liegt die mediane Zeit vom Öffnen der E-Mail bis zum Klick bei 21 Sekunden und bis zur Eingabe von Daten bei weiteren 28 Sekunden. Wer auf die Klickrate optimiert, versucht also, einen Vorgang zu verhindern, der im Median in unter einer Minute abgeschlossen ist.

Melderate: Definition und zwei Varianten

Die Melderate wird als Anteil der zugestellten Simulationsmails berechnet, die über den definierten Meldeweg gemeldet wurden — Outlook-Add-in, Melde-Postfach oder Ticket. Praktisch relevant sind zwei getrennte Werte, die häufig zu einem verrührt werden. Der erste ist die Melderate über alle Empfänger: Sie beschreibt, wie viel Aufmerksamkeit die Belegschaft insgesamt aufbringt. Der zweite ist die Melderate unter denen, die geklickt haben: Sie beschreibt, ob ein Fehler gemeldet oder verschwiegen wird.

Der zweite Wert ist der aussagekräftigere, weil er die Fehlerkultur abbildet. Der DBIR 2024 nennt für 2023 eine Gesamt-Melderate von über 20 Prozent und weist zugleich aus, dass 11 Prozent derjenigen, die geklickt hatten, die Mail anschließend trotzdem meldeten. Im realen Angriffsfall ist genau diese Meldung der Unterschied zwischen einem eingegrenzten und einem unbemerkten Vorfall.

Der Forschungsstand: Schulung nach dem Klick bewegt die Klickrate kaum

Die Annahme, eine Simulation senke die Klickrate durch die anschließende Sofort-Lektion, ist in den letzten Jahren mehrfach empirisch geprüft und weitgehend widerlegt worden. Die ETH Zürich führte über 15 Monate ein Feldexperiment mit 14.733 Beschäftigten eines Partnerunternehmens durch und verschickte 117.864 simulierte Phishing-Mails. Ergebnis: Eingebettete Schulung, wie sie die Branche einsetzt, machte die Belegschaft nicht widerstandsfähiger — die Autoren berichten von unerwarteten Nebenwirkungen, die die Anfälligkeit sogar erhöhen können.

Die bislang sauberste Prüfung stammt aus dem Gesundheitswesen. Ho und Kollegen werteten ein achtmonatiges randomisiertes Experiment mit zehn Kampagnen und über 19.500 Beschäftigten aus. Zwischen geschulten und ungeschulten Gruppen lag die durchschnittliche absolute Differenz der Durchfallquote bei 1,7 Prozentpunkten. Zwischen der Teilnahme an der jährlichen Awareness-Schulung und dem Abschneiden in der Simulation fand sich kein signifikanter Zusammenhang. 56 Prozent aller Beschäftigten klickten im Studienzeitraum mindestens einmal.

Eine dritte Arbeit derselben ETH-Gruppe, 2024 auf der ACM-Konferenz für Computer- und Kommunikationssicherheit als Distinguished Paper ausgezeichnet, erklärt den Mechanismus: Die messbare Wirkung stammt aus dem Anstoß — der regelmäßigen Erinnerung, dass die Bedrohung existiert — und nicht aus dem Schulungsinhalt. Phishing sei ein Aufmerksamkeits-, kein Wissensproblem.

Warum die Lektion nach dem Klick nicht ankommt

Die Erklärung dafür liefert dieselbe Studie aus dem Gesundheitswesen, weil sie als erste die Verweildauer auf den Schulungsseiten gemessen hat. In 37 bis 51 Prozent aller Schulungsaufrufe fand überhaupt keine Interaktion statt: Die Seite wurde sofort geschlossen. Über die Hälfte aller Sitzungen endete binnen zehn Sekunden, mehr als drei Viertel dauerten unter einer Minute. Formal abgeschlossen wurden 24 Prozent der Schulungen.

Damit ist die Frage nach der Wirksamkeit weitgehend beantwortet, ohne dass man über Didaktik streiten müsste. Ein Lerninhalt, der im Regelfall keine zehn Sekunden Aufmerksamkeit erhält, kann kein Wissen vermitteln. Was bleibt, ist der Anstoß selbst — und genau der lässt sich billiger und ohne Nebenwirkungen erzeugen als über eine Falle mit anschließender Belehrung.

Für die Kennzahlenwahl folgt daraus eine unbequeme Konsequenz: Wenn die Schulung nach dem Klick die Klickrate praktisch nicht bewegt, dann misst eine sinkende Klickrate überwiegend etwas anderes als Lernerfolg. Sie misst Gewöhnung an das Simulationsmuster und die Verschiebung des Verhaltens hin zu Nichtstun.

Was die Melderate operativ tatsächlich leistet

Der zweite große Befund der ETH-Studie ist der praktisch verwertbare. Die Forschenden rüsteten den E-Mail-Client um einen Meldeknopf auf und werteten aus, ob eine Belegschaft als kollektiver Sensor taugt. Sie tut es: Über 15 Monate gingen 18.476 Meldungen ein, 4.260 der 14.733 Studienteilnehmenden meldeten mindestens eine E-Mail, und ein Nachlassen der Meldebereitschaft war nicht feststellbar.

Entscheidend ist die Geschwindigkeit. Rund 10 Prozent der Meldungen trafen binnen fünf Minuten nach Zustellung ein, 20 Prozent binnen einer Viertelstunde, 30 bis 40 Prozent binnen einer halben Stunde. Die Trefferquote der Meldungen lag bei 68 Prozent, bei Anrechnung von Spam bei 79 Prozent. Der oft befürchtete Aufwand blieb aus: Von 7.191 gemeldeten echten E-Mails mussten nur 689 überhaupt von Menschen entschieden werden — rund 1,5 E-Mails pro Arbeitstag bei über 21.000 angeschlossenen Nutzenden.

Rechenbeispiel: welchen Vorsprung Meldungen bringen

Die ETH-Gruppe rechnet ihre Verteilung selbst auf einen Modellfall hoch: In einem Unternehmen mit 1.000 Beschäftigten, von denen 100 angeschrieben werden, wären zwischen 8 und 25 Meldungen zu erwarten — davon mit hoher Wahrscheinlichkeit mindestens eine innerhalb der ersten fünf Minuten.

Der Vergleich mit den 21 Sekunden bis zum Klick zeigt, was ein Meldeweg leistet und was nicht: Die ersten Opfer sind bereits abgefallen, bevor die erste Meldung eintrifft. Der Gewinn liegt nicht bei ihnen, sondern beim Rest der Kampagne. Wer eine Absenderdomain nach zehn Minuten sperrt, entzieht dem Angriff den Großteil seiner Empfänger. Ohne Meldeweg fehlt dieser Auslöser vollständig: Die Erkennung beginnt dann erst mit dem Schaden.

Wie sich die Melderate heben lässt

Die Maßnahmen, für die belastbare Evidenz vorliegt, sind unspektakulär und betreffen fast alle die Reibung des Meldewegs, nicht das Wissen der Belegschaft.

1. Genau einen Meldeweg, ein Klick Ein Knopf im E-Mail-Programm oder ein Melde-Postfach, überall gleich, ohne Formular und ohne Begründungspflicht. Konkurrierende Wege halbieren das Meldeaufkommen.
2. Rückmeldung auf jede Meldung In der ETH-Studie meldeten Beschäftigte, die eine positive Rückmeldung erhalten hatten, danach signifikant häufiger. Eine automatische Antwort mit dem Ergebnis der Prüfung genügt.
3. Fehlalarme ausdrücklich erwünscht Bei einer Trefferquote von 68 Prozent ist ein Drittel der Meldungen harmlos. Wer im Zweifel melden soll, darf für Irrtümer nicht kritisiert werden.
4. Vorfilter vor den Posteingang Ein technischer Filter, der eindeutig harmlose Meldungen aussortiert, hält den Aufwand bei rund anderthalb manuellen Fällen je Arbeitstag.
5. Beide Kennzahlen nebeneinander berichten Melderate, mediane Meldezeit und Melderate der Klickenden als Leitwerte, Klickrate als Nebenwert. Wer nur eine Zahl berichtet, steuert auch nur eine.

Mitbestimmung und Beschäftigtendatenschutz

Eine Phishing-Simulation erfasst je Person, wer geöffnet, geklickt und Daten eingegeben hat. Damit fällt sie in Deutschland unter § 87 Abs. 1 Nr. 6 BetrVG: Der Betriebsrat hat mitzubestimmen bei „Einführung und Anwendung von technischen Einrichtungen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen“. Nach ständiger Rechtsprechung genügt die objektive Eignung zur Überwachung; eine Überwachungsabsicht ist nicht erforderlich.

Wie weit das reicht, hat das Bundesarbeitsgericht am 16. Juli 2024 im Verfahren 1 ABR 16/23 bestätigt: Ein Headset-System, das Vorgesetzten das Mithören ermöglicht, ist mitbestimmungspflichtig — auch dann, wenn nichts aufgezeichnet oder gespeichert wird. Übertragen auf Simulationen heißt das: Die Mitbestimmung entfällt nicht dadurch, dass Ergebnisse nur kurz vorgehalten werden.

Warum personenbezogene Auswertung die Melderate zerstört

Der eigentliche Grund, auf Einzelauswertungen zu verzichten, ist nicht juristisch, sondern messtechnisch. Eine Meldung ist eine freiwillige Selbstauskunft. Wer damit rechnen muss, dass sein Klick namentlich in einer Liste landet, meldet ihn nicht — und genau die Meldung der Klickenden ist der Wert, an dem die Wirksamkeit hängt. Personenbezogene Auswertung senkt die Klickrate scheinbar und die Melderate tatsächlich.

Technisch lässt sich das erzwingen statt versprechen. Werkzeuge, die Phishing-Simulationen mit Meldebutton fahren und Ergebnisse erst ab einer Mindestgruppengröße freigeben, verlagern die Zusage aus der Betriebsvereinbarung in die Software; der Hamburger Anbieter frag.hugo etwa gibt Auswertungen seiner Phishing-Simulation erst ab fünf beteiligten Personen je Gruppe frei, weist Klick- und Melderate als getrennte Kennzahlen aus und bietet in der oberen Stufe einen Mitlese-Zugang für den Betriebsrat samt Muster-Betriebsvereinbarung an.

Was die Melderate nicht leistet

Eine hohe Melderate an ein unbesetztes Postfach ist die teuerste Variante von allen: Sie verbraucht Aufmerksamkeit der Belegschaft und erzeugt keine Reaktion. Wer den Meldeweg einführt, muss die Bearbeitung zusagen — und diese Zusage ist der Grund, warum das Verfahren funktioniert. Ebenso wenig ersetzt die Melderate technische Maßnahmen: Warnhinweise an externen E-Mails gehören zu den wenigen Mitteln, deren Wirksamkeit die Literatur einhellig stützt.

Wie ein tragfähiges Kennzahlen-Set aussieht

Das IT-Grundschutz-Kompendium des BSI verlangt in Baustein ORP.3 unter Anforderung A8, den Lernerfolg zielgruppenbezogen zu messen und dabei sowohl quantitative als auch qualitative Aspekte zu berücksichtigen. Eine einzelne Fehlerquote erfüllt das nicht. Ein tragfähiges Set besteht aus vier Werten: Melderate über alle Empfänger, Melderate unter den Klickenden, mediane Zeit bis zur ersten Meldung und — nachgeordnet — Klickrate.

Der Nutzen dieser Reihenfolge zeigt sich, sobald die Werte auseinanderlaufen. Sinkende Klickrate bei sinkender Melderate ist der Fall, den ein Bericht mit nur einer Zahl niemals sichtbar macht: eine Belegschaft, die gelernt hat, nichts anzuklicken und nichts zu melden. Sinkende Klickrate bei steigender Melderate ist der einzige Verlauf, der eine verbesserte Abwehrlage belegt. Und eine steigende Melderate bei stabiler Klickrate ist immer noch ein Fortschritt — im Ernstfall ist sie sogar der wertvollere der beiden.

Häufige Fragen

Was ist die Melderate bei einer Phishing-Simulation?

Die Melderate ist der Anteil der zugestellten simulierten Phishing-Mails, die über den vorgesehenen Meldeweg gemeldet wurden — etwa einen Knopf im E-Mail-Programm oder ein Melde-Postfach. Unterschieden wird zwischen der Melderate über alle Empfänger und der Melderate unter denjenigen, die zuvor geklickt haben. Der zweite Wert bildet die Fehlerkultur ab und ist im Ernstfall der entscheidende.

Welche Melderate gilt als gut?

Belastbare Vergleichswerte sind rar, weil viele Anbieterzahlen interessengeleitet sind. Als herstellerunabhängiger Anhaltspunkt dient der Verizon Data Breach Investigations Report: Für 2023 nennt er eine Melderate von über 20 Prozent; die Ausgabe 2025 weist rund 21 Prozent für Organisationen mit Schulung innerhalb der letzten 30 Tage gegenüber einer Basisrate von 5 Prozent aus. Wichtiger als der absolute Wert ist der Verlauf im eigenen Betrieb.

Ist die Klickrate damit wertlos?

Nein, aber sie taugt nicht als Leitkennzahl. Sie bleibt nützlich, um besonders wirksame Angriffsmuster zu erkennen und einzelne Kampagnen zu vergleichen. Als Steuerungsgröße versagt sie, weil sie auch durch Passivität, Gewöhnung an das Simulationsmuster oder weniger E-Mail-Arbeit sinkt und sich nach unten einem harten Grenzwert nähert.

Muss der Betriebsrat einer Phishing-Simulation zustimmen?

In Betrieben mit Betriebsrat ja. Eine Simulation erfasst personenbezogen Öffnen, Klicken und Dateneingabe und ist damit eine technische Einrichtung im Sinne von § 87 Abs. 1 Nr. 6 BetrVG. Nach ständiger Rechtsprechung genügt die objektive Eignung zur Verhaltenskontrolle; eine Überwachungsabsicht ist nicht nötig. Das Bundesarbeitsgericht hat 2024 bestätigt, dass die Mitbestimmung auch dann greift, wenn nichts gespeichert wird.

Erzeugt ein Meldeknopf zu viele Fehlalarme?

Die Sorge ist messbar unbegründet. In der ETH-Feldstudie über 15 Monate lag die Trefferquote der Meldungen bei 68 Prozent, und von 7.191 gemeldeten echten E-Mails mussten nur 689 von Menschen entschieden werden. Das entspricht rund 1,5 Fällen pro Arbeitstag bei über 21.000 angeschlossenen Nutzenden — vorausgesetzt, ein technischer Vorfilter sortiert eindeutig harmlose Meldungen vorab aus.