Phishing-Simulation, die den Nachweis bringt — nicht nur die Statistik

Eine Phishing-Simulation ist ein kontrollierter Test, bei dem ein Unternehmen selbst täuschend echte Betrugsmails an die eigene Belegschaft schickt, um zu messen, wie viele darauf hereinfallen und wie viele den Angriff melden. Wer klickt, erhält sofort eine kurze Lektion statt einer Sanktion. Die Simulation ist damit Messinstrument und Schulung in einem.

Bei Hugo Learn ist die Simulation ab der Stufe Standard enthalten: 14,90 € pro Mitarbeiter und Jahr (netto), mit Mengenstaffel. Bei 60 Mitarbeitern sind das 714 € im Jahr für unbegrenzte Kampagnen plus den kompletten Schulungskatalog. Das begleitete Jahresprogramm mit Audit-Paket beginnt bei 24,00 € pro Mitarbeiter und Jahr und wird ab 26 Mitarbeitern angeboten.

Sinnvoll ist eine Häufigkeit zwischen monatlich und quartalsweise. Einmal im Jahr reicht nachweislich nicht: Der Effekt einer einzelnen Übung verliert sich binnen weniger Monate. In der Programm-Stufe planen Sie die Kadenz einmal ein — inklusive Sperrzeiten wie Jahresabschluss oder Betriebsferien — und die Simulationen laufen dann automatisch, ohne dass jemand daran denken muss.

Das ist die häufigste Ursache für wertlose Simulationen — und deshalb steht der Zustell-Assistent am Anfang jeder Kampagne. Er führt Sie durch die Freigabe in Microsoft 365, Google Workspace, Mimecast, Proofpoint oder Hornetsecurity, und eine Prüfmail bestätigt die Zustellung, bevor die Kampagne startet.

Die Bibliothek umfasst 73 Vorlagen, davon 55 ab der Stufe Standard. Der Großteil sind klassische Phishing-E-Mails: gefälschte Rechnungen, Paketbenachrichtigungen, Lizenz- und Passwortwarnungen von Microsoft 365, interne Freigabeanfragen, CEO-Fraud. Dazu kommen in der Programm-Stufe QR-Code-Köder (Quishing) und simulierte Login-Seiten, die eine Eingabe messen ohne sie zu speichern. 32 Vorlagen sind branchenneutral, je sechs gibt es für Gesundheit, Handwerk, Kanzlei, Schule und Verwaltung — jeweils in drei Schwierigkeitsgraden, von Massenware bis zum gezielten Angriff auf die Buchhaltung. Elf Vorlagen liegen auf Englisch vor; welche Sprache jemand bekommt, entscheidet sich je Person. Jede Vorlage lässt sich anpassen, und eigene Szenarien können Sie ergänzen.

Ein Anruf-Drill ist eine rund vierminütige, verzweigte Audio-Szene im Browser. Das Telefon klingelt auf dem Bildschirm, eine synthetische Stimme setzt unter Druck, die Person wählt zwischen zwei bis vier Reaktionen, und die Szene reagiert darauf. Es klingelt kein echtes Telefon: keine Rufnummer, kein Telefonieanbieter, kein Mikrofonzugriff, keine Aufnahme. Gespeichert wird nur, welche Antworten gewählt wurden. Anruf-Drills gehören zur Stufe Programm.

Ja — sie ist ein anerkanntes Mittel zur Umsetzung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO. Zu beachten sind zwei Dinge: Es werden personenbezogene Daten der Beschäftigten verarbeitet, dafür braucht es eine dokumentierte Rechtsgrundlage; und in Betrieben mit Betriebsrat besteht regelmäßig ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG, weil die Simulation eine technische Einrichtung ist, die zur Verhaltenskontrolle geeignet ist. Beides ist gestaltbar, nicht verboten.

In Betrieben mit Betriebsrat regelmäßig ja. Eine Muster-Betriebsvereinbarung und ein Papier zu den Rechtsgrundlagen liegen als Vorlage bei — sie regeln unter anderem Zweckbindung, Auswertungsebene, Umgang mit Klickdaten und Aufbewahrung. Die Vorlage ersetzt keine Rechtsberatung im Einzelfall, verkürzt aber die Abstimmung erheblich, weil der Betriebsrat einen fertigen Textentwurf statt einer leeren Seite bekommt.

Nein — Auswertungen entstehen erst ab fünf beteiligten Personen, und diese Untergrenze ist in der Datenbank durchgesetzt, nicht bloß eine Einstellung der Oberfläche. Ein Wechsel in einen Modus mit Klarnamen ist an die Programm-Stufe gebunden; will dort jemand im Einzelfall einen Namen sehen, braucht es eine Begründung und die Freigabe durch eine zweite Person, und jeder Schritt landet in einem Protokoll, das Administratoren nicht nachträglich ändern können.

Bei uns nicht. Ein Klick löst eine kurze, freiwillige Lektion aus — mehr passiert nicht. Der Ansatz ist Coaching statt Pranger, und das ist keine Freundlichkeit, sondern Methodik: Wer Angst vor Konsequenzen hat, meldet einen echten Angriff später, nicht früher.

Nein. Es werden keine Zugangsdaten Ihrer Beschäftigten gespeichert. Gemessen wird das Verhalten — geöffnet, geklickt, gemeldet —, nicht der Inhalt einer Eingabe. Das ist der Unterschied zwischen einer Simulation und einem Angriff.

Sie legen die Frist fest — üblich sind 24 Monate, wie sie auch die Muster-Betriebsvereinbarung vorschlägt. Ein nächtlicher Lauf sichert danach die Kennzahlen als Aggregat und löscht die personenbezogenen Rohdaten. Wird ein Konto gelöscht, gehen die Simulationsdaten mit. Das ist keine organisatorische Zusage, sondern ein Vorgang, der von selbst läuft.

Ausschließlich in Deutschland, in ISO-27001-zertifizierten Rechenzentren (Falkenstein und Nürnberg). Kein Drittlandtransfer, keine US-Cloud im Hintergrund. Übertragung TLS-verschlüsselt, Speicherung verschlüsselt.

Nein, und wir bauen das auch nicht auf Wunsch. Die Stimmen sind synthetisch und generisch, personalisiert wird höchstens die Rolle („Ihre Geschäftsführung“), nie der Name einer echten Person. Der Grund ist weniger juristisch als praktisch: Die Einwilligung der Führungskraft deckt nicht die Täuschung derjenigen, die den Anruf hören. Dass eine KI spricht, wird nach Art. 50 Abs. 5 der Verordnung (EU) 2024/1689 vor der ersten Interaktion angesagt und bleibt während des Gesprächs sichtbar.

In der Regel nicht. § 87 Abs. 1 Nr. 6 BetrVG erfasst die Einführung und die Anwendung technischer Einrichtungen, die zur Überwachung geeignet sind. Ein neuer Kanal mit einer neuen Datenart und einer eigenen Bewertung ist deshalb ein eigener mitbestimmungspflichtiger Vorgang. Eine Vereinbarung, die nur simulierte E-Mails nennt, sollte um einen Absatz zu Drills ergänzt werden — ein Textbaustein dafür liegt im Rechtspaket der Stufe Programm.

Standard enthält die Simulation vollständig: unbegrenzte Kampagnen, 55 Vorlagen auf Deutsch und Englisch, Zustell-Assistent, Sofort-Lektion nach dem Klick, zwei Meldewege (Outlook-Add-in und Melde-Postfach), Melde- und Klickrate, Kampagnen-Bericht als PDF — dazu den kompletten Schulungskatalog mit 31 Modulen, ebenfalls auf Deutsch und Englisch. Programm ergänzt das, was Nachweisführung und Mitbestimmung betrifft: das Jahresprogramm im Autopilot, den adaptiven Schwierigkeitsgrad mit Resilienz-Index, den automatischen Quartals-Bericht, den Branchen-Benchmark, 18 weitere Vorlagen (Quishing per QR-Code und simulierte Login-Seiten), die Branchenpakete, den Nutzer-Abgleich mit Microsoft 365, die Anmeldung per SSO, eigene Rollen für Betriebsrat und Auditor, den Datenexport als JSON, das Audit-Paket mit Normzuordnung, das Rechtspaket mit sechs Muster-Dokumenten — und die Eintragung des Nachweises als technisch-organisatorische Maßnahme ins Verarbeitungsverzeichnis. Programm wird ab 26 Mitarbeitern angeboten.

Ab Hugo DSB Standard ist Hugo Learn Standard — und damit die Phishing-Simulation — im Tarif enthalten. Hugo DSB Lite enthält die Free-Stufe. Das Jahresprogramm ist in keinem DSB-Tarif automatisch enthalten; DSB-Kunden bekommen es als Upgrade mit 15 % Nachlass.

Die Free-Stufe von Hugo Learn ist dauerhaft kostenlos für bis zu 5 Mitarbeiter und enthält 3 Basis-Module mit Quiz und Zertifikat — ohne Kreditkarte. Die Phishing-Simulation selbst gehört zur Stufe Standard, weil dafür Ihre Absenderdomäne freigegeben werden muss. Wenn Sie die Oberfläche vorher sehen möchten, zeigen wir sie im 15-Minuten-Gespräch.