Ihr IT-Leiter fragt sich, ob Sie wirklich 40 Euro pro Mitarbeitendem und Jahr für ein Phishing-Tool ausgeben müssen. Gleichzeitig haben Sie NIS2 im Nacken, der nächste Audit kommt im Herbst, und Ihr letzter Sicherheitstest ist zwei Jahre alt. Das ist eine typische Situation, die wir bei unseren KMU-Mandanten wöchentlich erleben.
Phishing bleibt der Eingangsweg Nummer eins. Laut BSI-Lagebericht 2025 waren 80 % der Ransomware-Opfer im Berichtszeitraum kleine und mittelständische Unternehmen — und fast alle Angriffe begannen mit einer manipulierten E-Mail oder einem Social-Engineering-Versuch.
Dieser Artikel vergleicht die wichtigsten Phishing-Simulation-Tools für KMU sachlich und ohne Herstellerwerbung.
Bevor Sie ein Budget freigeben: Kein Tool löst das Problem alleine. Eine gute Phishing-Simulation erfüllt diese Mindestanforderungen:
Dazu kommt: EU-Datenspeicherung ist bei deutschem Datenschutzrecht kein Nice-to-have, sondern Pflicht. Tools, die Daten ausschließlich auf US-Servern verarbeiten, erzeugen ein eigenständiges Compliance-Problem.
KnowBe4 ist die meistgenutzte Phishing-Simulation-Plattform weltweit. Das Unternehmen sitzt in Florida, wurde 2023 an Vista Equity Partners verkauft und zählt nach eigenen Angaben über 65.000 Kunden. Die Plattform bietet mehr als 6.000 Phishing-Templates und ein umfangreiches Schulungsbibliothek.
Was KnowBe4 gut kann: Template-Vielfalt, umfangreiches Reporting, KI-gestützte Risikoanalyse pro Nutzer (sog. “Virtual Risk Officer”), tiefe M365-Integration.
Was KMU unter 100 Mitarbeitenden hemmt:
Fazit KnowBe4: Sinnvoll ab ca. 200 Mitarbeitenden, wenn ein IT-Sicherheitsbeauftragter die Plattform aktiv betreut. Für KMU mit 10–100 Mitarbeitenden und kleinem IT-Team ist der Overhead zu groß.
SoSafe wurde 2018 in Köln gegründet und ist aktuell der bekannteste europäische Anbieter. Das Tool setzt auf Gamification und Behavioral-Science-Methoden: kurze Mikrolerneinheiten, sofortiges Feedback nach Phishing-Klick, Engagement-Mechanismen.
Stärken:
Preise: ca. 2–5 € pro Nutzer/Monat (Jahresvertrag); genaue Zahlen auf Anfrage — SoSafe veröffentlicht keine Listenpreise. Bei 50 Nutzern rechnen Sie mit ca. 1.200–3.000 €/Jahr je nach Paket und Vertragslaufzeit.
Schwäche: Kein Self-hosted-Betrieb möglich. Wer aus regulatorischen Gründen On-Premise braucht, scheidet aus.
Fazit SoSafe: Erste Wahl für europäische KMU zwischen 30 und 500 Mitarbeitenden, die schnell starten und intern wenig IT-Kapazität haben.
Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand” (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →
Hornetsecurity ist ein DACH-fokussierter Sicherheitsanbieter mit Sitz in Hannover. Ihr Security Awareness Service ist kein separates Tool, sondern Teil der 365 Total Protection Suite — einem Bundle aus E-Mail-Sicherheit, Backup, Compliance und Awareness-Training.
Warum das für viele KMU interessant ist: Wer Hornetsecurity bereits für E-Mail-Filtering nutzt, bekommt Phishing-Simulation und Awareness-Schulungen aus einer Hand, ohne eine zweite Plattform einzuführen.
Besonderheiten:
Fazit Hornetsecurity: Ideal, wenn Sie ohnehin in der Hornetsecurity-Welt sind oder ein All-in-One-Bundle suchen. Als Stand-alone-Awareness-Tool ist SoSafe stärker.
Für technisch versierte Teams gibt es Open-Source-Alternativen:
GoPhish ist die bekannteste Open-Source-Phishing-Simulation. Kostenlos, vollständig selbst gehostet, community-gepflegt. Kein Managed Service, keine fertigen deutschen Templates, kein integrierter Lernpfad.
Lucy Phishing (jetzt AWARE-Phishing) bietet eine kommerzialisierte GoPhish-Basis mit Template-Bibliothek und Reporting. Community Edition kostenfrei, kommerzielle Version auf Anfrage.
Wann Open Source sinnvoll ist:
Für die meisten KMU ohne eigenes Security-Team gilt: Der scheinbar kostenlose Open-Source-Weg ist teurer als gedacht, wenn man die Stunden für Setup, Template-Erstellung, Infrastruktur-Betrieb und DSGVO-Dokumentation einrechnet.
Hugo Learn ist das Schulungsmodul in unserer Hugo DSB-Plattform. Keine separate Lizenz, kein zweites Dashboard — Phishing-Simulation und Awareness-Training laufen innerhalb der gleichen Oberfläche, die Sie auch für Datenschutz-Dokumentation und DSB-Aufgaben nutzen.
Was Hugo Learn bietet:
Hugo Learn ist nicht für Unternehmen gedacht, die ein Enterprise-Security-Training-System suchen. Es ist für KMU gemacht, die ihren Datenschutz- und Sicherheits-Compliance-Bedarf ohne fünf verschiedene Tools abdecken wollen.
| Tool | Preis/Nutzer/Jahr | Templates DE | EU-Hosting | Mit Schulung verknüpft | Self-hosted möglich | DSGVO-konform |
|---|---|---|---|---|---|---|
| KnowBe4 | ab ~18 € | Ja (US-lastig) | Optional (teurer) | Ja | Nein | Eingeschränkt |
| SoSafe | ab ~24 € | Ja (stark) | Ja (DE/AT) | Ja, gamifiziert | Nein | Ja |
| Hornetsecurity | ab ~36 € (Bundle) | Ja (DACH) | Ja (DE) | Ja | Nein | Ja |
| GoPhish | Kostenlos | Nein (selbst erstellen) | Selbst gehostet | Nein | Ja | Selbst sicherstellen |
| Hugo Learn | Im DSB-Paket | Ja (DE) | Ja (EU) | Ja, KI-adaptiv | Nein | Ja |
Preise sind Richtwerte — Jahresvertrag, ohne Rabatte. Stand: 2026.
1. Mitarbeitende bloßstellen: Wer Klick-Quoten mit Namen an die Führungskraft schickt, zerstört Vertrauen und verletzt DSGVO-Grundsätze. Reporting nur pseudonymisiert auf Gruppenebene.
2. Einmalige Aktion statt Programm: Ein Test pro Jahr zeigt nur den Status quo — er verändert nichts. NIS2 verlangt kontinuierliche Maßnahmen. Ohne Lernpfad nach dem Klick ist jede Simulation verschwendetes Budget.
3. Betriebsrat vergessen: In Unternehmen mit Betriebsrat ist eine Betriebsvereinbarung vor dem ersten Test Pflicht — sonst drohen Unterlassungsansprüche.
4. Templates sind zu offensichtlich: Eine E-Mail mit "DRINGEND: Ihr Passwort wurde gehackt!!!" trainiert nicht. Realistische Szenarien (Paket-Benachrichtigung, Lohnabrechnung, IT-Support) sind der Standard.
10–30 Mitarbeitende: SoSafe Starter oder Hugo Learn (im DSB-Paket). GoPhish nur wenn interner IT-Affinität vorhanden. KnowBe4 ist Overkill.
30–100 Mitarbeitende: SoSafe oder Hornetsecurity (wenn M365-Stack vorhanden). Ab hier lohnt sich auch KnowBe4 Silber, wenn jemand die Plattform aktiv betreibt. Hugo Learn wenn ohnehin externer DSB gesucht wird.
100–300 Mitarbeitende: Alle genannten Tools funktionieren. Entscheidend: Haben Sie intern einen IT-Sicherheitsbeauftragten? Ja → KnowBe4 oder SoSafe Professional. Nein → Hornetsecurity oder SoSafe mit Managed Service.
Für alle Größen gilt: Die ENISA Threat Landscape 2025 zeigt, dass Social Engineering und Phishing weiterhin die häufigste Angriffskategorie in der EU sind. Ein Phishing-Programm ist keine Kür — es ist Pflichtprogramm.
„Keine Frage ist doof. Oftmals kann schon damit geholfen werden, wenn Mitarbeitende schnell mal eine Frage loswerden und diese zeitnah vom Datenschutzbeauftragten beantwortet wird. Das gilt genauso für Phishing-Verdacht: Wer eine verdächtige Mail sieht und sofort fragen kann, ohne Angst vor Blamage, der klickt nicht."
Nils OehmichenDatenschutzberater bei frag.hugo
Das ist der Punkt, den viele Phishing-Tools systemisch übersehen: Meldekultur ist wichtiger als Klick-Rate. Wer Mitarbeitende durch Tests beschämt, züchtet schweigende Klicker statt wachsame Melder.
Ein gutes Phishing-Programm ist messbar über: Wie viele Mitarbeitende melden verdächtige Mails aktiv? Die Meldekultur hat direkten Einfluss darauf, wie schnell Ihr IT-Team bei einem echten Angriff reagieren kann. Mehr dazu: Was tun, wenn eine Phishing-Mail geöffnet wurde?
Wer eine Phishing-Simulation einführen will, braucht zuerst die rechtliche und datenschutzrechtliche Basis. Das gehört zum Handwerk eines externen Datenschutzbeauftragten — und lässt sich gut mit dem Security Awareness Training und der Zwei-Faktor-Authentifizierung kombinieren. Die technische Grundlage sollte im IT-Sicherheitskonzept verankert sein.
Phishing-Simulation starten — mit externer Datenschutz- und IT-Sicherheitsberatung
Hugo Learn ist Teil der Hugo DSB Suite: Phishing-Simulation, Awareness-Training, Datenschutz-Dokumentation — aus einer Hand, ohne eigenes Security-Team. Wir übernehmen Setup, Kampagnensteuerung und Auswertung als Teil des DSB-Mandats.
Kostenloses 15-Minuten-Erstgespräch →Ja, Phishing-Simulationen sind rechtlich zulässig, wenn Mitarbeitende vorab über den grundsätzlichen Einsatz informiert werden (ohne konkrete Termine), der Betriebsrat einbezogen wird und die Auswertung ausschließlich pseudonymisiert auf Gruppenebene erfolgt. Individuelle Click-Raten dürfen nicht für arbeitsrechtliche Konsequenzen genutzt werden.
Kommerzielle Lösungen wie SoSafe oder KnowBe4 kosten je nach Paket zwischen 15 und 60 Euro pro Nutzer und Jahr. Open-Source-Tools wie GoPhish sind kostenlos, erfordern aber eigene Server-Infrastruktur und technisches Know-how für Setup und Betrieb.
NIS2 (Art. 21) fordert „regelmäßige” Schulungsmaßnahmen. Auditoren erwarten mindestens quartalsweise Phishing-Tests ergänzt durch monatliche Micro-Learnings. Eine einmalige jährliche Simulation erfüllt die Anforderung nicht.
Für KMU unter 50 Mitarbeitenden empfehlen sich Hornetsecurity Security Awareness Service (einfaches Setup, M365-Integration), SoSafe (Behavioral Science, EU-Hosting) oder Hugo Learn als Teil der Hugo DSB Suite (DSGVO-konform, managed, kein eigenes IT-Team nötig). KnowBe4 ist ab dieser Größe oft überdimensioniert.
Eine Phishing-Simulation allein reicht nicht. NIS2 Art. 21 verlangt ein Schulungsprogramm: Awareness-Training + Phishing-Tests + dokumentierte Auswertung. Erst die Kombination aus Simulation und Lernpfad bei Klick gilt als nachweisbarer Compliance-Baustein. Mehr dazu in unserer NIS2-Lieferketten-Compliance-Übersicht.
GoPhish ist Open Source und kostenlos, erfordert aber eigene Server-Infrastruktur, technisches Know-how und selbst erstellte Templates. Kommerzielle Tools wie SoSafe, Hornetsecurity oder Hugo Learn bieten fertige deutschsprachige Template-Bibliotheken, automatisierte Lernpfade, DSGVO-konformes Reporting und Managed Service ohne internes IT-Team.
Inhaltsverzeichnis
Mitarbeiter hat Phishing-Mail geöffnet? Die 7 Sofortmaßnahmen für Hamburger Unternehmen – plus Meldepflicht-Check und Präventionstipps.
Weiterlesen
E-Mail-Sicherheit für Hamburger Unternehmen: Die wichtigsten Schutzmaßnahmen, Anbieter im Vergleich und worauf KMU bei der Auswahl achten müssen.
Weiterlesen
Security Awareness Training für Hamburger Unternehmen: Inhalte, Methoden und wie Sie Phishing-Angriffe durch gezielte Mitarbeiterschulungen verhindern.
WeiterlesenÜber den Autor
Mitgründer & IT-Unternehmer
Jens führt seit Dezember 2004 die hagel IT-Services GmbH in Hamburg, heute 35+ Mitarbeitende. Mitgründer von frag.hugo Informationssicherheit und der SYNAPSE KI-Agentur. Mehrfach als „Deutschlands beste IT-Dienstleister" (statista / brand eins) ausgezeichnet.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
