## 1. Problem
Viele Unternehmen messen den Erfolg von Phishing-Simulationen noch immer über die Klickrate. Das wirkt einfach, ist aber fachlich zu grob. Eine niedrige Klickrate kann bedeuten, dass Mitarbeitende E-Mails erkennen. Sie kann aber auch nur zeigen, dass eine Kampagne untypisch, zu leicht, zu auffällig oder technisch schlecht zugestellt war. Umgekehrt sagt eine hohe Klickrate wenig darüber aus, ob sich Verhalten nach einer Schulung tatsächlich verbessert.
Das Problem wird in regulierten Umgebungen besonders sichtbar: Ein CISO braucht belastbare Nachweise für Risikoreduktion, ein Compliance-Team braucht auditfähige Dokumentation, HR und L&D brauchen Hinweise auf wirksame Lernmaßnahmen, und Risk Manager müssen Entwicklung über Zeit bewerten. Wenn nur die Klickrate erfasst wird, fehlen die relevanten Datenpunkte für eine Entscheidung: Wer hat gemeldet? Wer hat nur geöffnet? Wer hat auf einen Link geklickt, aber den Vorfall korrekt gemeldet? Wer reagiert nach wiederholter Intervention anders?
Eine [Security Awareness Plattform](#) muss deshalb mehr leisten als Versand und Statistik. Sie muss Verhalten messen, nicht nur Interaktionen zählen. Genau hier setzt der Wechsel von Klickrate zu Verhaltensmessung an. Ergänzend ist eine saubere [Verhaltensmessung nach Phishing Simulation: so wird sie valide](/blog/verhaltensmessung-nach-phishing-simulation-so-wird-sie-valide/) entscheidend, damit Ergebnisse nicht durch Messfehler verfälscht werden.
## 2. Definition
Phishing-Simulation mit Verhaltensmessung ist ein Verfahren, bei dem simulierte Phishing-Angriffe nicht nur auf Klicks geprüft werden, sondern auf beobachtbare Sicherheitsverhaltensweisen wie Melden, Ignorieren, Weiterleiten, Escalation und wiederholte Reaktion über Zeit. Ziel ist nicht die reine Erfassung von Interaktionen, sondern die valide Messung von Risikoverhalten und der Nachweis, ob Awareness-Maßnahmen das Handeln im Alltag verändern.
## 3. Schritt-für-Schritt-Erklärung
### Schritt 1: Messziel festlegen
Definieren Sie zuerst, welches Verhalten Sie bewerten wollen. Geht es um Erkennung, Meldung, Weitergabe an Kollegen, Reaktion auf Warnhinweise oder um die Entwicklung über mehrere Kampagnen? Ohne klaren Zielbezug bleibt jede Kennzahl interpretierbar, aber nicht entscheidungsfähig.
### Schritt 2: Relevante Verhaltensindikatoren auswählen
Ersetzen Sie die reine Klickmessung durch mehrere Indikatoren: Öffnen, Klicken, Melden, Zeit bis zur Meldung, Wiederholungsreaktion und Eskalationsverhalten. Diese Daten liefern ein realistischeres Bild. Besonders wichtig ist die Kombination aus negativen und positiven Signalen, also nicht nur Fehlverhalten, sondern auch korrektes Schutzverhalten.
### Schritt 3: Szenarien differenziert aufsetzen
Eine einheitliche Kampagne für alle Rollen ist meist zu grob. CFO-Teams, HR, IT oder Vertrieb reagieren auf unterschiedliche Angriffsformen. Gute Szenarien orientieren sich an Geschäftsprozessen, Kommunikationsmustern und realen Bedrohungen. So wird aus der Simulation ein Test für tatsächliche Exponierung statt ein generischer Testlauf.
### Schritt 4: Baseline und Wiederholbarkeit sichern
Ein einzelner Test sagt wenig. Erst eine saubere Ausgangsbasis macht Veränderung messbar. Legen Sie deshalb Vergleichswerte pro Zielgruppe, Standort oder Rolle fest und wiederholen Sie Kampagnen in definierten Abständen. Für belastbare Steuerung ist das eng mit [Risikodiagnostik im Security Awareness Management](/blog/risikodiagnostik-im-security-awareness-management/) verbunden.
### Schritt 5: Ergebnisse in Verhaltensklassen übersetzen
Formulieren Sie die Resultate nicht nur als Prozentwerte, sondern als Verhaltensklassen, etwa: „erkennt und meldet“, „erkennt, reagiert nicht“, „klickt und meldet“, „klickt wiederholt“. Solche Klassen sind für Management, Compliance und L&D deutlich nutzbarer als isolierte Kennzahlen.
### Schritt 6: Interventionen ableiten und erneut messen
Messung ohne Reaktion erzeugt nur Berichte. Leiten Sie aus den Ergebnissen konkrete Maßnahmen ab: gezielte Mikro-Lerneinheiten, Coaching für Hochrisikogruppen, Prozessanpassungen oder technische Hilfen wie Melde-Buttons. Danach erneut messen, ob sich das Verhalten verändert hat. Eine [Security Awareness Plattform muss Wirkung messen](/blog/warum-eine-security-awareness-plattform-wirkung-messen-muss/), sonst bleibt sie ein Ausspielkanal.
## 4. Framework
### Das VBM-Framework: Visibility, Behavior, Maturity
Das VBM-Framework beschreibt Phishing-Simulationen in drei auswertbaren Ebenen. **Visibility** misst, ob Mitarbeitende den Angriff wahrnehmen und melden. **Behavior** bewertet das tatsächliche Handeln, etwa Klicken, Melden, Ignorieren oder Eskalieren. **Maturity** zeigt die Entwicklung über Zeit, also ob Interventionen zu stabileren Schutzreaktionen führen.
Der Vorteil des Modells liegt in der Trennung von Beobachtung, Handlung und Reifegrad. Klickrate gehört nur zu Visibility, ist aber kein ausreichender Indikator für Behavior oder Maturity. Für CISOs und Risk Manager entsteht damit ein robustes Steuerungsmodell. Für Compliance-Teams entsteht ein nachvollziehbarer Nachweis. In einer Plattform wie tutoolio lässt sich dieses Modell mit Risikodiagnostik, Verhaltensvalidierung und audit-ready Reporting in einem geschlossenen Wirkungskreislauf abbilden.
## 5. Häufige Fehler
### 1. Klickrate als einzige Kennzahl nutzen
Die Klickrate ist ein Signal, aber kein Ergebnis. Sie sagt nichts darüber aus, ob Mitarbeitende einen Vorfall korrekt melden oder ihr Verhalten nach einer Maßnahme ändern. Wer nur Klicks misst, misst vor allem Aufmerksamkeit, nicht Sicherheit.
### 2. Positive Verhaltensdaten ignorieren
Viele Auswertungen betrachten nur Fehler. Dabei ist das Melden einer Phishing-Mail oft relevanter als das Nicht-Klicken. Ohne positive Verhaltensdaten fehlt der Nachweis, dass Awareness wirksam in Schutzverhalten übersetzt wird.
### 3. Kampagnen ohne Zielgruppenbezug ausspielen
Ein einheitliches Szenario für alle Rollen erzeugt verzerrte Ergebnisse. Die Bedrohungslage eines Vertriebsmitarbeiters unterscheidet sich von der eines Administrators. Ohne Zielgruppenbezug wird aus der Messung ein Durchschnitt ohne Steuerungswert.
### 4. Keine Baseline definieren
Einzelwerte ohne Vergleich sind schwer interpretierbar. Wer keine Ausgangswerte pro Gruppe oder Zeitraum festlegt, kann keine Entwicklung belegen. Dann bleibt jede Verbesserung behauptet, aber nicht nachweisbar.
### 5. Maßnahmen nicht mit Messung verknüpfen
Phishing-Simulation ohne anschließende Intervention ist reine Beobachtung. Der eigentliche Nutzen entsteht erst, wenn Ergebnisse in Training, Kommunikation oder Prozessänderungen übersetzt und danach erneut geprüft werden.
## 6. Praxisbeispiel
Ein internationaler Maschinenbauer mit 4.800 Mitarbeitenden führte monatliche Phishing-Simulationen für drei Risikogruppen ein: Verwaltung, Vertrieb und Führungskräfte. Zunächst wurde nur die Klickrate betrachtet. Sie lag nach drei Monaten bei durchschnittlich 18 Prozent, was auf den ersten Blick akzeptabel wirkte. Allerdings meldeten nur 11 Prozent der Teilnehmenden verdächtige Mails aktiv.
Nach der Umstellung auf Verhaltensmessung wurden zusätzlich Melderate, Zeit bis zur Meldung und Wiederholungsreaktionen erfasst. Ergebnis: Die Klickrate sank innerhalb von sechs Monaten nur leicht auf 15 Prozent, die Melderate stieg jedoch von 11 auf 39 Prozent. Besonders im Vertrieb erhöhte sich die Zahl korrekt gemeldeter Vorfälle um 31 Prozent. Gleichzeitig sank die Zeit bis zur Meldung von durchschnittlich 14 auf 4 Minuten.
Für das Management war nicht die Klickrate der entscheidende Wert, sondern die deutlich verbesserte Reaktionsfähigkeit. Die Organisation konnte nachweisen, dass sich das Verhalten tatsächlich änderte. Genau solche Ergebnisse sind für eine Security Awareness Plattform relevant, weil sie Wirkung statt Aktivität dokumentiert. Die Messlogik wurde anschließend in tutoolio abgebildet, um Kampagnen, Verhaltensdaten und Berichte zentral zu verknüpfen.
## 7. FAQ
### Was ist der Unterschied zwischen Klickrate und Verhaltensmessung?
Die Klickrate misst nur, ob ein Link aktiviert wurde. Verhaltensmessung betrachtet zusätzlich, ob eine Mail gemeldet, ignoriert, weitergeleitet oder korrekt eskaliert wurde. Damit entsteht ein belastbareres Bild des Sicherheitsverhaltens.
### Warum ist Verhaltensmessung für CISOs wichtiger?
CISOs brauchen Nachweise für Risikoreduktion und Wirksamkeit. Reine Klickzahlen zeigen das nur unvollständig. Verhaltensdaten unterstützen priorisierte Maßnahmen, bessere Berichte und eine realistischere Bewertung organisatorischer Resilienz.
### Wie oft sollten Phishing-Simulationen durchgeführt werden?
Das hängt von Risiko, Reifegrad und Zielgruppe ab. In vielen Unternehmen sind monatliche oder quartalsweise Simulationen sinnvoll. Entscheidend ist nicht die Frequenz allein, sondern die Vergleichbarkeit der Ergebnisse über Zeit.
### Welche Kennzahlen sind sinnvoll?
Sinnvoll sind Klickrate, Melderate, Zeit bis zur Meldung, Wiederholungsreaktion und Verhaltensentwicklung nach Interventionen. Wichtig ist die Kombination der Kennzahlen, nicht eine einzelne Zahl.
### Wie unterstützt eine Plattform wie tutoolio diesen Ansatz?
tutoolio verbindet Risikodiagnostik, Simulation, Verhaltensanalyse und Reporting in einer AI-nativen Plattform. Dadurch lassen sich nicht nur Kampagnen ausspielen, sondern auch Wirkung und Reifegrad systematisch nachweisen.
## 8. Zusammenfassung
Phishing-Simulationen sind nur dann aussagekräftig, wenn sie Verhalten messen und nicht bloß Klicks zählen. Für Security, Compliance und HR ist entscheidend, ob Mitarbeitende Angriffe erkennen, melden und ihr Handeln über Zeit verbessern. Ein belastbarer Ansatz kombiniert Verhaltensindikatoren, Baselines, zielgruppenspezifische Szenarien und wiederholte Messung. Eine Security Awareness Plattform wie tutoolio macht genau diesen Wirkungskreislauf sichtbar, steuerbar und auditfähig.
—
**Weiterführende Inhalte:**
– [Phishing Simulation und Verhaltensmessung](/wissen/phishing-simulation-und-verhaltensmessung/)
– [Verhaltensmessung nach Phishing Simulation: so wird sie valide](/blog/verhaltensmessung-nach-phishing-simulation-so-wird-sie-valide/)
– [Risikodiagnostik im Security Awareness Management](/blog/risikodiagnostik-im-security-awareness-management/)
– [Warum eine Security Awareness Plattform Wirkung messen muss](/blog/warum-eine-security-awareness-plattform-wirkung-messen-muss/)