Security Awareness: die Klickrate misst das Falsche
Die meisten Awareness-Programme jagen eine Zahl, die sich kaum noch bewegen lässt. Die mittlere Klickrate in Phishing-Simulationen liegt laut Verizon bei rund 1,5 Prozent und sinkt trotz Dauerschulung kaum weiter. Wer sein Programm an dieser Kennzahl misst, optimiert einen Wert nahe seinem Boden und übersieht den Hebel, der wirklich zählt: wie schnell und wie oft Beschäftigte einen Angriff melden.
Das Wichtigste in Kürze
- Die Klickrate hat einen Boden. Bei etwa 1,5 Prozent stagniert sie, weil Ablenkung und gut gemachte Köder ein menschliches Restrisiko bleiben. Mehr Schulung drückt die Zahl kaum weiter.
- Melden ist der eigentliche Hebel. Beschäftigte mit frischem Training melden Phishing viermal häufiger. Eine hohe Meldequote verkürzt die Zeit bis zur Eindämmung, die niedrige Klickrate tut das nicht.
- Technik schlägt Disziplin. Phishing-resistente Verfahren wie Passkeys nehmen dem Nutzer die kritische Entscheidung ab. Wo die Zugangsdaten gar nicht erst abgreifbar sind, läuft der klassische Phishing-Klick ins Leere.
Verwandt:Passkeys im Mittelstand: das Ende des Passworts / OAuth-Token-Diebstahl: Wie Angreifer MFA aushebeln
Was ist Security-Awareness-Training? Security-Awareness-Training ist die systematische Schulung von Beschäftigten, damit sie Angriffe wie Phishing erkennen, richtig darauf reagieren und melden. Es umfasst Lerninhalte, simulierte Angriffe zur Messung und Wiederholung in Intervallen. Ziel ist eine Belegschaft, die als Sensor für Angriffe funktioniert.
Die Klickrate stößt an einen harten Boden
Die Logik hinter den meisten Programmen ist einfach: Man schult, simuliert, misst die Klickrate und erwartet, dass sie sinkt. Eine Weile funktioniert das auch. Dann kommt der Punkt, an dem jede weitere Schulungsrunde die Zahl nur noch im Nachkommabereich bewegt. Verizon beziffert den Median über viele Organisationen auf rund 1,5 Prozent. Das markiert einen Verhaltensboden, den Schulung allein nicht unterschreitet.
Dieser Boden hat physische Gründe. Menschen arbeiten unter Zeitdruck, im Multitasking, mit halber Aufmerksamkeit. Ein gut gebauter Köder am Donnerstagnachmittag trifft auch geschulte Leute. Die Klickrate auf null zu treiben scheitert an der menschlichen Bandbreite. Das Budget, das in die letzten Zehntelprozent fließt, bringt kaum noch messbare Risikoreduktion.
Melden verrät mehr über ein Programm als Klicken
Der interessante Wert liegt auf der anderen Seite. Dieselben Verizon-Daten zeigen, dass Beschäftigte mit Training in den letzten 30 Tagen simuliertes Phishing rund viermal häufiger melden als ungeschulte, 21 statt 5 Prozent. Diese Meldequote ist operativ wertvoll, weil sie direkt auf die Reaktionszeit wirkt. Ein gemeldeter Angriff um 9:05 Uhr lässt sich eindämmen, bevor um 9:40 Uhr die ersten Kollegen denselben Köder bekommen.
Für das Security-Team kehrt das die Steuerungslogik um. Statt Mitarbeitende für einen Klick zu sanktionieren, lohnt es, das Melden so einfach wie möglich zu machen: ein Knopf im Mail-Client, eine Rückmeldung, dass die Meldung ankam, kein Tadel bei Fehlalarm. Eine Belegschaft, die meldet, wird zum verteilten Sensornetz. Wo nur die Klickstatistik zählt, schweigen die Leute im Zweifel und der Frühindikator geht verloren.
Acht Prozent tragen den Großteil des Risikos
Die gleiche Erhebung liefert eine zweite unbequeme Beobachtung: Auf eine kleine Gruppe von rund 8 Prozent der Beschäftigten entfällt ein überproportionaler Teil der wiederholten Vorfälle. Das verändert die Ökonomie des Trainings grundlegend. Wer allen Mitarbeitenden denselben Jahreskurs verordnet, gibt das meiste Budget für die ohnehin Vorsichtigen aus und zu wenig für die kleine Gruppe, an der die Vorfälle hängen.
Praktisch heißt das, die Daten aus den Simulationen für Segmentierung zu nutzen, nicht nur für eine Gesamtquote. Wiederholt auffällige Konten bekommen kürzere Intervalle, gezielte Übungen und im Zweifel strengere technische Leitplanken. Das ist nüchterne Risikosteuerung. Sechzig Prozent aller Sicherheitsverletzungen haben laut Verizon einen menschlichen Faktor, Phishing ist an rund 16 Prozent der Einbrüche beteiligt. An diesen Zahlen arbeitet man präziser mit einer Risikogruppe als mit einer Durchschnittsschulung.
Technik nimmt dem Nutzer die Entscheidung ab
Die wirksamste Antwort auf Phishing verlagert das Problem weg vom menschlichen Urteil. Phishing-resistente Authentifizierung nach dem FIDO2-Standard, in der Praxis als Passkeys, bindet den Login kryptografisch an die echte Domain. Ein nachgebauter Anmeldedialog bekommt schlicht keine verwertbaren Daten, weil es kein Passwort mehr gibt, das man abtippen und weiterreichen könnte.
Das löst nicht jeden Fall. Angreifer weichen auf Token-Diebstahl und OAuth-Zustimmungsbetrug aus, sobald das Passwort als Beute wegfällt. Aber jede Anmeldung, die auf Passkeys umgestellt ist, entwertet den klassischen Credential-Diebstahl. Der Nutzer kann denselben Köder anklicken wie vorher, nur lässt sich aus der Aktion kein gültiger Zugang mehr bauen. Awareness und Technik sind hier zwei Hebel am selben Problem, wobei der technische schneller greift.
Der DACH-Faktor: Simulation trifft Mitbestimmung
In Deutschland steht über jeder Phishing-Simulation der Betriebsrat. Simulierte Angriffe erzeugen personenbeziehbare Leistungsdaten, deren Auswertung mitbestimmungspflichtig ist. Wer Klickraten einzelner Beschäftigter ohne Vereinbarung erhebt und auswertet, riskiert Vertrauen und am Ende eine formale Blockade des Programms.
Die saubere Lösung ist eine Betriebsvereinbarung, die Zweck, Aggregationsgrad und Konsequenzen festlegt: Auswertung in Gruppen statt am Einzelnamen, keine arbeitsrechtlichen Folgen aus einem einzelnen Klick, klare Löschfristen. Genau das macht ein Programm überhaupt erst dauerhaft tragfähig. Ein Programm, das die Belegschaft als Gegner behandelt, verliert genau die Meldebereitschaft, die den eigentlichen Wert liefert.
Was Security-Teams in den nächsten 90 Tagen umstellen
Drei Schritte ändern die Wirkung, ohne das Budget zu erhöhen. Erstens den Leit-KPI wechseln: Meldequote und Zeit bis zur ersten Meldung nach vorne, Klickrate als Nebenmetrik. Zweitens die Simulationsdaten segmentieren und die auffällige Minderheit gezielt adressieren, statt alle gleich zu behandeln. Drittens die Migration kritischer Anmeldungen auf Passkeys priorisieren, beginnend bei Administratoren und externen Zugängen. Parallel gehört eine Betriebsvereinbarung auf den Tisch, bevor die erste personenbezogene Auswertung läuft. Die Klickrate wird damit nicht verschwinden, aber sie steht endlich an der richtigen Stelle: als Randnotiz im Reporting.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Warum sinkt die Phishing-Klickrate trotz Training kaum unter ein bestimmtes Niveau?
Weil ein Rest aus Ablenkung, Zeitdruck und sehr überzeugenden Ködern bleibt. Verizon nennt als Median über viele Organisationen etwa 1,5 Prozent. Dieser Boden ist ein menschlicher Verhaltenswert, kein Schulungsversagen. Budget, das die letzten Zehntelprozent jagt, bringt kaum noch Risikoreduktion.
Welcher KPI ist besser als die Klickrate?
Die Meldequote und die Zeit bis zur ersten Meldung. Beschäftigte mit frischem Training melden simuliertes Phishing rund viermal häufiger. Eine hohe Meldequote verkürzt die Reaktionszeit des Security-Teams direkt, weil ein Angriff früh sichtbar wird, bevor er sich in der Organisation ausbreitet.
Sollten wirklich alle Beschäftigten dasselbe Training bekommen?
Selten sinnvoll. Auf rund 8 Prozent der Beschäftigten entfällt laut Verizon-Auswertungen ein überproportionaler Teil der wiederholten Vorfälle. Eine flächendeckende Jahresschulung verteilt das Budget gleichmäßig über eine sehr ungleich verteilte Risikolage. Sinnvoller ist Segmentierung: kürzere Intervalle und gezielte Übungen für die auffällige Minderheit.
Macht phishing-resistente Technik Awareness überflüssig?
Nein. Passkeys nach FIDO2 entwerten gestohlene Zugangsdaten, weil der Login kryptografisch an die echte Domain gebunden ist. Angreifer weichen aber auf Token-Diebstahl und Zustimmungsbetrug aus. Technik und Schulung sind zwei Hebel am selben Problem, der technische greift schneller, der menschliche fängt die Restfälle.
Was muss bei Phishing-Simulationen rechtlich beachtet werden?
In Deutschland sind simulierte Angriffe mitbestimmungspflichtig, weil sie personenbeziehbare Leistungsdaten erzeugen. Vor der ersten personenbezogenen Auswertung gehört eine Betriebsvereinbarung auf den Tisch, die Zweck, Aggregationsgrad, Konsequenzen und Löschfristen regelt. Auswertung in Gruppen statt am Einzelnamen ist der sichere Weg.
Lesetipps der Redaktion
LesetippPasskeys im Mittelstand: das Ende des PasswortsLesetippOAuth-Token-Diebstahl: Wie Angreifer MFA aushebelnLesetippAdaptive MFA: NIS2-Druck als Zero-Trust-Hebel im Mittelstand
Mehr aus dem MBF Media Netzwerk
cloudmagazinKubernetes als KI-Default-OS: Cluster als Compliance-FrageDigital ChiefsDas Operating Model, das die Reorg überlebtMyBusinessFutureWenn das Update selbst zum Einfallstor wird
