Phishing: Warum Awareness-Training allein nicht reicht – und was wirklich hilft

Man kann viel Geld in Sicherheitstechnik investieren und trotzdem an einer einzigen E-Mail scheitern. Phishing ist deshalb so erfolgreich, weil es nicht die Technik angreift, sondern den Menschen davor. Die übliche Antwort darauf lautet: Schulung. Nur hält diese Antwort einer Überprüfung nicht stand.

Die unbequeme Studienlage

Forschende der University of Chicago und der UC San Diego haben über acht Monate ein kontrolliertes Experiment an mehr als 19.500 Beschäftigten eines großen Klinikbetreibers durchgeführt: zehn simulierte Phishing-Kampagnen, mit zufälliger Zuteilung, wer eine Schulung erhält. Die Ergebnisse wurden 2025 auf dem IEEE Symposium on Security and Privacy vorgestellt.

Das Ergebnis ist ernüchternd. Zwischen einer kürzlich absolvierten Awareness-Schulung und der Wahrscheinlichkeit, auf eine Phishing-Simulation hereinzufallen, fand sich kein signifikanter Zusammenhang. Das eingebettete Training – die Lernseite, die nach einem Klick erscheint – senkte die Klickwahrscheinlichkeit um lediglich rund zwei Prozent.

Das heißt nicht, dass Schulung sinnlos ist. Es heißt, dass Schulung in der Form, in der sie fast überall stattfindet, das Problem nicht löst, für das sie verkauft wird. Wer seine Phishing-Abwehr auf jährliche Klickraten stützt, misst etwas, das sich kaum bewegen lässt.

Wir sagen das als Anbieter, der Awareness-Schulungen im Portfolio hat. Es ändert nichts an den Zahlen.

Warum die alten Erkennungsmerkmale nicht mehr greifen

„Achten Sie auf Rechtschreibfehler" war lange ein guter Rat. Heute sind Phishing-Mails sprachlich einwandfrei, personalisiert und beziehen sich auf reale Vorgänge – Sprachmodelle haben die letzte verbliebene Hürde beseitigt. Angreifer recherchieren ihre Ziele, imitieren interne Absender und wählen den Moment, in dem eine Bitte um schnelle Handlung nicht auffällt.

Dazu kommt eine technische Verschiebung: Moderne Angriffe zielen zunehmend auf Sitzungsübernahme statt auf Passwörter. Ein Angreifer schaltet sich zwischen Nutzer und echten Anmeldedienst, leitet alles weiter – auch den Zwei-Faktor-Code – und übernimmt anschließend die Sitzung. Der Nutzer merkt nichts, weil er sich tatsächlich erfolgreich angemeldet hat. Gegen so etwas hilft kein Blick auf die Absenderadresse.

Was tatsächlich wirkt

Die Reihenfolge ist wichtig: Erst die Maßnahmen, die auch dann greifen, wenn jemand klickt.

Prozesse, die den Klick belanglos machen. Wenn eine Zahlungsanweisung oder eine Änderung von Bankdaten immer über einen zweiten, unabhängigen Kanal bestätigt wird – Rückruf unter der bekannten Nummer, nicht unter der aus der Mail –, läuft auch eine perfekte Fälschung ins Leere. Das ist die wirksamste Einzelmaßnahme gegen Chefmasche und Rechnungsbetrug, und sie kostet nichts außer Disziplin.

Phishing-resistente Anmeldung. Verfahren nach dem FIDO2-Standard, also Passkeys oder Hardware-Token, sind an die echte Domain gebunden. Sie funktionieren auf einer nachgebauten Seite schlicht nicht – auch dann nicht, wenn der Nutzer alles richtig falsch macht. Wo das nicht überall geht, gehört es wenigstens auf die privilegierten Konten und die Fernzugänge. Das BSI verzeichnet im Lagebericht 2025 einen Anstieg beim Diebstahl von Zugangsdaten; genau dort setzt diese Maßnahme an.

Technische Filter, die den Kontakt reduzieren. SPF, DKIM und DMARC gegen Absenderfälschung in der eigenen Domain, eine sichtbare Kennzeichnung externer Absender, Anhangsprüfung. Jede Mail, die gar nicht ankommt, muss niemand erkennen.

Die Schadensfläche verkleinern. Minimale Rechte und Segmentierung entscheiden darüber, was ein übernommenes Konto überhaupt anrichten kann. Ein Klick auf einen Sachbearbeiter-Account ist etwas anderes als einer auf ein Administratorkonto.

Wofür Training doch taugt

Eine Sache kann Schulung zuverlässig verbessern, und sie wird meist am wenigsten trainiert: das Melden.

Nicht „erkenne die Fälschung", sondern „melde in dreißig Sekunden, ohne nachzudenken, auch wenn du schon geklickt hast". Diese Fähigkeit verkürzt die Reaktionszeit von Stunden auf Minuten – und Zeit ist bei einer Kontoübernahme die einzige Währung, die zählt.

Dafür braucht es drei Dinge:

1. Einen Meldeweg, der leichter ist als das Ignorieren. Ein Knopf im Mailprogramm, kein Formular im Intranet.
2. Eine Rückmeldung. Wer meldet und nie etwas hört, meldet beim nächsten Mal nicht mehr.
3. Keine Sanktionen. Wer Beschäftigte für Klicks bestraft, sorgt vor allem dafür, dass Vorfälle verschwiegen werden. Die schnelle Meldung eines Fehlers ist mehr wert als jede Sanktion – auch wenn das der Reflex nicht hergibt.

Was das für Ihre Simulationen heißt

Phishing-Simulationen sind nicht wertlos, aber sie messen und trainieren das Falsche, wenn die Klickrate die einzige Kennzahl ist. Sinnvoller sind zwei andere Zahlen:

• Meldequote – wie viele haben die Mail gemeldet, unabhängig davon, ob sie geklickt haben?
• Zeit bis zur ersten Meldung – wie schnell erfährt die IT davon?

Beide lassen sich durch Training tatsächlich verbessern, und beide sind im Ernstfall relevant. Die Klickrate ist es kaum.

Wenn wir Awareness-Programme aufsetzen, bauen wir sie um diese beiden Zahlen herum – und sagen vorher, was Schulung nicht leisten kann. Das ist unbequemer als ein Versprechen, aber es hält länger.

Stand: August 2026. Studie: Grant Ho et al., „Understanding the Efficacy of Phishing Training in Practice", IEEE Symposium on Security and Privacy 2025; Feldexperiment über acht Monate mit über 19.500 Beschäftigten. Angaben zum Diebstahl von Zugangsdaten nach dem BSI-Lagebericht 2025.

Weiterführend: Security-Awareness-Training · Zero Trust · Ransomware-Schutz · Cyber-Risiko-Check