In vielen Microsoft-365-Tenants, die ich betreue, steht Phishing seit Langem ganz oben auf der Security-Agenda. Dabei sehe ich immer wieder dasselbe Bild. Technische Schutzmaßnahmen wie die Voreinstellungen in Defender for Office 365 fangen zwar viele Angriffe ab, doch das Verhalten der Nutzer bleibt eine kritische Lücke. An dieser Stelle kommt das Angriffssimulationstraining ins Spiel. Mit Phishing-Simulationen, die man direkt im Defender-Portal erstellt und auswertet, lassen sich Bewusstsein schaffen und sicheres Verhalten trainieren, wenn man sie richtig einsetzt.

Das Angriffssimulationstraining bietet moderne Angriffstechniken und Automatisierung

Im Defender-Portal liegen die Angriffssimulationen unter „E-Mail & Zusammenarbeit → Angriffssimulation Training“. Voraussetzung ist Defender for Office 365 Plan 2 oder Microsoft 365 E5. Mir gefällt besonders, dass die Plattform über klassische Credential-Harvesting-Kampagnen deutlich hinausgeht und viele aktuelle Angriffsmethoden abbildet. Dazu gehören Links in Anhängen, QR-Code-Payloads, die gerade bei mobilen Nutzern gut funktionieren, und sogar OAuth-Consent-Grant-Simulationen. Bei Letzteren werden Nutzer mit scheinbar legitimen Berechtigungsabfragen einer App geködert. So wirkt die Übung realistischer und greift aktuelle Social-Engineering-Trends auf.

Für Security-Teams sind die Simulation Automations sehr bequem. Mit ihnen richtet man eine wiederkehrende Testreihe für bestimmte Zielgruppen ein. Wer klickt oder Daten eingibt, bekommt automatisch ein passendes Trainingsmodul zugewiesen. Die Schulungsinhalte sind praxisnah und in mehreren Sprachen verfügbar, auch auf Deutsch. Das spart viel Zeit, und die Sensibilisierung läuft dauerhaft weiter, ohne dass jemand ständig neue Kampagnen von Hand planen muss.

Vor der ersten Kampagne sollte man folgende Punkte klären:

  • Zielgruppen: Wer nimmt teil – alle, einzelne Abteilungen oder neue Mitarbeitende?
  • Angriffstechnik: realitätsnahe Szenarien statt plumper Fälschungen
  • Trainingszuweisung: automatisch nach einem Fehler oder gezielt für High-Risk-User
  • Häufigkeit: regelmäßig, aber nicht im Wochentakt
  • Kommunikationsstrategie: Wie vermittelt man Ergebnisse und Lernziele?

Das Reporting macht Wiederholungstäter sichtbar und ermöglicht echte Verhaltensänderung

Die Auswertungen im Angriffssimulationstraining zeigen mehr als hübsche Klickstatistiken. Sie geben die Grundlage, um gezielt nachzusteuern. Sehr hilfreich ist die Übersicht der sogenannten „Repeat Offenders“, also der Nutzer:innen, die mehrfach auf Phishing hereinfallen oder Trainings ignorieren. Zu finden ist das Reporting unter „Simulationen → Einblicke“, Details stehen in den dokumentierten Auswertungsfunktionen. Daran erkennt man, wer noch Unterstützung braucht und ob die Kampagnen das gewünschte Bewusstsein überhaupt erzeugen.

Ich rate dringend davon ab, die Ergebnisse als „schwarze Liste“ zu verwenden. Sie sollten der Ausgangspunkt für gezielte Nachschulungen sein. Häufig liegen die Ursachen für wiederholte Fehler ganz woanders, etwa in Stress, zu komplizierten Abläufen oder schlicht mangelnder Transparenz. In vielen Projekten habe ich mit Führungskräften und Betriebsräten vereinbart, dass es keine personenbezogenen Rankings zum Bloßstellen gibt. Stattdessen stehen Fehlertoleranz und Lernbereitschaft im Mittelpunkt.

Mein Tipp aus mehreren Projekten: Holt die Mitbestimmung früh dazu, klärt Ziele und datenschutzkonforme Auswertungen gemeinsam und haltet schriftlich fest, wie das Verfahren fair und transparent abläuft. Das schafft Akzeptanz und erspart euch später viel Ärger.

Mit dem Betriebsrat abgestimmte Simulationen sind eine Lernchance und keine Falle

In Deutschland führt am Betriebsrat beim Angriffssimulationstraining kein Weg vorbei. Die Simulationen dürfen weder zum Überwachungsinstrument werden noch Disziplinarmaßnahmen rechtfertigen. Das wäre aus Datenschutzsicht problematisch und würde der Sicherheitskultur schaden. In Workshops erarbeite ich deshalb oft zusammen mit HR und IT klare Vereinbarungen. Die Ergebnisse dienen ausschließlich der Weiterentwicklung und niemals der Bewertung einzelner Personen. Auch die Szenarien sollten realistisch, aber respektvoll bleiben. Gefälschte Abmahnungen oder „Sie haben gewonnen“-Mails mit sehr persönlichem Bezug haben darin nichts verloren.

Technisch lässt sich das Reporting detailliert aufbereiten, ohne Namen zu nennen, zum Beispiel als anonymisierte Heatmap nach Organisationseinheiten oder Standorten. Wer als Admin das Thema auf das Werkzeug reduziert, stößt schnell auf Widerstand und verspielt Vertrauen. Eine offene Kommunikationskultur, in der Fehler erlaubt sind, muss man aktiv fördern. Weitere Gedanken zu ethischen Fragen und bewährten Security-Praktiken findet ihr in meinem Beitrag zu AiTM-Phishing und passenden Schutzmechanismen.

Ohne Schuldzuweisungen und mit dem Report-Message-Button wirken Simulationen besser

Nach meiner Erfahrung wirken Phishing-Simulationen erst dann, wenn die Belegschaft sie nicht als bloße „Falle“ wahrnimmt. Ein wichtiger Baustein dafür ist der Report-Message-Button in Outlook und Teams. Mitarbeitende melden damit echte wie simulierte Phishing-Mails mit einem Klick und erfahren sofort, ob sie richtig lagen. Das stärkt das Vertrauen, und verdächtige Mails werden künftig eher gemeldet. Das Security-Team wiederum bekommt wertvolle Daten in Echtzeit und erkennt Angriffsversuche schneller.

Technisch stellt man das Add-in „Report Message“ über das Microsoft 365 Admin Center bereit. In den Angriffssimulationen kann man dann festlegen, dass eine gemeldete Testmail automatisch als Erfolg zählt. Wer darauf verzichtet, verschenkt eine gute Lernchance und wichtige Erkenntnisse zur Security Awareness. Die Voreinstellungen in Defender for Office 365 bringen dafür inzwischen brauchbare Vorlagen mit. Mehr dazu steht in meinem Beitrag über Defender for Office 365 Preset Policies.

Das Diagramm zeigt den Ablauf einer Phishing-Simulation

In Gesprächen mit Betriebsrat und Management hilft eine grafische Übersicht enorm. Das folgende Diagramm zeigt die typischen Schritte einer Angriffssimulation mit Training und Reporting:

flowchart TD
A["Simulationskampagne erstellen"] --> B["Teilnehmer auswählen"]
B --> C["Phishing-Mail wird gesendet"]
C --> D["Nutzer interagiert (öffnet/klickt)"]
D --> E["Automatisches Training zugewiesen"]
D --> F["Report Message-Button genutzt"]
E --> G["Lernfortschritt ausgewertet"]
F --> G
G --> H["Reporting & Insights"]

Abbildung: Ablauf einer Phishing-Angriffssimulation mit automatisiertem Training und Reporting

Simulationen gehören zu einer gelebten Sicherheitskultur

Ein gut gemachtes Angriffssimulationstraining ist keine lästige Pflichtübung. Es verändert das Verhalten und macht die Belegschaft im Alltag sicherer im Umgang mit Angriffen. Dafür müssen die Simulationen fair und transparent sein und regelmäßig stattfinden. Niemand soll an den Pranger gestellt werden, die Leute sollen in einem geschützten Rahmen lernen. Wer Betriebsrat, HR und IT früh einbindet und die Technik mit einer positiven Kommunikation verbindet, erreicht Akzeptanz und messbare Ergebnisse. Zusammen mit dem Report-Message-Button und den Automatisierungen wird das Angriffssimulationstraining so zu einem dauerhaften Baustein der Security Awareness und nicht zum „Pranger“ im Unternehmen.