Phishing-Simulation-Anbieter im Vergleich: 8 Security-Awareness-Tools für den Mittelstand

Phishing ist nach wie vor das häufigste Einfallstor für Cyberangriffe – und Technik allein hält es nicht auf. Wirksam wird Schutz erst, wenn Mitarbeitende einen Angriff im Arbeitsalltag erkennen. Genau hier setzen Phishing-Simulationen an: Sie versenden kontrollierte, ungefährliche Test-Mails und machen sichtbar, wer wirklich klickt.

Der Markt für Phishing-Simulation-Anbieter ist dabei unübersichtlich geworden – von hochspezialisierten Security-Plattformen bis zu Lernplattformen, die Awareness als ein Modul unter vielen mitbringen. Wer den passenden Phishing-Simulation-Anbieter sucht, muss vor allem wissen, aus welcher Richtung ein Produkt gedacht ist.

Dieser Vergleich stellt acht relevante Phishing-Simulation-Anbieter für den deutschsprachigen Raum gegenüber: reteach, Hugo Learn, CyberXperts (skillsforwork), Phished.io, SoSafe, Hornetsecurity, G DATA und KnowBe4. Das Ziel ist keine Rangliste, sondern eine ehrliche Zuordnung, welcher Anbietertyp zu welcher Ausgangslage passt.

Die 8 Phishing-Simulation-Anbieter auf einen Blick

Anbieter	Herkunft	Typ	Kurskatalog / LMS	Hosting
reteach	Berlin (DE)	Lernplattform + Phishing Awareness	500+ Kurse	DE / EU
Hugo Learn	Hamburg (DE)	Datenschutz-/Awareness-Plattform	Kuratierter Modulkatalog	DE
skillsforwork CyberXperts	Bonn (DE)	Lernplattform + Awareness-Modul	Breiter Modulkatalog	DE
Phished.io	Leuven (BE)	Awareness-Spezialist	Phished Academy (kein breites LMS)	EU
SoSafe	Köln (DE)	Security-Awareness-Plattform	30+ Awareness-Module	EU
Hornetsecurity	Hannover (DE)	E-Mail-Security- & Awareness-Plattform	Awareness-E-Trainings	EU
G DATA	Bochum (DE)	Security-Anbieter mit Academy	Awareness-Kurskatalog	DE
KnowBe4	Clearwater, USA	Security-Awareness-Plattform	1.000+ Module	USA

Security-Awareness-Spezialist oder Lernplattform mit Phishing-Modul – wo liegt der Unterschied?

Die wichtigste Weichenstellung vor dem Vergleich der Phishing-Simulation-Anbieter ist die Frage, aus welcher Richtung ein Produkt gedacht ist.

Security-first-Spezialisten wie SoSafe, Hornetsecurity, G DATA, KnowBe4 und Phished.io kommen von der IT-Sicherheit. Ihr Kern ist die Simulations-Engine: möglichst realistische, KI-personalisierte Angriffe über mehrere Kanäle, große Vorlagenbibliotheken, ein Melde-Button im Postfach und tiefes Reporting für Security-Teams. Käuferin ist hier typischerweise die IT-Leitung, die IT-Sicherheit oder ein CISO.

Lernplattformen mit integrierter Phishing-Simulation wie reteach, Hugo Learn und CyberXperts denken vom Lernen her. Die Phishing-Simulation ist ein Baustein neben einem Schulungskatalog, der von Datenschutz über Arbeitsschutz bis Compliance und Soft Skills reicht. Alles läuft in einem Login, das Reporting ist auf Nachweispflichten ausgelegt, und die Käuferin sitzt oft in HR, L&D oder direkt in der Geschäftsführung.

Beide Ansätze haben ihre Berechtigung. Wer eine hochentwickelte, mehrkanalige Angriffssimulation mit maximaler Tiefe sucht, ist bei den Spezialisten gut aufgehoben. Wer Awareness als Teil eines übergreifenden Schulungsprogramms betreiben und dabei nur ein System pflegen will, findet bei den Lernplattformen den geringeren Aufwand.

Welche Kriterien entscheiden bei der Auswahl?

Sechs Kriterien trennen bei Phishing-Simulation-Anbietern in der Praxis die Spreu vom Weizen:

Simulationstiefe. Reicht regelmäßiges E-Mail-Phishing, oder braucht es Spear-Phishing, Smishing (SMS) und Vishing (Anruf), KI-generierte Szenarien und individuelle Schwierigkeitsanpassung? Für die meisten Mittelständler ist wiederkehrendes, realistisches E-Mail-Phishing der relevante Standard.

Kurskatalog und Lernumgebung. Ist die Simulation an eine breite Schulungsbibliothek gekoppelt, oder ist sie ein reines Punktwerkzeug? Wer ohnehin Datenschutz-, Arbeitsschutz- und Compliance-Schulungen ausrollt, spart mit einer Plattform Zeit und Systempflege.

Einführungszeit und Aufwand. Wie schnell läuft die erste Kampagne, und wie viel manuelle Steuerung verlangt der Betrieb? Automatisierte Frequenzen und automatische Nutzer-Synchronisation entlasten kleine IT-Teams spürbar.

Datenstandort und Datenschutz. Wo werden personenbezogene Daten verarbeitet? EU- oder Deutschland-Hosting erspart im DACH-Raum eine ganze Reihe zusätzlicher Prüf- und Dokumentationsschritte.

Nachweis und Reporting. Liefert das Tool einen belastbaren, personenbezogenen und datierten Nachweis für Audits – oder nur eine grobe Klickraten-Statistik? Für NIS2, ISO 27001 und TISAX zählt die auditfähige Dokumentation.

Mitbestimmung. Lässt sich das Reporting auf Abteilungsebene aggregieren, damit die Phishing-Simulation auch mit einem Betriebsrat rechtssicher betrieben werden kann?

Lernplattformen mit integrierter Phishing-Simulation: reteach, Hugo Learn und skillsforwork CyberXperts

Diese drei Anbieter kommen dem Modell am nächsten, das Awareness in ein übergreifendes Lernprogramm einbettet.

reteach Phishing Awareness

reteach aus Berlin ist eine Lernplattform für den Mittelstand, die E-Learning, über 500 fertige Kurse und die Phishing Awareness in einem System vereint. Die Simulation versendet automatisch realistische Test-Mails in konfigurierbarer Frequenz (alle 14 oder 30 Tage), ganz ohne manuelle Planung pro Kampagne. Wer klickt, landet auf einer personalisierten Aufklärungsseite mit kampagnenspezifischem Lerninhalt – inklusive einer persönlichen Nachricht der IT-Leitung. Im Dashboard sehen Admins Klickraten-Trends, Kampagnenhistorie, Risk Scores pro Person und Abteilung; die Risikobewertung aktualisiert sich nach jeder Welle automatisch.

Ein Alleinstellungsmerkmal sind die zwei Reporting-Modi: Modus A mit voller Einzelsicht und Modus B mit rein aggregierter Auswertung auf Abteilungsebene – für Organisationen mit Betriebsrats- oder Mitbestimmungsvereinbarungen. reteach ist datenschutzfreundlich gestaltet, in Deutschland gehostet und liefert eine auditfähige Dokumentation als Nachweisbeitrag für NIS2, ISO 27001 und TISAX.

Wofür gemacht: Mittelständische Unternehmen, die Awareness nicht isoliert, sondern als Teil eines breiten Schulungsprogramms betreiben und dabei nur ein System pflegen wollen – mit HR/L&D und IT-Admins als gemeinsamen Nutzenden.

Wofür weniger geeignet: Reine Security-Teams, die eine engine-first-Plattform mit mehrkanaliger Simulation (Smishing, Vishing) und maximaler KI-Personalisierung suchen.

Hugo Learn

Hugo Learn von frag.hugo aus Hamburg ist eine Datenschutz- und Awareness-Plattform, die stark aus der DSGVO- und NIS2-Perspektive gedacht ist und in die Datenschutzbeauftragten-Plattform Hugo DSB eingebettet ist. Die Phishing-Simulation arbeitet mit drei Eskalationsstufen – vom Massen-Phishing über gezielte Branchen-Mails bis zum CEO-Fraud-Szenario.

Wer klickt, erhält sofort ein Mini-Lernmodul; nach vier Wochen folgt ein Re-Test. Hosting erfolgt zu 100 Prozent in Deutschland (Hetzner), jedes Modul ist auf Deutsch geschrieben und von einem TÜV-zertifizierten Datenschutzberater geprüft. Der Einstieg beginnt bei 14,90 € pro Mitarbeitendem und Jahr.

Wofür gemacht: Kleinere Unternehmen ohne eigene IT-Abteilung, die Datenschutz-Schulung, Phishing-Simulation und persönliche Beratung aus einer Hand mit deutschem Rechtsfokus wollen.

Wofür weniger geeignet: Organisationen, die einen breiten, themenübergreifenden Kurskatalog (etwa Soft Skills, Fachschulungen) über die Datenschutz- und IT-Sicherheitswelt hinaus suchen.

CyberXperts (skillsforwork)

CyberXperts ist das Security-Awareness-Modul der Lernplattform skillsforwork aus Bonn und strukturell der nächste Verwandte zu reteach: eine modulare Plattform, die neben Security Awareness auch Arbeitsschutz, Datenschutz, Compliance, Soft Skills, Pflege und Kita abdeckt. Das Herzstück ist ein 2-Stufen-Konzept – jeden Monat ein neues E-Learning plus jeden Monat eine neue Phishing-Simulation, mit Klickraten-Auswertung im Admin-Bereich.

Entwicklung und Hosting finden in Deutschland statt, die Dokumentation ist auf rechtssichere Nachweise ausgelegt. Das Angebot ist auf Capterra gelistet und mehrfach ausgezeichnet (u. a. eLearning Award 2024, Comenius EduMedia 2024).

Wofür gemacht: Mittelständler, die kontinuierliche, monatliche Awareness-Routine mit einem breiten Modulkatalog kombinieren und dabei auf einen deutschen Anbieter setzen möchten.

Wofür weniger geeignet: Teams, die granulare, individuell adaptierende Simulationstiefe je Person und Kanal erwarten, wie sie die Security-Spezialisten bieten.

Awareness-Spezialist mit Fokus auf Simulation: Phished.io

Phished.io aus dem belgischen Leuven ist ein reiner Awareness-Spezialist ohne breite Lernplattform – auf Produktebene aber ein ernstzunehmender Gegenspieler beim Phishing-Modul selbst. Die Plattform ist stark automatisiert und KI-getrieben: Simulationen werden pro Person nach Verhalten, Rolle, Sprache und Risikoprofil angepasst, ein Prompt genügt, um eine Kampagne zu starten.

Der Behavioural Risk Score misst die Anfälligkeit je Person, Abteilung und Gesamtorganisation. Phished bietet über 4.500 Vorlagen, mehr als 300 Absender-Domains und über 25 Sprachen, ist ISO-27001-zertifiziert und DSGVO-konform aufgestellt. Für Managed Service Provider gibt es eine mandantenfähige Variante.

Wofür gemacht: IT-Security-Verantwortliche und MSPs, die eine hochautomatisierte, KI-gestützte Simulations-Engine mit tiefem Reporting suchen – ohne Anspruch auf einen breiten Schulungskatalog.

Wofür weniger geeignet: Unternehmen, die eine All-in-One-Lernplattform mit umfassendem Kurskatalog wollen. Bei Phished kauft man ein spezialisiertes Punktwerkzeug, keine übergreifende Lernumgebung. Als belgischer Anbieter fehlt zudem der spezifisch deutsche Rechts- und Content-Fokus.

Security-first-Plattformen: SoSafe, Hornetsecurity, G DATA und KnowBe4

Diese vier Anbieter kommen aus der IT-Sicherheit und adressieren primär Security-Verantwortliche.

SoSafe

SoSafe aus Köln ist einer der bekanntesten europäischen Anbieter und nach eigenen Angaben bei mehreren tausend Kunden im Einsatz. Die Plattform kombiniert KI-gestützte Phishing-Simulationen (E-Mail, Smishing, Vishing) mit über 30 verhaltenswissenschaftlich fundierten Micro-Learning-Modulen, Gamification und einem KI-Assistenten für Teams und Slack. Ein zentrales Dashboard zeigt den Awareness-Reifegrad in Echtzeit. SoSafe betont EU-Datenhaltung, Privacy-by-Design und ISO-27001-Zertifizierung – im deutschsprachigen Raum ein starker Referenzpunkt.

Wofür gemacht: Mittelständler bis Konzerne mit eigener IT-Sicherheit, die eine ausgereifte, verhaltensbasierte Awareness-Plattform mit hoher Simulationstiefe wollen.

Wofür weniger geeignet: Kleine Teams, die eine schlanke, HR-nahe Lösung mit breitem allgemeinem Schulungskatalog suchen, statt einer reinen Security-Awareness-Plattform.

Hornetsecurity

Hornetsecurity aus Hannover bietet den Security Awareness Service als Teil seines E-Mail-Security-Portfolios. Kern ist die patentierte, KI-gestützte Spear-Phishing-Engine kombiniert mit einer Awareness-Engine, die jedem Nutzenden bedarfsgerecht so viel Training zuweist wie nötig.
Der patentierte Employee Security Index (ESI®) macht Sicherheitsverhalten messbar und vergleichbar. Die Lösung ist tief in Microsoft 365 verankert – das Melden von Test-Mails läuft über ein Outlook-Add-in, und ein E-Mail-Whitelisting ist Voraussetzung.

Wofür gemacht: Unternehmen, die stark auf Microsoft 365 setzen und Awareness idealerweise gleich mit dem E-Mail-Security-Stack aus einer Hand beziehen wollen.

Wofür weniger geeignet: Organisationen ohne Microsoft-365-Fokus oder solche, die eine eigenständige Lernplattform mit breitem Kurskatalog jenseits der IT-Sicherheit brauchen.

G DATA

G DATA aus Bochum bringt sein Cyber-Defense-Erbe in die G DATA academy ein. Awareness-Trainings folgen einer dreistufigen Lernreise mit Storytelling und Gamification; die Phishing-Simulation läuft klassisch über eine vierwöchige Kampagne mit einer Test-Mail pro Woche und Kopf, gesteuert über das Tool „Awareness Manager“. Optional lässt sich eine eigene Auflösungsseite für Phishing-Links hinterlegen, und der Report unterstützt die ISO-27001-Zertifizierung. Die Inhalte fließen aus der täglichen Bedrohungsanalyse des Herstellers ein.

Wofür gemacht: KMU, die einem etablierten deutschen Security-Hersteller vertrauen und eine solide, überschaubare Kampagnenmechanik mit Made-in-Germany-Anspruch wollen.

Wofür weniger geeignet: Teams, die eine durchgehend automatisierte, individuell pro Person adaptierende Simulation oder eine breite Lernplattform erwarten.

KnowBe4

KnowBe4 aus Clearwater (Florida) ist der mit Abstand größte Anbieter weltweit – nach eigenen Angaben bei über 65.000 Organisationen im Einsatz. Die Stärke liegt in der schieren Breite: tausende Phishing-Vorlagen, über 1.000 Schulungsmodule inklusive der aufwendig produzierten Serie „The Inside Man“, der Phish-Alert-Button zum Melden, ein Virtual Risk Officer für Risiko-Scores und umfangreiche Reporting-APIs. Für global aufgestellte Konzerne mit vielen Sprachen ist das Angebot kaum zu schlagen.

Wofür gemacht: Große, international agierende Organisationen mit eigenem Security-Team, die maximale Vorlagen- und Content-Breite sowie ausgereifte Automatisierung suchen.

Wofür weniger geeignet: DACH-Mittelständler mit hohen Datenschutzanforderungen. Als US-Anbieter mit US-Datenhaltung erfordert KnowBe4 zusätzliche rechtliche Schritte (siehe nächster Abschnitt) und bringt keinen spezifisch deutschen Rechts- und Content-Fokus mit.

Wie datenschutzkonform sind US-Anbieter im DACH-Raum?

Bei Phishing-Simulationen werden personenbezogene Daten verarbeitet – wer wann auf welche Test-Mail geklickt hat. Damit wird der Datenstandort zum harten Auswahlkriterium.

Von den acht verglichenen Phishing-Simulation-Anbietern sind sieben in der EU beheimatet, sechs davon in Deutschland (reteach, Hugo Learn, CyberXperts, SoSafe, Hornetsecurity, G DATA), einer in Belgien (Phished.io). KnowBe4 ist der einzige Anbieter mit Hauptsitz und Datenhaltung in den USA. Nach der Schrems-II-Rechtsprechung des Europäischen Gerichtshofs erfordert die Nutzung eines US-Dienstleisters im Regelfall zusätzliche Schritte: eine Datenschutz-Folgenabschätzung, ein Transfer Impact Assessment und Standardvertragsklauseln. Dieser Mehraufwand entfällt bei Anbietern mit reiner EU- oder Deutschland-Verarbeitung.

Für den deutschen Mittelstand ist das mehr als eine Formalie. Ein Anbieter, der von Anfang an auf Deutschland-Hosting, deutsche Vertragsgestaltung und deutsche Inhalte setzt, senkt den Prüf- und Dokumentationsaufwand erheblich. reteach ist hier klar positioniert: in Deutschland gehostet, datenschutzfreundlich gestaltet und mit einer auditfähigen Dokumentation, die als Nachweisbeitrag für NIS2, ISO 27001 und TISAX dient. Die Verantwortung für die Compliance verbleibt dabei stets beim Unternehmen – kein seriöser Anbieter kann sie abnehmen.

Weiterführend: Das BSI nennt Security Awareness ausdrücklich als Bestandteil eines angemessenen Risikomanagements, und der ENISA Threat Landscape dokumentiert Jahr für Jahr, dass Phishing zu den häufigsten initialen Angriffsvektoren zählt.

Was bedeutet die Mitbestimmung des Betriebsrats für Phishing-Simulationen?

Ein Punkt, der in Vergleichslisten oft fehlt, im deutschen Mittelstand aber regelmäßig zum Show-Stopper wird: die Mitbestimmung des Betriebsrats. Eine Phishing-Simulation kann personenbezogenes Klickverhalten auswerten und gilt damit als technische Einrichtung, die geeignet ist, Verhalten zu überwachen. In Unternehmen mit Betriebsrat greift dann § 87 Abs. 1 Nr. 6 BetrVG – eine Betriebsvereinbarung ist erforderlich.

Praktisch heißt das: Das Tool muss so konfigurierbar sein, dass Auswertungen auf Abteilungsebene aggregiert werden und nicht jede einzelne Person zentral nachverfolgt wird. Anbieter gehen damit unterschiedlich um. Hugo Learn etwa liefert eine Muster-Betriebsvereinbarung mit und aggregiert Klickraten auf Abteilungsebene.

reteach bildet diese Anforderung direkt im Produkt ab – über zwei Reporting-Modi:

• Mode A (individuell): volle Sicht je Person, mit Namen, Klickhistorie und Risikostufe.
• Mode B (aggregiert): Daten ausschließlich auf Abteilungsebene, ohne Einzeltracking – gedacht für Organisationen, in denen Betriebsrats- oder rechtliche Vereinbarungen ein individuelles Monitoring ausschließen.

Damit lässt sich dasselbe Awareness-Programm sowohl in Unternehmen ohne Betriebsrat als auch in mitbestimmten Organisationen betreiben, ohne den Anbieter wechseln zu müssen.

Fazit: Welcher Phishing-Simulation-Anbieter passt zu wem?

Es gibt nicht den einen besten Phishing-Simulation-Anbieter, sondern den passenden für die jeweilige Ausgangslage.

Wer eine hochspezialisierte Simulations-Engine mit maximaler Tiefe, mehreren Angriffskanälen und großer Vorlagenbibliothek sucht und ein eigenes Security-Team hat, ist bei SoSafe, Phished.io oder – für internationale Konzerne – KnowBe4 gut aufgehoben. Wer stark auf Microsoft 365 setzt, sollte Hornetsecurity prüfen; wer einem etablierten deutschen Security-Hersteller vertraut, G DATA.

Für den DACH-Mittelstand, der Awareness nicht isoliert betreibt, sondern als Teil eines übergreifenden Schulungsprogramms – mit Datenschutz-, Arbeitsschutz- und Compliance-Themen in einem einzigen System – sind die Lernplattformen mit integrierter Simulation die naheliegende Wahl.

Innerhalb dieser Gruppe punktet reteach mit der Kombination aus über 500 fertigen Kursen, automatisierter Phishing-Simulation, personalisierter Aufklärungsseite, Deutschland-Hosting und – als klares Alleinstellungsmerkmal – den zwei Reporting-Modi für den Betrieb mit und ohne Betriebsrat. Hugo Learn ist die schlanke Wahl für kleinere Unternehmen mit starkem Datenschutz- und Beratungsfokus, CyberXperts die Alternative für alle, die Wert auf eine feste monatliche Awareness-Routine legen.

Ehrlich bleibt: Wer die tiefste, individuell adaptierende Angriffssimulation über alle Kanäle braucht, wird bei den Security-Spezialisten fündig. Für die meisten mittelständischen HR- und IT-Teams zählt jedoch die Summe aus einfacher Einführung, breitem Katalog, deutschem Datenschutz und einem auditfähigen Nachweis in einem System – und genau dort spielt reteach Phishing Awareness seine Stärke aus.

Mehr zum Modul: reteach Phishing Awareness · Weitere Plattformvergleiche im LMS-Vergleich.

Häufig gestellte Fragen