Wirksamkeit von Awareness-Schulungen: Simulation vs. klassische Schulung

Die Frage klingt einfach: Bringt eine Phishing-Simulation mehr als eine klassische Awareness-Schulung? In Anbieterpräsentationen fällt die Antwort eindeutig aus, in der Forschung nicht. Mehrere große Feldstudien mit zusammen mehr als 34.000 Beschäftigten kommen zu einem unbequemen Ergebnis: Beide Formate verändern das Klickverhalten deutlich weniger, als die Branche annimmt – und eines von beiden kann in der üblichen Umsetzung sogar nach hinten losgehen.

Dieser Beitrag fasst die Studienlage zusammen, ordnet ein, was daraus für die Praxis folgt, und benennt die Kennzahlen, mit denen sich die Wirksamkeit einer Awareness-Schulung überhaupt seriös beurteilen lässt.

Was sagt die Studienlage zur Wirksamkeit von Awareness-Schulungen?

Die belastbarsten Erkenntnisse kommen aus Feldstudien in echten Organisationen über viele Monate – nicht aus Laborexperimenten mit Studierenden und nicht aus Anbieterstatistiken. Sechs Arbeiten zur Wirksamkeit von Awareness-Schulungen prägen die aktuelle Diskussion:

Auffällig ist die Richtung der Zeitachse: Die frühen Arbeiten fanden Effekte, die großen aktuellen Feldstudien finden kaum welche. Eine Reproduktionsstudie in einem Fintech-Unternehmen kam 2026 erneut zu begrenztem Nutzen interaktiver Übungen und nutzte dafür die NIST Phish Scale, um Schwierigkeitsgrade vergleichbar zu machen.

Wirkt eine klassische Jahresschulung?

Für den Aufbau von Wissen ja, für die Veränderung des Klickverhaltens kaum. Das ist der klarste Befund der jüngeren Forschung.

Die Studie von Ho und Kollegen an einer großen Gesundheitsorganisation prüfte genau diese Frage in einem randomisierten Design über acht Monate: Personen, die die verpflichtende Jahresschulung kürzlich absolviert hatten, fielen in den Simulationen nicht signifikant seltener auf Phishing herein als andere. Eine Nebenauswertung zeigt eine Nuance: Wer zugewiesene Trainings tatsächlich abschloss, schnitt später besser ab als Personen, die sie begonnen und nicht beendet hatten. Der Abschluss selbst ist also nicht wertlos – der große Schutzeffekt bleibt aber aus.

Warum das plausibel ist: Eine 45-minütige Einheit einmal im Jahr kämpft gegen zwei Effekte. Erstens verfällt Wissen, wie der Abschnitt zur Haltbarkeit zeigt. Zweitens ist Phishing-Erkennung keine Frage des in einer Awareness-Schulung vermittelten Wissens, sondern eine Aufmerksamkeitsfrage im Arbeitsfluss – und Aufmerksamkeit lässt sich nicht auf Vorrat schulen.

Für Nachweispflichten nach NIS2, ISO 27001 oder TISAX bleibt die dokumentierte Awareness-Schulung dennoch relevant. Sie erfüllt einen anderen Zweck als Verhaltensänderung, und diese beiden Zwecke sollten nicht miteinander verrechnet werden.

Wirken Phishing-Simulationen mit eingebetteter Aufklärung?

Hier ist die Studienlage am unbequemsten. Die 15-Monats-Studie der ETH Zürich mit über 14.000 Beschäftigten fand, dass eingebettetes Training in der branchenüblichen Form die Belegschaft nicht widerstandsfähiger machte – und Nebenwirkungen hatte, die Beschäftigte anfälliger machen können. Über die Laufzeit stieg zudem der Anteil der Personen, die mindestens einmal geklickt hatten: Wer lange genug beschossen wird, klickt irgendwann.

Die Untersuchung an der Gesundheitsorganisation kam unabhängig davon zu einem ähnlich nüchternen Bild: Der absolute Unterschied in den Fehlerraten zwischen Personen mit und ohne eingebettetes Training war sehr klein, über verschiedene Trainingsinhalte hinweg. Und die meisten Beschäftigten verbrachten nur minimale Zeit mit dem Material, das nach dem Klick erschien.

Zwei weitere Befunde aus der ETH-Studie verdienen Aufmerksamkeit, weil sie die Zielgruppenauswahl betreffen: Besonders anfällig waren Personen, die täglich mit spezialisierter Software repetitive Aufgaben erledigen – nicht die Gruppe, die man intuitiv zuerst schult. Und Warnhinweise direkt an der E-Mail gehörten zu den Maßnahmen mit klar belegter Wirkung.

Das ist kein Argument gegen Simulationen. Es ist ein Argument gegen die Erwartung, dass eine Simulation mit anschließender Erklärseite von sich aus Verhalten ändert.

Wodurch wirkt eine Simulation dann überhaupt?

Durch die Erinnerung, nicht durch die Belehrung. Genau das hat die 2024 auf der ACM CCS ausgezeichnete Arbeit von Lain und Kollegen herausgearbeitet: Die Wirkung eingebetteter Aufklärung entsteht aus dem Nudging-Effekt – der wiederkehrenden Erinnerung daran, dass die Bedrohung existiert. Der eigentliche Inhalt der Aufklärungsseite wird selten konsumiert, weil Beschäftigte keine Zeit haben und den Nutzen als gering einschätzen.

Für die Praxis folgt daraus etwas sehr Konkretes:

• Frequenz schlägt Tiefe. Vier kurze Kontakte im Jahr wirken als Erinnerung besser als ein ausführlicher Kurs.
• Die Aufklärungsseite muss kurz sein. Drei Sätze, die den entscheidenden Hinweis nennen, werden gelesen. Zwei Bildschirmseiten Didaktik nicht.
• Sanktionsfreiheit ist Bedingung. Wer eine Simulation als Test inszeniert, kauft sich Misstrauen ein, ohne den Erinnerungseffekt zu verstärken.
• Der Nutzen liegt auch im Prozess. Eine Welle übt den Meldeweg und zeigt der IT, wie schnell Hinweise eintreffen. Die ETH-Studie belegt, dass Hinweise aus der Belegschaft neue Kampagnen schnell sichtbar machen und der organisatorische Aufwand dafür tragbar bleibt.

Wie lange hält der Effekt einer Awareness-Schulung an?

Der Effekt einer Awareness-Schulung hält etwa vier bis sechs Monate – danach ist er nicht mehr messbar. Diese Zahl ist die praktisch nützlichste der ganzen Studienlage.

Reinheimer und Kollegen begleiteten eine deutsche Behörde mit 409 Teilnehmenden über ein halbes Jahr. Direkt nach der Awareness-Schulung und nach vier Monaten erkannten die Beschäftigten Phishing- und legitime E-Mails signifikant besser als vorher. Nach sechs Monaten war dieser Vorteil verschwunden. Eine Anschlussuntersuchung präzisierte das Intervall: Nach fünf Monaten war die Leistung noch signifikant besser, die Auffrischung sollte also näher an sechs Monaten liegen als an vier.

Ebenso wichtig ist der zweite Teil dieser Studie: Nicht jede Auffrischung wirkt gleich gut. Maßnahmen mit Videos und interaktiven Beispielen hielten mindestens weitere sechs Monate. Reine Textmaterialien schnitten schlechter ab.

Damit ergibt sich ein Rhythmus, der sich aus der Forschung ableiten lässt und nicht aus Gewohnheit: eine substanzielle Einheit, danach halbjährlich eine kurze, möglichst interaktive Auffrischung – und zwischendurch Simulationswellen als Erinnerung.

Simulation oder klassische Schulung: Was ist wann sinnvoll?

Die Formate konkurrieren nicht, sie leisten Unterschiedliches:

Die praktische Reihenfolge ist damit vorgegeben: technische Maßnahmen zuerst, dann kurze Grundlagen für alle, dann halbjährliche Auffrischung, dann Simulationswellen als Erinnerung. Wer diese Reihenfolge umdreht und die Awareness-Schulung hinter die Simulation stellt, investiert in die Maßnahme mit der schwächsten Einzelevidenz.

Wie sich das über die ersten Monate verteilen lässt, beschreibt der Beitrag zum Awareness-Programm einführen. Aufbau und Auswertung von Wellen behandelt der Beitrag zur Phishing-Simulation.

Welche Kennzahlen sind belastbar?

Die meisten Zahlen, die in Awareness-Berichten auftauchen, sind Momentaufnahmen und lassen sich durch die Wahl des Szenarios beliebig verschieben. Belastbar wird eine Kennzahl erst durch Zeitreihe und vergleichbare Schwierigkeit.

Drei Regeln machen den Unterschied zwischen Reporting und Selbsttäuschung. Erstens: Schwierigkeitsgrad dokumentieren – ein leichtes Szenario senkt die Klickrate, ohne dass sich etwas verbessert hat. Die NIST Phish Scale ist dafür ein etablierter Rahmen. Zweitens: aggregiert berichten – personenbezogene Auswertungen sind selten notwendig und beschädigen das Vertrauen. Drittens: Wissen und Verhalten getrennt ausweisen, weil die Studienlage zeigt, dass das eine das andere nicht mitbringt.

Welche Grenzen hat die Studienlage?

Wer die Befunde nutzt, sollte auch ihre Reichweite kennen:

• Einzelne Organisationen. Die großen Feldstudien stammen aus jeweils einem Unternehmen, einer Klinik oder einer Behörde. Branche, Kultur und technische Ausstattung beeinflussen die Ergebnisse.
• Unterschiedliche Trainingsqualität. „Eingebettetes Training“ bezeichnet in den Studien das, was im jeweiligen Unternehmen eingesetzt wurde – nicht ein didaktisches Optimum.
• Klickrate als Ersatzgröße. Gemessen wird das Verhalten in Simulationen, nicht der tatsächliche Schaden durch echte Angriffe.
• Freiwilligkeit. In mehreren Studien war die Teilnahme an der Untersuchung optional, was zu Selbstselektion führen kann.
• Zeitliche Tiefe. Sechs Monate Beobachtung sagen wenig über den Aufbau einer Sicherheitskultur über mehrere Jahre.

Die vorsichtige Formulierung lautet deshalb: Die Erwartung, dass Schulung und Simulation die Klickrate deutlich senken, ist empirisch nicht gedeckt. Das heißt nicht, dass Awareness-Schulungen wirkungslos sind – es heißt, dass ihre Wirkung anders zustande kommt als in der Vermarktung behauptet.

Was folgt daraus für die Praxis?

Sechs Konsequenzen, die sich direkt aus den Befunden ableiten:

1. Technische Maßnahmen zuerst. Warnbanner, Filter und Mehr-Faktor-Authentifizierung wirken unabhängig von Tagesform. Awareness ergänzt sie, ersetzt sie nicht.
2. Formate kürzen, Frequenz erhöhen. Statt einer jährlichen Awareness-Schulung eine kurze Grundlage plus halbjährliche Auffrischung mit Video oder interaktivem Beispiel.
3. Simulation als Erinnerung planen, nicht als Prüfung. Mehrere Wellen pro Jahr, kurze Aufklärung im Klick-Moment, keine Sanktionen, keine Namen.
4. Auf Meldewege und Prozesse setzen. Der belegte organisatorische Nutzen liegt darin, dass Hinweise aus der Belegschaft laufende Kampagnen schnell sichtbar machen.
5. Zielgruppen nach Risiko wählen, nicht nach Vermutung. Rollen mit repetitiver Arbeit an spezialisierter Software gehören dazu – ebenso Bereiche mit Zahlungsfreigaben.
6. Wissen und Verhalten getrennt messen und Kennzahlen immer über mehrere Wellen mit dokumentiertem Schwierigkeitsgrad betrachten.

Fazit und nächste Schritte

Die ehrliche Antwort auf die Ausgangsfrage: Keines der beiden Formate senkt die Klickrate so, wie es Anbieterunterlagen nahelegen. Die klassische Awareness-Schulung baut Wissen auf, das nach etwa einem halben Jahr verfällt. Die Simulation wirkt vor allem als wiederkehrende Erinnerung – und diese Wirkung stammt aus der Regelmäßigkeit, nicht aus dem Text auf der Aufklärungsseite.

Wer das akzeptiert, kommt zu einem anderen Programmdesign: kurze Einheiten in kurzen Abständen, Simulationen als Taktgeber, technische Maßnahmen als Fundament und Kennzahlen, die über mehrere Wellen hinweg gelesen werden.

Ihre nächsten drei Schritte:

1. Prüfen, wann die letzte Auffrischung der Awareness-Schulung stattgefunden hat – liegt sie mehr als sechs Monate zurück, ist der messbare Effekt vermutlich weg.
2. Den Jahreskurs in eine kurze Grundlage plus halbjährliche Auffrischung aufteilen, statt ihn zu verlängern.
3. Für die nächste Simulationswelle den Schwierigkeitsgrad dokumentieren, damit die Klickrate mit der vorherigen Welle vergleichbar ist.

Die reteach Lernplattform ist DSGVO-konform und unterstützt genau diesen Rhythmus: kurze Module, automatische Zuweisung nach Zielgruppen, hinterlegte Wiederholungsintervalle und auswertbare Nachweise. reteach Phishing Awareness ist eine eigenständige Komplettlösung aus Lerninhalten und Simulationen mit einer kurzen Aufklärungsseite im Klick-Moment, datenschutzfreundlich gestaltet und auditfähig dokumentiert – als Nachweisbeitrag für NIS2, ISO 27001 und TISAX.

Häufig gestellte Fragen