Phishing-Simulation im Betrieb: Lizenz, Ablauf und faire Spielregeln

Eine Phishing-Simulation schickt Ihren Beschäftigten harmlose, aber realistisch gestaltete Phishing-Mails und zeigt anschließend, wer geklickt, wer Zugangsdaten eingegeben und wer die Nachricht gemeldet hat. In Microsoft 365 heißt das Werkzeug dafür Angriffssimulationstraining und sitzt im Microsoft Defender-Portal. Es setzt laut Microsoft eine Lizenz Microsoft Defender for Office 365 Plan 2 oder Microsoft 365 E5 voraus; Microsoft 365 Business Premium enthält nur Plan 1 und damit diese Funktion nicht, ein Add-on oder eine 90-tägige Testversion schließt die Lücke. Der Europäische Cybersicherheitsmonat im Oktober, den in Deutschland das Bundesamt für Sicherheit in der Informationstechnik (BSI) koordiniert, ist ein passender Anlass für den ersten Durchlauf. Entscheidend für den Erfolg sind weniger die Technik als die Spielregeln: Belegschaft vorab informieren, niemanden bloßstellen, die Meldequote statt der Klickrate zum Maßstab machen.

Warum simulieren statt nur schulen

Das BSI fasst die Ausgangslage in einem Satz zusammen: „IT-Sicherheit ist so gut, wie der Mensch der die Systeme bedient.“ Die Behörde versteht Beschäftigte dabei ausdrücklich nicht als Sicherheitslücke, sondern als Abwehrschirm gegen Angriffe. Damit dieser Schirm hält, empfiehlt das BSI in seinen Tipps für mehr Awareness praxisnahe Maßnahmen: reale Beispiele aus dem eigenen Unternehmen, spielerische Formate wie Quiz oder Escape Room und Phishing-Simulationen, mit denen Mitarbeitende lernen, verdächtige E-Mails selbst zu erkennen.

Der Unterschied zur reinen Schulung liegt im Moment der Entscheidung. Wer eine Präsentation über Phishing gesehen hat, weiß in der Theorie Bescheid. Wer zwischen zwei Terminen eine plausible Mail vom vermeintlichen Paketdienst im Posteingang hat, entscheidet unter Zeitdruck, und genau das übt die Simulation. Sie zeigt außerdem, ob der Meldeweg funktioniert: Erreichen verdächtige Mails die IT, oder werden sie stillschweigend gelöscht? Welche Erkennungsregeln heute noch tragen, seit Angreifer fehlerfreie Texte mit KI schreiben, haben wir im Beitrag KI-Phishing erkennen beschrieben.

Die Lizenzfrage ehrlich beantwortet

Microsoft beschreibt Defender for Office 365 als Stufenleiter. Die Grundfunktionen für alle Postfächer in der Cloud gibt es in jedem Plan. Plan 1 ergänzt Schutzfunktionen wie sichere Anlagen, sichere Links und den Schutz vor Identitätswechsel und ist laut Microsoft in Microsoft 365 Business Premium enthalten. Plan 2 fügt unter anderem das Angriffssimulationstraining, Threat Explorer und die automatisierte Untersuchung hinzu und steckt in Plänen wie Microsoft 365 E5. In der Dokumentation heißt es eindeutig: Das Angriffssimulationstraining erfordert eine Lizenz Microsoft 365 E5 oder Microsoft Defender for Office 365 Plan 2.

Für einen Betrieb mit Business Premium bedeutet das: Die Simulation gibt es nicht kostenlos dazu. Drei Wege sind realistisch:

• Defender for Office 365 Plan 2 als Add-on für die Konten, die geschützt werden sollen; Microsoft nennt das Add-on als Option für viele Abonnements mit Cloud-Postfächern.
• Die 90-tägige Testversion von Defender for Office 365 Plan 2 im Defender-Portal, um eine erste Kampagne zu fahren und dann zu entscheiden.
• Ein spezialisierter Anbieter für Awareness-Training mit eigener Simulationsplattform, unabhängig von Microsoft.

Ein Hinweis aus der Dokumentation für Tenants mit Datenstandort Deutschland: Microsoft führt die Region DEU als eine der neuesten Ergänzungen und schreibt, dass dort alle Funktionen außer der Telemetrie zu gemeldeten E-Mails verfügbar sind. Prüfen Sie vor dem Start, ob die Meldeauswertung in Ihrem Tenant bereits funktioniert. Einen Überblick, was in Basic, Standard und Premium steckt, gibt unser Vergleich der Business-Pläne.

So läuft eine Kampagne im Angriffssimulationstraining ab

Sie finden die Funktion im Microsoft Defender-Portal unter „E-Mail und Zusammenarbeit“ und dort unter „Training zur Angriffssimulation“. Der Assistent führt laut Microsoft durch folgende Schritte:

1. Technik wählen. Zur Auswahl stehen unter anderem das Abgreifen von Anmeldedaten über eine gefälschte Anmeldeseite, ein Anhang mit simulierter Schadsoftware, ein Link in einer Anlage, ein Link zu Schadsoftware auf einer bekannten Dateiplattform, eine präparierte Webseite (Drive-by URL) und die Zustimmungsanfrage einer bösartigen App (OAuth). Der Link kann laut Microsoft eine URL oder ein QR-Code sein; wie Phishing per QR-Code funktioniert, zeigt unser Beitrag zu Quishing.
2. Nutzlast auswählen. Microsoft liefert fertige Vorlagen, etwa Paketbenachrichtigung, Kontoproblem oder Gewinnversprechen, die sich kopieren und anpassen lassen. Für Anmeldeseiten gibt es ebenfalls Vorlagen.
3. Zielgruppe festlegen. Entweder alle Nutzer der Organisation oder bestimmte Personen und Gruppen; einzelne Personen lassen sich im nächsten Schritt ausschließen.
4. Schulung zuweisen. Wer klickt oder Daten eingibt, bekommt Trainingsmodule zugewiesen. Als Frist stehen laut Microsoft 30, 15 oder 7 Tage nach Ende der Simulation zur Wahl, Standard sind 30 Tage.
5. Zielseite bestimmen. Sie erscheint, wenn jemand die Nutzlast öffnet, und erklärt sofort, dass es sich um eine Übung handelt und woran die Mail zu erkennen war.
6. Benachrichtigungen wählen. Neben Zuweisung und Erinnerung gibt es eine Benachrichtigung zur positiven Bestärkung für alle, die die Mail gemeldet haben.
7. Start festlegen. Sofort oder zu einem geplanten Zeitpunkt, mit einem Enddatum, nach dem keine Interaktionen mehr erfasst werden.

Nach dem Lauf zeigt der Bericht, wer die Nachricht gelöscht, gemeldet, den Anhang oder Link geöffnet, Anmeldedaten eingegeben und die Schulung abgeschlossen hat. Zusätzlich lassen sich laut Microsoft Trainingskampagnen ohne Simulation vergeben, etwa als monatliche Auffrischung, und Anleitungen direkt in den Posteingang stellen, zum Beispiel zum Melden von Phishing.

Der Meldebutton als eigentliches Erfolgsmaß

Die Klickrate ist die Zahl, auf die alle schauen, aber sie ist der schlechtere Maßstab. Sie schwankt mit der Schwierigkeit der Vorlage, mit der Tageszeit und mit der Abteilung. Aussagekräftiger ist, wie viele Beschäftigte die Mail melden, und wie schnell. Eine gemeldete Simulation bedeutet, dass die Person das Muster erkannt hat und den Meldeweg kennt. Im Ernstfall gewinnt die IT damit die Minuten, die zwischen einem einzelnen Klick und einem Vorfall im ganzen Unternehmen entscheiden.

Damit das funktioniert, muss das Melden einfach sein. Outlook bringt dafür die integrierte Schaltfläche „Melden“ mit; die früheren Add-ins „Nachricht melden“ und „Phishing melden“ befinden sich laut Microsoft im Wartungsmodus und werden auslaufen. Wohin die Meldungen gehen, ob an Microsoft, an ein internes Postfach oder an beide, legt der Administrator im Defender-Portal in den Einstellungen für gemeldete Nachrichten fest. Sorgen Sie dafür, dass jemand diese Meldungen liest und den Meldenden kurz antwortet. Das BSI formuliert als zweiten Awareness-Tipp genau das: Beschäftigte sollen das gute Gefühl haben, dass eine Rückfrage an die IT zu einer verdächtigen Mail keinen zusätzlichen Aufwand verursacht.

Faire Spielregeln, die den Lerneffekt sichern

Eine Simulation, die Menschen vorführt, erzeugt Angst, und Angst führt dazu, dass Klicks künftig verschwiegen werden. Genau das Gegenteil ist das Ziel. Bewährt haben sich fünf Regeln:

• Vorab informieren. Kündigen Sie an, dass im Laufe des Jahres Simulationen stattfinden, ohne Datum und ohne Vorlage zu verraten. Die Übung soll den Alltag treffen, nicht das Vertrauen.
• Keine Einzelauswertung an Vorgesetzte. Ergebnisse werden nach Abteilungen oder Standorten betrachtet, nicht nach Namen. Wer geklickt hat, erhält sein Training persönlich und diskret.
• Keine Sanktionen. Ein Klick in der Simulation hat keine arbeitsrechtlichen Folgen. Wer das anders handhabt, bekommt keine Meldungen mehr, weder in der Übung noch im Ernstfall.
• Betriebsrat einbeziehen. Nach § 87 Absatz 1 Nummer 6 des Betriebsverfassungsgesetzes hat der Betriebsrat bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Ob und wie das auf Ihre Simulation zutrifft, klären Sie mit dem Betriebsrat und im Zweifel mit rechtlicher Beratung; dieser Beitrag ersetzt keine Rechtsberatung.
• Realistisch, aber nicht gemein. Keine Vorlagen zu Kündigungen, Gehaltskürzungen, Krankheit oder Todesfällen. Solche Köder funktionieren, zerstören aber das Vertrauen in die Übung.

Als Ergänzung zur Simulation gehört ein kurzer Leitfaden ins Unternehmen, was nach einem echten Klick zu tun ist. Wir haben ihn im Beitrag Phishing-Link angeklickt: die ersten 30 Minuten zusammengestellt.

Häufige Fragen

Reicht Microsoft 365 Business Premium für eine Phishing-Simulation?

Nein. Business Premium enthält laut Microsoft Defender for Office 365 Plan 1, das Angriffssimulationstraining gehört aber zu Plan 2. Sie brauchen entweder das Add-on Plan 2, die 90-tägige Testversion oder eine Simulationsplattform eines anderen Anbieters. Die Schutzfunktionen von Plan 1 wie sichere Links und sichere Anlagen bleiben davon unberührt und sollten unabhängig von der Simulation aktiv sein.

Wie oft sollten wir simulieren?

Häufiger als einmal, seltener als wöchentlich. Ein Rhythmus von einem Durchlauf pro Quartal mit wechselnden Techniken hat sich bewährt, ergänzt um kurze Trainingskampagnen zwischendurch. Microsoft bietet dafür Simulationsautomatisierungen, die mehrere Techniken kombinieren und selbst planen. Wichtiger als die Frequenz ist, dass die Ergebnisse besprochen werden und der Meldeweg funktioniert.

Welche Klickrate ist normal?

Diese Frage lässt sich seriös nicht mit einer Zahl beantworten. Die Quote hängt von der Vorlage, der Zielgruppe und dem Zeitpunkt ab, und veröffentlichte Werte von Anbietern sind nicht auf Ihren Betrieb übertragbar. Vergleichen Sie deshalb nur mit sich selbst: dieselbe Technik, ein halbes Jahr später, und dazu die Entwicklung der Meldequote. Microsoft blendet in der Nutzlastauswahl zwar eine vorhergesagte Kompromittierungsrate ein, sie dient aber der Wahl einer angemessen schweren Vorlage, nicht als Zeugnis für Ihr Team.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH begleitet kleine und mittlere Unternehmen im Raum Karlsruhe und bundesweit bei Awareness-Training und Phishing-Simulationen: Wir prüfen Ihre Lizenzen, richten das Angriffssimulationstraining oder eine passende Alternative ein, konfigurieren den Meldebutton samt Auswertung und erstellen mit Ihnen die Kommunikation an die Belegschaft und die Spielregeln für die Auswertung. Die Ergebnisse besprechen wir gemeinsam und leiten daraus die nächsten Schritte ab, technisch wie organisatorisch. In einem kostenlosen Erstgespräch klären wir, welcher Weg zu Ihrer Größe und Ihrem Plan passt. Rufen Sie uns an oder schreiben Sie an info@h5m.de. Wie unser Awareness-Training aufgebaut ist, lesen Sie auf der Leistungsseite.

Quellen

• Microsoft Learn, Erste Schritte mit dem Angriffssimulationstraining (Lizenzvoraussetzung, Techniken, Regionen), Stand 03.07.2026, https://learn.microsoft.com/de-de/defender-office-365/attack-simulation-training-get-started
• Microsoft Learn, Simulate a phishing attack with Attack simulation training (Ablauf des Assistenten, Schulungsfristen, Berichte), Stand 15.06.2026, https://learn.microsoft.com/en-us/defender-office-365/attack-simulation-training-simulations
• Microsoft Learn, Why do I need Microsoft Defender for Office 365? (Plan 1 in Business Premium, Plan 2 mit Angriffssimulationstraining), Stand 21.05.2026, https://learn.microsoft.com/en-us/defender-office-365/mdo-about
• Microsoft Learn, Transition from Report Message or the Report Phishing add-ins (integrierte Schaltfläche Melden), Stand 03.07.2026, https://learn.microsoft.com/en-us/defender-office-365/submissions-users-report-message-add-in-configure
• Bundesamt für Sicherheit in der Informationstechnik, Themenseite Awareness (Sicherheitsfaktor Mensch) samt Unterseite mit drei Tipps für mehr Awareness, abgerufen 05.09.2026, https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Faktor-Mensch/Awareness/awareness_node.html
• Bundesamt für Sicherheit in der Informationstechnik, European Cybersecurity Month (ECSM), abgerufen 05.09.2026, https://www.bsi.bund.de/DE/Service-Navi/Veranstaltungen/ECSM/ecsm_node.html