Phishing-Simulation
Sichere Simulationen Teachable Moments Messbare Risikoreduktion

Phishing-Simulation für Unternehmen —
sicher, messbar, lernorientiert.

Führen Sie realistische Phishing-Simulationen mit klaren Sicherheitsgrenzen durch: keine echten Zugangsdaten, keine gefährlichen Anhänge, keine unkontrollierten Redirects. Mitarbeitende lernen im Moment des Klicks — messbar, fair und auditierbar.

Demo anfragen So funktioniert es
Simulation
Absender geprüft IT Service Desk

Passwort läuft heute ab

Bitte bestätigen Sie Ihre Anmeldung, um den Zugriff auf Microsoft 365 nicht zu verlieren.

Sicherer Simulationslink
Dringlichkeit Login-Kontext Absender-Imitation
Teachable Moment Woran war die Mail erkennbar?
  • Ungewöhnlicher Zeitdruck
  • Link-Ziel passt nicht zur Domain
  • Keine echten Zugangsdaten erfasst

Human Risk Management

Das größte Einfallstor ist menschlich — und veränderbar.

Die meisten erfolgreichen Angriffe beginnen mit einer E-Mail — nicht, weil Technik versagt, sondern weil ein Mensch unter Zeitdruck klickt. Eine Pflichtschulung alle zwölf Monate erzeugt ein Häkchen in der Checkliste, aber kein verändertes Verhalten.

Aronion behandelt das als Human Risk Management: Verhalten messen, im Moment des Klicks erklären und gezielt nachschulen — wiederholt, fair und auditierbar. So sinkt das reale Risiko über die Zeit, statt einmalig dokumentiert zu werden.

Klickrate je Kampagnenzyklus Ziel < 3 %
31 % 17 % 8 % < 3 % Zyklus 1 2 3 4
Illustrativer Verlauf. Die realen Werte je Kampagne — Versendet, Klickrate, Melderate und Risiko-Score — sehen Sie im Reporting.

Human Risk Management

Risiko wird pro Person messbar — und fair behandelt.

Aronion bewertet nicht nur die Kampagne als Ganzes, sondern das Verhalten jedes Einzelnen über die Zeit: wer öffnet, klickt, Daten eingibt oder eine verdächtige Mail meldet. Daraus entsteht ein nachvollziehbarer Risiko-Score und eine klare Einstufung — von niedrig bis kritisch. Ziel ist gezielte Förderung, nicht Bloßstellung.

Woraus sich das Risiko ergibt

  • Klickrate Wie oft eine Person dem Simulationslink gefolgt ist.
  • Melderate Wie zuverlässig verdächtige Mails aktiv gemeldet werden.
  • Dateneingabe Versuche, Daten auf einer Simulationsseite einzugeben.
  • Risiko-Score Gewichtetes Ergebnis je Person über alle Kampagnen hinweg.

Einstufung je Person

Niedrig Mittel Hoch Kritisch

Wer wiederholt klickt oder Daten eingibt, wird als Wiederholungstäter erkannt und erhält gezielte Nachschulung — datenschutzbewusst und nur für berechtigte Rollen sichtbar.

Teilnehmer-Risikoprofil Kampagne Q2 · Gruppe Verwaltung
Klickrate17 %
Melderate46 %
Risiko-Score38 / 100
Person Klicks Eingaben Meldungen Einstufung
Sarah K. 004 Niedrig
Jonas R. 101 Mittel
Max M. · Wiederholungstäter 210 Hoch
L. Brandt · Wiederholungstäter 320 Kritisch

Beispielhafte Darstellung. Die Sichtbarkeit personenbezogener Auswertungen ist rollen- und datenschutzabhängig steuerbar.

Landing Pages

Drei Interaktionsarten. Eine Sicherheitsgrenze.

Die Landing Page entscheidet, ob eine Simulation nur erklärt, ein Formularsignal misst oder eine Login-Situation abbildet. Aronion trennt diese Modi bewusst: realistisch genug für Lernwirkung, aber ohne echte Zugangsdaten oder gefährliche Weiterleitungen.

login.simulation.aronion.de
Nach dem Signal Lernmoment statt Bloßstellung

Die Erklärung zeigt, woran die Situation erkennbar war und welche Entscheidung sicherer gewesen wäre.

Plattform-Funktionen

Vom Aufsetzen bis zur Meldung — ein kontrollierter Ablauf.

Jede Simulation besteht aus geprüften Bausteinen: E-Mail-Vorlage, freigegebener Absender, Zielgruppe und Landing Page. Nach dem Start bleibt jedes Ereignis nachvollziehbar — vom Versand über das Öffnen bis zur Meldung.

Kampagne · Q2 Verwaltung

  1. E-Mail-Vorlage IT Service Desk · „Passwort läuft ab" Selbst erstellbar, anpassbar und wiederverwendbar
  2. Absenderprofil IT Service Desk Nur freigegebene Absender — keine freie Adresswahl
  3. Zielgruppe Gruppe Verwaltung · 248 Personen Ganze Gruppen oder einzelne Benutzer
  4. Landing Page Login-Simulation Tenant-gebunden, ohne echte Zugangsdaten
  5. Versandstart Geplant · 08:00 Uhr Start zu definiertem Zeitpunkt statt sofort
Status Freigegeben & gestartet

Nach der Kampagne

Aus Ergebnissen werden konkrete Entscheidungen.

Nach dem Versand braucht ein Security-Team keine weitere Zahlensammlung, sondern eine klare Auswertung: was war stabil, wo entsteht Risiko, und welche Maßnahme ist als Nächstes sinnvoll.

Review · Kampagne Q2 Verwaltung abgeschlossen
Beobachtung

Viele öffnen die Mail, aber fast die Hälfte meldet aktiv.

Die Kampagne zeigt keine reine Schwäche, sondern ein gemischtes Bild: hohe Aufmerksamkeit, relevante Klicks und eine starke Meldekultur.

Entscheidung

Kein breiter Pflichtkurs. Zielgerichtete Nachschulung für Risikoprofile.

Personen mit wiederholtem Klick- oder Eingabesignal werden priorisiert. Die übrige Zielgruppe erhält nur kurze Hinweise im Awareness-Alltag.

Nächste Maßnahme Modul „Login-Phishing erkennen" für hohe und kritische Risikostufen
Nächste Zielgruppe Verwaltung beibehalten Vergleich mit nächstem Szenario
Nächster Inhalt Paket-Benachrichtigung anderer Kontext, gleiche Gruppe

Governance & Datenschutz

Kontrolle, bevor personenbezogene Auswertung sichtbar wird.

Phishing-Simulationen berühren sensible Mitarbeiterdaten. Aronion trennt deshalb Kampagnenstart, Auswertungstiefe und Aufbewahrung bewusst voneinander — tenantbezogen und auditierbar.

Sichtbarkeit
Individuell Personenbezogene Auswertung für berechtigte Rollen.
Aggregiert Gruppenberichte erst ab Mindestgröße, standardmäßig 5 Personen.
Anonym Ergebnisse ohne direkte Namenssicht für datenschutzsensiblere Umgebungen.
Freigabe
Kampagnenstart kann gesperrt werden, bis eine Freigabe vorliegt. Freigeber und Zeitpunkt werden zur Kampagne dokumentiert.
Aufbewahrung
90 Tage Operative Phase Individuelle Signale für Steuerung und Nacharbeit.
24 Monate Event-Retention Ältere Events werden pseudonymisiert oder gelöscht.
36 Monate Kampagnenmetadaten Nachweis über Lauf, Zielgruppe und Status.
Audit-Log

Start, Statusänderungen, Exporte und relevante Admin-Aktionen bleiben nachvollziehbar. So kann eine Organisation nachweisen, wer welche Simulation wann freigegeben, gestartet oder ausgewertet hat.

Nächster Schritt

Vor der ersten Kampagne muss der Rahmen stimmen.

Eine gute Simulation beginnt nicht mit einer Vorlage, sondern mit klaren Regeln: wer teilnehmen darf, welche Signale ausgewertet werden und welche Sicht für Datenschutz, Management und Admins sinnvoll ist.

Briefing vor dem Start

01 Freigaberahmen Absender, Szenario, Zielgruppe und Sicherheitsgrenzen.
02 Auswertungstiefe Öffnung, Klick, Eingabeversuch, Meldung und Rollen-Sicht.
03 Folgeprozess Wer erhält Nachschulung, wer sieht Reports, was wird exportiert.
Demo anfragen Plattform ansehen