# Phishing-Simulationen im Unternehmen: Lohnt sich der Aufwand? > Der Ratgeber von n'guard.swiss erklärt, wie Phishing-Simulationen in Schweizer Unternehmen ablaufen, welche Fehler zu vermeiden sind und was sie kosten. Er richtet sich an KMU und zeigt, dass sich der Aufwand bei regelmässigen, mit Schulungen verknüpften Übungen lohnt. - URL: https://nguard.swiss/phishing-simulationen-schweiz/ - Publisher: n‘guard.swiss - Published: 2026-05-01 - Last updated: 2026-05-07 ## Key facts - Eine Phishing-Simulation läuft meist in vier Schritten ab: Planung und Zieldefinition, Erstellung realistischer, aber fairer Phishing-Mails, Auswertung mit Feedback sowie Awareness-Training mit Follow-up. - Klick- und Öffnungsraten werden anonymisiert ausgewertet, entscheidend ist laut n'guard.swiss nicht, wer klickt, sondern warum. - Typische Fehler sind Naming and shaming, fehlende Kommunikation, einmalige Aktionen und fehlende Integration in anschliessende Schulungen. - Der Text empfiehlt quartalsweise Kampagnen mit wechselnden Szenarien und nennt sinkende Klickraten sowie steigende Meldequoten als messbare Kennzahlen. - Die Kosten liegen in der Schweiz typischerweise zwischen CHF 2000 und 8000 pro Jahr für regelmässige Simulationen mit Berichten und Awareness-Modulen. - Ein einziger erfolgreicher Phishing-Angriff kann laut Text weit über CHF 50000 Schaden verursachen, etwa durch Produktionsausfälle, Wiederherstellung oder Reputationsverlust. E-Mails mit täuschend echten Rechnungen, gefälschten Absendern oder angeblichen Passwort-Updates – Phishing ist heute die häufigste Angriffsform in Schweizer Unternehmen. Rund 90 % aller Cybervorfälle beginnen laut Studien mit einer einzigen unbedachten Klickhandlung – das bestätigen auch aktuelle Zahlen aus dem [BAG mit 6643 Meldungen im ersten Halbjahr 2024](https://www.ncsc.admin.ch/ncsc/de/home/dokumentation/berichte/lageberichte/halbjahresbericht-2024-1.html). Technische Schutzmassnahmen wie Spamfilter oder Firewalls sind wichtig, aber sie greifen zu spät, wenn ein Mitarbeiter auf einen Link klickt oder Daten preisgibt. Hier setzen Phishing-Simulationen an: gezielte Testangriffe, mit denen das Sicherheitsbewusstsein realitätsnah geschult wird. Doch lohnen sich solche Trainings wirklich? Oder sind sie nur ein weiteres Tool, das kurzfristig Aufmerksamkeit erzeugt, aber langfristig wenig bewirkt? ## **Warum Phishing-Simulationen für Schweizer Unternehmen relevant sind** Schweizer KMU sind ein attraktives Ziel – gerade, weil sie oft gut organisiert, aber nicht systematisch geschult sind. Während IT-Systeme zunehmend abgesichert werden, bleibt der „Faktor Mensch“ häufig der schwächste Punkt. Typische Situationen: - Mitarbeiter erhalten täuschend echte E-Mails mit vermeintlichen Office- oder Dienstleister-Links - Passwort-Resets oder Sicherheitswarnungen wirken glaubwürdig - Rechnungsfreigaben oder HR-Anfragen werden unkritisch beantwortet Die Folge: Malware-Downloads, Ransomware-Infektionen oder der Verlust sensibler Kundendaten. Phishing-Simulationen bieten hier eine kontrollierte Lernumgebung: Statt im Ernstfall Opfer zu werden, erleben Mitarbeitende in sicherem Rahmen, wie täuschend echt Angriffe aussehen können – und lernen, Warnsignale frühzeitig zu erkennen. ## **Wie Phishing-Simulationen funktionieren – und worauf es ankommt** Eine Phishing-Simulation im Unternehmen ist kein „Spiel mit der Angst“, sondern ein gezieltes Awareness-Instrument. Der Ablauf folgt meist vier Schritten: 1. **Planung und Zieldefinition** Welche Abteilungen sollen getestet werden? Welches Ziel wird verfolgt – Sensibilisierung, Messung oder Schulung? Wichtig ist, die Übung nicht als Misstrauenssignal, sondern als Teil der Sicherheitskultur zu kommunizieren. 2. **Erstellung realistischer, aber fairer Phishing-Mails** Gute Simulationen arbeiten mit realistischen Szenarien, die im Arbeitsalltag vorkommen können – z. B. gefälschte Microsoft-Loginseiten, angebliche Lieferbenachrichtigungen oder interne Mitteilungen. Übertriebene oder absurde Mails (z. B. „Sie haben im Lotto gewonnen“) bringen keinen Lerneffekt. 3. **Auswertung und Feedback** Nach dem Versand werden Klick- und Öffnungsraten anonymisiert ausgewertet. Entscheidend ist nicht, *wer* klickt, sondern *warum*. Konstruktives Feedback hilft, Muster zu erkennen: Welche Art von Nachricht wird am ehesten angeklickt? Welche Formulierungen täuschen besonders gut? **Awareness-Training und Follow-up** Simulationen sind kein Selbstzweck. Sie müssen mit konkreter Wissensvermittlung verbunden sein – etwa durch kurze Schulungen, E-Learning oder Team-Workshops. Eine gute Orientierung bieten hier die Empfehlungen der[European Union Agency for Cybersecurity (ENISA) zum Thema „Cybersecurity Awareness Training“](https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene). ## **Typische Fehler bei Phishing-Simulationen** Trotz guter Absicht führen viele Unternehmen Simulationen so durch, dass sie mehr Schaden als Nutzen bringen. Die häufigsten Stolperfallen: - „Naming and shaming“: Wenn Klicks öffentlich gemacht oder Mitarbeitende blossgestellt werden, entsteht Angst statt Lernen. - Fehlende Kommunikation: Wird die Simulation nicht angekündigt, empfinden viele sie als Misstrauensakt. - Einmalige Aktionen: Eine einzelne Kampagne bewirkt wenig, regelmässige und variierende Übungen führen zu nachhaltigem Bewusstsein. - Fehlende Integration: Wenn Simulationen isoliert stattfinden, ohne anschliessendes Training, verpufft der Effekt. Ziel ist nicht, Mitarbeitende zu überlisten, sondern sie zu stärken – und die Sensibilität über alle Hierarchien hinweg zu fördern. ## **So erzielen Phishing-Simulationen nachhaltige Wirkung** Damit der Aufwand sich lohnt, müssen Phishing-Simulationen strategisch eingebettet sein – als Teil einer ganzheitlichen Sicherheitskultur. Dazu gehören: - **Regelmässigkeit statt Einmalübung** Quartalsweise Kampagnen mit wechselnden Szenarien schaffen Routine und Vergleichbarkeit. - **Transparente Kommunikation** Mitarbeitende sollten verstehen, warum getestet wird und wie die Ergebnisse genutzt werden. So entsteht Akzeptanz statt Widerstand. - **Verknüpfung mit Schulungen** Klickt jemand auf eine Phishing-Mail, ist das kein Versagen – sondern eine Lernchance. Kurze Follow-up-Videos oder Micro-Trainings festigen das Gelernte. - **Management als Vorbild** Wenn Führungskräfte selbst teilnehmen und offen über eigene Fehler sprechen, sinkt die Hemmschwelle für andere, Fragen zu stellen oder Verdachtsfälle zu melden. **Messbare Kennzahlen** Eine sinkende Klickrate oder steigende Meldequote zeigt Fortschritt – und macht den Erfolg sichtbar. ## **Was Phishing-Simulationen kosten – und was sie bringen** Die Kosten variieren je nach Umfang und Anbieter. In der Schweiz liegen sie typischerweise zwischen CHF 2000 und 8000 pro Jahr für regelmässige Simulationen mit Berichten und Awareness-Modulen. Der ROI zeigt sich weniger in eingesparten Franken, sondern in verhinderten Vorfällen: Ein einziger erfolgreicher Phishing-Angriff kann weit über CHF 50000 Schaden verursachen – durch Produktionsausfälle, Wiederherstellung oder Reputationsverlust. Unternehmen, die Simulationen regelmässig durchführen, berichten über: - Deutlich geringere Klickraten nach 6 Monaten - Bessere interne Kommunikation über verdächtige E-Mails - Höhere Sicherheitsdisziplin auch in anderen Bereichen (z. B. Passwortmanagement) ## **Externe Unterstützung: Wann sie sinnvoll ist** Nicht jedes Unternehmen verfügt über Ressourcen oder Know-how, um realistische Phishing-Kampagnen selbst durchzuführen. Ähnlich wie bei professionellen Penetrationstests, die wir auf unserer Seite [Pentesting Schweiz](https://nguard.swiss/pentester-schweiz/) näher vorstellen, profitieren Unternehmen auch hier von der Erfahrung spezialisierter IT-Security-Teams. Ein externer Partner kann helfen bei: - der Erstellung realistischer, aber fairer E-Mail-Vorlagen - der anonymisierten Auswertung und Berichterstattung - der Durchführung anschliessender Awareness-Trainings Wichtig: Ein guter Anbieter ersetzt nicht die Verantwortung des Unternehmens, sondern stärkt interne Strukturen. Ziel ist es, Wissen und Prozesse aufzubauen – nicht Abhängigkeiten. Wir von **n’guard** unterstützen Schweizer KMU mit praxisnahen Phishing-Simulationen und kompakten Awareness-Formaten. Unsere Tests sind realistisch, transparent und respektvoll – damit Ihre Mitarbeitenden nicht verunsichert, sondern befähigt werden. ## Frequently asked questions ### Was ist eine Phishing-Simulation im Unternehmen? Eine Phishing-Simulation ist ein gezielter Testangriff per E-Mail, mit dem das Sicherheitsbewusstsein von Mitarbeitenden realitätsnah geschult wird. Sie findet in einer kontrollierten Lernumgebung statt und soll Warnsignale erkennbar machen. ### Was kosten Phishing-Simulationen in der Schweiz? Laut Text liegen die Kosten typischerweise zwischen CHF 2000 und 8000 pro Jahr. Darin enthalten sind regelmässige Simulationen mit Berichten und Awareness-Modulen, der genaue Preis hängt von Umfang und Anbieter ab. ### Wie oft sollten Phishing-Simulationen durchgeführt werden? Der Text empfiehlt regelmässige Kampagnen, zum Beispiel quartalsweise mit wechselnden Szenarien. Eine einzelne Kampagne bewirkt laut Text wenig. ### Welche Fehler sollte man bei Phishing-Simulationen vermeiden? Zu vermeiden sind Naming and shaming, nicht angekündigte Simulationen, einmalige Aktionen und fehlende Schulungen im Anschluss. Wer Mitarbeitende blossstellt, erzeugt laut Text Angst statt Lernen. ### Wann ist externe Unterstützung bei Phishing-Simulationen sinnvoll? Externe Hilfe lohnt sich, wenn Ressourcen oder Know-how für realistische Kampagnen fehlen. Ein Partner kann Vorlagen erstellen, anonymisiert auswerten und Awareness-Trainings durchführen, die Verantwortung bleibt aber beim Unternehmen.