In den Budgetzeilen vieler IT-Abteilungen steht Awareness heute neben Backup und Endpoint-Schutz. Abgerechnet wird sie nach Köpfen und Teilnahmequote, berichtet wird sie über die Klickrate der letzten Phishing-Simulation. Beides sind Zahlen, die eine Plattform ohne Zusatzaufwand ausgibt — und beide sagen wenig darüber, was im Ernstfall passiert.

Seit 2025 liegen zwei große, kontrollierte Feldstudien vor, die genau diese Frage untersucht haben. Ihr Ergebnis fällt für die verbreitete Erwartung unangenehm aus: Der messbare Effekt von Schulung auf das Klickverhalten ist statistisch nicht von null zu unterscheiden. Derselbe Datenbestand enthält aber einen zweiten Befund, der in der Berichterstattung fast durchweg untergeht — und der eine andere Kennzahl nahelegt.

Was die größte Feldstudie tatsächlich gemessen hat

Ein Team um Grant Ho (University of Chicago) und Geoffrey Voelker (UC San Diego) hat über acht Monate zehn simulierte Phishing-Kampagnen an mehr als 19.500 Beschäftigte von UC San Diego Health verschickt — als randomisiertes kontrolliertes Experiment, veröffentlicht auf dem IEEE Symposium on Security and Privacy 2025. Geprüft wurden zwei Formen: die jährliche Awareness-Pflichtschulung und das eingebettete Training, das unmittelbar nach einem Klick erscheint.

Für die Jahresschulung fand sich kein signifikanter Zusammenhang zwischen kürzlich absolviertem Training und der Wahrscheinlichkeit, eine Simulation nicht zu bestehen. Für das eingebettete Training lag die absolute Differenz der Fehlerraten zwischen trainierten und untrainierten Gruppen im Mittel bei 1,7 Prozentpunkten. Aussagekräftiger als dieser Wert ist eine andere Zahl derselben Studie: 56 Prozent aller Beschäftigten — 11.077 von 19.789 — klickten im Untersuchungszeitraum mindestens einmal auf einen Phishing-Link, unabhängig von der Trainingsgruppe.

Die Wiederholung in einer anderen Branche

Ein häufiger Einwand gegen die Studie lautete, eine Universitätsklinik sei kein repräsentatives Umfeld. Verizon formulierte ihn im Data Breach Investigations Report 2025 ausdrücklich. Andrew Rozema und James Davis von der Purdue University haben den Versuchsaufbau daraufhin bei einem US-amerikanischen Finanztechnologie-Unternehmen wiederholt, mit 12.511 Teilnehmenden.

Das Ergebnis bestätigt den Vorbefund: keine signifikanten Haupteffekte des Trainings auf die Klickrate (p = 0,450) und keine auf die Meldequote (p = 0,417), bei vernachlässigbaren Effektstärken. Signifikant war stattdessen etwas anderes — die Schwierigkeit des Köders, gemessen mit der NIST Phish Scale. Bei leicht erkennbaren Ködern klickten 7,0 Prozent, bei schwer erkennbaren 15,0 Prozent. Die Beschaffenheit der Mail erklärt das Verhalten also besser als der Schulungsstand der Empfänger.

Warum die Klickrate als Steuergröße untauglich ist

Aus diesem Befund folgt ein praktisches Problem für jedes Reporting, das auf der Klickrate aufbaut. Wenn die Schwierigkeit des Köders den weitaus größten Teil der Varianz erklärt, misst eine Klickrate in erster Linie die Auswahl der Vorlage — nicht den Zustand der Organisation. In der UCSD-Studie schwankten die Fehlerraten je nach Köder zwischen 1,8 und 30,8 Prozent, bei thematisch ähnlichen Mails: 7,6 Prozent bei einer angeblichen Krankenversicherungs-Anmeldung gegenüber 30,8 Prozent bei einer angeblichen Urlaubsregelung.

Eine sinkende Klickrate über mehrere Quartale ist damit kein Beleg für Lernfortschritt, solange die Vorlagen wechseln. Wer sie trotzdem als Zielgröße festschreibt, erzeugt einen Anreiz, den niemand ausspricht: leichtere Köder zu wählen.

Der Befund, der in der Berichterstattung untergeht

Verizon hat für den DBIR 2025 die Meldequoten von Simulationskampagnen danach getrennt, ob die Beteiligten in den vorangegangenen 30 Tagen geschult worden waren. Beschäftigte mit frischer Schulung meldeten simulierte Phishing-Mails zu rund 21 Prozent gegenüber einer Basisrate von 5 Prozent — eine Vervierfachung. Auf die Klickrate wirkte dieselbe Schulung nur mit etwa 5 Prozent relativer Veränderung.

Das ist kein Widerspruch zu den beiden Feldstudien, sondern eine Präzisierung: Schulung verändert nicht, ob jemand auf eine gut gemachte Mail hereinfällt. Sie verändert, ob jemand eine verdächtige Mail an eine Stelle weitergibt, die etwas damit anfangen kann.

Die Uhr, die im Ernstfall läuft

Damit wird die Zeitachse zur eigentlichen Messgröße. Der DBIR 2024 hat für das Jahr 2023 den Median zwischen dem Öffnen einer Phishing-Mail und dem Klick auf den enthaltenen Link mit 21 Sekunden beziffert; weitere 28 Sekunden vergehen im Median, bis Zugangsdaten eingegeben sind. Von Öffnen bis Datenpreisgabe liegt der Median unter einer Minute.

Für die Gegenseite dieser Uhr liefert Rozema/Davis 2025 den bislang belastbarsten Wert: Die mittlere Zeit bis zur ersten Meldung lag bei 21 Minuten, 90 Prozent aller Meldungen gingen binnen 18,8 Stunden nach Versand ein. Klick in Sekunden, Meldung in Minuten — dazwischen liegt rund der Faktor 60. Diese Spanne ist der Zeitraum, in dem ein Angreifer ungestört arbeitet.

Inokulation: wenn die Meldung vor dem Klick liegt

Rozema und Davis haben aus diesen Zeitstempeln eine Kennzahl gebildet, die den Zustand einer Organisation statt den einer Person beschreibt: den Organizational Inoculation Index. Er ist definiert als Zeitpunkt des ersten Klicks minus Zeitpunkt der ersten Meldung je Kampagne. Ist der Wert positiv, hat jemand Alarm geschlagen, bevor die erste Person hereingefallen ist — die Organisation konnte theoretisch reagieren, bevor Schaden entstand.

Über 17 auswertbare Vorlagen erreichten 52,9 Prozent der Kampagnen diesen Zustand, der Median lag bei plus 0,4 Stunden. In den erfolgreich „inokulierten” Fällen betrug der Vorsprung im Median rund 30 Minuten. Die Autoren ziehen daraus einen nüchternen Schluss: Ein halbstündiges Zeitfenster ist zu kurz für einen manuellen Prozess. Es lohnt sich nur, wenn eine Meldung automatisch dazu führt, dass Absender, Betreff und Link organisationsweit blockiert werden. Bemerkenswert ist ein zweites Detail — die Schulung verbesserte diesen Vorsprung nicht signifikant. Die Meldebereitschaft der Belegschaft wirkt weitgehend unabhängig davon, wer wann geschult wurde.

Die zugrunde liegende Frage stammt nicht aus dem Anbietermarketing. Michelle Steves, Kristen Greene und Mary Theofanos vom NIST haben sie 2020 gemeinsam mit der Phish Scale formuliert: ob die Zeit bis zur ersten Meldung kürzer ist als die Zeit bis zum ersten Klick. Beantwortet wurde sie erst fünf Jahre später.

Warum die Inhalte nicht ankommen

Der zweite Teil der UCSD-Studie erklärt, warum der Effekt so klein ausfällt. Gemessen an der Verweildauer auf der Trainingsseite endeten über die Hälfte aller Sitzungen binnen zehn Sekunden; in 37 bis 51 Prozent der Fälle wurde die Seite ohne jede Verweildauer geschlossen. In mehr als 75 Prozent der Sitzungen lag die Verweildauer unter einer Minute. Formal abgeschlossen wurden 24 Prozent der Trainings.

Ein Nebenbefund verdient besondere Aufmerksamkeit, weil er der Erwartung widerspricht: Wer mehrere statische, rein textbasierte Trainings vollständig durchlaufen hatte, fiel in der Folge häufiger auf Simulationen herein — je zusätzlich abgeschlossener Einheit um 15 Prozent häufiger. Ein Ermüdungseffekt war es nicht; die Abschlussquoten von Erst- und Wiederholungssitzungen unterschieden sich kaum. Interaktive Formate schnitten in dieser Auswertung besser ab, wurden aber seltener zu Ende gebracht.

Was Aufsicht und Normen wirklich verlangen

Schulung ist keine freiwillige Kür. Artikel 39 Absatz 1 Buchstabe b DSGVO zählt die „Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter” zu den Aufgaben des Datenschutzbeauftragten. Seit dem 6. Dezember 2025 verlangt § 30 Absatz 2 Nummer 7 des neuen BSI-Gesetzes von besonders wichtigen und wichtigen Einrichtungen ausdrücklich „grundlegende Schulungen und Sensibilisierungsmaßnahmen”; § 38 Absatz 3 BSIG verpflichtet zusätzlich die Geschäftsleitung selbst zur regelmäßigen Teilnahme. ISO/IEC 27001:2022 fordert dasselbe in Anhang-A-Control 6.3, der BSI-IT-Grundschutz im Baustein ORP.3.

Übersehen wird dabei regelmäßig Artikel 32 Absatz 1 Buchstabe d DSGVO. Er verlangt „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit” der getroffenen Maßnahmen. Für die Prüfung zählt also zweierlei: dass geschult wurde und dass die Wirkung erhoben wurde. Plattformen, die Awareness-Schulungen mit auditfestem Nachweis führen und Klick- wie Meldezeitpunkt je Kampagne protokollieren, liefern beides aus einer Datenbasis — der Hamburger Anbieter frag.hugo etwa kombiniert 31 Schulungsmodule mit einer Phishing-Simulation ab der mittleren Stufe und ordnet die Nachweise in der obersten Stufe Artikel 32 DSGVO, ISO/IEC 27001 A.6.3 und NIS2 zu. Wer die Wirkung einer Security-Awareness-Schulung dagegen ausschließlich über Teilnahmequoten belegt, erfüllt die Schulungspflicht, aber nicht die Evaluationspflicht.

Ein Messplan, der ohne neue Software auskommt

Die beschriebenen Kennzahlen lassen sich aus Daten bilden, die jede Simulationsplattform ohnehin erhebt. Nötig ist vor allem, sie anders auszuwerten und den Meldeweg so zu bauen, dass er ohne Hürde funktioniert.

1. Zeitstempel sichern Zustellung, erster Klick und erste Meldung je Kampagne müssen als Uhrzeit vorliegen, nicht nur als Tagessumme. Ohne diese drei Werte ist keine der genannten Kennzahlen berechenbar.
2. Meldeweg ohne Zusatzinstallation Ein Add-in im Mailprogramm ist bequem, erreicht aber selten alle Geräte. Ein zusätzliches Meldepostfach, an das jede Mail einfach weitergeleitet werden kann, deckt den Rest ab.
3. Vorsprung statt Quote berichten Erste Meldung minus erster Klick, je Kampagne, in Minuten. Ein negativer Wert benennt das Problem präziser als jede Klickrate.
4. Automatik hinter die Meldung setzen Bei einem Median-Vorsprung von rund 30 Minuten muss die Sperrung von Absender und Link automatisch erfolgen, sonst verstreicht das Zeitfenster in der Bearbeitung.
5. Schwierigkeit protokollieren Jede Vorlage nach NIST Phish Scale einordnen und den Wert mitberichten. Erst dann sind zwei Quartale überhaupt vergleichbar.

Was diese Messung nicht leistet

Auch der Vorsprung zwischen Meldung und Klick bleibt eine Simulationskennzahl. Sie misst das Verhalten gegenüber Mails, die eine bekannte Absenderinfrastruktur nutzen und keinen echten Schaden anrichten — nicht gegenüber einem gezielten Angriff mit vorheriger Recherche. Und sie beschreibt einen Organisationszustand, nicht die Kompetenz einzelner Personen.

Der letzte Punkt ist auch ein Qualitätsargument. Eine Auswertung, die erst ab einer Mindestzahl von Beteiligten je Gruppe überhaupt Ergebnisse anzeigt, schützt nicht nur die Belegschaft vor Einzelbewertung — sie erhöht auch die Meldebereitschaft, von der die ganze Kennzahl lebt. Wer damit rechnen muss, dass ein Klick namentlich im Quartalsbericht landet, meldet ihn nicht.

Häufige Fragen

Wirken Security-Awareness-Schulungen überhaupt?

Auf das Klickverhalten kaum: Zwei randomisierte Feldstudien aus dem Jahr 2025 mit zusammen über 32.000 Teilnehmenden fanden Unterschiede von 1,7 Prozentpunkten beziehungsweise gar keinen signifikanten Effekt. Auf das Meldeverhalten wirken sie deutlich — laut Verizon DBIR 2025 melden kürzlich geschulte Beschäftigte simulierte Phishing-Mails zu 21 Prozent statt zu 5 Prozent.

Warum ist die Klickrate keine gute Kennzahl?

Weil sie überwiegend die Schwierigkeit der verschickten Vorlage misst. In der UCSD-Studie schwankten die Fehlerraten je nach Köder zwischen 1,8 und 30,8 Prozent. Solange die Vorlagen zwischen zwei Messungen wechseln, ist eine sinkende Klickrate kein Beleg für Lernfortschritt.

Was ist die Zeit bis zur ersten Meldung und wie misst man sie?

Es ist die Spanne zwischen der Zustellung einer Phishing-Kampagne und der ersten Meldung durch eine beliebige Person. Gemessen wird sie aus den Zeitstempeln der Simulationsplattform. Aussagekräftig wird sie im Vergleich mit dem Zeitpunkt des ersten Klicks: Liegt die Meldung davor, konnte die Organisation reagieren, bevor jemand hereinfiel.

Ist Awareness-Schulung rechtlich vorgeschrieben?

Ja, an mehreren Stellen. Artikel 39 Absatz 1 Buchstabe b DSGVO nennt sie als Aufgabe des Datenschutzbeauftragten, § 30 Absatz 2 Nummer 7 BSIG verlangt Schulungs- und Sensibilisierungsmaßnahmen von NIS2-pflichtigen Einrichtungen, § 38 Absatz 3 BSIG zusätzlich Schulungen der Geschäftsleitung. ISO/IEC 27001:2022 fordert sie in Control 6.3 des Anhangs A.

Wie oft sollte eine Phishing-Simulation laufen?

Die Studienlage stützt keine bestimmte Frequenz, weil die Wiederholung den Effekt auf die Klickrate nicht verbessert. Sinnvoller als eine hohe Taktung ist eine gleichbleibende, nach Schwierigkeit dokumentierte Auswahl von Vorlagen, damit die Zeitkennzahlen über Quartale hinweg vergleichbar bleiben.