Security Awareness messen: Kennzahlen, die wirklich etwas aussagen

Phishing-Simulationen laufen, die Schulungen sind ausgerollt. Aber wirkt das alles auch? Spätestens wenn das nächste Budget ansteht, verlangt die Geschäftsführung Belege. Die gute Nachricht: Security Awareness lässt sich messen. Die weniger gute: Eine einzelne Zahl sagt dabei fast nichts aus. Dieser Artikel zeigt, welche Kennzahlen tragen und unter welchen Rahmenbedingungen Sie sie erheben sollten.

Warum eine einzelne Kennzahl täuscht

Die Klickrate einer einzelnen Phishing-Simulation ist die am häufigsten zitierte und zugleich am häufigsten missverstandene Zahl im Awareness-Reporting. Sie hängt stark davon ab, wie schwer die verwendete Vorlage war, zu welchem Zeitpunkt die Simulation lief und welche Abteilungen angeschrieben wurden. Eine niedrige Klickrate bei einer leicht erkennbaren Vorlage sagt weniger aus als eine höhere bei einem gut gemachten, gezielten Szenario.

Dazu kommt ein zweites Problem: Wer nicht klickt, hat nicht automatisch etwas gelernt. Vielleicht wurde die E-Mail schlicht übersehen oder ungelesen gelöscht. Und wer eine einzelne Kennzahl zum alleinigen Ziel erklärt, lädt dazu ein, die Zahl statt des Verhaltens zu optimieren, etwa wenn Simulationen intern „vorgewarnt“ werden, damit das Ergebnis gut aussieht.

Aussagekraft entsteht erst im Zusammenspiel mehrerer Kennzahlen über einen längeren Zeitraum.

Vier Kennzahlen, die etwas aussagen

• Klickrate im Zeitverlauf: Nicht das Ergebnis einer einzelnen Simulation zählt, sondern der Trend über mehrere, vergleichbar schwierige Simulationen hinweg. Sinkt die Klickrate über Quartale bei gleichbleibendem Schwierigkeitsgrad, ist das ein belastbares Signal.
• Melderate: Der Anteil der Empfänger:innen, die eine verdächtige E-Mail aktiv melden. Sie ist die vielleicht unterschätzteste Kennzahl: Sie misst erwünschtes Verhalten, nicht bloß das Ausbleiben von Fehlern. Eine steigende Melderate bedeutet, dass Ihr Unternehmen echte Angriffe früher sieht.
• Zeit bis zur ersten Meldung: Wie schnell erreicht die erste Meldung Ihr Security-Team? Bei einem echten Angriff entscheidet dieses Zeitfenster darüber, wie viel Schaden verhindert werden kann.
• Abschlussquoten der Trainings: Sie zeigen, ob Ihr Programm die Belegschaft überhaupt erreicht. Für sich genommen sagen sie nichts über Verhalten aus. Als Kontextgröße bleiben sie trotzdem unverzichtbar, denn ohne Reichweite keine Wirkung.

Kennzahlen im Zusammenspiel lesen

Interessant wird es, wenn Sie die Werte kombinieren. Eine sinkende Klickrate bei gleichzeitig steigender Melderate ist das Muster, das Sie sehen wollen: Mitarbeitende erkennen Angriffe und handeln richtig. Hohe Abschlussquoten bei stagnierender Melderate deuten dagegen darauf hin, dass Inhalte zwar konsumiert werden, aber nicht im Alltag ankommen. Dann lohnt es sich, Format oder Frequenz der Schulungen zu überdenken.

Wichtig ist außerdem, Simulationen nach Schwierigkeitsgrad zu vergleichen, statt alle Ergebnisse in einen Topf zu werfen. Gut aufgesetzte Phishing-Simulationen variieren ihre Szenarien gezielt. Das Reporting muss diese Varianz abbilden, sonst vergleicht es Äpfel mit Birnen.

Auch regulatorisch hat das Thema Gewicht: NIS2 ist in Kraft, und betroffene Unternehmen müssen wirksame Risikomanagementmaßnahmen, Schulungen eingeschlossen, umsetzen und belegen können. Ein nachvollziehbares Awareness-Reporting ist dafür die Grundlage.

Reporting anonymisieren, Betriebsrat einbinden

Wer hat geklickt? Diese Frage liegt nahe und führt doch in die falsche Richtung. Personenbezogene Auswertungen von Simulationen berühren den Datenschutz und sind in aller Regel mitbestimmungspflichtig: Ohne frühe Einbindung des Betriebsrats und eine saubere Vereinbarung geht es nicht. Vor allem aber schaden sie dem Ziel selbst: Wer Sanktionen fürchtet, meldet Vorfälle nicht mehr. Dabei ist gerade die Melderate Ihre wertvollste Kennzahl.

Für alle genannten KPIs reichen anonymisierte, aggregierte Auswertungen völlig aus, etwa auf Ebene von Abteilungen oder Standorten, mit Mindestgruppengrößen, die Rückschlüsse auf Einzelpersonen ausschließen. Gemessen wird das Programm, nicht die Person. Binden Sie Betriebsrat und Datenschutzbeauftragte früh ein: Das schafft Vertrauen und verbessert damit letztlich auch die Qualität Ihrer Daten.

Vom Messen zum Steuern

Ehrlich gemessene Awareness ist kein Kontrollinstrument, sondern ein Steuerungsinstrument: Sie zeigt, wo Ihr Programm wirkt, wo nachjustiert werden muss und wie sich das Sicherheitsniveau Ihres Unternehmens über die Zeit entwickelt. Protectly liefert genau dafür die Grundlage: Klickraten, Melderaten und Abschlussquoten im Zeitverlauf, anonymisiert und betriebsratskonform aufbereitet. Wie das aussieht, zeigt Ihnen unsere Seite Analyse & Reporting. Oder Sie sehen es sich direkt in einer persönlichen Demo an.