Informationssicherheit · Phishing-Simulation
Phishing-Simulation für Unternehmen
Bei einer Phishing-Simulation verschickt ein Unternehmen gefälschte, aber harmlose Betrugsmails an die eigene Belegschaft und wertet aus, wie viele darauf hereinfallen oder sie melden. Hier steht, was Gesetz und Rechtsprechung dazu sagen und welche Anbieter Simulationen als Software oder als Dienstleistung durchführen. Vorgeschrieben ist eine Simulation im BSI-Gesetz nicht; vor dem Start sollte feststehen, wie ausgewertet wird.
Stand: Oktober 2026. Dieser Text ist eine inhaltliche Einordnung und keine Rechtsberatung.
Wie diese Liste entstanden ist
Ausgewählt: Aufgenommen haben wir Anbieter, die eine Phishing-Simulation für Unternehmen auf einer eigenen deutschsprachigen Seite beschreiben, sie als Plattform oder als Dienstleistung anbieten und ein prüfbares Impressum haben. Mehrere von ihnen stehen auch auf Security-Awareness-Schulung; dort geht es um Schulungsprogramme insgesamt, hier um die Simulation selbst. Nicht aufgenommen sind kostenlose Werkzeuge ohne Betreuung und Anbieter, deren Angaben zur Durchführung sich auf ihrer eigenen Seite widersprachen.
Bezahlt hat niemand: Kein Anbieter hat für die Aufnahme oder die Reihenfolge bezahlt. Sollte sich das ändern, kennzeichnen wir eine bezahlte Platzierung unmittelbar am Eintrag als „Anzeige“.
Geprüft im Oktober 2026: Firmierung, Sitz, Leistungen und Preisangaben haben wir im Oktober 2026 an Impressum und Leistungsseiten der Anbieter geprüft. Was sich dort nicht eindeutig belegen ließ, steht als „bei der Prüfung nicht ermittelt“ im Eintrag, statt geschätzt zu werden.
Womit PontoIt Geld verdienen soll: Geplant sind gekennzeichnete Anzeigenplätze und eine Vergütung für vermittelte Anfragen. Beides läuft heute noch nicht. Einzelheiten stehen auf der Seite Transparenz.
Wie eine Phishing-Simulation abläuft
Eine Simulation ist ein Test unter Alltagsbedingungen. Die Beschäftigten bekommen Mails, die echten Angriffen nachgebaut sind: eine angebliche Paketbenachrichtigung, eine Rechnung, eine Bitte der Geschäftsführung. Wer klickt, landet auf einer harmlosen Hinweisseite. Die Anbieter in der Liste unten unterscheiden sich vor allem darin, wer die Kampagne steuert und was am Ende im Bericht steht.
- Vorbereitung. Ziel, Zeitraum, Empfängerkreis und Szenarien festlegen. Bei mehreren Anbietern lassen sich Vorlagen an das eigene Unternehmen anpassen.
- Information vorab. Einige Anbieter informieren die Belegschaft vorher, dass Tests stattfinden, ohne den Zeitpunkt zu nennen. Zur Rolle von Betriebsrat und Datenschutzbeauftragten siehe unten.
- Versand. Die Mails werden über einen Zeitraum verteilt verschickt, damit sich die Beschäftigten nicht gegenseitig warnen. Damit sie zugestellt werden, muss die IT den Absender meist im Mailfilter freigeben.
- Lernmoment. Wer klickt, sieht sofort eine Erklärung, woran die Mail zu erkennen war. Häufig folgt eine kurze Lerneinheit.
- Auswertung. Quoten für Klicks, Dateneingaben und gemeldete Mails. Ob der Bericht nur Gruppen zeigt oder einzelne Personen, ist je nach Anbieter verschieden.
Was Gesetz und Rechtsprechung dazu sagen
Eine Phishing-Simulation ist im BSI-Gesetz nicht vorgeschrieben. Für besonders wichtige und wichtige Einrichtungen im Sinne von § 28 BSIG, also Unternehmen, die unter die NIS-2-Regeln fallen, verlangt § 30 Abs. 2 Nr. 7 BSIG grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der IT-Sicherheit; die Einhaltung ist zu dokumentieren. Eine Simulation kann ein Baustein davon sein, ohne dass das Gesetz sie nennt. Die Geschäftsleitungen dieser Einrichtungen müssen nach § 38 Abs. 3 BSIG selbst regelmäßig an Schulungen teilnehmen. Wie Sie prüfen, ob Ihr Unternehmen betroffen ist, steht auf NIS2-Umsetzung.
Betriebsrat: die Frage der Überwachung
Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat mitzubestimmen bei der Einführung und Anwendung technischer Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Nach Auffassung des Bundesarbeitsgerichts ist eine Einrichtung schon dann zur Überwachung bestimmt, wenn sie objektiv geeignet ist, Informationen über Verhalten oder Leistung der Beschäftigten zu erheben und aufzuzeichnen. Ob der Arbeitgeber tatsächlich überwachen will, spielt dafür keine Rolle (BAG, Beschluss vom 13.12.2016, 1 ABR 7/15).
Eine Plattform, die festhält, wer auf welche Mail geklickt hat, erhebt Daten über das Verhalten einzelner Beschäftigter. Eine Gerichtsentscheidung speziell zu Phishing-Simulationen haben wir bei der Prüfung nicht gefunden. Gibt es einen Betriebsrat, gehört die Simulation deshalb vor dem Start auf seinen Tisch; einige Anbieter in der Liste unten sprechen das ausdrücklich an.
Quelle: § 87 BetrVG und §§ 30, 38 BSIG auf gesetze-im-internet.de; Bundesarbeitsgericht, Beschluss vom 13.12.2016, 1 ABR 7/15, Rn. 22; abgerufen im Oktober 2026. Inhaltliche Einordnung, keine Rechtsberatung.
Datenschutzrechtlich verarbeitet eine Simulation personenbezogene Daten der Beschäftigten: Namen, Mailadressen, Abteilungen und das Klickverhalten. Arbeitet ein externer Anbieter mit diesen Daten, braucht es einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Wie weit eine Auswertung gehen darf, ist eine Frage für Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten; Anbieter dafür stehen auf Externer Datenschutzbeauftragter.
Anonym, nach Gruppen oder je Person: drei Arten der Auswertung
Die Anbieter in der Liste beschreiben ihre Auswertung unterschiedlich. Davon hängt ab, wie stark Betriebsrat und Datenschutz berührt sind.
- Nur nach Gruppen. Der Bericht zeigt Quoten für das ganze Unternehmen oder für Abteilungen. Wer im Einzelnen geklickt hat, erfährt das Unternehmen nicht.
- Je Person, aber nur beim Anbieter. Der Anbieter erfasst Klicks einzeln, um etwa Folgeschulungen zuzuweisen, gibt dem Kunden aber nur zusammengefasste Werte weiter.
- Je Person beim Kunden. Das Unternehmen sieht Werte für einzelne Beschäftigte, etwa einen Risikowert je Nutzer. Das erlaubt gezielte Schulung, berührt aber die Fragen oben am stärksten.
Plattform oder Dienstleistung
Bei einer Plattform steuert das Unternehmen die Kampagnen selbst: Es lädt die Empfängerliste hoch, wählt Vorlagen und liest die Berichte. Das läuft meist als Abonnement je Nutzer. Bei einer Dienstleistung plant und verschickt der Anbieter die Kampagne, oft mit eigens gebauten Szenarien, und liefert einen Bericht; abgerechnet wird je Kampagne oder als Pauschale. Dazwischen liegen Plattformen mit Betreuung. Wer Simulation und Schulung als Gesamtprogramm sucht, findet weitere Anbieter auf Security-Awareness-Schulung.
Fünf Fragen, bevor Sie eine Simulation beauftragen
- Wie wird ausgewertet? Fragen Sie, ob Ihr Bericht Gruppen oder Personen zeigt, ob sich das einstellen lässt und wann Einzeldaten gelöscht werden.
- Wer wird vorher eingebunden? Klären Sie, ob der Anbieter Unterlagen für Betriebsrat und Datenschutz bereitstellt, etwa einen Entwurf für eine Betriebsvereinbarung.
- Was passiert mit eingegebenen Daten? Gibt jemand auf der Übungsseite ein Passwort ein, sollte es nicht gespeichert werden. Lassen Sie sich das bestätigen.
- Wo liegen die Daten? Fragen Sie nach Serverstandort und Unterauftragnehmern und lassen Sie sich den Vertrag zur Auftragsverarbeitung vorlegen.
- Wie geht es nach dem Klick weiter? Eine Simulation ohne Lernmoment misst nur. Fragen Sie, welche Erklärung oder Schulung folgt und ob Meldungen über einen Knopf im Mailprogramm erfasst werden.
Was den Preis bestimmt
Plattformen rechnen meist je Nutzer und Monat ab, mit Staffeln nach Belegschaftsgröße und Laufzeit. Dienstleister rechnen je Kampagne oder über eine monatliche Pauschale ab; dort bestimmen Zahl der Szenarien, individueller Zuschnitt und Umfang des Berichts den Preis. Ob Lerneinheiten nach dem Klick im Preis enthalten sind, unterscheidet sich je Paket.
Die veröffentlichten Preise der Anbieter unten: SoSafe ab 625 € im Monat bei jährlicher Abrechnung für 50 Lizenzen, KnowBe4 als unverbindliche Preisempfehlung im Paket Foundation von 2,28 € bis 1,55 € je Lizenz und Monat bei drei Jahren Laufzeit, SECUTAIN 1,37 € je Mitarbeiter und Monat im kleinsten Paket mit Phishing-Simulation, im Preisrechner angezeigt für 400 Mitarbeitende. 8COM nennt in seinen FAQ typischerweise 2.000 € bis 5.000 € je Phishing-Test. Bei den übrigen Anbietern wurde der Preis bei der Prüfung nicht ermittelt. Vergleichbar sind die Zahlen nur zusammen mit Belegschaftsgröße, Laufzeit und Leistungsumfang.
Anbieter im Überblick
Angaben laut den Websites der Anbieter. Links und Preisangaben zuletzt geprüft: 10/2026. Die Reihenfolge ist alphabetisch und keine Rangfolge. Kein Anbieter bezahlt für seinen Eintrag, und wir erhalten derzeit auch keine Vergütung für vermittelte Anfragen. Beides kann sich ändern – bezahlte Platzierungen kennzeichnen wir dann unmittelbar am Eintrag als „Anzeige“, eine Vermittlungsvergütung weisen wir an dieser Stelle aus. Wie wir uns finanzieren, steht auf Transparenz.
| Anbieter | Sitz | Betrieb | Auswertung laut Anbieter | Preis |
|---|---|---|---|---|
| 8COM GmbH | Neustadt an der Weinstraße | Dienstleistung | nach Gruppen (anonymisiert), je Person auf Wunsch | typischerweise 2.000–5.000 € je Test (laut FAQ) |
| AWARE7 GmbH | Gelsenkirchen | Dienstleistung oder betreute Plattform | nach Gruppen und Abteilungen | bei der Prüfung nicht ermittelt |
| G DATA CyberDefense AG | Bochum | Plattform | bei der Prüfung nicht ermittelt | bei der Prüfung nicht ermittelt |
| Hornetsecurity GmbH | Hannover | automatisierte Plattform | je Person | bei der Prüfung nicht ermittelt |
| HvS-Consulting GmbH (IS-FOX) | Garching bei München | Dienstleistung | beim Kunden in der Regel nach Gruppen (anonymisiert) | bei der Prüfung nicht ermittelt |
| KnowBe4 Germany GmbH | Berlin | Plattform | je Person (Risikowert) | 1,55–2,28 € je Lizenz und Monat (UVP, Paket Foundation, 3 Jahre Laufzeit) |
| SECUTAIN (etomer GmbH) | Berlin | betreute Plattform | nach Gruppen (anonymisiert) | 1,37 € je Mitarbeiter und Monat (Preisrechner, 400 Mitarbeitende) |
| SoSafe SE | Köln | Plattform | je Person und organisationsweit (Risikowerte) | ab 625 € im Monat (50 Lizenzen, jährliche Abrechnung) |
8COM GmbH
Sitz Neustadt an der Weinstraße · Phishing-Tests als Dienstleistung
Die 8COM GmbH mit Sitz in Neustadt an der Weinstraße führt Phishing-Tests für Mitarbeitende als Dienstleistung durch. Laut Leistungsseite entwickelt sie die Szenarien individuell, bildet dafür auch die Website des Kunden nach und richtet die Mails an dessen Kommunikationsstil aus, von einfachen Ködermails bis zu gezielten Spear-Phishing-Angriffen; Inhalte, Empfängergruppen und Schwierigkeit wählt der Kunde. Die Auswertung ist nach Anbieterangabe anonymisiert, personalisierte Auswertungen gibt es auf Wunsch. Datenschutzbeauftragte und Betriebsrat bindet der Anbieter nach eigener Angabe auf Wunsch in den Ablauf ein. Im Anschluss sind ein auf die Ergebnisse abgestimmtes E-Learning und ein Live-Hacking-Vortrag möglich.
Passt, wenn die Szenarien eigens für das Unternehmen gebaut werden sollen · Datenhaltung: bei der Prüfung nicht ermittelt · Preis: laut FAQ des Anbieters typischerweise 2.000 € bis 5.000 € je Phishing-Test, abhängig von Unternehmensgröße, Umfang und Schulungsaufwand
AWARE7 GmbH
Sitz Gelsenkirchen · manuelle Kampagne oder betreute Plattform
Die AWARE7 GmbH mit Sitz in Gelsenkirchen bietet Phishing-Simulationen auf zwei Wegen an: als manuelle Kampagne mit festem Ansprechpartner und eigens entwickelten Szenarien oder als betreute Plattform über phished.io mit einer Vorlagenbibliothek in mehr als 30 Sprachen im monatlichen Vertrag. Ausgewertet wird laut Leistungsseite auf Gruppen- und Abteilungsebene; Einzelpersonen werden nach Anbieterangabe nicht identifiziert. Ziele, Messpunkte und Kommunikation stimmt der Anbieter nach eigener Angabe vorab mit dem Betriebsrat ab und stellt dafür einen Mustertext für eine Betriebsvereinbarung bereit. Wer klickt, wird auf eine Hinweisseite geleitet, die erklärt, was passiert ist und welche Warnsignale die Mail enthielt.
Passt, wenn der Betriebsrat von Anfang an eng eingebunden werden soll · Datenhaltung: Kampagnen- und Ergebnisdaten nach Anbieterangabe auf eigenen Servern in Deutschland · Preis: bei der Prüfung nicht ermittelt
G DATA CyberDefense AG
Sitz Bochum · Simulation über ein Verwaltungswerkzeug
Die G DATA CyberDefense AG mit Sitz in Bochum bietet Phishing-Simulationen für Unternehmen an. Laut Leistungsseite bekommt der Kunde Zugang zu einem Verwaltungswerkzeug, lädt die Teilnehmerliste selbst hoch und wählt aus anpassbaren Mailvorlagen mit verschiedenen Schwierigkeitsgraden und aktuellen Themen. Im Dashboard ist laufend sichtbar, wie die Teilnehmenden reagieren; nach jedem Durchgang folgt ein Report, unter anderem mit Interaktionsraten und der Zahl gemeldeter Mails. Dazu gehört ein Meldeknopf. Ergänzend bietet der Anbieter Security-Awareness-Trainings an, zu denen sich ein Vertiefungstraining „Phishing“ optional hinzubuchen lässt.
Passt, wenn das Unternehmen Kampagnen selbst steuern möchte · Datenhaltung: bei der Prüfung nicht ermittelt · Preis: bei der Prüfung nicht ermittelt
Hornetsecurity GmbH
Sitz Hannover · automatisierter Security Awareness Service
Die Hornetsecurity GmbH mit Sitz in Hannover führt Phishing-Simulationen als Teil ihres Security Awareness Service durch. Laut Leistungsseite laufen die Simulationen vollständig automatisiert, mit gezielten Angriffsszenarien in unterschiedlichen Schwierigkeitsgraden. Ausgewertet wird die Simulation für jeden Benutzer; ein Kennwert für das Sicherheitsverhalten der Belegschaft steuert, wer wie viel E-Training bekommt.
Passt, wenn Simulation und Schulung automatisiert ineinandergreifen sollen · Datenhaltung: bei der Prüfung nicht ermittelt · Preis: bei der Prüfung nicht ermittelt
HvS-Consulting GmbH (IS-FOX)
Sitz Garching bei München · Phishing-Simulationen als Dienstleistung
Die HvS-Consulting GmbH mit Sitz in Garching bei München bietet unter der Marke IS-FOX Phishing-Simulationen an, auch als einzelne Kampagnen ohne Jahresgebühr für Software. Laut Leistungsseite richtet der Anbieter dafür einen eigenen Phishing-Server ein und passt Mail, Landeseite und Auflösungsseite an. Klicks lassen sich über einen individuellen Link je Nutzer erfassen, an den Kunden geht nach Anbieterangabe in der Regel eine anonymisierte Auswertung, grob gefiltert nach Abteilung, Region oder Sprache; individuelle Ergebnisse werden danach gelöscht. Eingegebene Passwörter übermittelt der Anbieter nach eigener Angabe nicht. Kombinieren lässt sich die Simulation mit E-Learning und Präsenzveranstaltungen.
Passt, wenn eine einzelne Kampagne ohne laufendes Abonnement gesucht wird · Datenhaltung: deutsches Rechenzentrum (laut Leistungsseite) · Preis: bei der Prüfung nicht ermittelt
KnowBe4 Germany GmbH
Sitz Berlin · Plattform für Schulung und Phishing-Tests
Die KnowBe4 Germany GmbH mit Sitz in Berlin vertreibt die Plattform des Herstellers KnowBe4 für Security-Awareness-Training und Phishing-Tests. Laut Produktseite erstellt ein KI-Werkzeug namens AIDA Phishing-Vorlagen; als Kennzahl dient der Anteil der Beschäftigten, die wahrscheinlich auf einen Phishing-Link klicken, dazu kommt ein Risikowert je Nutzer. Die Bibliothek mit Lerninhalten ist nach Anbieterangabe in mehr als 35 Sprachen verfügbar.
Passt, wenn Phishing-Vorlagen mit KI-Unterstützung erstellt werden sollen · Datenhaltung: bei der Prüfung nicht ermittelt · Preis: unverbindliche Preisempfehlung je Lizenz und Monat bei drei Jahren Laufzeit, Paket Foundation: 2,28 € (25–50 Nutzer) bis 1,55 € (501–1.000 Nutzer); ab 1.001 Nutzern Angebot
SECUTAIN (etomer GmbH)
Sitz Berlin · betreute Phishing-Simulation mit E-Learning
Hinter SECUTAIN steht laut Impressum die etomer GmbH mit Sitz in Berlin. Ihre Phishing-Simulation arbeitet nach Anbieterangabe mit mehr als 100 Szenarien und individuellen Vorlagen und wird von einem persönlichen Ansprechpartner betreut. Ausgewertet wird anonymisiert auf Gruppenebene; die Beschäftigten werden laut Leistungsseite vorab über das Vorhaben informiert, echte Passwörter oder sensible Daten werden nicht erfasst. Die Simulation lässt sich mit dem E-Learning des Anbieters kombinieren und ist ab dem Paket „Grundschutz“ enthalten.
Passt, wenn die Belegschaft vorab informiert und nur nach Gruppen ausgewertet werden soll · Datenhaltung: EU (laut Leistungsseite) · Preis: 1,37 € je Mitarbeiter und Monat im Paket Grundschutz, im Preisrechner des Anbieters angezeigt für 400 Mitarbeitende
SoSafe SE
Sitz Köln · Plattform mit Lerneinheit nach dem Klick
Die SoSafe SE mit Sitz in Köln bietet ein Werkzeug für Phishing-Simulationen als Teil ihrer Awareness-Plattform an. Laut Produktseite arbeitet es mit Angriffsvorlagen, auch für mobile Geräte; wer klickt, wird sofort auf eine kurze Lerneinheit weitergeleitet. Vorfälle fließen nach Anbieterangabe in individuelle und organisationsweite Risikowerte ein. Für die Einrichtung nennt der Anbieter eine Unterstützung durch seinen Managed Service. Kundendaten werden laut Datenschutzunterlagen des Anbieters auf Servern in Deutschland und/oder in der EU beziehungsweise im EWR gespeichert.
Passt, wenn nach dem Klick sofort eine Lerneinheit folgen und auch mobile Geräte einbezogen werden sollen · Datenhaltung: Deutschland und/oder EU/EWR (laut Datenschutzunterlagen des Anbieters) · Preis: ab 625 € im Monat bei jährlicher Abrechnung (50 Lizenzen)
Häufige Fragen
Ist eine Phishing-Simulation Pflicht?
Im BSI-Gesetz nicht. Für Einrichtungen, die unter die NIS-2-Regeln fallen, verlangt § 30 Abs. 2 Nr. 7 BSIG Schulungen und Sensibilisierungsmaßnahmen, ohne eine Simulation zu nennen. Eine Simulation kann helfen zu zeigen, ob die Sensibilisierung wirkt.
Muss der Betriebsrat mitbestimmen?
Gibt es einen Betriebsrat, spricht nach Gesetz und Rechtsprechung viel für sein Mitbestimmungsrecht. Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt er bei technischen Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung zu überwachen; das Bundesarbeitsgericht lässt dafür genügen, dass eine Einrichtung dazu objektiv geeignet ist. Kommt keine Einigung zustande, entscheidet nach § 87 Abs. 2 BetrVG die Einigungsstelle. Eine Gerichtsentscheidung speziell zu Phishing-Simulationen haben wir bei der Prüfung nicht gefunden. Eine Antwort für den Einzelfall gibt diese Seite nicht.
Erfährt der Arbeitgeber, wer geklickt hat?
Das hängt vom Anbieter und von der Einstellung ab. Einige werten nur nach Gruppen aus, andere zeigen Werte je Person. Legen Sie das vor dem Start schriftlich fest, am besten gemeinsam mit Betriebsrat und Datenschutz.
Dürfen wir ohne Vorwarnung testen?
Den genauen Zeitpunkt kennt die Belegschaft bei einer Simulation in der Regel nicht. Einige Anbieter informieren die Belegschaft vorab allgemein, dass Tests stattfinden. Wie weit die Information gehen muss, klären Sie mit Betriebsrat und Datenschutz.
Was kostet eine Phishing-Simulation?
Plattformen rechnen meist je Nutzer und Monat ab, die veröffentlichten Preise in der Liste oben liegen zwischen 1,37 € und 2,28 € je Person und Monat oder bei 625 € im Monat für 50 Lizenzen. Dienstleister rechnen meist je Kampagne ab; 8COM nennt typischerweise 2.000 € bis 5.000 € je Test. Vergleichbar sind die Zahlen nur zusammen mit Laufzeit und Leistungsumfang.
Passenden Anbieter anfragen
Schreiben Sie uns, wie viele Beschäftigte einbezogen werden sollen, ob Sie die Kampagnen selbst steuern oder beauftragen möchten und ob es einen Betriebsrat gibt. Wir sehen uns Ihre Anfrage an und geben sie an die Anbieter aus dem Verzeichnis weiter, die fachlich dazu passen – es können sich also mehrere bei Ihnen melden. Kostenlos und unverbindlich.
Vielen Dank für deine Antwort. ✨
Wie wir mit Ihren Daten umgehen, steht in unserer Datenschutzerklärung.
Sie bieten Phishing-Simulationen an? Der Eintrag in dieser Übersicht ist kostenlos. Wie Sie aufgenommen werden, steht auf Gelistet bei PontoIt.
Weitere Themen: Security-Awareness-Schulung · NIS2-Umsetzung · Datenschutzschulung für Mitarbeiter · Externer Datenschutzbeauftragter · ISO 27001 Beratung · IT-Sicherheitsbeauftragter Ausbildung · E-Mail-Automatisierung