Dr. Dr. Fabian
Teichmann
, LL.M., EMBA, RA

Phishing-Simulationen im Unternehmen

Beschäftigtendatenschutz, Mitbestimmung und Beweisverwertung bei Cybersecurity-Trainings

Phishing-Simulationen sind ein zentrales Instrument betrieblicher Cybersecurity-Awareness. Rechtlich erschöpfen sie sich jedoch nicht in Schulung und Prävention. Sie erzeugen personenbezogene Daten über Klicks, Eingaben, Reaktionszeiten, Meldungen und Wiederholungsfälle und sind deshalb zugleich Datenschutz-, Mitbestimmungs- und Beweisthema. Der Beitrag zeigt, dass Simulationsergebnisse nur dann arbeitsrechtlich belastbar sind, wenn Einführung, Datenerhebung, Auswertung und spätere Verwendung vorab rechtmäßig strukturiert werden. Fehlen Transparenz, Zweckbindung, Betriebsratsbeteiligung oder ein verhältnismäßiges Eskalationsmodell, wird aus einem Präventionsinstrument ein arbeitsrechtliches Risiko.

I. Phishing-Simulationen zwischen Prävention und Kontrolle

Phishing-Simulationen konfrontieren Beschäftigte mit fingierten, aber realitätsnah gestalteten E-Mails, Messenger-Nachrichten oder Portalanfragen. Das Unternehmen will erkennen, ob betrügerische Kommunikationsmuster wahrgenommen, verdächtige Anhänge gemieden, Meldewege genutzt und Warnhinweise verarbeitet werden. Darin liegt ein legitimes Präventionsinteresse. Die betriebliche IT-Sicherheitsorganisation darf nicht auf Firewalls, Filter und Richtlinien beschränkt bleiben; sie muss auch menschliche Fehlerrisiken und Melderoutinen adressieren. Dieses Interesse wird durch Art. 32 DSGVO sowie, bei regulierten Unternehmen, durch besondere Anforderungen an Risikomanagement, Schulung und Sensibilisierung verstärkt.1

Gerade die Realitätsnähe der Simulation begründet aber ihr arbeitsrechtliches Risiko. Anders als ein E-Learning-Modul misst sie nicht nur Teilnahme oder Lernfortschritt, sondern Verhalten in einer konkreten Arbeitssituation. Wer klickt auf den Link? Wer öffnet den Anhang? Wer meldet die Nachricht? Wer reagiert verzögert? Wer fällt wiederholt auf? Damit verschiebt sich das Instrument von Schulung in Richtung Kontrolle. Die Maßnahme ist pädagogisch intendiert, technisch aber geeignet, individuelles Verhalten zu dokumentieren und später arbeitsrechtlich zu bewerten.

Die Leitfrage lautet deshalb nicht, ob Unternehmen Phishing-Simulationen überhaupt einsetzen dürfen. In vielen Organisationen sind sie fachlich naheliegend und im Sicherheitskonzept kaum zu ersetzen. Entscheidend ist vielmehr, ob die erhobenen Erkenntnisse rechtlich tragfähig sind. Eine Simulation, die ohne belastbare Rechtsgrundlage, ohne hinreichende Information oder ohne Mitbestimmung durchgeführt wird, liefert keine robuste Entscheidungsgrundlage. Sie erzeugt Angriffsflächen für Datenschutzbeschwerden, Unterlassungsansprüche, Einigungsstellenverfahren und prozessuale Einwände gegen die spätere Verwertung.

Dogmatisch ist zwischen arbeitsvertraglicher Pflicht und Beweisgewinnung zu trennen. Beschäftigte können verpflichtet sein, betriebliche IT-Systeme sorgfältig zu nutzen, Sicherheitsvorgaben zu beachten und erkannte Risiken zu melden.2 Daraus folgt jedoch nicht, dass jede technische Messung dieser Pflicht zulässig wäre. Der Arbeitgeber muss die Pflicht konkretisieren, die Datenverarbeitung rechtfertigen, den Betriebsrat beteiligen und eine spätere Sanktion am Verhältnismäßigkeitsgrundsatz messen. Arbeitsrechtliche Belastbarkeit entsteht daher bereits im Programmdesign, nicht erst im Kündigungsschutzprozess.

II. Personenbezogene Daten: Klick, Eingabe, Reaktionszeit, Meldung, Wiederholung

Phishing-Simulationen verarbeiten regelmäßig personenbezogene Beschäftigtendaten. Personenbezogen ist nicht nur der Name des Arbeitnehmers, sondern jede Information, die einer identifizierten oder identifizierbaren Person zugeordnet werden kann.3 Erfasst werden typischerweise E-Mail-Adresse, Organisationseinheit, Kampagne, Versandzeitpunkt, Öffnung, Klick, Anhangsaufruf, Formularauslösung, Meldebutton, Reaktionszeit, Schulungsstatus und Wiederholungsmuster. Auch pseudonymisierte Daten bleiben personenbezogen, solange Arbeitgeber oder Dienstleister sie wieder einzelnen Beschäftigten zuordnen können.

Besondere Zurückhaltung ist bei Eingabedaten geboten. Eine Simulation sollte keine echten Passwörter, Tokens oder produktiven Zugangsdaten entgegennehmen. Rechtssicherer ist eine technische Gestaltung, die bereits das Aufrufen einer Landingpage oder das Auslösen eines Formulars registriert, ohne Geheimnisse zu speichern. Wird ein scheinbares Login verwendet, muss das System vor der Eingabe echter Zugangsdaten abbrechen oder eingegebene Zeichen technisch unverzüglich verwerfen. Das Gebot der Datenminimierung verlangt, dass das Lernziel mit möglichst wenig personenbezogener Detailtiefe erreicht wird.4 

Auch Reaktionszeiten sind nicht neutral. Sie können Rückschlüsse auf Arbeitsorganisation, Abwesenheit, Belastung, Sprachverständnis oder technische Erreichbarkeit zulassen. Wer eine Nachricht erst nach Stunden meldet, muss nicht sorglos gehandelt haben; er kann in Besprechungen, im Außendienst, krank, teilzeitbedingt abwesend oder mit anderen prioritären Aufgaben befasst gewesen sein. Ein rechtssicheres Programm darf Reaktionszeiten daher nur mit Vorsicht interpretieren und sollte sie primär für die Verbesserung von Meldeprozessen nutzen, nicht für individualisierte Vorwürfe.

Das Meldeverhalten verdient eine eigenständige Betrachtung. Aus sicherheitsfachlicher Sicht ist die Meldung verdächtiger Nachrichten besonders wertvoll. Datenschutz- und arbeitsrechtlich darf sie aber nicht so ausgewertet werden, dass Beschäftigte wegen vorsichtiger oder irrtümlicher Meldungen negative Folgen befürchten. Ein Programm, das Meldekultur erzeugen soll, muss Meldungen positiv oder neutral behandeln. Andernfalls entsteht ein Fehlanreiz, Auffälligkeiten nicht zu melden.

Schließlich sind Wiederholungsdaten ambivalent. Sie können zeigen, ob Nachschulungen wirken und ob bestimmte Bereiche zusätzliche Unterstützung benötigen. Sie können aber auch ein personenbezogenes Risikoprofil bilden. Je länger Simulationsergebnisse historisiert, gerankt oder mit HR-Daten verbunden werden, desto stärker wird die Maßnahme zu einer Leistungs- und Verhaltenskontrolle. Die datenschutzrechtliche und mitbestimmungsrechtliche Zulässigkeit entscheidet sich deshalb nicht nur an der einzelnen Testmail, sondern an der Architektur der Datenhistorie.

III. Datenschutzrechtliche Rechtsgrundlage und Grenzen

Ausgangspunkt ist Art. 5 DSGVO. Phishing-Simulationen müssen rechtmäßig, transparent, zweckgebunden, datenminimiert, speicherbegrenzt und sicher ausgestaltet sein.5 Diese Grundsätze sind nicht bloße Dokumentationspflichten, sondern materieller Prüfungsmaßstab. Ein Unternehmen darf nicht zunächst möglichst viele Verhaltensdaten sammeln und erst später entscheiden, ob sie für Schulung, Compliance, Personalentwicklung oder Disziplinierung verwendet werden. Zweck und Verwendung müssen vor Beginn der Kampagne feststehen.

Als Rechtsgrundlage kommen vor allem Art. 6 Abs. 1 lit. b, c und f DSGVO in Betracht.6 Bei Beschäftigtendaten ist zusätzlich die unionsrechtliche Entwicklung zu Art. 88 DSGVO und § 26 BDSG zu beachten. Der EuGH verlangt für nationale Beschäftigtendatenregelungen spezifische, geeignete Garantien; das BAG hat diese Linie im Beschäftigtendatenkontext aufgegriffen.7 Für die Praxis folgt daraus, dass § 26 BDSG nicht schematisch als Allzweckgrundlage verstanden werden sollte. Tragfähiger ist eine am konkreten Zweck orientierte Prüfung, ob die Simulation zur Durchführung des Arbeitsverhältnisses, zur Erfüllung rechtlicher Sicherheitsanforderungen oder aufgrund berechtigter Interessen erforderlich und verhältnismäßig ist.

Eine Einwilligung der Beschäftigten ist regelmäßig kein vorzugswürdiger Weg. Sie steht wegen des Abhängigkeitsverhältnisses unter Freiwilligkeitsdruck und würde zudem den Zweck des Instruments unterlaufen, wenn eine Teilnahme abgelehnt werden kann. Soweit ein Betriebsrat besteht, ist eine Betriebsvereinbarung als kollektivrechtlicher Rahmen regelmäßig geeigneter. Sie kann eine Verarbeitung aber nicht von den Vorgaben der DSGVO entkoppeln. Auch kollektivrechtliche Regelungen müssen insbesondere die Grundsätze der Art. 5 und 6 DSGVO wahren.8

Die Erforderlichkeit ist streng zu verstehen. Zulässig sind nur Daten, die für Prävention, Nachschulung, Sicherheitsverbesserung oder eine vorab definierte Eskalation benötigt werden. Für Standardzwecke genügen häufig aggregierte Bereichsauswertungen und kurzfristig gespeicherte Individualdaten zur persönlichen Rückmeldung. Dagegen bedürfen dauerhafte personenbezogene Rankings, HR-Dashboards, Scorewerte oder die Verknüpfung mit Leistungsdaten einer besonderen Rechtfertigung, die in der Regel fehlen wird.

Transparenz verlangt keine Vorabankündigung jeder konkreten Testmail. Die Überraschung ist Teil des didaktischen Konzepts. Erforderlich ist aber eine klare Information über das Programm wie mögliche Szenarien, Datenkategorien, Zwecke, Empfänger, Speicherdauer, Rechte der Betroffenen und mögliche Folgen wiederholter Nichtbeachtung.9 Die Unterscheidung ist zentral: Die einzelne Simulation darf unerwartet sein; das Überwachungs- und Lernsystem darf es nicht.

Technisch-organisatorisch sind Datenschutz durch Technikgestaltung und Sicherheit der Verarbeitung umzusetzen. Dazu gehören sichere Landingpages, rollenbasierte Zugriffe, Protokollierung der Administratorenzugriffe, kurze Löschfristen, Pseudonymisierung, Mandantentrennung beim Dienstleister und ein Auftragsverarbeitungsvertrag. Bei systematischer, risikobehafteter personenbezogener Auswertung ist eine Datenschutz-Folgenabschätzung zu prüfen. Werden externe Anbieter außerhalb des EWR eingesetzt, sind zusätzlich die Anforderungen an Drittlandtransfers zu beachten.10

IV. Mitbestimmung des Betriebsrats bei Einführung und Auswertung

Besteht ein Betriebsrat, ist § 87 Abs. 1 Nr. 6 BetrVG regelmäßig eröffnet. Phishing-Plattformen erfassen Beschäftigtenverhalten technisch und sind geeignet, dieses Verhalten zu überwachen. Auf eine subjektive Überwachungsabsicht kommt es nicht entscheidend an; maßgeblich ist die objektive Eignung der technischen Einrichtung. Diese Linie entspricht der Rechtsprechung zu technischen Systemen, die individualisierbare Daten über Beschäftigte erzeugen.11

Die Mitbestimmung erfasst nicht nur den erstmaligen Softwareeinsatz. Sie betrifft auch die konkrete Ausgestaltung in Bezug auf Kampagnentypen, Datenkategorien, Reports, Rollen, Auswertungslogik, Löschfristen, Nachschulung und Eskalation. Gerade bei Phishing-Simulationen liegt der Eingriff weniger im Tool als in dessen Parametrierung. Ein Dashboard, das nur Bereichsquoten ausgibt, ist mitbestimmungsrechtlich anders zu bewerten als ein System, das personenbezogene Risiko-Scores über mehrere Jahre bildet.

Daneben kann § 87 Abs. 1 Nr. 1 BetrVG einschlägig sein. Phishing-Simulationen konkretisieren regelmäßig Verhaltensregeln im Betrieb: Wie sind verdächtige Nachrichten zu prüfen? Welche Meldewege sind zu nutzen? Dürfen Links aus externen Nachrichten geöffnet werden? Welche Reaktion wird nach einem Treffer erwartet? Soweit es um die Ordnung des Betriebs und das Verhalten der Beschäftigten in der betrieblichen Zusammenarbeit geht, besteht ein weiteres Mitbestimmungsrecht.12

Der Betriebsrat ist dabei nicht externer Datenschutzkontrolleur, sondern Mitgestalter des Regelungssystems. Zugleich trifft ihn nach § 79a BetrVG eine eigene Verantwortung für Datenschutz im Rahmen seiner Aufgaben. Er muss die zur Wahrnehmung seiner Rechte erforderlichen Informationen erhalten, darf aber nicht zum allgemeinen Empfänger personenbezogener Trefferlisten werden, wenn dies für seine Aufgaben nicht erforderlich ist.13 In der Praxis ist deshalb ein abgestuftes Informationsmodell vorzusehen, und zwar Beteiligung an Konzept, Reports und Eskalationslogik, aber kein routinemäßiger Zugriff auf personenbezogene Rohdaten.

Mitbestimmungsdefizite sind nicht nur kollektivrechtlich relevant. Sie schwächen auch die arbeitsrechtliche Belastbarkeit späterer Maßnahmen. Wird ein mitbestimmungspflichtiges Tool ohne Beteiligung eingeführt, kann der Betriebsrat Unterlassung verlangen; zudem geraten auf dieser Grundlage gewonnene Erkenntnisse in einem Sanktionsverfahren unter erheblichen Rechtfertigungsdruck. Unternehmen sollten daher nicht versuchen, Phishing-Simulationen als bloße IT-Sicherheitsmaßnahme am Betriebsrat vorbeizuführen. Gerade die rechtzeitige Mitbestimmung schafft die Legitimation, die spätere Verwertung überhaupt erst tragfähig macht.

V. Betriebsvereinbarung als Risikosteuerungsinstrument

Die Betriebsvereinbarung ist das zentrale Risikosteuerungsinstrument. Sie verbindet Datenschutz, Mitbestimmung, Schulungszweck und arbeitsrechtliche Eskalation in einem verbindlichen Rahmen. Nach der Rechtsprechung des EuGH kann eine Kollektivvereinbarung zwar eine Grundlage für Beschäftigtendatenverarbeitung bilden; sie muss aber die DSGVO materiell einhalten.14 Daraus folgt, dass die Betriebsvereinbarung nicht pauschal “alle erforderlichen Datenverarbeitungen” erlauben darf, sondern den Eingriff konkret begrenzen muss.

Wissenschaftlich überzeugend ist ein Regelungsmodell, das Prävention, Individualrückmeldung und Sanktion strikt unterscheidet. Die Standardfunktion der Simulation ist Lernen. Eine personenbezogene arbeitsrechtliche Verwendung ist nur Ausnahme und bedarf einer vorab festgelegten, engen Schwelle. Zu regeln sind insbesondere:

• Zweck: Stärkung der Cybersecurity-Awareness, Prüfung und Verbesserung von Meldewegen, Ableitung von Schulungsbedarf; keine verdeckte Leistungs- oder Verhaltenskontrolle.
• Transparenz: Vorabinformation über das Programm, Datenkategorien, Auswertungen, Empfänger, Rechte und mögliche Eskalationsstufen; keine Vorabankündigung einzelner Testmails erforderlich.
• Datenkategorien: Versanddaten, Öffnung, Klick, Anhangsaufruf, Formularauslösung, Meldung, Reaktionszeit, Schulungsstatus und Wiederholungsfall; keine Speicherung echter Passwörter oder produktiver Geheimnisse.
• Zugriffskreis: Rollenbasiertes Need-to-know-Prinzip; Standardzugriff für IT-Security auf aggregierte Daten, individualisierte Daten nur für definierte Nachschulungs- oder Eskalationsfälle.
• Löschfristen: Kurze Löschung personenbezogener Rohdaten; längere Speicherung nur aggregiert oder für konkret dokumentierte Einzelfälle.
• Auswertungsebenen: Vorrang aggregierter Bereichs- und Kampagnenauswertung; personenbezogene Auswertung nur zur individuellen Rückmeldung, Nachschulung oder bei qualifizierter Eskalation.
• Nachschulung: Fehlerfolgen vorrangig als Lernimpuls; niedrigschwellige, dokumentierte und zumutbare Trainingsangebote.
• Ausschluss von Naming-and-Shaming: Keine Veröffentlichung individueller Treffer, keine Ranglisten, keine Bloßstellung gegenüber Führungskräften oder Teams.
• Eskalationsstufen: Erst Rückmeldung, dann Nachschulung, dann Gespräch; arbeitsrechtliche Maßnahmen nur bei wiederholtem, klar regelwidrigem und vorwerfbarem Verhalten trotz Information und Unterstützung.

Hinzu kommen Regelungen zu Dienstleistern, Drittlandtransfers, technischen Schutzmaßnahmen, Datenschutz-Folgenabschätzung, Änderungen des Tools, Pilotphasen und Evaluation. Sinnvoll ist eine Anlage mit Musterreports, weil gerade die Darstellungsform über Eingriffsintensität und Missbrauchsrisiko entscheidet. Ebenfalls vorzusehen ist ein Verfahren für neue Kampagnentypen. Eine Simulation, die interne Personalthemen, Bonusmitteilungen oder gesundheitsbezogene Inhalte imitiert, kann erheblich intensiver wirken als eine generische Paket- oder Passwortwarnung.

Die Betriebsvereinbarung sollte zudem eine klare Verwendungsgrenze enthalten. Wird individualisierte Verwertung nur für Nachschulung zugelassen, darf daraus später nicht ohne Weiteres eine Abmahnung konstruiert werden. Soll eine arbeitsrechtliche Eskalation möglich sein, muss sie transparent, eng, stufenweise und verhältnismäßig geregelt sein. Eine solche Offenheit schwächt das Programm nicht; sie schützt es vor dem Einwand nachträglicher Zweckumwidmung.

VI. Zulässige und unzulässige Auswertungsmodelle

Rechtlich am wenigsten problematisch sind aggregierte Auswertungen. Klickquoten nach Kampagne, Bereich oder Standort, Meldequoten, durchschnittliche Reaktionszeiten und Wiederholungsquoten können Hinweise auf Schulungsbedarf und Prozessmängel geben, ohne einzelne Beschäftigte in den Mittelpunkt zu stellen. Dabei ist auf ausreichend große Gruppen zu achten, damit keine faktische Reidentifizierung entsteht.

Zulässig kann auch eine kurzfristige personenbezogene Rückmeldung sein. Wer auf einen Link klickt, erhält unmittelbar oder zeitnah einen Hinweis, woran die Phishing-Mail erkennbar gewesen wäre. Wird dies dokumentiert, sollte die Dokumentation knapp, zweckgebunden und befristet sein. Eine solche Verarbeitung ist eher zu rechtfertigen, wenn sie einem konkreten Lernzweck dient und nicht in Personalakten oder allgemeine Leistungsprofile überführt wird.

Kritischer sind personenbezogene Wiederholungslisten. Sie können erforderlich sein, wenn das Programm abgestufte Nachschulung vorsieht. Dann muss aber festgelegt werden, ab welcher Häufung eine Wiederholung relevant ist, über welchen Zeitraum Treffer gezählt werden und welche Entlastungsfaktoren berücksichtigt werden. Eine bloße Trefferzahl sagt wenig über Vorwerfbarkeit aus; Kampagnen können unterschiedlich schwer, Arbeitsbedingungen unterschiedlich belastend und Meldewege unterschiedlich bekannt sein.

Regelmäßig unzulässig oder jedenfalls hochriskant sind unternehmensweite “Top-Failer”-Listen, Rankings nach Personen, Scoringmodelle für individuelle Sicherheitszuverlässigkeit, automatische HR-Benachrichtigungen nach jedem Treffer und die dauerhafte Speicherung personenbezogener Risikoprofile. Solche Modelle verlassen den Präventionszweck und erzeugen erheblichen Überwachungsdruck. Sie sind mit Datenminimierung, Zweckbindung und dem Schutz der Persönlichkeit im Arbeitsverhältnis nur schwer vereinbar.

Unzulässig ist ferner eine Auswertung, die bewusst bloßstellt. Naming-and-Shaming beschädigt Meldekultur und Sicherheitsbewusstsein. Es verwandelt Fehler in Stigmatisierung und kann dazu führen, dass reale Vorfälle verspätet oder gar nicht gemeldet werden. Aus arbeitsrechtlicher Sicht ist gerade die schnelle Meldung eines möglichen Fehlers wertvoller als die Sanktionierung jedes unsicheren Klicks.

VII. Verwertbarkeit von Simulationsergebnissen im Abmahnungs- und Kündigungsfall

Ob Simulationsergebnisse in einem Abmahnungs- oder Kündigungsfall verwertbar sind, hängt nicht allein von ihrer technischen Richtigkeit ab. Maßgeblich ist, ob sie rechtmäßig erhoben, zweckkonform verwendet und materiell aussagekräftig sind. Die Rechtsprechung zu technischen Überwachungen zeigt eine differenzierte Linie, wonach der heimliche Keylogger-Einsatz ohne konkrete Verdachtslage unverhältnismäßig ist; bei offener Videoüberwachung kann die Verwertung dagegen trotz Datenschutzverstoßes in Betracht kommen, wenn vorsätzlich vertragswidriges Verhalten betroffen ist und keine schwerwiegende Grundrechtsverletzung überwiegt.15, 16

Für Phishing-Simulationen folgt daraus kein Automatismus. Sie sind regelmäßig offen im Sinne eines vorab bekannten Programms, aber nicht offen hinsichtlich der einzelnen Testmail. Sie dienen primär Prävention, nicht Ermittlung. Je transparenter Programm, Zwecke und Eskalationsstufen geregelt sind, desto eher können Ergebnisse arbeitsrechtlich berücksichtigt werden. Je heimlicher, umfassender und disziplinarischer die Maßnahme angelegt ist, desto eher drohen Verwertungsprobleme und jedenfalls eine materiellrechtliche Schwächung der Sanktion.

Eine Abmahnung setzt eine konkrete, steuerbare Pflichtverletzung voraus. Der bloße Klick auf eine Simulation genügt dafür regelmäßig nicht. Er kann Unachtsamkeit, Arbeitsdruck oder fehlende Schulung anzeigen, belegt aber noch keinen vorwerfbaren Regelverstoß. Anders kann es liegen, wenn der Arbeitnehmer klare Sicherheitsanweisungen kannte, wiederholt einschlägige Nachschulungen erhalten hat, besonders offensichtliche Warnsignale ignoriert und die Meldung unterlassen hat. Auch dann muss die Abmahnung den konkreten Pflichtenverstoß beschreiben und verhältnismäßig sein.17

Für Kündigungen liegt die Schwelle deutlich höher. Bei verhaltensbedingter Kündigung sind Pflichtverletzung, Vorwerfbarkeit, negative Prognose und Interessenabwägung erforderlich; regelmäßig ist zuvor eine Abmahnung notwendig. Bei außerordentlicher Kündigung kommen zusätzlich ein wichtiger Grund und die Zweiwochenfrist hinzu.18 Ein Simulationsfehler wird diese Anforderungen nur ausnahmsweise erfüllen. Denkbar sind Konstellationen, in denen ein hochsensibler Funktionsträger trotz klarer, mehrfacher Warnung und Nachschulung bewusst Sicherheitsregeln missachtet und dadurch erhebliche Risiken schafft. Der Regelfall bleibt jedoch Nachschulung, nicht Kündigung.

Besonders problematisch ist die Zweckumwidmung. Daten, die ausdrücklich nur zu anonymen Trainingszwecken erhoben wurden, dürfen nicht nachträglich zur Disziplinierung verwendet werden. Soll eine arbeitsrechtliche Verwendung ausnahmsweise möglich sein, muss dies vorab transparent geregelt und auf qualifizierte Fälle beschränkt werden.19 Unternehmen sollten daher nicht mit pauschalen Beruhigungsformeln arbeiten, wenn sie später Eskalationen vorsehen. Umgekehrt darf eine Betriebsvereinbarung nicht unbestimmt jede Verwendung “für arbeitsrechtliche Zwecke” eröffnen.

Im Streitfall ist zudem die Aussagekraft der Simulation kritisch zu prüfen. War die Testmail ungewöhnlich schwer zu erkennen? Wurde sie zu einem Zeitpunkt versandt, in dem hoher Zeitdruck bestand? Waren Meldewege bekannt und funktionsfähig? Hatte der Beschäftigte Zugang zu Schulungen? Lag eine technische Fehlzuordnung vor? Wurden vergleichbare Fälle gleichbehandelt? Erst die Beantwortung dieser Fragen macht aus einem Treffer ein arbeitsrechtlich relevantes Datum.

Bei Verdachts- oder Tatkündigungen im Zusammenhang mit realen Sicherheitsvorfällen gelten zusätzliche Anforderungen. Der Arbeitgeber muss den Sachverhalt sorgfältig aufklären, den Arbeitnehmer anhören und den Betriebsrat ordnungsgemäß beteiligen.20^,21 Simulationsergebnisse können dabei allenfalls Kontext liefern, etwa für Schulungsstand oder Kenntnis von Meldewegen. Sie ersetzen nicht den Nachweis des konkreten Verhaltens im realen Vorfall.

VIII. Verhältnis von Simulation und realem Sicherheitsvorfall

Simulation und realer Sicherheitsvorfall sind strikt zu unterscheiden. Die Simulation ist kontrolliert, schadlos und pädagogisch angelegt. Der reale Vorfall ist ein Incident-Response-Szenario. Dort stehen Eindämmung, Beweissicherung, Meldepflichten, Wiederherstellung und Schadensbegrenzung im Vordergrund. Ein Ransomware-Angriff beruht selten allein auf einem Klick, sondern auf Angriffstechnik, Filterversagen, Patch-Stand, Berechtigungskonzept, Backup-Architektur und Meldekultur.

Gleichwohl können Simulationen für reale Vorfälle mittelbar Bedeutung gewinnen. Sie können dokumentieren, dass Beschäftigte über Meldewege informiert wurden, typische Angriffsmuster kannten und Nachschulungen erhalten haben. Diese Erkenntnisse dürfen aber nicht mechanisch in Verschulden übersetzt werden. Ein realer Angriff kann erheblich raffinierter sein als eine Simulation; umgekehrt kann eine Simulation didaktisch überzeichnet sein.

Bei konkreten Sicherheitsvorfällen können weitergehende Datenauswertungen zulässig sein als im Präventionsprogramm. Konkrete Verdachtslagen, Schadensereignisse oder gesetzliche Meldepflichten können Loganalysen, Zugriffsauswertungen und forensische Sicherungen rechtfertigen. Bei verdeckten oder besonders eingriffsintensiven Maßnahmen verlangt die Rechtsprechung jedoch konkrete Tatsachen und eine strenge Verhältnismäßigkeitsprüfung.22 Phishing-Simulationen dürfen daher nicht als Vorratsinstrument genutzt werden, um umfassende personenbezogene Überwachungsdaten für spätere Ermittlungen aufzubauen.

Arbeitsrechtlich wiegt im realen Vorfall häufig nicht der anfängliche Fehler am schwersten, sondern das Verhalten danach. Wer einen Verdacht unverzüglich meldet, ermöglicht Schadensbegrenzung und handelt im Unternehmensinteresse. Wer einen erkannten Fehler verschweigt, Beweise löscht, interne Warnungen ignoriert oder Incident-Response-Anweisungen missachtet, verletzt eigenständige Pflichten. Ein rechtssicheres Programm muss deshalb die Meldekultur schützen und die schnelle Offenlegung von Fehlern belohnen.

IX. Praktische Mindestanforderungen an ein rechtssicheres Simulationsprogramm

Ein rechtssicheres Simulationsprogramm beginnt vor der ersten Testmail. Unternehmen sollten Zwecke, Datenflüsse und Verantwortlichkeiten dokumentieren wie Kampagnentypen, Datenkategorien, Zugriffskreise, Speicherdauer, Dienstleisterrolle, Drittlandtransfers, Auswertungsebenen und mögliche Folgen. Bei intensiver personenbezogener Auswertung ist eine Datenschutz-Folgenabschätzung zu prüfen; der Datenschutzbeauftragte sollte frühzeitig eingebunden werden.

Zweitens ist der Betriebsrat rechtzeitig zu beteiligen. Die Beteiligung muss die konkrete Anwendung erfassen, nicht nur den Erwerb einer Software. Musterreports, Eskalationslogik, Löschkonzept und Rollenmodell gehören in die Verhandlung. Änderungen an Kampagnentypen, Auswertungstiefe oder HR-Verwendung sollten zustimmungspflichtig oder jedenfalls nachsteuerungspflichtig ausgestaltet werden.

Drittens ist eine verständliche Programminformation bereitzustellen. Beschäftigte müssen wissen, warum Simulationen stattfinden, welche Daten erfasst werden, wer Zugriff hat, wie lange gespeichert wird und welche Folgen ein Treffer haben kann. Die Information darf nicht in allgemeine IT-Richtlinien ausgelagert werden, die praktisch niemand liest. Sie muss die wesentlichen Punkte des Programms klar benennen.

Viertens ist die Technik zu begrenzen. Keine echten Passwörter, keine privaten Accounts, keine heimlichen Keylogger, keine dauerhafte Kommunikationsüberwachung. Landingpages müssen sicher betrieben, protokollierte Daten minimiert und personenbezogene Rohdaten früh gelöscht oder aggregiert werden. Dienstleister sind sorgfältig auszuwählen und vertraglich zu binden.23

Fünftens braucht das Programm eine pädagogische Eskalation. Die Regelreaktion ist Rückmeldung oder Nachschulung. Erst bei wiederholtem, klar regelwidrigem und vorwerfbarem Verhalten trotz Information und Unterstützung kommt eine arbeitsrechtliche Reaktion in Betracht. Vor Abmahnung oder Kündigung sind technische Ursachen, Arbeitsbedingungen und Entlastungsgründe zu prüfen.

Sechstens muss die Organisation aus den Ergebnissen lernen. Hohe Klickquoten sind nicht nur ein Arbeitnehmerproblem. Sie können auf unklare Absenderstrukturen, schlechte Kennzeichnung externer Mails, komplizierte Meldewege, Zeitdruck oder unzureichende Führungskommunikation hinweisen. Ein belastbares Programm misst daher nicht nur individuelles Verhalten, sondern verbessert Prozesse, Technik und Kommunikation.

Schließlich sind Haftungs- und Bußgeldrisiken mitzudenken. Datenschutzverstöße können nicht nur die Verwertbarkeit schwächen, sondern auch Ansprüche nach Art. 82 DSGVO und behördliche Maßnahmen auslösen.24 Der beste Schutz liegt in einem Programm, das auf Datenminimierung, Transparenz, Mitbestimmung und Lernorientierung angelegt ist.

X. Ergebnis

Phishing-Simulationen sind arbeitsrechtlich sinnvoll, aber rechtlich anspruchsvoll. Sie verbinden Prävention mit Verhaltensmessung. Gerade deshalb müssen sie als Datenschutz-, Mitbestimmungs- und Beweisverwertungsproblem gestaltet werden, nicht nur als IT-Sicherheitsmaßnahme. Die zentrale These lautet, dass belastbare Erkenntnisse nur entstehen, wenn Einführung, Durchführung, Datenerhebung, Auswertung und Verwendung rechtmäßig angelegt sind.

---

Der einzelne Simulationsklick ist regelmäßig kein Disziplinartatbestand. Er ist zunächst ein Hinweis auf Lernbedarf. Arbeitsrechtliche Relevanz entsteht erst durch Kontext, und zwar durch klare Pflichten, verständliche Schulung, zumutbare Meldewege, Wiederholung, Vorwerfbarkeit und rechtmäßig gewonnene Daten. Abmahnung und Kündigung bleiben ultima ratio.

Für Unternehmen liegt die praxisgerechte Lösung in einem gestuften Modell in Form von transparenten Programminformationen, mitbestimmter Betriebsvereinbarung, minimierter Datenverarbeitung, aggregierter Standardauswertung, individueller Nachschulung, Ausschluss von Bloßstellung und enge Eskalationsregeln. So bleiben Phishing-Simulationen ein Instrument zur Stärkung der Cyberresilienz – und werden nicht zu einem vermeidbaren arbeitsrechtlichen Risiko.

---