Phishing-Simulationen sind ein zentrales Instrument betrieblicher Cybersecurity-Awareness. Rechtlich erschöpfen sie sich jedoch nicht in Schulung und Prävention. Sie erzeugen personenbezogene Daten über Klicks, Eingaben, Reaktionszeiten, Meldungen und Wiederholungsfälle und sind deshalb zugleich Datenschutz-, Mitbestimmungs- und Beweisthema. Der Beitrag zeigt, dass Simulationsergebnisse nur dann arbeitsrechtlich belastbar sind, wenn Einführung, Datenerhebung, Auswertung und spätere Verwendung vorab rechtmäßig strukturiert werden. Fehlen Transparenz, Zweckbindung, Betriebsratsbeteiligung oder ein verhältnismäßiges Eskalationsmodell, wird aus einem Präventionsinstrument ein arbeitsrechtliches Risiko.
