Dr. Dr. Fabian Teichmann, LL.M., EMBA, RA

Phishing-Simulationen im Unternehmen

Beschäftigtendatenschutz, Mitbestimmung und Beweisverwertung bei Cybersecurity-Trainings

Phishing-Simulationen sind ein zentrales Instrument betrieblicher Cybersecurity-Awareness. Rechtlich erschöpfen sie sich jedoch nicht in Schulung und Prävention. Sie erzeugen personenbezogene Daten über Klicks, Eingaben, Reaktionszeiten, Meldungen und Wiederholungsfälle und sind deshalb zugleich Datenschutz-, Mitbestimmungs- und Beweisthema. Der Beitrag zeigt, dass Simulationsergebnisse nur dann arbeitsrechtlich belastbar sind, wenn Einführung, Datenerhebung, Auswertung und spätere Verwendung vorab rechtmäßig strukturiert werden. Fehlen Transparenz, Zweckbindung, Betriebsratsbeteiligung oder ein verhältnismäßiges Eskalationsmodell, wird aus einem Präventionsinstrument ein arbeitsrechtliches Risiko.

I. Phishing-Simulationen zwischen Prävention und Kontrolle

Phishing-Simulationen konfrontieren Beschäftigte mit fingierten, aber realitätsnah gestalteten E-Mails, Messenger-Nachrichten oder Portalanfragen. Das Unternehmen will erkennen, ob betrügerische Kommunikationsmuster wahrgenommen, verdächtige Anhänge gemieden, Meldewege genutzt und Warnhinweise verarbeitet werden. Darin liegt ein legitimes Präventionsinteresse. Die betriebliche IT-Sicherheitsorganisation darf nicht auf Firewalls, Filter und Richtlinien beschränkt bleiben; sie muss auch menschliche Fehlerrisiken und Melderoutinen adressieren. Dieses Interesse wird durch Art. 32 DSGVO sowie, bei regulierten Unternehmen, durch besondere Anforderungen an Risikomanagement, Schulung und Sensibilisierung verstärkt.