Gamifiziertes Security-Awareness-Training: Welche Mechaniken wirken?

Was sagt die Forschung zu Gamification?

Michael Sailer und Lisa Homner werteten 38 Publikationen mit 40 Experimenten aus den Jahren 2013 bis 2017 aus, die gamifizierten Unterricht mit herkömmlichem Unterricht verglichen. Gamification verbesserte alle drei Ergebnisarten. Die Effektstärken in der Tabelle sind als Hedges' g angegeben, das den Unterschied zwischen den Gruppen in Standardabweichungen ausdrückt. Nach gängiger Konvention gilt etwa 0,2 als kleiner und etwa 0,5 als mittlerer Effekt, der Wissenseffekt liegt also nahe an einem mittleren Effekt.

Der Wissenseffekt war am stabilsten und hielt auch in den Studien mit dem stärksten Design. Der Verhaltenseffekt war kleiner und weniger stabil. Er wurde meist während der gamifizierten Aktivität gemessen und zeigt daher die Leistung im Training, nicht im Arbeitsalltag.

Belege aus der Arbeitswelt liefern Mario Silic und Paul Benjamin Lowry. In einer sechsmonatigen Feldstudie mit 420 Teilnehmenden in einer Organisation führte gamifiziertes Security-Training, das auf die Motivation und die Bewältigungsbedürfnisse der Beschäftigten zugeschnitten war, zu statistisch signifikanten positiven Verhaltensänderungen. Außerdem zeigte sich, dass ein angemessener Schwierigkeitsgrad wichtig war.

Welche Spielmechaniken wirken am besten?

In einem Experiment von 2017 testeten Michael Sailer, Jan Hense, Sarah Mayr und Heinz Mandl einzelne Spielelemente gegen Autonomie, Kompetenz und soziale Eingebundenheit, die drei psychologischen Grundbedürfnisse der Selbstbestimmungstheorie. Abzeichen, Leaderboards und Leistungsdiagramme stärkten das Kompetenzerleben und die wahrgenommene Bedeutsamkeit der Aufgabe. Avatare, eine sinnstiftende Geschichte und Teammitglieder stärkten die soziale Eingebundenheit.

Die Metaanalyse von 2020 zeigt, welche Gestaltungsmerkmale mit den größten Verhaltenseffekten einhergingen. Wettbewerb in Kombination mit Zusammenarbeit, etwa Teams, die gegeneinander antreten, erzielte den größten Effekt (g = 0,70, drei Experimente). Spielfiktion wie eine Geschichte oder Spielwelt erhöhte den Effekt ebenfalls (g = 0,41), während reiner Einzelwettbewerb keinen signifikanten Effekt zeigte. Beide Ergebnisse stammen aus Vergleichen zwischen Studien, nicht aus direkten Experimenten.

Das britische National Cyber Security Centre beschreibt in seinem Leitfaden zu Phishing einen verwandten Ansatz. Manche Organisationen lassen Mitarbeitende selbst Phishing-Mails schreiben, statt sie nur Simulationen auszusetzen, und ein freundschaftlicher Wettbewerb unter Kolleginnen und Kollegen vermeidet das „Wir gegen die“-Verhältnis, das Simulationen zum Security-Team erzeugen können.

So setzen Sie Leaderboards und Zeitdruck richtig ein

Leaderboards und Zeitdruck sind in Security-Spielen verbreitet und brauchen die sorgfältigste Gestaltung. 2025 werteten Anderson Kevin Gwenhure und SangGyu Nam 12 begutachtete Studien zu gamifiziertem Cybersecurity-Training aus (JITE: Research). Diese beiden Elemente lösten häufig Angst und Rückzug aus, und die meisten Programme wurden nur in der Neuheitsphase evaluiert.

Für beide Probleme gibt es praktische Lösungen. Team-Leaderboards erhalten den motivierenden Effekt des Wettbewerbs und ergänzen ihn um Zusammenarbeit, also genau die Kombination mit dem stärksten Verhaltenseffekt in der Metaanalyse. Persönliche Fortschrittsdiagramme zeigen die Verbesserung jeder einzelnen Person, ohne Kolleginnen und Kollegen gegeneinander zu ranken.

Beim Zeitdruck sollten richtige Entscheidungen belohnt werden, nicht schnelle. Das NCSC empfiehlt, wichtige E-Mail-Anfragen über einen zweiten Kanal zu verifizieren, und die Punktevergabe sollte genau diese Prüfung belohnen.

Wenn Sie Awareness-Trainings in einem deutschen Unternehmen mit Betriebsrat verantworten, ist ein Leaderboard mit Namen zuerst eine Frage der Mitbestimmung und erst danach eine Gestaltungsfrage. Es verarbeitet Daten über Verhalten und Leistung einzelner Beschäftigter, und technische Einrichtungen, die zur Überwachung von Verhalten oder Leistung geeignet sind, unterliegen nach § 87 Abs. 1 Nr. 6 BetrVG der Mitbestimmung des Betriebsrats.

Was können Security-Teams von Tour de Phish lernen?

Die Spielenden fahren das erste Profirennen eines jungen Radsportlers und entscheiden bei jeder eingehenden E-Mail, ob sie antworten, melden oder löschen. Das Spiel entstand gemeinsam mit dem Chief Information Security Office des Department of Customer Service. Für eine korrekt gemeldete Phishing-Mail gab es Punkte, für das Antworten auf eine Phishing-Mail oder ihr Löschen Punktabzug, und das Spiel lenkte die Aufmerksamkeit durchgehend auf den Melde-Button.

Das Feedback beschrieb die realen Folgen jeder Entscheidung. Nach einer richtigen Meldung erfuhren die Spielenden, dass sie vertrauliche Kundendaten geschützt hatten, nach einem Klick, dass Schadsoftware ins System gelangt war. 2022 leitete die Behörde Mitarbeitende, die auf eine simulierte Phishing-Mail geklickt hatten, außerdem direkt ins Spiel weiter, sodass das Üben im Moment des Fehlers stattfand.

Das Spiel kombinierte Punkte, ein Leaderboard, Zeitdruck und steigende Schwierigkeitsstufen mit klaren Belohnungen für das Melden, und die Mitarbeitenden bewerteten es sehr positiv. Die veröffentlichten Ergebnisse messen Präferenz und Selbstvertrauen, nicht Melderaten.

So planen und messen Sie einen gamifizierten Pilot

Das NCSC empfiehlt, nicht nur zu zählen, wie viele Personen auf eine Phishing-Mail geklickt haben, sondern auch, wie viele sie gemeldet haben. Das Melden gibt einem gamifizierten Programm zudem ein positives Verhalten, das es belohnen kann, und ein kleiner Pilot testet das vor dem vollen Rollout.

1. Ein Verhalten auswählen. Wählen Sie das Melden verdächtiger E-Mails oder das Verifizieren einer Zahlung, die scheinbar von der Geschäftsführung kommt, über einen zweiten Kanal, statt „Awareness“ allgemein.
2. Regeln vorab klären. Das NCSC rät, vor Phishing-Simulationen die Personalabteilung einzubinden. In Deutschland gehört der Betriebsrat dazu, wenn sich Ergebnisse einzelnen Personen zuordnen lassen.
3. Szenarien bauen, die Mitarbeitende wiedererkennen. Ein Lieferant, der seine Bankverbindung ändert, oder ein Anrufer, der sich als IT-Support ausgibt, wirkt besser als ein allgemeines Quiz. Die britische NPSA stellt kostenloses Kampagnenmaterial für solche Trainings bereit.
4. Teams und richtige Entscheidungen bewerten. Belohnen Sie korrekte Meldungen und Verifizierungen auf Teamebene, geben Sie direkt nach jeder Entscheidung Feedback und vergeben Sie keine Extrapunkte für schnelles Antworten.
5. Vor dem Start und über mehrere Quartale messen. Nutzen Sie die folgenden Kennzahlen und beginnen Sie mit einer Baseline.

• Melderate in Simulationen: der Anteil zugestellter simulierter Phishing-Nachrichten, den Mitarbeitende melden.
• Zeit bis zur Meldung in Simulationen: die Zeit von der Zustellung einer simulierten Nachricht bis zur ersten Meldung.
• Meldungen im Ernstfall: die Zahl der Meldungen pro Zeitraum, der Anteil, den die Triage als bösartig bestätigt, und die Zeit vom Eingang einer bestätigt bösartigen Nachricht bis zur ersten Meldung.
• Verifizierungsverhalten: ob Mitarbeitende ungewöhnliche Anfragen über einen zweiten Kanal bestätigen, zum Beispiel in Simulationen, die eine Zahlung oder eine Änderung der Bankverbindung verlangen.

Meldungen von Mitarbeitenden helfen auch bei der Erkennung. In einer Fallstudie des NCSC erreichten 50 von 1.800 bösartigen E-Mails die Postfächer eines Finanzunternehmens mit rund 4.000 Beschäftigten. Die Mitarbeitenden meldeten 25 davon, einige erst nach dem Klick, und diese Meldungen waren das erste Anzeichen dafür, dass der Angriff den E-Mail-Filter passiert hatte.

Eine Scope-Vorlage für Pilotprojekte mit Erfolgs-KPIs deckt Scoping und Freigabeschritte für einen solchen Pilot ab.

So unterstützt revel8 verhaltensorientiertes Üben

revel8 simuliert aktuelle Angriffe per E-Mail, SMS, Telefonanruf und Deepfake-Video, personalisiert auf Basis von OSINT. Auf jede Interaktion folgen sofortiges Feedback und eine kurze Lerneinheit im Security Awareness Training. Die Awareness Playlist passt die Abfolge der Simulationen mit der Zeit an jede Person an, und Security-Teams verfolgen die Ergebnisse auf Gruppenebene in Risk Monitoring & Mitigation.