Phishing Simulation Tools: 17 beste im Vergleich (2026)

Phishing-Simulation Tools helfen dabei, Schwachstellen im menschlichen Faktor sichtbar zu machen, bevor echte Phishing-Angriffe sie ausnutzen. Wer nach den besten Phishing Tools sucht, meint damit meist sehr unterschiedliche Dinge: ein Open-Source-Framework für einen internen Test, ein Red-Team-Werkzeug für einen beauftragten Penetrationstest oder eine Awareness-Plattform, die Simulation und Schulung für die gesamte Belegschaft bündelt. Diese drei Ziele verlangen völlig verschiedene Werkzeuge, und genau diese Unterscheidung fehlt in den meisten Listen.

Dieser Leitfaden ordnet die 17 bekanntesten Phishing-Tools in klare Kategorien ein, prüft für jedes den aktuellen Wartungsstatus (mehrere populäre Tools sind inzwischen archiviert oder werden nicht mehr gepflegt), liefert eine Vergleichstabelle und geht auf einen Punkt ein, den kaum eine internationale Quelle behandelt: die rechtlichen Grundlagen für Phishing-Simulationen in Deutschland (BetrVG, DSGVO, BSI, NIS2).

Wichtig zur Abgrenzung: Ein Phishing-Simulationstool ist kein Analyse-Tool. Werkzeuge wie PhishTool untersuchen echte, von Mitarbeitenden gemeldete Phishing-Mails im Security Operations Center (SOC) und gehören zur Incident-Response, nicht zum Awareness-Training. Und Reverse-Proxy-Tools wie Evilginx2 oder Modlishka sind scharfe Red-Team-Waffen, die echte Zugangsdaten und Sitzungen abgreifen, kein Trainingsspielzeug. Wer das verwechselt, riskiert rechtliche und operative Probleme.

Die drei Kategorien von Phishing-Simulation-Tools

Statt einer flachen Rangliste sortieren wir die Werkzeuge nach ihrem eigentlichen Zweck. Fast alle seriösen Vergleiche folgen diesem Muster, weil erst die Kategorie verrät, ob ein Tool zu Ihrem Vorhaben passt.

• Open-Source-Frameworks für Awareness und Red Teams. Selbst gehostete Werkzeuge wie Gophish oder das Social-Engineer Toolkit (SET). Kostenlos, volle Kontrolle, aber Betrieb, Härtung und Vorlagenpflege liegen bei Ihnen. Ideal für technische Teams, Pentester und Lernumgebungen.
• Reverse-Proxy- und MitM-Tools mit Session-Hijacking. Evilginx2 und Modlishka schalten sich als Man-in-the-Middle zwischen Opfer und echte Zielseite. Sie greifen nach erfolgreichem Login die authentifizierte Sitzung ab. Das sind reine Red-Team-Werkzeuge für autorisierte Einsätze.
• SaaS-Awareness-Plattformen für Unternehmen. Verwaltete Dienste wie KnowBe4, Proofpoint, Hoxhunt, SoSafe oder Hornetsecurity. Sie bündeln Versand, Vorlagen, Schulungsinhalte, Reporting und Integration. Höherer Preis, dafür wenig Betriebsaufwand und compliance-taugliche Berichte.

Zusätzlich existiert eine vierte, oft übersehene Klasse: Analyse- und Triage-Tools für das SOC (zum Beispiel PhishTool). Diese versenden keine Simulationen, sondern zerlegen echte gemeldete Phishing-Mails. Sie ergänzen ein Awareness-Programm, ersetzen es aber nicht.

Kategorien im direkten Vergleich

Die Preisangaben für Plattformen sind Marktrichtwerte aus mehreren aktuellen Quellen (2 bis 5 Euro pro Mitarbeiter und Monat); einzelne Anbieter starten günstiger oder teurer. Prüfen Sie die Preistransparenz immer vor einer Demo, viele Anbieter nennen Preise erst auf Anfrage.

Die 17 Phishing-Tools im Detail

Für jedes Tool haben wir den aktuellen Zustand direkt über die GitHub-API geprüft (Stand Juli 2026). Das ist entscheidend, denn mehrere in älteren Listen gefeierte Werkzeuge sind inzwischen archiviert, umbenannt oder werden nicht mehr gepflegt. Ein archiviertes Tool kann funktionsfähig bleiben, erhält aber keine Sicherheitspatches mehr.

Status aller 17 Tools auf einen Blick

Diese Übersicht fasst den Wartungsstatus aller 17 Phishing Simulation Tools und Angriffswerkzeuge für 2026 zusammen:

Open-Source-Frameworks für Awareness und Red Teams

Gophish (aktiv, de-facto-Standard). Das mit Abstand am häufigsten empfohlene Open-Source-Framework für Phishing-Simulationen. Weboberfläche, anpassbare Vorlagen, Landing Pages, Kampagnenplanung, JSON-API und Echtzeit-Ergebnisse. Das Repository wird weiter gepflegt, der letzte offizielle Versions-Tag (v0.12.1) stammt allerdings von September 2022, formale Releases stocken also. Für kleine bis mittlere Testläufe ideal, für ein kontinuierliches Enterprise-Programm oft zu betriebsintensiv. Link: github.com/gophish/gophish.

Ein reproduzierbares Setup für einen ersten Test gelingt am schnellsten per Docker:

docker run -d --name gophish -p 3333:3333 -p 8080:8080 gophish/gophish

Seit v0.12.1 vergibt Gophish bei der Erstinstallation ein zufälliges Admin-Passwort, das im Log ausgegeben wird (früher war es das fest verdrahtete Standardpasswort). Damit Ihre Test-Mails nicht im Spam landen, müssen SPF, DKIM und DMARC für die Absenderdomain korrekt gesetzt sein.

Social-Engineer Toolkit (SET) (aktiv). Das Python-basierte Referenzwerkzeug für Social-Engineering-Angriffe, gepflegt von TrustedSec und fester Bestandteil von Kali Linux. Es deckt Spear-Phishing, das auf gezielter OSINT-Recherche aufbaut, sowie Website-Angriffsvektoren und Mass-Mailing ab. Ohne grafische Oberfläche und auf Expertenniveau, aber weiterhin sehr aktiv weiterentwickelt. Link: github.com/trustedsec/social-engineer-toolkit.

Simple Phishing Toolkit (SPT) (archiviert). Historisch ein früher, einsteigerfreundlicher Kampagnen-Editor. Das Repository ist seit 2018 offiziell archiviert und wird nicht mehr weiterentwickelt. Nur noch aus historischem Interesse relevant, für neue Projekte ungeeignet. Link: github.com/chris-short/sptoolkit.

King Phisher (wird nicht mehr gepflegt). Lange ein beliebtes Framework mit Echtzeit-Metriken und eigenem E-Mail- und Webserver. Das Projekt wurde nach CrimsonForge-io/king-phisher umgezogen (der alte Link rsmusllp/king-phisher ist tot), und das README trägt bis heute den Hinweis "King Phisher is no longer being maintained". Der letzte offizielle Release stammt aus 2019, seither gibt es nur sporadische Community-Beiträge ohne neue Features oder Sicherheits-Releases. Link (aktuell): github.com/CrimsonForge-io/king-phisher.

Phishing Frenzy (faktisch inaktiv). Ruby-basiertes Framework zur Verwaltung von Kampagnen mit Vorlagen-Editor und Metriken. Nicht offiziell archiviert, aber seit Ende 2023 ohne nennenswerte Aktivität und nicht einsteigerfreundlich. Link: github.com/pentestgeek/phishing-frenzy.

BlackPhish (umbenannt und archiviert). Ein schlankes Toolkit mit vorgefertigten Vorlagen. Das Repository wurde von iinc0gnit0 zu yangr0/BlackPhish umgezogen und ist zusätzlich als archiviert markiert (kein Push seit September 2024). Der in älteren Artikeln verlinkte Pfad führt ins Leere. Link (aktuell): github.com/yangr0/BlackPhish.

Reverse-Proxy- und MitM-Tools mit Session-Hijacking

Evilginx2 (sehr aktiv). Ein eigenständiges Man-in-the-Middle-Framework und eines der am aktivsten weiterentwickelten Tools dieser Liste. Wichtig ist die technisch korrekte Einordnung: Evilginx2 "umgeht" die Zwei-Faktor-Authentifizierung nicht im engeren Sinn. Es leitet den kompletten Datenverkehr zwischen Opfer und echter Zielseite in Echtzeit weiter, fängt dabei die eingegebenen Zugangsdaten ab und, entscheidend, die nach dem erfolgreichen Login (inklusive 2FA) gesetzten Session-Cookies. Der Angreifer übernimmt also die bereits authentifizierte Sitzung, statt die 2FA-Prüfung selbst auszuhebeln. Das ist Session-Hijacking nach erfolgter Authentifizierung. Link: github.com/kgretzky/evilginx2.

Konfiguriert wird Evilginx2 über sogenannte Phishlets, YAML-Dateien, die eine legitime Seite in einen Reverse-Proxy-Endpunkt verwandeln. Die Sektion credentials legt fest, welche POST-Parameter als Zugangsdaten erfasst werden:

credentials:
  username:
    key: 'email'
    search: '(.*)'
    type: 'post'
  password:
    key: 'password'
    search: '(.*)'
    type: 'post'
  custom:
    - key: 'token'
      search: '(.*)'
      type: 'post'

Ältere Anleitungen mit landing_path sind veraltet; das aktuelle Format nutzt eine eigene login-Sektion. Es existiert zusätzlich ein kommerzielles Evilginx Pro mit erweitertem Phishlet-Format, während die Community-Version quelloffen bleibt. Ein solches Tool gehört ausschließlich in autorisierte Red-Team-Engagements mit schriftlicher Beauftragung, nicht in ein regulär angekündigtes Awareness-Training.

Modlishka (aktiv). Ein weiteres Reverse-Proxy-Werkzeug, das den Verkehr zwischen Nutzer und Zielseite abfängt, um Zugangsdaten und Sitzungstoken zu erfassen. Das Prinzip ähnelt Evilginx2. Anders als gelegentlich behauptet ist das Projekt weiterhin aktiv (letzte Aktivität Mitte 2026). Auch Modlishka ist ein reines Red-Team-Werkzeug. Link: github.com/drk1wi/Modlishka.

Credential-Harvesting- und Social-Media-Klon-Tools

Blackeye (aktiv). Ein weit verbreitetes Toolkit mit zahlreichen fertigen Phishing-Seiten für gängige Dienste, einfach einzurichten. Der Fork wird weiter gepflegt. Eher für Demonstrationen und Lernumgebungen als für strukturierte Unternehmenskampagnen. Link: github.com/EricksonAtHome/blackeye.

Zphisher (sehr populär, aber inaktiv). Mit den meisten Sternen aller 17 Tools das populärste Projekt der Liste, einsteigerfreundlich mit rund 30 vorgefertigten Vorlagen. Trotz "Maintained: Yes"-Badge gab es seit August 2024 keinen neuen Commit mehr, der Wartungsstand ist also fraglich. Link: github.com/htr-tech/zphisher.

SocialFish (aktiv). Auf Social-Media-Plattformen ausgerichtetes Phishing-Tool mit anpassbaren Vorlagen und Echtzeit-Tracking. Erhält weiter laufende Aktualisierungen (unter anderem der Abhängigkeiten). Link: github.com/UndeadSec/SocialFish.

HiddenEye (weitgehend inaktiv). Vielseitiges Tool mit Keyloggern, Tunneling und Geolocation-Tracking, das nur noch als HiddenEye_Legacy weiterläuft und seit Anfang 2024 keinen Push mehr erhalten hat. Für neue Projekte nicht empfehlenswert. Link: github.com/Morsmalleo/HiddenEye_Legacy.

Spezial- und Nischen-Tools

Wifiphisher (aktiv, Release veraltet). Kein E-Mail-Tool, sondern ein Werkzeug für automatisierte WLAN-Angriffe: Es erstellt gefälschte Access Points, um Zugangsdaten abzugreifen oder Man-in-the-Middle-Positionen einzunehmen. Das Repository ist aktiv, der letzte formale Release (v1.4) stammt allerdings von 2018. Link: github.com/wifiphisher/wifiphisher.

SpearPhisher (eingefroren). Ein GUI-Werkzeug zum Erstellen einzelner Spear-Phishing-Mails. Seit 2017 ohne Aktivität und damit veraltet. Link: github.com/kevthehermit/SpearPhisher.

SeeYou / I-See-You (eingefroren). Ein Tool zur Geolokalisierung von Zielpersonen über präparierte Links. Seit 2019 eingefroren, nur noch historisch interessant. Link: github.com/Viralmaniar/I-See-You.

SayCheese (letzte Aktivität 2024). Nimmt über eine Phishing-Seite Kamerabilder von Nutzern auf, die einen Link öffnen, primär auf Mobilgeräte ausgelegt. Letzte Aktivität Mitte 2024. Link: github.com/hangetzzu/saycheese.

QR Code Jacking / QRLJacking (moderat aktiv). Ein OWASP-Projekt rund um Session-Hijacking über gefälschte QR-Login-Codes. QR-Phishing (auch "Quishing") ist 2026 hochaktuell. Für Trainingszwecke lohnt der Blick auf moderne Alternativen: Microsoft Attack Simulation Training bietet etwa dedizierte QR-Phishing-Module und Lernpfade. Link: github.com/OWASP/QRLJacking.

SaaS-Awareness-Plattformen als Alternative

Für ein dauerhaftes Awareness-Programm über die gesamte Belegschaft sind Open-Source-Tools oft der falsche Ansatz. Verwaltete Plattformen übernehmen Versand, Zustellbarkeit, Vorlagenpflege, Schulungsinhalte und Reporting. Relevante Anbieter aus aktuellen Marktübersichten:

• KnowBe4 und Proofpoint Security Awareness Training: große, etablierte US-Anbieter mit riesigen Vorlagenbibliotheken.
• Hoxhunt und Phished: stark auf adaptive, KI-gestützte Personalisierung ausgerichtet.
• SoSafe (EU-Fokus) und Hornetsecurity (EU-Hosting): für den DACH-Raum wegen Datenresidenz und M365-Integration interessant; Hornetsecurity startet in unserem Quellensample bereits ab etwa 2 Euro pro Nutzer/Monat, SoSafe ab etwa 9 Euro.
• Microsoft Attack Simulation Training: in Microsoft 365 E5 beziehungsweise Defender for Office 365 Plan 2 enthalten, tief ins Ökosystem integriert, mit QR-Phishing-Payloads und der Predicted-Compromise-Rate-Funktion zur Schwierigkeitskalibrierung. Hinweis: Anders als in mancher Anleitung behauptet gibt es dafür aktuell keine PowerShell-Cmdlets.
• Sophos Phish Threat: für bestehende Sophos-Kunden, laut Sophos seit Ende 2025 in bestimmten Sophos-E-Mail-Lizenzen enthalten.

Ein neuer Trend sind KI-native Anbieter (etwa Adaptive Security), die Deepfake-Audio und -Video sowie generative Inhalte für multimodale Simulationen jenseits der klassischen E-Mail nutzen. Preisangaben bitte als Anhaltspunkte verstehen und beim Anbieter verifizieren.

Open Source oder Managed: die richtige Wahl

Die Grundsatzfrage lautet: eigenes System bauen und betreiben oder einen verwalteten Dienst buchen? Open Source minimiert die Lizenzkosten, maximiert aber den internen Aufwand; SaaS verlagert den Betriebsaufwand gegen Bezahlung zum Anbieter.

Für Open Source spricht: keine Lizenzkosten, volle Code-Transparenz, volle Kontrolle über Hosting und damit über die Datenresidenz, hoher Lerneffekt fürs Team. Dagegen spricht: Sie müssen Deployment, Härtung, Zustellbarkeit (SPF/DKIM/DMARC) und Vorlagenpflege selbst stemmen, Support fehlt, Enterprise-Funktionen wie SSO, Mehrsprachigkeit, automatisiertes Reporting oder simuliertes Vishing sind nicht vorhanden. Und, wie unsere Statusprüfung zeigt: Bei quelloffenen Projekten sind Bugfixes und langfristige Wartung nicht garantiert.

Verwaltete Plattformen eignen sich für Organisationen, die Ergebnisse statt technischer Kontrolle priorisieren, verlässliche Zustellung im großen Maßstab brauchen oder compliance-taugliche Berichte für die Leitungsebene benötigen. Open Source passt zu Teams mit starker technischer Kompetenz, zu Pentestern mit Anpassungsbedarf und zu Lernumgebungen. Als Faustregel: Für einen einmaligen technischen Test oder ein Red-Team-Engagement sind Gophish, SET oder Evilginx2 die richtige Wahl; für ein kontinuierliches Awareness-Programm im Unternehmen fahren die meisten Organisationen mit einer verwalteten Plattform besser.

Rechtliche Grundlagen für Phishing-Simulationen in Deutschland

Dies ist der Abschnitt, den fast alle internationalen Tool-Listen auslassen, obwohl er in Deutschland über Erfolg oder Rechtsverstoß entscheidet. Eine Phishing-Simulation ist keine rein technische Übung, sondern greift in Beschäftigtenrechte ein. Bei ordnungsgemäßer Durchführung und DSGVO-Beachtung sind Simulationen vollständig rechtskonform und werden von Aufsichtsbehörden als bewährte Praxis eingeordnet.

Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG)

Phishing-Simulationsplattformen erfassen individuelles Nutzerverhalten (wer klickt, wer meldet). Damit sind sie technische Einrichtungen, die zur Überwachung von Verhalten und Leistung geeignet sind, und unterliegen der Mitbestimmung des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Nach der Rechtsprechung des Bundesarbeitsgerichts genügt bereits die Eignung zur Auswertung, die tatsächliche Nutzung zur Überwachung ist nicht erforderlich. Ohne eine entsprechende Betriebsvereinbarung ist die Durchführung rechtswidrig. Binden Sie den Betriebsrat und die oder den Datenschutzbeauftragten daher früh ein.

DSGVO: Auftragsverarbeitung und Rechtsgrundlage

Datenschutzrechtlich ist der Arbeitgeber in der Regel Verantwortlicher, der Plattformanbieter Auftragsverarbeiter. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist zwingend erforderlich. Als Rechtsgrundlage dient üblicherweise das berechtigte Interesse an IT-Sicherheit nach Art. 6 Abs. 1 lit. f DSGVO, nicht die Einwilligung, da im Beschäftigungsverhältnis die dafür nötige Freiwilligkeit regelmäßig fehlt.

Inhalte einer belastbaren Betriebsvereinbarung

Eine tragfähige Betriebsvereinbarung sollte mindestens folgende Punkte festschreiben:

• Zweckbindung: ausschließlich Verbesserung der Sicherheits-Awareness, keine anderen Zwecke.
• Verbot von Personalmaßnahmen: Ergebnisse dürfen nicht für Abmahnungen, Kündigungen oder Beförderungen herangezogen werden.
• Anonymisierung: Management-Berichte nur aggregiert auf Abteilungsebene, individuelle Ergebnisse nur für die Betroffenen selbst und das Sicherheitsteam; Auswertungen für Führungskräfte erst ab einer Mindestgruppengröße (üblich: fünf Personen), HR ausgeschlossen.
• Aufbewahrung: Rohdaten typischerweise 12 bis 24 Monate, danach nur aggregierte Statistik.
• Transparenz: jährliche allgemeine Information aller Mitarbeitenden über die Durchführung von Simulationen (ohne konkrete Kampagnen vorab anzukündigen, sonst wäre der Test wirkungslos).
• Evaluationsklausel: gemeinsame Überprüfung, üblicherweise alle 24 Monate.

Datenresidenz und Schrems II bei US-Anbietern

Bei US-Anbietern wie KnowBe4 oder Proofpoint ist die Datenübermittlung in Drittländer gesondert zu prüfen (Schrems-II-Problematik). In der Praxis bedeutet das je nach Konstellation zusätzliche Schutzmaßnahmen wie Standardvertragsklauseln, ein Transfer Impact Assessment und gegebenenfalls eine Datenschutz-Folgenabschätzung. Anbieter mit EU-Hosting (etwa SoSafe oder Hornetsecurity) oder das in der EU-Region gespeicherte Microsoft Attack Simulation Training vereinfachen die Datenresidenz-Frage erheblich.

BSI IT-Grundschutz und NIS2

Das BSI führt Sensibilisierung und Schulung im IT-Grundschutz-Baustein ORP.3 als Standardanforderung. Auf regulatorischer Ebene verlangt die NIS2-Richtlinie in Art. 21 Abs. 2 lit. g grundlegende Cyberhygiene und Awareness-Schulungen als benannten Baustein des Risikomanagements. Für das Gesundheitswesen kommen Anforderungen wie § 75b SGB V hinzu. Auch Cyberversicherer prüfen dokumentierte Awareness-Maßnahmen zunehmend als Deckungsvoraussetzung. Dokumentierte Simulationen mit messbaren Kennzahlen zahlen also direkt auf mehrere Compliance-Anforderungen ein.

Umsetzungs-Fahrplan: ein Awareness-Programm über zwölf Monate

Ein einzelner Test bringt wenig. Wirksam wird Awareness erst als kontinuierliches Programm. Bewährt hat sich ein Vier-Phasen-Modell über zwölf Monate, das zwei unabhängige deutsche Fachquellen in vergleichbarer Form beschreiben.

1. Baseline (Monat 1 bis 2). Eine mittelschwere Kampagne an alle Mitarbeitenden, um den Ausgangswert der Klickrate zu ermitteln. In Risikobranchen liegt dieser ohne Vortraining oft bei 20 bis 35 Prozent. Voraussetzung: Die Betriebsvereinbarung steht.
2. Training (Monat 3 bis 4). Just-in-Time-Lernmodule direkt nach einem Klick (kurzes Video, kleines Quiz), ohne öffentliche Bloßstellung. Konkrete Erkennungsmerkmale vermittelt unser Leitfaden zur Abwehr von Phishing-Mails. Ziel: die Klickrate spürbar senken.
3. Vertiefung (Monat 5 bis 8). Szenarien nach Funktionsgruppen differenzieren und den Schwierigkeitsgrad steigern. Ziel: Klickrate pro Gruppe unter 15 Prozent.
4. Risikoszenarien (Monat 9 bis 12). Anspruchsvolle Vektoren wie KI-Spear-Phishing, QR-Phishing und Betrug rund um Passkeys. Ziel: Klickrate unter 10 Prozent und Meldequote über 30 Prozent.

Messen Sie dabei nicht nur die Klickrate, sondern mindestens vier Kennzahlen: Klickrate, Credential-Eingabe-Rate, Meldequote und Abschlussquote der Schulungen. Die Meldequote ist besonders wichtig, denn ein Team, das Phishing erkennt und meldet, ist wertvoller als eines, das nur seltener klickt. Empfohlene Frequenz: vier bis sechs Simulationen pro Jahr, also etwa alle sechs bis acht Wochen.

Typische Fehler: ohne Betriebsvereinbarung starten (Vertrauensschaden und Rechtsverstoß), individuelle Ergebnisse an Vorgesetzte weitergeben (BetrVG-Verstoß, Blame-Kultur), fehlerhafte E-Mail-Authentifizierung (Simulationen landen im Spam), oder Sicherheitsfilter, die die Simulationslinks blockieren (Simulations-Infrastruktur beim Filter freigeben).

Häufige Fragen (FAQ)

Ist eine Phishing-Simulation in Deutschland legal?

Ja, bei ordnungsgemäßer Durchführung. Erforderlich sind in der Regel eine Betriebsvereinbarung nach § 87 Abs. 1 Nr. 6 BetrVG, ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, die Stützung auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO sowie Anonymisierung und Zweckbindung der Auswertung.

Brauche ich zwingend eine Betriebsvereinbarung?

In Betrieben mit Betriebsrat ja. Da Simulationsplattformen individuelles Verhalten auswerten können, greift die Mitbestimmung. Ohne Betriebsvereinbarung ist der Test rechtswidrig, unabhängig davon, ob Sie die Daten tatsächlich zur Überwachung nutzen.

Welche Phishing Simulation Tools sind kostenlos?

Kostenlos sind vor allem Open-Source-Frameworks wie Gophish und das Social-Engineer Toolkit (SET) sowie weitere quelloffene Werkzeuge. Sie verlangen aber Eigenbetrieb: Hosting, Härtung und Zustellbarkeit über korrekt gesetzte SPF-, DKIM- und DMARC-Einträge liegen bei Ihnen. Für ein dauerhaftes Programm über die gesamte Belegschaft ist eine verwaltete Plattform trotz Lizenzkosten meist wirtschaftlicher.

Open Source oder eine bezahlte Plattform, was ist besser?

Das hängt vom Ziel ab. Für einen einmaligen technischen Test oder ein Red-Team-Engagement genügen kostenlose Open-Source-Tools wie Gophish oder SET. Für ein dauerhaftes Awareness-Programm über die gesamte Belegschaft ist eine verwaltete Plattform meist wirtschaftlicher, weil Zustellbarkeit, Inhalte, Reporting und Support inklusive sind.

Was ist der Unterschied zwischen einem Simulationstool und einem Analyse-Tool wie PhishTool?

Ein Simulationstool versendet kontrollierte Test-Phishing-Mails, um Awareness zu messen und zu trainieren. Ein Analyse-Tool wie PhishTool untersucht echte, von Mitarbeitenden gemeldete Phishing-Mails im SOC und dient der Incident-Response. Beide ergänzen sich, ersetzen sich aber nicht.

Umgehen Evilginx2 und Modlishka wirklich die Zwei-Faktor-Authentifizierung?

Nicht im engeren Sinn. Sie hebeln die 2FA-Prüfung nicht aus, sondern greifen nach dem regulären Login (inklusive 2FA) das gültige Session-Cookie ab und übernehmen die bereits authentifizierte Sitzung. Technisch ist das Session-Hijacking. Schutz bieten phishing-resistente Verfahren der Multi-Faktor-Authentifizierung wie FIDO2/Passkeys.

Welche Kennzahlen sollte ich messen?

Mindestens Klickrate, Credential-Eingabe-Rate, Meldequote und Schulungsabschlussquote. Die Meldequote (Anteil der Mitarbeitenden, die eine verdächtige Mail aktiv melden) ist der aussagekräftigste Frühindikator für eine gesunde Sicherheitskultur.

Fazit

Die "besten" Phishing-Tools gibt es nicht pauschal, sondern nur passend zum Ziel. Open-Source-Frameworks wie Gophish und SET sind stark für technische Tests und Red-Team-Arbeit, während Reverse-Proxy-Werkzeuge wie Evilginx2 und Modlishka scharfe, ausschließlich für autorisierte Einsätze gedachte Session-Hijacking-Tools sind. Für ein dauerhaftes Awareness-Programm über die gesamte Belegschaft führt meist kein Weg an einer verwalteten Plattform vorbei.

Zwei Dinge unterscheiden diesen Leitfaden von den üblichen Listen: der ehrliche Wartungsstatus (mehrere populäre Tools sind archiviert oder werden nicht mehr gepflegt, prüfen Sie Links und Aktivität immer selbst) und der rechtliche Rahmen in Deutschland. Wer BetrVG, DSGVO, BSI-Grundschutz und NIS2 von Anfang an mitdenkt und ein Programm über zwölf Monate strukturiert, macht aus einem einzelnen Test eine messbar bessere Sicherheitskultur.