Die Zahlen zeigen erhebliche Unterschiede zwischen Abteilungen und Branchen. Der Anteil der Beschäftigten, die mindestens einmal klickten, reichte von 26,35 Prozent im Bereich Design bis 41,31 Prozent im Baugewerbe. Bei den technischen Teams lagen Tech-Entwicklung bei 30,27 Prozent und IT bei 28,53 Prozent — Werte, die der Annahme widersprechen, technisch geschulte Mitarbeiter seien automatisch ein geringes Risiko. Knapp 20 Prozent der Beschäftigten im Bau- und Immobiliensektor gaben nach einem erfolgreichen Phishing-Versuch Zugangsdaten heraus.
Bei der jeweils ersten Simulation meldeten mehr Nutzer den Versuch, als darauf klickten — dennoch gaben 1,57 Prozent Zugangsdaten preis. Übertragen auf ein Unternehmen mit 500 Beschäftigten bedeutet das laut Pistachio rund acht Personen, die ihre Anmeldedaten aushändigen würden.
Die Simulationen liefen über Pistachios eigene KI-gestützte Trainingsplattform und wurden unter anderem per E-Mail und über Teams zugestellt. Inhalt und Schwierigkeitsgrad richteten sich nach der Rolle des Empfängers im Unternehmen und nach dessen Reaktion auf frühere Simulationen. Manuell hätte dieser Umfang nach Angaben des Unternehmens 23 Jahre gedauert statt zwölf Monate.
Der Bericht plädiert für eine breitere Messgrundlage: „Die Klickrate, die Kennzahl, an der die meisten Phishing-Programme gemessen werden, ist nur ein Teil des Bildes. Ein belastbarer Indikator für Verbesserung muss über die Klickrate hinausgehen und betrachten, wie sich Klick-, Preisgabe- und Meldeverhalten im Zeitverlauf gemeinsam verändern."
Joe Jones, CEO und Mitgründer von Pistachio, führt das weiter aus: „Eine niedrige Klickrate kann ein falsches Gefühl von Sicherheit erzeugen. Der Klick auf einen Phishing-Link ist nur ein Moment in einer viel längeren Kette von Mitarbeiterverhalten und sagt für sich allein wenig darüber aus, ob eine Person oder die Organisation insgesamt tatsächlich widerstandsfähiger wird. Wichtiger ist, was danach passiert: Gibt der Mitarbeiter Zugangsdaten heraus, erkennt er den Angriff und bricht ab, oder meldet er ihn, damit das Unternehmen handeln kann?"
Ein weiterer Befund betrifft die Dauer solcher Programme: Klick- und Preisgaberaten stiegen in den ersten sechs Monaten zunächst an, bevor sie zurückgingen. Am Ende der zwölfmonatigen Laufzeit meldeten die Nutzer verdächtige E-Mails fast doppelt so häufig, wie sie sie anklickten. Nachhaltige Programme erzeugen damit nicht nur weniger Klicks, sondern tatsächliche Wachsamkeit — eine einmalige Welle simulierter Angriffe reicht dafür nicht.
Eine Schwäche der Untersuchung: Trotz des offenkundig international verteilten Teilnehmerfelds enthält die Analyse keine geografische Auswertung. Unterschiede werden nur nach Branchen und Teams ausgewiesen, nicht nach Standorten. Damit bleibt offen, ob global aufgestellte Organisationen einzelnen Niederlassungen zusätzliches Training anbieten sollten.