1 november 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Phishing training voor medewerkers: wat gedrag echt verandert, en hoe u het organiseert
De meeste organisaties geven al phishing training. Veel minder organisaties kunnen aantonen dat die training iets veranderde aan wat medewerkers doen wanneer op vrijdagmiddag om 16:55 een overtuigende e-mail binnenkomt. Deze gids beschrijft wat goede phishing training voor medewerkers bevat, hoe vaak u haar aanbiedt, welke cijfers bewijzen dat zij werkt en waar NIS2, ISO 27001 en DORA haar raken.
Wat phishing training is, en wat het niet is
Phishing training is een gestructureerd programma dat medewerkers leert phishingpogingen te herkennen, te verifiëren, te melden en ervan te herstellen, via e-mail, sms, telefoon, QR-codes en samenwerkingstools. Het is een leerinstrument. Een phishing simulatie is een meetinstrument: een gecontroleerde, geautoriseerde test die laat zien hoe de organisatie zich werkelijk gedraagt wanneer een geloofwaardig lokbericht binnenkomt. De twee worden vaak als één product verkocht, maar zij beantwoorden verschillende vragen. Training vraagt of mensen weten wat zij moeten doen; simulatie vraagt of zij het ook doen.
Dat onderscheid bepaalt hoe u inkoopt en hoe u resultaten beoordeelt. Een programma dat alleen uit simulaties bestaat, levert een grafiek met klikpercentages op en weinig meer. Een programma dat alleen uit training bestaat, levert certificaten van voltooiing op en geen bewijs van gedrag. De organisaties die hun phishingrisico werkelijk verkleinen, doen beide, met trainingsinhoud die wordt gevoed door wat de simulaties en de echte incidentenwachtrij laten zien.
Dit artikel behandelt de trainingskant: inhoud, frequentie, de meldknop, meetwaarden, rolgerichte modules en de wettelijke haakjes. Voor de meetkant verwijzen wij naar onze dienst phishing simulatie en de bijbehorende gids over het opzetten van een phishing campagne.
Waarom jaarlijkse phishing training alleen niet werkt
Phishing blijft de meest voorkomende eerste toegangsroute in de inbreukdata die ertoe doen. Het Data Breach Investigations Report van Verizon schrijft al jaren het merendeel van de inbreuken toe aan een menselijke factor, met phishing en gestolen inloggegevens bovenaan, en het ENISA Threat Landscape plaatst phishing elk jaar bij de belangrijkste eerste toegangsvectoren. Voor een securityteam is dat geen nieuws. Wat minder wordt besproken, is waarom de phishing training die de meeste organisaties al geven daar zo weinig aan verandert.
De eerste reden is frequentie. Een module van 45 minuten, één keer per jaar, gevolgd om een auditor tevreden te stellen, is binnen enkele weken vergeten. Onderzoek naar gespreid herhalen is eenduidig: korte, herhaalde blootstelling werkt beter dan één lange sessie. De tweede reden is inhoud. Generieke modules leren mensen letten op spelfouten en vreemde aanheffen, signalen die moderne, door AI ondersteunde phishing niet meer biedt. De derde reden is de meetwaarde. Programma's die alleen op klikpercentage worden gestuurd, schuiven naar makkelijkere lokberichten en een cultuur van mensen betrappen, en dat levert precies het gedrag op dat u het minst wilt: medewerkers die een klik verzwijgen in plaats van melden.
De vierde reden is de ontbrekende tweede helft. Een phishingbericht herkennen is weinig waard als de medewerker niet weet waar hij het moet melden, geen terugkoppeling krijgt als hij dat doet, en consequenties vreest als hij eerst heeft geklikt. Training die stopt bij herkennen, kweekt toeschouwers. Training die een meldreflex opbouwt, levert sensoren voor uw security operations center.
Wat goede phishing training bevat: herkennen, verifiëren, melden, herstellen
Zes onderdelen, elk met een meetbare uitkomst. Ontbreekt er een in de inhoud van uw leverancier, dan is dat het gat in uw programma.
Herkennen van signalen die nog werken
Geen spelfouten. Leer de structurele signalen die een aanvaller niet kan wegnemen: onverwachte urgentie, een verzoek om betaal- of inloggegevens te wijzigen, een afzender die niet past bij de context, een link die uitkomt op een domein dat de organisatie niet bezit, een MFA-prompt die niemand heeft gestart, een verzoek om een applicatie toegang te geven. Gebruik de echte, geanonimiseerde lokberichten van uw organisatie als voorbeeld.
Verifiëren via een tweede kanaal
De meest beschermende gewoonte die er is: elk verzoek dat geld, inloggegevens of toegang betreft, bevestigen via een kanaal dat de verzoeker niet zelf heeft aangereikt. Een bekend telefoonnummer, even langslopen, een ticket bij de servicedesk. Training moet dit normaal en verwacht maken, zodat de medewerker crediteuren die de CFO terugbelt wordt geprezen in plaats van als lastig ervaren.
Melden met één klik
De meldknop in het e-mailprogramma, hoe u die gebruikt, wat er daarna gebeurt, en dat melden na een klik nog altijd de juiste stap is. Melden is het gedrag dat medewerkers verandert van doelwit in detectie. Elke module hoort te eindigen bij de knop.
Herstellen zonder schaamte
Wat u doet in de eerste tien minuten na een klik of het invoeren van inloggegevens: de servicedesk bellen, het wachtwoord wijzigen vanaf een vertrouwd apparaat, de opvolging verwachten en verwelkomen. Hoe eerder de melding, hoe kleiner de schade. Training moet expliciet uitspreken dat niemand wordt gestraft voor melden.
Moderne en AI-ondersteunde dreigingen
Deepfake-telefoontjes van de 'CEO', QR-codes op facturen en parkeerautomaten, OAuth-toestemmingsvensters die een kwaadaardige applicatie toegang tot de mailbox geven, MFA-vermoeidheid door herhaalde pushmeldingen, lokberichten in Teams en Slack. Dit zijn de dreigingen van 2026; een programma dat nog draait om slecht gespelde loterijmails loopt tien jaar achter.
Rol en context
Een financiële afdeling, een HR-team, een servicedesk en een directiesecretariaat krijgen andere lokberichten en beheren andere sleutels. Eén generieke module voor allemaal verspilt aandacht. De rolgerichte paragraaf hieronder beschrijft wat elke groep nodig heeft.
Frequentie: hoe vaak phishing training moet terugkomen
De juiste frequentie is vaak, kort en gekoppeld aan gebeurtenissen, met daarbovenop een jaarlijkse vastlegging voor de auditor.
Onboarding: in de eerste week
Nieuwe medewerkers zijn het vaakst doelwit en kunnen het minst goed beoordelen wat normaal is. Een module van vijftien minuten vóór of op de dag dat de mailbox wordt vrijgegeven, met een live demonstratie van de meldknop, is de sessie met het hoogste rendement in het hele programma.
Nulmeting in de eerste maand
Voer vóór de eerste trainingsronde een geautoriseerde nulmeting uit met een simulatie, zodat u weet waar u begint. Zonder nulmeting hangt elk later cijfer in de lucht en heeft de directie niets om mee te vergelijken.
Maandelijkse micro-inhoud: drie tot vijf minuten
Eén kort scenario, één signaal, één handeling. Aangeboden in het e-mailprogramma of op intranet, niet in een leerportaal met een aparte login. Maandelijks houdt de stof in het werkgeheugen; per kwartaal is de ondergrens.
Kwartaalmodule per rol, met meer diepgang
Twintig minuten over de dreigingen die specifiek zijn voor de groep: factuurfraude voor finance, MFA-resetfraude voor de servicedesk, deepfake-stemmen voor bestuurders en hun assistenten.
Opfrissers naar aanleiding van gebeurtenissen
Na een echt incident in uw sector, na een simulatie waarvan het lokbericht werkte, of wanneer een nieuwe techniek opduikt, zoals een golf QR-phishing of een consent-phishingcampagne tegen Microsoft 365-omgevingen. Relevantie is de sterkste aandachtstrekker.
Jaarlijkse vastlegging
Een geregistreerde voltooiing voor de auditor, gekoppeld aan de normen verderop. Houd het kort. Het is bewijs, niet het programma.
De meldknop is de belangrijkste maatregel in het programma
Als u na het lezen van dit artikel één ding verandert, laat het dit zijn. Een meldknop met één klik in Outlook, Gmail of de mobiele mailapp, doorgestuurd naar een mailbox die het securityteam werkelijk beoordeelt, maakt van elke getrainde medewerker een sensor. Organisaties met een werkende meldroute detecteren campagnes doorgaans via de eerste meldingen, minuten na aflevering en lang voordat een filterupdate arriveert.
Een meldroute heeft vier dingen nodig om te werken. De knop moet op elk apparaat aanwezig zijn, ook mobiel. De beoordeling moet een servicenorm hebben: een ontvangstbevestiging binnen minuten, een oordeel binnen uren. De melder moet terugkoppeling krijgen, al is het een standaardtekst ('Dank u, dit was kwaadaardig, wij hebben het geblokkeerd'), omdat onbeantwoorde meldingen binnen een kwartaal ophouden. En de uitkomst moet detectie voeden: gemelde indicatoren horen bij uw e-mailgateway, uw endpointbeveiliging en uw SOC of MDR-leverancier terecht te komen, zodat één melding iedereen beschermt die niet heeft geklikt.
Dezelfde knop moet ook simulatiemeldingen ontvangen. Meldt een medewerker een gesimuleerd lokbericht, dan hoort het antwoord een felicitatie te zijn en de mededeling dat het een test was. Zo sluit u de cirkel tussen training en meting op een manier die geen dashboard kan evenaren.
Meten: de cijfers die bewijzen dat phishing training werkt
Het klikpercentage is de meetwaarde die iedereen bijhoudt en op zichzelf de minst bruikbare. Gebruik deze cijfers samen, altijd met het moeilijkheidsniveau van het lokbericht erbij.
| Meetwaarde | Wat het u vertelt | Wat het verbergt | Richting |
|---|---|---|---|
| Klikpercentage | Aandeel ontvangers dat op de gesimuleerde link klikte | Hangt volledig af van de moeilijkheid van het lokbericht; een laag cijfer kan een makkelijk bericht betekenen, geen getrainde organisatie | Omlaag, gelezen naast het moeilijkheidsniveau |
| Meldpercentage | Aandeel dat het bericht meldde, al dan niet na een klik | Niets, zodra de knop er is; dit is het gedrag dat u wilt | Omhoog; in volwassen programma's overtreffen meldingen de kliks ruimschoots |
| Melding vóór eerste klik | Of de eerste melding eerder binnenkwam dan de eerste klik | De reactiesnelheid van uw menselijke sensornetwerk | Omhoog |
| Tijd tot eerste melding | Minuten tussen aflevering en de eerste melding | Of het SOC een echte campagne had kunnen indammen | Omlaag, richting enkele minuten |
| Percentage ingevoerde inloggegevens | Aandeel dat inloggegevens invoerde op de landingspagina | De echte impactmaat; een klik is ruis, een wachtwoord is een incident | Omlaag |
| Herhaalde klikkers | Personen die in meerdere campagnes klikken | Een signaal voor coaching, nooit een lijst voor sancties | Omlaag, via gerichte coaching |
| Voltooiing van training | Wie de module heeft afgerond | Zegt niets over gedrag; de meetwaarde van de auditor, niet de uwe | Afronden en verder |
Rolgerichte phishing training: finance, HR, IT-beheer en directie
Aanvallers segmenteren hun doelwitten. Training hoort dat ook te doen. Vier groepen dragen een onevenredig risico en verdienen eigen materiaal.
Finance en crediteurenadministratie
Factuurfraude, wijziging van betaalgegevens, imitatie van leveranciers en CEO-fraude (business email compromise). Training moet de verificatieprocedure voor elke wijziging van bankgegevens behandelen, het vier-ogenprincipe bij betalingen en het patroon van een 'CFO' die om een dringende, vertrouwelijke overboeking vraagt. Onze gratis module over business email compromise beschrijft het draaiboek van de aanvaller in detail.
HR en recruitment
Cv's en portfolio's als drager van malware, verzoeken van 'medewerkers' om het rekeningnummer voor de salarisbetaling te wijzigen, en lokberichten rond sollicitaties. HR beheert bovendien de persoonsgegevens die aanvallers willen voor de volgende pretext, wat gegevensverwerking onderdeel van de module maakt.
IT-beheerders en de servicedesk
MFA-reset- en wachtwoordresetfraude per telefoon, OAuth-toestemmingsverzoeken voor 'productiviteitsapps', lokberichten gericht op beheeraccounts en social engineering van de servicedesk zelf. Deze groep heeft een verificatiescript voor identiteitsresets nodig, geen algemene module.
Bestuurders en directiesecretariaat
Whaling, deepfake-stem- en videogesprekken, verzoeken getimed op reizen, en de assistent als route naar de bestuurder. Bestuurders keuren ook budgetten goed en moeten begrijpen waarom het programma klikkers niet straft. Onze module over deepfake voice phishing is voor dit publiek geschreven.
Alle overige medewerkers
Microsoft 365-inloglokkers, meldingen van gedeelde documenten, QR-codes, pakketberichten en berichten in Teams of Slack. Kort, frequent, en altijd eindigend bij de meldknop.
Simulatie als meetinstrument
Training vertelt u wat mensen hebben gezien. Alleen een simulatie vertelt u wat zij doen. Een geautoriseerde phishing simulatie, afgestemd met juridische zaken en HR, gebouwd op actuele aanvallerstechnieken en gevolgd door een leermoment in plaats van een terechtwijzing, is de manier om te meten of de inhoud hierboven landt. De uitkomsten voeden het programma ook: de lokberichten die werkten, worden de trainingsvoorbeelden van het volgende kwartaal.
HackersHub voert phishing simulaties uit als managed dienst voor organisaties die de meting willen laten doen door practitioners die echte campagnes zien, met pretexten gebouwd op actuele threat intelligence en een rapportage geschreven voor de directie. Wilt u zelf een campagne draaien, dan behandelt de bijbehorende gids over het opzetten van een phishing campagne de scope, de juridische voorbereiding, de ethiek van pretexten, allow-listing en wat u vooral niet doet.
De meting door practitioners laten doen
Wettelijke haakjes: NIS2, ISO 27001, DORA en de rest
Geen van deze teksten schrijft een leverancier of een vorm voor, maar elk verwacht bewijs dat medewerkers zijn getraind en dat de training de dreigingen dekt waarmee u te maken heeft. Koppel uw programma er één keer aan en de auditvraag beantwoordt zichzelf.
- NIS2, artikel 21 lid 2 onder g: basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging zijn een met naam genoemde risicobeheersmaatregel; artikel 20 lid 2 verplicht bestuursorganen bovendien zelf opleidingen te volgen en vergelijkbare opleidingen regelmatig aan medewerkers aan te bieden. In Nederland komt dit via de Cyberbeveiligingswet.
- ISO/IEC 27001:2022, bijlage A maatregel 6.3: medewerkers krijgen passende bewustwording, opleiding en training op het gebied van informatiebeveiliging, met regelmatige actualisering relevant voor hun functie. Auditors zoeken naar rolrelevantie en regelmaat, niet naar één jaarlijkse module.
- DORA, artikel 13 lid 6: financiële entiteiten moeten ICT-beveiligingsbewustwordingsprogramma's en trainingen in digitale operationele weerbaarheid ontwikkelen als verplichte modules voor alle medewerkers en het hoger management, met een complexiteit die past bij hun rol.
- AVG, artikel 39 lid 1 onder b: tot de taken van de functionaris voor gegevensbescherming behoren bewustmaking en opleiding van het personeel dat bij de verwerking is betrokken. Phishing training die lokberichten rond gegevensverwerking behandelt, ondersteunt die taak rechtstreeks.
- PCI DSS v4.0.1, requirement 12.6: een formeel security-awarenessprogramma, met training bij indiensttreding en ten minste eens per twaalf maanden, over dreigingen voor kaarthoudergegevens, waaronder phishing en social engineering.
- Sectornormen: NEN 7510 voor de Nederlandse zorg en de BIO voor de Nederlandse overheid erven de bewustwordingsmaatregel van ISO 27001. Een rolgericht phishingprogramma voldoet aan alle drie met één set bewijs.
Zelf bouwen, inkopen, of starten met de gratis bibliotheek
U heeft drie routes. Zelf inhoud bouwen geeft volledige relevantie, maar vraagt een schrijver die de dreigingsontwikkelingen volgt en een sponsor die de tijd beschermt. Een platform inkopen geeft frequentie en registratie direct uit de doos, tegen de prijs van generieke inhoud en een licentie per gebruiker die meegroeit met het personeelsbestand. De derde route, steeds gebruikelijker, is open, door practitioners geschreven materiaal gebruiken voor de inhoud en de middelen besteden aan meting en aan de rollen die maatwerk nodig hebben.
HackersHub publiceert een gratis, open security-awarenessbibliotheek, geschreven door de testers die phishing campagnes uitvoeren tegen organisaties zoals de uwe. Het phishingcluster behandelt spear phishing, business email compromise, smishing, vishing, QR-phishing, Microsoft 365- en OAuth-consent-phishing, deepfake voice phishing en phishing in Slack en Teams, elk als korte module met een toets. Er is geen betaalmuur en geen registratie. Gebruik haar als uw maandelijkse micro-inhoud, verwijs het leermoment van uw simulaties ernaar, of leen de structuur voor uw eigen materiaal.
Voor het programmaniveau, inclusief gedragsmodellen, onderwerpen buiten phishing en een vergelijking tussen zelf bouwen en inkopen, verwijzen wij naar onze gids over security awareness training. Voor organisaties die de meting door practitioners willen laten doen, is onze dienst phishing simulatie het complement.
Veelgestelde vragen
Gerelateerde gidsen en bronnen
- Phishing simulatie laten uitvoeren door HackersHub
- Een phishing campagne opzetten: het stappenplan
- Security awareness training: zo bouwt u een programma dat werkt
- Phishing simulatie kosten: prijsmodellen en kostenfactoren
- Gratis security-awarenessbibliotheek (zonder betaalmuur)
- Awarenessmodule: business email compromise (CEO-fraude)
- Awarenessmodule: deepfake voice phishing
- Awarenessmodule: spear phishing
Wilt u weten of uw phishing training werkt?
HackersHub voert geautoriseerde phishing simulaties uit, gebouwd op actuele aanvallerstechnieken, met een leermoment bij elke klik en een rapport dat uw directie kan lezen. Plan een gesprek met een practitioner.