- De klikratio — het percentage medewerkers dat in een phishingsimulatie op de testmail klikt — is de populairste KPI van awarenessprogramma’s én de meest mislezen.
- Een lage klikratio bewijst weinig: hij zegt vooral iets over hoe makkelijk de testmail was, niet over hoe weerbaar je team echt is.
- Het cijfer dat er wél toe doet, haalt zelden de directieslide: de meldratio en de tijd tot de eerste melding.
- Gebruik de klikratio als thermometer, niet als rapportcijfer — en zeker niet om mensen mee af te rekenen.
Er is één getal dat in vrijwel elke awarenessrapportage bovenaan staat, vetgedrukt, vaak met een groen pijltje: de klikratio. Het is het cijfer waarop securityteams worden afgerekend, waarmee budgetten worden verdedigd en waarmee de directie zichzelf geruststelt dat “het beter gaat”. En het is precies daarom dat ik er voorzichtig mee ben geworden.
Niet omdat de klikratio niets zegt — hij zegt iets — maar omdat bijna iedereen er meer in leest dan er staat. Een goed verhaal over een dalende klikratio verkoopt een programma, terwijl het over de echte weerbaarheid van je mensen weinig hoeft te bewijzen. Tijd om dat ene getal eens uit elkaar te trekken.
Wat de klikratio precies meet
De klikratio komt uit een phishingsimulatie: je verstuurt namens het securityteam een nepphishingmail aan (een deel van) de organisatie en meet wie erop klikt. Klikken honderd mensen op de link en doen er twaalf dat, dan is je klikratio twaalf procent. Sommige tools tellen alleen de klik op de link, andere ook wie daarna inloggegevens invult of een bijlage opent — een belangrijk verschil, want dat zijn twee heel verschillende momenten in een aanval.
Op zichzelf is dat een nuttige meting. Het maakt iets zichtbaar dat anders abstract blijft: hoeveel collega’s, op een willekeurige dinsdagochtend, in de val zouden lopen. Het probleem ontstaat zodra dat ene percentage een eigen leven gaat leiden en als rapportcijfer voor je hele beveiligingscultuur wordt behandeld.
Waarom de klikratio dé KPI werd — en waar de vergelijking spaakloopt
De klikratio is om begrijpelijke redenen populair. Hij is één getal, hij is makkelijk uit te leggen aan niet-technische bestuurders, en hij beweegt: je kunt hem maand na maand laten dalen en dat voelt als vooruitgang. Een securitymanager die kan laten zien dat de klikratio van achttien naar zes procent is gegaan, heeft een verhaal waar een directie iets mee kan.
De eerste scheur zit in de vergelijking. “Onze klikratio is lager dan het branchegemiddelde” klinkt geruststellend, maar zegt vrijwel niets, want geen twee simulaties zijn hetzelfde. De ene aanbieder stuurt een doorzichtige loterijmail met spelfouten, de andere een vrijwel perfecte nabootsing van je eigen inlogportaal. Een klikratio van vier procent op een makkelijke mail is slechter nieuws dan vijftien procent op een vlijmscherpe, op jouw organisatie toegesneden aanval. Het cijfer is alleen te lezen als je weet hoe moeilijk de test was — en juist die context verdwijnt zodra het percentage in een dashboard belandt.
Een klikratio zonder de moeilijkheidsgraad van de testmail erbij is als een rapportcijfer zonder te weten welk vak het was.
De benchmark-val
Wat een lage klikratio níét bewijst
Stel, je klikratio is keurig laag. Fijn — maar let op wat dat getal allemaal níét uitsluit. Een lage klikratio kan betekenen dat je mensen scherp zijn. Hij kan net zo goed betekenen dat de testmail te herkenbaar was, dat collega’s elkaar via de wandelgang waarschuwden (“er gaat weer zo’n nepmail rond”), of dat een handjevol oplettende medewerkers het gemiddelde optrekt terwijl dezelfde tien procent élke keer klikt.
Dat laatste is veelzeggend. Een gemiddelde verbergt de herhaalde klikkers: de relatief kleine groep die bij iedere campagne weer klikt en die in een echte aanval je grootste risico vormt. Twee organisaties met dezelfde klikratio kunnen totaal verschillend weerbaar zijn — de een met een brede, ondiepe kwetsbaarheid, de ander met een paar diepe gaten. Het gemiddelde maakt dat verschil onzichtbaar.
En dan is er het cultuureffect. Zodra mensen merken dat de klikratio “moet dalen”, gaan ze zich ernaar gedragen: bij twijfel niet klikken, niet uit voorzichtigheid maar uit angst om op de foutenlijst te belanden. Dat oogt als een lagere klikratio en is in werkelijkheid een team dat leert de test te slim af te zijn in plaats van phishing te herkennen. Hoe dat soort druk werkt, en waarom ook scherpe mensen toch klikken, lees je in de psychologie van phishing.
De cijfers die er wél toe doen: meldratio en meldtijd
Als je maar één getal uit een simulatie zou mogen meenemen, kies dan niet de klikratio maar de meldratio: het percentage ontvangers dat de verdachte mail actief meldt bij IT of security. Want klikken gaat onvermijdelijk een keer gebeuren — bij genoeg pogingen lukt het een aanvaller altijd. Wat je organisatie redt, is niet de afwezigheid van klikken maar de aanwezigheid van melden.
Daar hoort een tweede getal bij dat nog minder vaak wordt gemeten: de meldtijd, oftewel hoe snel die eerste melding binnenkomt. Bij een echte aanval bepalen de eerste minuten de schade. Een team dat binnen vijf minuten meldt, geeft security de kans om links te blokkeren, accounts te bevriezen en andere ontvangers te waarschuwen vóórdat het misgaat. Een team dat pas na een dag meldt — of helemaal niet, uit schaamte — laat de aanvaller rustig zijn werk doen.
| Wat je meet | Wat het lijkt te zeggen | Wat het écht zegt |
|---|---|---|
| Klikratio | “Onze mensen trappen er niet in” | Hoe makkelijk deze ene testmail was |
| Herhaalde klikkers | (blijft verborgen in het gemiddelde) | Waar je echte, hardnekkige risico zit |
| Meldratio | “Bijzaak” | Of je organisatie een aanval überhaupt zou zien |
| Meldtijd | (wordt zelden gemeten) | Hoeveel schade een echte aanval kan aanrichten |
Een organisatie met een klikratio van vijftien procent én een meldratio van zestig procent binnen tien minuten is wezenlijk veiliger dan een organisatie met vijf procent klik en nauwelijks meldingen. In het eerste geval is er een levend immuunsysteem; in het tweede gebeurt er onder de oppervlakte van alles zonder dat iemand het doorgeeft.
Zo meet je de klikratio eerlijk
De klikratio is dus niet waardeloos — hij is alleen pas bruikbaar als je hem eerlijk meet en in de juiste context plaatst. Een paar principes die het verschil maken tussen een vanity-cijfer en een echte thermometer:
- Meet doorlopend, niet eenmalig. Eén campagne is een momentopname. Pas over meerdere ronden, met variërende moeilijkheid, zie je een trend en herken je de herhaalde klikkers. Hiervoor heb je een platform voor periodieke phishingsimulaties nodig dat campagnes spreidt, varianten per team verstuurt en zowel klik- als meldgedrag bijhoudt.
- Noteer altijd de moeilijkheidsgraad. Leg bij elke campagne vast hoe lastig de mail was, zodat een dalende klikratio niet stiekem het gevolg is van makkelijker testen.
- Segmenteer in plaats van middelen. Kijk per afdeling en per individu naar patronen, niet alleen naar het bedrijfsbrede gemiddelde. Daar zitten de herhaalde klikkers die gerichte aandacht verdienen.
- Meet melden net zo serieus als klikken. Maak één meldknop of vast adres zo zichtbaar mogelijk en tel elke melding mee — ook de “vals alarm”-meldingen, want die horen bij een gezonde reflex.
- Reken niemand af op het cijfer. Zodra een klik gevolgen heeft voor de persoon, stopt het melden. Hou de meting los van beoordeling.
En test vooral ook jezelf voordat je je team test. Onze human-firewall-test laat in tien situaties van de werkvloer zien hoe je eigen reflexen onder druk staan — een nuchtere spiegel die laat voelen waarom dat ene percentage zo bedrieglijk simpel is.
Van cijfer naar gedrag
Uiteindelijk is de klikratio een middel, geen doel. Het doel is een menselijke firewall: collega’s die druk voelen aankomen, even vertragen en bij twijfel melden in plaats van te klikken. Een simulatieprogramma dat alleen op een dalende klikratio stuurt, optimaliseert voor het verkeerde — een mooi dashboard in plaats van een weerbare organisatie.
Behandel het cijfer daarom zoals een arts een lichaamstemperatuur behandelt: een snelle, nuttige indicatie, nooit de hele diagnose. De interessante vragen beginnen pas dáárna. Wie klikt er steeds opnieuw, en wat heeft die persoon nodig? Hoe snel meldt de organisatie? En durven mensen te melden zonder bang te zijn voor de gevolgen? Dat is waar weerbaarheid echt wordt gebouwd — en geen van die vragen wordt beantwoord door alleen naar de klikratio te staren. Hoe oplichters die menselijke knoppen bespelen, werk ik verder uit bij social engineering.
Veelgestelde vragen over de klikratio
Wat is een goede klikratio?
Er bestaat geen universeel “goed” getal, omdat de klikratio volledig afhangt van hoe moeilijk de testmail was en hoe je organisatie in elkaar zit. Een laag percentage op een makkelijke mail zegt minder dan een wat hoger percentage op een realistische, gerichte aanval. Kijk daarom naar de trend over meerdere campagnes en naar de meldratio ernaast, niet naar één losse score.
Is een klikratio van nul procent het doel?
Nee, en streven naar nul werkt zelfs averechts. Een aanvaller die het vaak genoeg probeert, krijgt uiteindelijk altijd iemand zover. Een realistisch doel is niet “niemand klikt ooit” maar “als iemand klikt, wordt het meteen gemeld en snel ingedamd”. Dat verschuift de aandacht van schuld naar reactiesnelheid.
Mag je medewerkers aanspreken op een klik in een simulatie?
Beter van niet. Zodra een klik persoonlijke gevolgen krijgt, leren mensen vooral om fouten te verbergen en stopt het melden — precies de reflex die je wilt aanmoedigen. Gebruik de uitkomst om te zien wie extra hulp kan gebruiken, niet om iemand op een foutenlijst te zetten.
Begin klein: meet bij je volgende simulatie niet alleen wie klikte, maar ook hoeveel mensen de mail meldden en hoe snel de eerste melding binnenkwam. Dat ene extra getal verandert het gesprek van “wie ging de fout in” naar “hoe snel zag onze organisatie het” — en dat is precies de cultuur waarin een klikratio vanzelf de goede kant op beweegt.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.