Security Awareness ist die Fähigkeit von Mitarbeitenden, Sicherheitsrisiken wie Phishing zu erkennen und richtig zu reagieren. Ein wirksames Programm besteht aus Zielgruppenanalyse, einem Mix aus kurzen wiederkehrenden Formaten, fairen Phishing-Simulationen und Kennzahlen wie der Melderate. Einmalige Jahresschulungen ändern Verhalten nicht – entscheidend sind Wiederholung, Relevanz für den Arbeitsalltag und eine Kultur, in der Melden erwünscht ist.
Firewalls, Virenschutz, Backups – die Technik ist in vielen Unternehmen inzwischen ordentlich aufgestellt. Angreifer wissen das und zielen deshalb auf den Weg des geringsten Widerstands: eine überzeugend gefälschte E-Mail, ein Anruf vom angeblichen IT-Support, ein USB-Stick auf dem Parkplatz. Ob daraus ein Sicherheitsvorfall wird, entscheidet keine Software, sondern die Person am Bildschirm.
Viele Unternehmen reagieren mit einer jährlichen Pflichtschulung – und wundern sich, dass sich nichts ändert. Dieser Artikel zeigt, wie ein Security-Awareness-Programm aussieht, das Verhalten tatsächlich verändert: mit klaren Bausteinen, einem ehrlichen Formatvergleich, fairen Phishing-Simulationen und Kennzahlen, an denen Sie den Fortschritt ablesen können.
Warum Technik allein nicht schützt
Die Lageberichte des BSI und die Schadensstatistiken der Versicherer zeichnen seit Jahren dasselbe Bild: Ransomware und Betrugsmaschen wie der CEO-Fraud gehören zu den teuersten Vorfällen für Unternehmen, und am Anfang steht sehr häufig eine E-Mail an einen Menschen, nicht ein technischer Einbruch. Phishing-Nachrichten sind durch KI-Werkzeuge inzwischen sprachlich fehlerfrei, personalisiert und vom Original kaum zu unterscheiden – die alte Regel „achten Sie auf Rechtschreibfehler“ hat ausgedient.
Dazu kommt: Angriffe verlagern sich auf Kanäle, die klassische Filter schlechter kontrollieren. QR-Codes auf gefälschten Briefen, Nachrichten über Messenger und soziale Netzwerke, Anrufe mit geklonten Stimmen. Gegen diese Vielfalt hilft keine einzelne technische Maßnahme, sondern nur eine Belegschaft, die ein gesundes Misstrauen entwickelt hat und weiß, wohin sie Verdachtsfälle meldet.
Der entscheidende Perspektivwechsel: Mitarbeitende sind nicht die „größte Schwachstelle“, als die sie oft bezeichnet werden – richtig geschult sind sie ein zusätzlicher Sensor, den kein Angreifer technisch umgehen kann. Genau dieses Umdenken unterscheidet wirksame Programme von Pflichtübungen.
Programm statt Pflichtschulung: der Unterschied
Eine jährliche Schulung erfüllt formale Anforderungen, verändert aber kaum Verhalten – das Gelernte ist nach wenigen Wochen vergessen, wenn es nicht aufgefrischt und angewendet wird. Ein Programm unterscheidet sich in vier Punkten:
- Kontinuität: Kurze Impulse über das Jahr verteilt statt einer Blockveranstaltung. Zehn Minuten pro Monat schlagen zwei Stunden pro Jahr.
- Relevanz: Die Buchhaltung braucht andere Beispiele als die Werkstatt oder der Vertrieb. Gute Programme arbeiten mit Szenarien aus dem echten Arbeitsalltag der jeweiligen Zielgruppe.
- Übung: Simulierte Angriffe machen aus Wissen Handeln – wer eine Phishing-Mail schon einmal in geschütztem Rahmen erlebt hat, erkennt die echte schneller.
- Messung: Ohne Kennzahlen bleibt Awareness ein Gefühl. Programme definieren vorab, woran Erfolg erkennbar sein soll.
Voraussetzung für all das ist sichtbarer Rückhalt der Geschäftsführung. Wenn die Leitung Sicherheitsregeln selbst umgeht – etwa private Weiterleitungen nutzt oder Ausnahmen für sich beansprucht –, kann kein noch so gutes Schulungskonzept das kompensieren.
Die sechs Bausteine eines wirksamen Programms
In der Praxis hat sich folgender Aufbau bewährt, der sich auch mit kleinem Budget umsetzen lässt:
- Ausgangslage klären: Welche Vorfälle und Beinahe-Vorfälle gab es? Welche Zielgruppen existieren (Büro, Produktion, Führungskräfte, Administratoren)? Gibt es bereits Regeln, etwa eine Passwortrichtlinie?
- Ziele und Kennzahlen festlegen: Zum Beispiel: Melderate für simulierte Phishing-Mails über 30 Prozent innerhalb eines Jahres, jede neue Person geschult innerhalb der ersten zwei Wochen.
- Regelwerk verständlich machen: Die wichtigsten Verhaltensregeln auf eine Seite bringen – Umgang mit E-Mail-Anhängen, Passwörter und Zwei-Faktor-Authentifizierung, Meldeweg bei Verdacht, Verhalten unterwegs und im Homeoffice.
- Formate mischen: Grundlagenschulung beim Onboarding, kurze Lerneinheiten im Quartal, Phishing-Simulationen, gelegentliche Live-Formate (siehe Formatvergleich unten).
- Meldeweg etablieren: Ein Klick oder eine bekannte Adresse, an die Verdächtiges geht – und garantiert ohne Vorwürfe, auch wenn jemand bereits geklickt hat. Schnelles Melden begrenzt Schäden mehr als jede Schulung.
- Jährlich auswerten und nachsteuern: Kennzahlen prüfen, Themen an aktuelle Angriffswellen anpassen, Wiederholungen planen.
Formate im Vergleich: Aufwand und Wirkung
Kein Format ist für sich allein ausreichend – die Mischung macht das Programm. Die Tabelle ordnet die gängigen Formate ehrlich ein:
| Format | Aufwand und Kosten | Stärken | Grenzen |
|---|---|---|---|
| Präsenzschulung | Hoch (Arbeitszeit aller Teilnehmenden) | Diskussion, Fragen, Kulturwirkung | Wirkung verpufft ohne Auffrischung |
| E-Learning / Lernplattform | Mittel; Lizenzen häufig 10–40 € pro Person und Jahr | Skalierbar, dokumentierbar, gut fürs Onboarding | Klickt sich schnell weg, wenig Verhaltensänderung |
| Microlearning (kurze Videos, Quiz) | Niedrig bis mittel | Wiederholung im Alltag, hohe Akzeptanz | Braucht Regelmäßigkeit und Pflege |
| Phishing-Simulation | Mittel; Tools häufig 2–10 € pro Person und Monat im Paket | Misst echtes Verhalten, trainiert den Meldereflex | Falsch eingesetzt: Vertrauensverlust |
| Live-Hacking / Demo | Mittel bis hoch (externe Referenten) | Hoher Aha-Effekt, bleibt im Gedächtnis | Einmaleffekt, ersetzt kein Training |
| Poster, Intranet, Newsletter | Niedrig | Hält das Thema sichtbar | Allein wirkungslos |
Für ein Unternehmen mit 25 Mitarbeitenden reicht oft die Kombination aus Onboarding-Schulung, quartalsweisen Kurzimpulsen und zwei bis vier Simulationswellen pro Jahr – das ist mit wenigen tausend Euro Jahresbudget machbar.
Ein Hinweis zur Auswahl von Werkzeugen: Achten Sie weniger auf die Zahl der Schulungsvideos im Katalog als auf deutschsprachige Inhalte in verständlicher Sprache, eine einfache Meldefunktion für die Belegschaft und Auswertungen, die sich ohne Datenschutzkonflikte betreiben lassen. Ein schlichtes Werkzeug, das genutzt wird, schlägt die große Plattform, die niemand öffnet.
Phishing-Simulationen richtig einsetzen
Simulierte Phishing-Mails sind das wirksamste Einzelinstrument – und das am häufigsten falsch eingesetzte. Drei Grundsätze entscheiden über Erfolg oder Flurschaden:
Erstens: Melden belohnen, Klicken nicht bestrafen. Ziel der Simulation ist nicht, Mitarbeitende vorzuführen, sondern den Meldereflex zu trainieren. Wer klickt, bekommt eine kurze, freundliche Lernseite – keine Abmahnung, keine Namensliste an die Führungskraft. Programme, die mit Sanktionen arbeiten, erzeugen genau das falsche Verhalten: Vorfälle werden vertuscht statt gemeldet.
Zweitens: Mitbestimmung und Datenschutz vorab klären. Wo ein Betriebsrat existiert, ist er bei Einführung solcher Werkzeuge einzubinden, da Verhaltensdaten von Beschäftigten verarbeitet werden. Bewährt hat sich die Auswertung auf Gruppenebene ohne personenbezogene Berichte an Vorgesetzte. Stimmen Sie das Vorgehen mit Datenschutzbeauftragten ab – das schafft zugleich Vertrauen in der Belegschaft.
Drittens: Schwierigkeit realistisch steigern. Beginnen Sie mit erkennbaren Mustern und steigern Sie die Qualität über die Wellen. Kündigen Sie das Programm als solches an (nicht die einzelnen Wellen) – Überrumpelung erzeugt Widerstand, Transparenz erzeugt Sportsgeist.
Wirkung messen: Kennzahlen, die wirklich etwas aussagen
Die meistgenannte Kennzahl – die Klickrate auf simulierte Mails – ist allein wenig aussagekräftig: Sie schwankt stark mit der Schwierigkeit der Vorlage. Aussagekräftiger ist die Kombination aus mehreren Werten:
- Melderate: Wie viele Empfänger melden die simulierte (oder echte) Phishing-Mail? Diese Zahl soll steigen – sie ist der beste Einzelindikator für gelebte Awareness.
- Zeit bis zur ersten Meldung: Je schneller die erste Meldung eingeht, desto früher kann die IT reagieren. Bei guten Programmen sinkt dieser Wert auf wenige Minuten.
- Klickrate im Trend: Über mehrere Wellen mit vergleichbarer Schwierigkeit betrachtet, nicht als Einzelwert.
- Schulungsquote: Anteil der Mitarbeitenden mit absolvierter Grund- und Auffrischungsschulung, inklusive Neuzugängen.
- Echte Vorfälle und Beinahe-Vorfälle: Anzahl und Art der gemeldeten realen Verdachtsfälle – steigende Meldungen sind anfangs ein gutes Zeichen, kein schlechtes.
Diese Kennzahlen gehören quartalsweise auf den Tisch der Geschäftsführung – im zertifizierten Unternehmen fließen sie in die jährliche Managementbewertung ein.
Was ISO 27001 und NIS2 zum Thema verlangen
Wer ein Informationssicherheits-Managementsystem betreibt oder plant, findet Security Awareness an zwei Stellen der ISO 27001 verankert: Kapitel 7.3 verlangt, dass alle Personen im Unternehmen die Sicherheitspolitik, ihren eigenen Beitrag und die Folgen von Verstößen kennen. Control 6.3 im Anhang A fordert darüber hinaus ein angemessenes Programm aus Bewusstseinsbildung, Schulung und regelmäßigen Aktualisierungen – ausdrücklich abgestimmt auf die jeweilige Funktion. Auditoren fragen dabei üblicherweise nach drei Nachweisen: Schulungsplan, Teilnahmenachweise und Belege, dass auch Neuzugänge zeitnah geschult werden.
Auch der Gesetzgeber zieht nach: Die europäische NIS2-Richtlinie und das deutsche Umsetzungsgesetz verpflichten die Geschäftsleitungen betroffener Unternehmen, selbst an Schulungen zur Cybersicherheit teilzunehmen, und verlangen entsprechende Angebote für die Beschäftigten (Stand: September 2026). Awareness ist damit keine freiwillige Kür mehr, sondern Teil der Pflichtmaßnahmen – und die persönliche Schulungspflicht der Leitung unterstreicht, dass das Thema Chefsache ist.
Praktischer Nebeneffekt: Ein dokumentiertes Awareness-Programm mit Kennzahlen erfüllt diese Anforderungen nebenbei und erspart hektische Nachweisarbeit, wenn Kunden, Versicherer oder Auditoren danach fragen.
Häufige Fragen
Als Grundgerüst: eine Grundschulung beim Onboarding innerhalb der ersten zwei Wochen, eine Auffrischung mindestens einmal jährlich und dazwischen kurze Impulse im Quartal – etwa ein Video, ein Quiz oder eine Simulationswelle. Zusätzlich anlassbezogen, wenn akute Angriffswellen laufen oder sich Prozesse ändern. Entscheidend ist die Regelmäßigkeit, nicht die Länge der einzelnen Einheit.
Für kleine Unternehmen bis 25 Mitarbeitende ist ein solides Programm mit wenigen tausend Euro pro Jahr machbar: E-Learning-Lizenzen kosten häufig 10 bis 40 Euro pro Person und Jahr, kombinierte Plattformen mit Phishing-Simulation liegen oft bei 2 bis 10 Euro pro Person und Monat. Der größte Posten ist die Arbeitszeit der Teilnehmenden – auch deshalb sind kurze, regelmäßige Formate wirtschaftlicher als lange Blockschulungen.
Grundsätzlich ja, sie erfordern aber Sorgfalt: Wo ein Betriebsrat besteht, hat er bei der Einführung mitzureden, weil Beschäftigtendaten verarbeitet werden und Verhaltenskontrolle möglich wäre. Bewährt sind Gruppenauswertungen ohne personenbezogene Berichte, die Einbindung der Datenschutzbeauftragten und der Verzicht auf Sanktionen. Rechtlich verbindliche Aussagen für Ihren Einzelfall kann nur eine juristische Beratung liefern.
Der Kern: Phishing und Social Engineering in allen Varianten (E-Mail, Telefon, Messenger, QR-Codes), sicherer Umgang mit Passwörtern und Zwei-Faktor-Authentifizierung, Meldewege bei Verdachtsfällen, Umgang mit mobilen Geräten und Arbeiten im Homeoffice, physische Sicherheit wie Besucherumgang und aufgeräumte Arbeitsplätze. Je nach Zielgruppe kommen Spezialthemen dazu, etwa Zahlungsbetrug in der Buchhaltung oder Administratorenpflichten in der IT.
Ja – sichtbar wird das vor allem an der Melderate und der Reaktionszeit: In gut geführten Programmen melden Beschäftigte verdächtige Mails innerhalb von Minuten, wodurch die IT Angriffe stoppen kann, bevor Schaden entsteht. Die Klickraten auf Simulationen sinken über die Wellen deutlich. Einen hundertprozentigen Schutz erzeugt kein Programm; das Ziel ist, aus einem sicheren Treffer für Angreifer ein kalkulierbares Restrisiko zu machen.
Formal lässt sich Kapitel 7.3 der ISO 27001 mit einer dokumentierten Jahresschulung bedienen, Control 6.3 verlangt jedoch ein funktionsbezogenes, regelmäßig aktualisiertes Programm. Auditoren prüfen zunehmend, ob Awareness gelebt wird – etwa durch Stichprobenfragen an Mitarbeitende im Audit. Ein reines Pflicht-E-Learning ohne Wiederholung und Praxisbezug gilt dann schnell als Schwachstelle, auch wenn es keine Abweichung auslöst.
In 4–6 Wochen zum Zertifikat – zum Festpreis.
Kostenloses Erstgespräch: Wir sagen Ihnen ehrlich, ob eine nicht akkreditierte Zertifizierung für Ihren Fall reicht – oder eben nicht.
Erstgespräch vereinbaren
Thomas KowollInhaber und Leitung Zertifizierung bei KCERT. Auditiert Managementsysteme nach ISO 9001, 14001, 45001, 27001 und 50001. Mehr über KCERT