Warum der Faktor Mensch entscheidet
Laut Verizon Data Breach Investigations Report 2025 ist bei rund 60 % der untersuchten Sicherheitsvorfälle ein menschliches Element beteiligt – ein Klick auf einen Phishing-Link, ein weitergegebenes Passwort, eine Fehlkonfiguration. Angreifer nutzen das gezielt, inzwischen oft mit KI-generierten, fehlerfreien Mails.
Security Awareness heißt nicht, Mitarbeitende zu Sicherheitsexperten zu machen. Ziel ist, dass sie verdächtige Situationen erkennen, richtig reagieren und Vorfälle schnell melden – ohne Angst vor Konsequenzen.
¹ Verizon Data Breach Investigations Report 2025.
Die vier Bausteine eines wirksamen Programms
Wenige Minuten pro Monat statt einer jährlichen Pflichtveranstaltung. Inhalte passend zu Rolle und Abteilung – Buchhaltung braucht andere Szenarien als die Produktion.
Regelmäßige, unangekündigte Test-Mails mit unmittelbarem Lerneffekt beim Klick. Ausgewertet wird anonymisiert auf Team-Ebene, nicht als Pranger.
Ein Melde-Button im Mail-Programm und ein klarer Ansprechpartner. Jede schnelle Meldung verkürzt die Reaktionszeit des Security-Teams.
Geschäftsführung und Führungskräfte nehmen selbst teil. Nach § 38 BSIG müssen Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen ohnehin regelmäßig an Schulungen teilnehmen.
Welche Themen wirklich zählen
- Phishing und Social Engineering – inklusive Anrufe, SMS und gefälschter Lieferantenmails
- CEO-Fraud und Zahlungsbetrug – Freigaben nur mit Rückruf über bekannte Nummer
- Passwörter und MFA – Passwortmanager, MFA-Müdigkeit und Push-Bombing erkennen
- KI-Werkzeuge – welche Daten in öffentliche KI-Dienste gehören und welche nicht
- Mobiles Arbeiten – Bildschirmsperre, öffentliche WLANs, Geräte auf Reisen
- Verhalten im Ernstfall – Gerät vom Netz trennen, melden, nichts löschen
Erfolg messbar machen
Awareness wirkt, wenn sich Verhalten ändert. Sinnvolle Kennzahlen:
- Melderate – wie viele simulierte Phishing-Mails werden gemeldet? Wichtiger als die Klickrate.
- Zeit bis zur ersten Meldung – je kürzer, desto schneller kann reagiert werden.
- Klickrate im Zeitverlauf – je Team und Szenario, nie personenbezogen veröffentlicht.
- Teilnahmequote – inklusive Geschäftsleitung, als Nachweis für NIS2 und Cyberversicherung.
Kurz-Check: Wie gut ist Ihre Awareness aufgestellt?
- Schulungen finden mindestens quartalsweise statt, nicht nur einmal im Jahr.
- Phishing-Simulationen laufen regelmäßig und werden ausgewertet.
- Ein Melde-Button ist im Mail-Programm eingerichtet.
- Zahlungsfreigaben erfordern einen Rückruf über bekannte Nummern.
- Die Geschäftsleitung nimmt nachweislich an Schulungen teil.
- Neue Mitarbeitende werden im Onboarding geschult.