Security-Awareness-Schulung: Was sie bringt und wie ihr sie aufsetzt

Warum Awareness-Schulungen für kleine und mittelständische Unternehmen zählen

Die aktuelle Lage zeigt deutlich, dass die Technik allein nicht ausreicht. Laut dem Verizon Data Breach Investigations Report 2025 war bei rund 60 Prozent der untersuchten Datenpannen ein Mensch beteiligt. In Unternehmen mit weniger als 1.000 Beschäftigten gingen 18 Prozent der Datenpannen auf Social Engineering zurück, wobei es sich fast ausschließlich um Phishing handelte. Phishing bezeichnet dabei gefälschte Nachrichten, die zu einem Klick, einer Eingabe oder einer Zahlung verleiten sollen. Social Engineering ist die gezielte Täuschung von Menschen statt eines Angriffs auf die Technik.

Die Methoden der Angreifer werden zudem immer professioneller. Der BSI-Lagebericht 2025 stellt fest, dass gewohnte Erkennungsmerkmale wie schlechtes Deutsch oft nicht mehr genügen. Nachrichten, die mit Künstlicher Intelligenz erzeugt wurden, wirken heute viel echter. Darüber hinaus nahmen Anrufe angeblicher IT-Supporter, also Vishing, stark zu. Vishing ist im Grunde Phishing per Telefonanruf. Laut dem Bitkom Wirtschaftsschutz 2026 verursachte Phishing bei 16 Prozent der befragten Unternehmen einen Schaden, während Deepfakes bei 8 Prozent zu Verlusten führten. Im Jahr 2025 waren es bei Deepfakes noch 4 Prozent.

Eine Security-Awareness-Schulung bringt euren Beschäftigten bei, solche gefälschten Nachrichten und Anrufe zu erkennen. Zudem lernen sie, in diesen Situationen richtig zu reagieren und die Vorfälle zu melden. In der Praxis führt netzwerkfähig solche Schulungen mit simulierten Phishing-Mails für Betriebe in Köln, Langenfeld und dem Rheinland durch. Eine Phishing-Simulation ist eine harmlose Test-Mail, die wie ein echter Angriff aussieht. Dieser Text zeigt euch, wie ihr eine solche Schulung selbst aufsetzt. Bitte beachtet, dass dieser Text keine Rechtsberatung ist.

Was eine Schulung bringt und was nicht

Ihr solltet realistische Erwartungen an die Wirkung von Schulungen haben. Laut dem Verizon Data Breach Investigations Report 2025 meldeten Beschäftigte, die in den letzten 30 Tagen geschult worden waren, simulierte Phishing-Mails in rund 21 Prozent der Fälle. Ohne eine frische Schulung lag diese Quote bei nur rund 5 Prozent. Das bedeutet, dass geschulte Personen etwa viermal so oft melden. Allerdings sank die Klickrate dadurch kaum.

Diese Beobachtung wird durch weitere Daten gestützt. Eine Studie von Ho und anderen aus dem Jahr 2025 mit rund 19.500 Beschäftigten fand keinen messbaren Zusammenhang zwischen einer kürzlich abgeschlossenen Schulung und dem Hereinfallen auf eine Simulation. Zudem bleiben laut Verizon im mittleren Fall rund 1,5 Prozent der Beschäftigten übrig, die sich fast immer täuschen lassen. Kurz gesagt: Das Ziel einer Schulung ist nicht die Klickrate von null Prozent, sondern eine hohe Melderate.

Jede frühe Meldung gibt euch oder eurem IT-Dienstleister die Chance, Konten schnell zu sperren und andere Kollegen zu warnen. Deshalb gehört die Schulung in ein Gesamtpaket aus technischen Schutzmaßnahmen. Dazu zählen eine Mehrfaktor-Anmeldung, gute Mailfilter, regelmäßige Updates und eine Datensicherung. Eine Mehrfaktor-Anmeldung ist eine Anmeldung mit Passwort und einem zweiten Faktor, etwa einer App. Wer auf eine Mail hereinfällt, aber sofort meldet, hat im Sinne der Sicherheit richtig gehandelt.

Pflicht oder freiwillig: Was Gesetze und Kunden erwarten

Die rechtliche Lage ist differenziert zu betrachten. Die DSGVO, also die Datenschutz-Grundverordnung, verlangt in Artikel 32 Absatz 4, dass der Betrieb Schritte unternimmt, damit Personen mit Zugang zu personenbezogenen Daten diese nur nach Anweisung verarbeiten. Zudem gehören Sensibilisierung und Schulung laut Artikel 39 zu den Aufgaben des Datenschutzbeauftragten. Zwar steht in keinem dieser beiden Artikel eine ausdrückliche allgemeine Schulungspflicht für jeden Arbeitgeber, aber eine dokumentierte Schulung ist ein naheliegender Nachweis für die Einhaltung.

Für bestimmte Sektoren gibt es strengere Regeln durch die NIS-2-Richtlinie, die in Deutschland im BSI-Gesetz umgesetzt wurde. Seit dem 6. Dezember 2025 verlangt das BSI-Gesetz von betroffenen Einrichtungen grundlegende Schulungen und Sensibilisierungsmaßnahmen gemäß Paragraf 30. Zudem muss die Geschäftsleitung selbst regelmäßig an Schulungen teilnehmen, wie in Paragraf 38 festgelegt. Betroffen sind Unternehmen in speziellen Sektoren ab 50 Beschäftigten oder mit mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme. Die meisten kleinen und mittleren Unternehmen mit 1 bis 100 Arbeitsplätzen sind nicht direkt betroffen, können aber mittelbar betroffen sein, wenn Kunden ihre Lieferkette prüfen.

Auch das BSI, das Bundesamt für Sicherheit in der Informationstechnik, gibt Empfehlungen. Im IT-Grundschutz beschreibt der Baustein ORP.3, dass die Leitung sensibilisiert und alle Beschäftigten aufgabenbezogen geschult werden sollten. In der Praxis von netzwerkfähig zeigt sich zudem, dass Fragebögen von Großkunden und Cyberversicherern häufig nach solchen Schulungen fragen. Dennoch gilt: Dieser Abschnitt ist keine Rechtsberatung. Im Zweifel solltet ihr eure Datenschutzbeauftragten oder einen Anwalt fragen.

Welche Formate es gibt

Es gibt verschiedene Wege, eure Mitarbeitenden zu sensibilisieren. Eine Präsenz- oder Live-Online-Schulung eignet sich gut als gemeinsamer Auftakt. Danach können E-Learning-Einheiten in kurzen Modulen das Wissen vertiefen. Phishing-Simulationen testen die Reaktion in der echten Arbeitsumgebung, während Planspiele speziell für die Geschäftsführung nützlich sind. Zudem helfen kurze Erinnerungen in der Teambesprechung, das Thema präsent zu halten.

Die Wahl des Formats beeinflusst den Lernerfolg. Laut einer Studie von Reinheimer und anderen aus dem Jahr 2020 wirkten Videos und interaktive Beispiele am besten. Die folgende Übersicht zeigt euch die gängigen Formate im Vergleich.

Einige Unternehmen nutzen für die Umsetzung die Tools ihrer Cloud-Umgebung. Das eingebaute Angriffssimulationstraining von Microsoft gibt es laut Microsoft nur mit Microsoft 365 E5 oder Microsoft Defender for Office 365 Plan 2. In Microsoft 365 Business Premium, welches Plan 1 enthält, ist diese Funktion nicht enthalten. Ihr könnt es jedoch zubuchen. Prüft daher zuerst eure Lizenzen für Microsoft 365 für Unternehmen in Köln.

So setzt ihr die Schulung in sechs Schritten auf

Schritt 1: Ziel und Verantwortliche festlegen. Legt zuerst fest, was ihr erreichen wollt und wer die Schulung steuert. Wichtig ist dabei, dass die Geschäftsführung selbst mitmacht, um Vorbild zu sein.

Schritt 2: Meldeweg festlegen. Schafft einen einfachen Weg, um Verdacht zu melden. Das kann eine feste E-Mail-Adresse, ein Melde-Knopf im Mailprogramm oder eine Telefonnummer sein. Kommuniziert klar, dass ihr lieber einmal zu viel als zu wenig gemeldet bekommt. Wer geklickt hat, soll sofort melden, ohne Angst vor Ärger haben zu müssen.

Schritt 3: Beschäftigte vorab informieren. Bindet den Datenschutzbeauftragten und einen vorhandenen Betriebsrat ein. Die Berliner Beauftragte für Datenschutz hält gelegentliche Test-Mails, deren Link auf eine Hinweisseite führt, zu Trainingszwecken für dienlich. Allerdings müssen die Beschäftigten vorab informiert werden. Die Auswertung erfolgt anonym und nur für die gesamte Gruppe, nicht für Einzelpersonen.

Schritt 4: Auftakt-Schulung mit Praxisbeispielen. Nutzt Beispiele aus eurem eigenen Alltag im Rheinland. Zeigt gefälschte Rechnungen, Paketmeldungen oder nachgemachte Microsoft-365-Anmeldeseiten. Besprecht Anrufe angeblicher IT-Supporter und angeblich geänderte Bankverbindungen von Lieferanten. Legt feste Regeln fest, wie zum Beispiel den obligatorischen Rückruf unter der bekannten Nummer, bevor Zahlungsdaten geändert werden.

Schritt 5: Jahresplan mit Auffrischungen. Einmalige Schulungen verpuffen schnell. Laut Reinheimer und anderen (2020) erkannten Beschäftigte Phishing-Mails direkt nach der Schulung und vier Monate danach deutlich besser als vorher; nach sechs Monaten war dieser Vorsprung nicht mehr messbar. Die Autoren empfehlen daher eine Auffrischung nach einem halben Jahr. Die folgende Übersicht hilft euch bei der Planung.

Schritt 6: Onboarding und jährliche Auswertung. Integriert die Schulung in eure IT-Onboarding-Checkliste für neue Mitarbeitende. Wertet die Ergebnisse einmal im Jahr aus und passt die Schwerpunkte an die aktuellen Bedrohungen an.

Woran ihr erkennt, dass die Schulung wirkt

Um den Erfolg zu messen, benötigt ihr die richtigen Kennzahlen. Die Hauptkennzahl ist die Melderate, also der Anteil der Test-Mails, die gemeldet wurden. Die Klickrate ist hingegen weniger aussagekräftig. Zudem solltet ihr die Zeit bis zur ersten Meldung messen und die Teilnahmequoten an den Einheiten verfolgen. Den Ausgangswert liefert euch die erste Simulation.

Wertet anonym und nur für die ganze Gruppe aus. Erstellt keine Ranglisten und nennt keine Namen von Personen, die geklickt haben. Wenn ihr feststellt, dass echte verdächtige Mails im Alltag häufiger gemeldet werden, wirkt eure Schulung. Das Ziel ist eine Kultur des Meldens, nicht eine Kultur der Schuldzuweisung.

Was es kostet und was es kostenlos gibt

Neutrale Zahlen zu den Kosten je Mitarbeiter gibt es nicht; Preisangaben stammen nur von Anbietern. Die Kosten hängen von der Anzahl der Beschäftigten, dem gewählten Format und der Häufigkeit der Simulationen ab. Zudem spielen die Lizenzen und die Arbeitszeit der Mitarbeitenden eine Rolle.

Es gibt jedoch kostenlose Angebote für kleine und mittlere Unternehmen. DIGITAL.SICHER.NRW, das Kompetenzzentrum für Cybersicherheit in der Wirtschaft in NRW in Bochum und Bonn, bietet kostenfreie Webinare, Sprechstunden und Erstberatungen für Betriebe aus NRW an. Zudem bietet die Transferstelle Cybersicherheit im Mittelstand kostenfreie Unterstützung, unter anderem mit dem CYBERsicher Check. Die Allianz für Cyber-Sicherheit des BSI veröffentlichte im Oktober 2026 ein Handout zum Schutz vor KI-verstärkten Cyberangriffen. Darin wird ausdrücklich betont, dass eine einmalige Schulung nicht ausreicht.

Für die Finanzierung gibt es Fördermöglichkeiten. Die NRW.BANK fördert mit dem Programm MID-Digitale Sicherheit auch die Schulung und Fortbildung der Mitarbeitenden. Es gibt einen Zuschuss von 50 Prozent, höchstens 15.000 Euro, sofern die Ausgaben mindestens 4.000 Euro betragen. Die Vergabe erfolgt im monatlichen Losverfahren. Prüft daher den aktuellen Förderstand, bevor ihr einen Auftrag erteilt.

Drei mögliche Szenarien aus dem Rheinland

Dies sind keine echten Kunden, aber so kann es in der Praxis aussehen.

1. Die Physiotherapiepraxis (9 Mitarbeitende, Langenfeld): Am Empfang kommen täglich Mails mit Anhängen von Patienten und Krankenkassen an. Die Praxis startet mit einer Auftakt-Schulung in der Teambesprechung. Die Praxis legt fest, dass verdächtige Mails an eine feste Adresse weitergeleitet werden. Zweimal im Jahr verschickt sie eine simulierte Phishing-Mail. Ausgewertet wird nur, wie viele die Test-Mail gemeldet haben, nie, wer geklickt hat.

2. Der Großhändler (45 Mitarbeitende, Köln): Die Buchhaltung erhielt eine Mail, in der ein Lieferant angeblich seine Bankverbindung änderte. Seitdem gilt die Regel: Jede Änderung von Zahlungsdaten wird per Rückruf unter der bekannten Nummer bestätigt. Buchhaltung und Einkauf erhalten eine eigene Einheit zu Rechnungsbetrug und gefälschten Anrufen. Die Geschäftsführung übt einmal im Jahr ein Planspiel.

3. Das Ingenieurbüro (20 Arbeitsplätze, Leverkusen): Ein Kunde aus der Industrie fragt im Lieferanten-Fragebogen nach Schulungsnachweisen. Das Büro nutzt kurze E-Learning-Einheiten mit Teilnahmebestätigung. Das Büro nimmt die Schulung in das Onboarding neuer Mitarbeitender auf. Zudem prüft es, ob seine eigene Microsoft-365-Lizenz das Angriffssimulationstraining bereits enthält.

Wann sich Unterstützung lohnt

Ihr könnt viele Schritte mit den kostenlosen Angeboten aus dem vorigen Abschnitt selbst umsetzen. Unterstützung von außen lohnt sich jedoch, wenn niemand im Betrieb die Zeit für die detaillierte Planung und Auswertung hat. Zudem ist externe Hilfe sinnvoll, wenn Simulationen technisch sauber und anonym ablaufen sollen oder wenn ein Großkunde einen formalen Nachweis verlangt.

netzwerkfähig führt Awareness-Schulungen mit simulierten Phishing-Mails und anonymer Auswertung für kleine und mittelständische Unternehmen in Köln, Langenfeld und dem Rheinland durch. Wir schulen auch die Geschäftsführung zu Pflichten, Haftungsrisiken und dem Notfallplan. Mehr Informationen findet ihr unter Awareness-Schulungen und IT-Sicherheitsberatung in Köln. Wer erst einmal den eigenen Stand sehen will, kann den IT-Betreuungs-Check machen. Zum Weiterlesen empfehlen wir die Grundlagen der IT-Sicherheit für kleine und mittelständische Unternehmen.

Eine Schulung ersetzt keine Technik, aber sie sorgt dafür, dass euer Team einen Angriff meldet, statt ihn zu verschweigen.