Warum Awareness funktioniert, und warum oft nicht
Die meisten erfolgreichen Angriffe beginnen mit einer menschlichen Handlung: einem Klick auf einen Phishing-Link, Zugangsdaten auf einer gefälschten Seite, einer telefonischen Auskunft an einen vermeintlichen Kollegen. Technik fängt viel ab, ersetzt aber nicht das Sicherheits-Bewusstsein der Mitarbeitenden.
Viele Programme scheitern trotzdem an einem Konstruktionsfehler: Sie sind als einmalige Jahrespflichtschulung angelegt, deren Lerneffekt sich nach wenigen Wochen verflüchtigt. Awareness wirkt nur mit Wiederholung in kurzen Intervallen, Anbindung an reale Arbeitssituationen und messbarer Rückmeldung.
Was die Normen verlangen
ISO/IEC 27001:2022 fordert mit Control A.6.3 rollenbezogene Schulung aller Mitarbeitenden mit regelmäßiger Auffrischung. Das NIS2-Umsetzungsgesetz geht weiter und macht Schulung in § 38 zur Pflicht der Geschäftsleitung: Geschäftsführer und Vorstände müssen sich selbst schulen lassen und die Schulung der Mitarbeitenden überwachen, bei Verletzung haften sie persönlich.
Auch TISAX® (VDA-ISA 6.0) und der KRITIS-Nachweis nach § 39 BSIG erwarten dokumentierte Awareness-Konzepte. Awareness ist damit von der Kür zur regulatorischen Pflicht geworden.
Drei Säulen: Wissen, Verhalten, Kultur
Wirksame Programme arbeiten auf drei Ebenen gleichzeitig:
- Wissen. Was müssen Mitarbeitende über Bedrohungen und interne Regeln verstehen, gemessen am Lernstand vor und nach der Schulung.
- Verhalten. Wie reagieren sie in konkreten Situationen, gemessen an Klick- und Melde-Raten aus Phishing-Simulationen.
- Kultur. Trauen sich Mitarbeitende, einen Verdacht zu melden, gemessen über Befragungen und Melde-Bereitschaft. Programme, die nur Wissen vermitteln, bleiben wirkungslos; solche, die Verhalten messen, ohne die Kultur zu adressieren, erzeugen Widerstand.
Erst die Verbindung aller drei wirkt nachhaltig.
Mehrstufige Kampagnen mit Ampelsystem
Statt einmaliger Großschulungen arbeiten wir mit Kampagnen über das Jahr:
- Einer rollenspezifischen Auftakt-Schulung
- Kürzeren Vertiefungs-Modulen zu einzelnen Bedrohungen
- Laufenden Phishing-Simulationen
- Anlassbezogene Themen-Aktionen
- Einem Jahres-Wirksamkeits-Bericht an die Geschäftsleitung
Ein Ampelsystem zeigt je Organisationseinheit den Awareness-Status, etwa Klick-Rate, Abschlussquote und gemeldete Verdachtsfälle, und macht aus einer abstrakten Compliance-Anforderung eine konkrete Steuerungs-Aufgabe für Führungskräfte.
Phishing-Simulationen: Sinn und Grenzen
Phishing-Simulationen wirken, wenn sie als Lernen angelegt sind, nicht als Falle:
- Unangekündigt und realistisch
- Mit individueller, lernfreundlicher Rückmeldung statt Bloßstellung
- Angebunden an gezielte Mikro-Trainings für die Klickenden
Falsch eingesetzt zerstören sie Vertrauen und erzeugen Vermeidungs-Verhalten.
Wichtig außerdem: Wo ein Betriebsrat besteht, ist die Messung individuellen Verhaltens mitbestimmungspflichtig und vorab abzustimmen.
KPI-gestütztes Reporting
Awareness ohne Messung ist nicht steuerbar und vor Auditoren nicht belastbar.
- Bewährt haben sich die Schulungs-Abschlussquote (Ziel: dauerhaft über 95 %)
- Die Phishing-Klick-Rate (Branchen-Benchmark: 15-20 %, Ziel: unter 5 %)
- Die Melde-Rate und die Zeit bis zur Meldung sowie die Ergebnisse jährlicher Awareness-Befragungen
Entscheidend ist die Verbindung zur Maßnahme:
Wird ein KPI rot, muss klar sein, was zu tun ist. Reporting ohne Steuerungs-Logik wird zur Pflichtübung.
Häufig gestellte Fragen
Sechs Fragen, die in fast jedem Awareness-Erstgespräch vorkommen. Klicken Sie eine Frage an, um die Antwort zu sehen.
Reicht ein einmaliges Web-Based-Training pro Jahr?
Für die formale Compliance-Erfüllung ja, für eine messbare Verhaltensänderung nein. Einmal-Schulungen verflüchtigen sich innerhalb weniger Wochen. Sie heben die Abschlussquote, nicht aber die Klick-Rate bei Phishing. Wer Wirkung will, braucht mehrstufige Programme.
Wie aufwendig ist ein Awareness-Programm für einen Mittelständler?
Der Aufwand skaliert mit der Größe der Organisation und verteilt sich auf Plattform, Lizenzen, externe Beratung und internen Aufwand. Der größte Teil liegt im ersten Jahr (Konzept und Begleitung), im Folgejahr sinkt er deutlich. Die Kalkulation erfolgt mandatsspezifisch und aufwandsbasiert.
Welche Awareness-Plattformen empfehlen Sie?
Wir sind hersteller-unabhängig und wählen die Plattform pro Mandat nach Bedarf. Bewährt haben sich deutsche und europäische Anbieter mit DSGVO-konformen Strukturen und differenzierten Modul-Bibliotheken. Die Auswahl hängt von Sprach-Anforderungen, Zielgruppen-Differenzierung und vorhandenen Lernmanagement-Systemen ab.
Müssen wir die Geschäftsleitung extra schulen?
Ja, und zwar mit eigenem Curriculum. Die Schulungen unterscheiden sich inhaltlich deutlich von Mitarbeiter-Schulungen: Statt Phishing-Erkennung geht es um Governance-Verantwortung, Haftungs-Themen und gezielte Angriffe auf Führungs-Ebene (CEO-Fraud, Spear-Phishing). NIS-2 § 38 macht die Schulung der Leitung zur Pflicht.
Was ist mit Mitarbeitenden in der Produktion ohne PC-Arbeitsplatz?
Auch sie sind Teil des Programms, mit angepassten Formaten. Statt Web-Based-Training gedruckte Materialien, Kurz-Workshops, Sicherheits-Briefings im Schichtwechsel und Plakate in Pausenräumen. Inhaltlich stehen andere Themen im Vordergrund: physische Zutrittskontrollen, Umgang mit USB-Geräten an Steuerungs-Anlagen, Social Engineering durch vermeintliche Handwerker.
Haben Sie konkrete Referenz-Erfahrungen aus Awareness-Mandaten?
Ja. Ein von uns entwickeltes Konzept für einen Konzernlogistik-Dienstleister aus dem Luftfahrt-Umfeld wurde 2025 mit dem internen Cyber-Security-Award des Auftraggebers ausgezeichnet. Bewertet wurde die Verbindung aus mehrstufiger Kampagnen-Architektur, KPI-gestütztem Reporting und erkennbarer Verhaltensänderung. Das Konzept dient heute als Referenz-Architektur für vergleichbare Mandate.
Wie wir Awareness-Programme aufbauen.
Wir konzipieren Awareness als mehrstufige Jahres-Kampagne mit Ampelsystem und KPI-Reporting. Am Anfang steht eine Bestandsaufnahme: relevante Bedrohungslage, besonders exponierte Mitarbeitenden-Gruppen, vorhandene Schulungs-Strukturen. Daraus entsteht ein Konzept mit klaren Modulen, Zeitplänen und Verantwortlichkeiten.
Für die Geschäftsleitung entwickeln wir separate Briefing-Formate passend zur Haftungspflicht aus § 38 NIS2-Umsetzungsgesetz. Bei der Plattform-Auswahl arbeiten wir hersteller-unabhängig und integrieren die Inhalte in vorhandene Lernmanagement-Systeme. Auf Wunsch begleiten wir das Programm über mehrere Jahre und liefern jährliche Wirksamkeits-Berichte.