Security-Awareness-Schulung: IT-Sicherheit und Phishing im Arbeitsalltag

Eine allgemeine „Awareness-Pflicht“ für alle Unternehmen gibt es nicht. Je nach Branche und Größe greifen aber mehrere Regelwerke, die Schulungen ausdrücklich nennen oder voraussetzen:

Ob Ihr Unternehmen unter das NIS2-Umsetzungsgesetz fällt, hängt von Sektor, Beschäftigtenzahl und Umsatz ab. Viele mittelständische Unternehmen sind zudem mittelbar betroffen, weil ihre Kunden in Lieferantenaudits nach Schulungen fragen. Ein Nachweis über regelmäßige Awareness-Schulungen ist deshalb auch ein Vertriebsthema.

Die Inhalte sollten an Ihre Systeme und Abläufe angepasst sein: Wie meldet man bei Ihnen einen Verdacht? Welche Passwortregeln gelten? Wer darf Zahlungen freigeben? Diese Themen gehören in jede Grundschulung:

Angriffe erkennen

• Phishing per E-Mail: Absender, Links und Anhänge prüfen, Druck und Dringlichkeit als Warnsignal, gefälschte Login-Seiten.
• Social Engineering am Telefon und vor Ort: angeblicher IT-Support, Lieferanten mit „neuer Bankverbindung“, unbekannte Personen im Gebäude.
• CEO-Fraud und Zahlungsbetrug: Anweisungen zu eiligen Überweisungen, Rückruf über bekannte Nummern, Vier-Augen-Prinzip.
• Täuschung mit KI: gefälschte Stimmen und Videos, sehr gut formulierte Phishing-Mails ohne Rechtschreibfehler.
• Messenger und soziale Netzwerke: Kontaktanfragen, Datei-Links, geteilte Informationen über das Unternehmen.

Sicher arbeiten

• Passwörter, Passwortmanager und Mehr-Faktor-Anmeldung; was zu tun ist, wenn eine MFA-Anfrage kommt, die man nicht ausgelöst hat.
• Updates, Software aus fremden Quellen, private Geräte und USB-Sticks.
• Arbeiten unterwegs und im Homeoffice: Bildschirmsperre, öffentliches WLAN, Ausdrucke. Ergonomische Aspekte behandelt die Unterweisung zum Bildschirmarbeitsplatz.
• Umgang mit vertraulichen Daten und KI-Werkzeugen – mit Verweis auf die Datenschutzschulung und die KI-Kompetenz-Schulung.

Richtig reagieren

• Wie und wo ein Verdacht gemeldet wird – ein klarer Kanal, rund um die Uhr erreichbar.
• Was nach einem Klick zu tun ist: Gerät nicht ausschalten, sofort melden, keine Selbstversuche.
• Warum frühes Melden wichtiger ist als Fehlervermeidung: Wer einen Fehler sofort meldet, hat richtig gehandelt.

Ein einziger langer Pflichtkurs im Jahr verblasst schnell. Bewährt hat sich eine Kombination aus Grundschulung und kurzen, regelmäßigen Impulsen:

Bereiche, die Zahlungen auslösen oder viele externe E-Mails erhalten, sind besonders gefährdet und brauchen eigene Szenarien. Die Geschäftsleitung braucht – bei NIS2-Einrichtungen auch rechtlich – eine Schulung zu Risiken und Verantwortlichkeiten, nicht nur zum Erkennen von Phishing.

Für Grundschulung und Auffrischung eignen sich Online-Formate besonders gut: Alle erhalten denselben Stand, das Verständnis wird geprüft, und der Nachweis entsteht automatisch. Worauf es bei digitalen Pflichtschulungen ankommt, erklärt der Ratgeber zur Online-Unterweisung.

Simulierte Phishing-Mails zeigen, wie gut Beschäftigte echte Angriffe erkennen, und trainieren das Melden. Sie berühren aber Mitbestimmung und Datenschutz:

• Betriebsrat: Werden Klicks oder Meldungen technisch erfasst, ist das in der Regel eine technische Einrichtung zur Verhaltens- oder Leistungskontrolle. Das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG greift; schließen Sie eine Betriebsvereinbarung ab.
• Datenschutz: Legen Sie Zweck, Rechtsgrundlage, Speicherdauer und Auswertungsebene fest und beziehen Sie die oder den Datenschutzbeauftragten ein. Eine Auswertung auf Gruppenebene genügt meist.
• Kein Pranger: Wer klickt, sollte sofort eine kurze Lernsequenz sehen, keine Abmahnung. Sonst wird künftig aus Angst nicht gemeldet.
• Glaubwürdige Szenarien ohne Grenzüberschreitung: Täuschungen mit Gehaltsthemen, Kündigungen oder privaten Notlagen schaden dem Vertrauen.

Teilnahmequoten allein sagen wenig. Aussagekräftiger sind Kennzahlen, die Verhalten abbilden – und zwar im Verlauf, nicht als einzelner Wert:

• Meldungen: Wie viele verdächtige E-Mails werden gemeldet, und wie schnell nach Eingang?
• Testergebnisse: Welche Fragen werden häufig falsch beantwortet? Daraus ergeben sich die Themen der nächsten Impulse.
• Simulationsergebnisse, sofern vereinbart: Meldequote im Verhältnis zur Klickquote, ausgewertet nach Bereichen.
• Vorfälle: Art und Ursache tatsächlicher Sicherheitsvorfälle, und ob sie früh gemeldet wurden.

Werten Sie diese Zahlen auf Ebene von Teams oder Standorten aus, nicht pro Person – das ist datenschutzfreundlicher und zeigt trotzdem, wo nachgeschult werden sollte. Ein steigender Anteil gemeldeter Verdachtsfälle ist ein gutes Zeichen, auch wenn darunter viele harmlose E-Mails sind: Er zeigt, dass Beschäftigte aufmerksam sind und dem Meldeweg vertrauen.

Für Audits nach ISO 27001 oder Kundenanfragen brauchen Sie außerdem den Nachweis, wer wann geschult wurde und ob der Test bestanden wurde. Was ein solcher Nachweis enthalten sollte, beschreibt der Ratgeber zum Unterweisungsnachweis.

• Einmal im Jahr, eine Stunde, fertig: Wissen über Angriffsmuster veraltet schnell. Ohne kurze Impulse zwischen den Schulungen bleibt wenig hängen.
• Allgemeine Beispiele statt eigener Fälle: Eine Phishing-Mail im Design Ihres eigenen Rechnungsportals überzeugt mehr als ein Beispiel einer fremden Bank.
• Kein klarer Meldeweg: Wenn Beschäftigte erst suchen müssen, wo sie einen Verdacht melden, melden viele gar nicht. Ein Knopf im Mailprogramm oder eine feste Adresse gehört in jede Schulung.
• Angst statt Verantwortung: Schulungen, die vor allem mit Konsequenzen drohen, führen dazu, dass Fehler verschwiegen werden. Betonen Sie, dass schnelles Melden der wichtigste Beitrag ist.
• Geschäftsleitung ausgenommen: Führungskräfte sind ein bevorzugtes Ziel von CEO-Fraud und bei NIS2-Einrichtungen selbst schulungspflichtig. Sie gehören in den Schulungsplan.
• Kein Nachweis: Ohne Dokumentation lässt sich in Audits und nach Vorfällen nicht belegen, wer geschult wurde. Planen Sie Termine und Wiederholungen mit einem Unterweisungsplan.

1. 1

   Ausgangslage klären

   Prüfen Sie, ob NIS2, DORA, ISO 27001 oder Kundenanforderungen für Sie gelten, und welche Bereiche besonders gefährdet sind.

2. 2

   Regeln und Meldeweg festlegen

   Ohne klare Regeln zu Passwörtern, Zahlungsfreigaben und einem einfachen Meldekanal bleibt jede Schulung abstrakt.

3. 3

   Schulung aus eigenen Richtlinien erstellen

   Nutzen Sie Ihre IT-Richtlinie und echte, anonymisierte Beispiele aus dem eigenen Postfach.

4. 4

   Verteilen, prüfen, erinnern

   Weisen Sie die Schulung mit Frist zu, prüfen Sie das Verständnis mit Szenarien und erinnern Sie bei Verzug.

5. 5

   Regelmäßig nachlegen

   Planen Sie die jährliche Auffrischung und kurze Impulse dazwischen; passen Sie Inhalte nach Vorfällen an.

Lehrwerk erstellt aus Ihrer IT-Sicherheitsrichtlinie einen Kurs mit Szenarien, interaktiven Übungen und Abschlusstest; eine Vorlage „Informationssicherheit & Phishing“ liefert die Gliederung. Zugewiesen mit Fälligkeit und jährlicher Wiederholung entsteht pro Person ein Nachweis, den Sie für Audits exportieren können.