Cybersecurity Awareness: Mitarbeiter als Schutzwall
Cybersecurity Awareness im Mittelstand: warum der Mensch das größte Einfallstor ist, welche Bausteine wirken, die NIS2-Schulungspflicht und ein Programm in 5 Schritten.
- Cybersecurity Awareness bedeutet: Mitarbeitende erkennen Angriffsversuche im Arbeitsalltag, wissen, wie sie reagieren, und melden Verdachtsfälle ohne Zögern.
- Phishing ist laut dem ENISA Threat Landscape 2025 mit rund 60 Prozent der beobachteten Fälle der mit Abstand häufigste Einstiegsweg in Unternehmensnetze – vor der Ausnutzung technischer Schwachstellen mit 21,3 Prozent.
- Awareness ist kein einmaliges Event, sondern ein fortlaufendes Programm aus Schulung, Phishing-Simulation, Meldekultur und gelebter Praxis.
- § 30 Absatz 2 Nummer 7 BSIG macht Schulungen und Sensibilisierung zur Pflichtmaßnahme, § 38 Absatz 3 BSIG verpflichtet zusätzlich die Geschäftsleitung selbst zu regelmäßigen Schulungen.
- Wirksam wird Awareness erst, wenn sie messbar ist: sinkende Klickraten bei Phishing-Simulationen und steigende Melderaten zeigen den Fortschritt – personenbezogene Auswertungen zerstören ihn.
Sie können die beste Firewall, das teuerste EDR und ein lückenloses Backup haben – und trotzdem übernimmt ein Angreifer Ihr Netzwerk, weil ein Mitarbeiter auf einen Link geklickt hat. Der Mensch ist bei den meisten erfolgreichen Cyberangriffen das entscheidende Einfallstor. Genau deshalb ist Cybersecurity Awareness keine Kür, sondern ein Kernbaustein der IT-Sicherheit. Dieser Beitrag zeigt, welche Bausteine wirklich wirken, was das BSI-Gesetz nach NIS2 verlangt und wie ein Awareness-Programm in fünf Schritten entsteht.
Was Cybersecurity Awareness bedeutet
Cybersecurity Awareness bedeutet: Mitarbeitende erkennen Angriffsversuche im Arbeitsalltag, wissen, wie sie reagieren, und melden Verdachtsfälle ohne Zögern. Nicht mehr, aber auch nicht weniger. Es geht nicht darum, aus Buchhaltung und Vertrieb Sicherheitsfachleute zu machen, sondern darum, den Moment abzusichern, in dem ein Mensch entscheidet: klicken oder nicht, Anhang öffnen oder nicht, Überweisung freigeben oder nachfragen.
Das BSI formuliert dabei einen wichtigen Perspektivwechsel: Es sieht den Menschen ausdrücklich „nicht als Sicherheitslücke, sondern als Abwehrschirm gegen Cyber-Angriffe” und hält die verbreitete Rhetorik vom Faktor Mensch für „tendenziell destruktiv”. Awareness-Maßnahmen sind laut BSI dann erfolgreich, wenn sie befähigen und motivieren – nicht, wenn sie Schuld verteilen. Diese Haltung entscheidet später darüber, ob Ihre Belegschaft Vorfälle meldet oder verschweigt.
Die Angriffe selbst zielen fast nie auf technische Naivität, sondern auf eingeübtes Verhalten: Hilfsbereitschaft, Termindruck, Respekt vor Hierarchie. Wie diese Muster ausgenutzt werden, erklärt unser Wissenseintrag zu Social Engineering.
Warum die meisten Angriffe im Posteingang beginnen
Angreifer gehen den Weg des geringsten Widerstands – und der führt selten über eine technische Schwachstelle, sondern über den Menschen. Eine überzeugende Phishing-Mail, ein Anruf im Namen der Geschäftsführung, ein manipulierter Link: Das kostet weniger Aufwand als das Knacken einer gut gewarteten Technik.
Die Zahlen sind eindeutig. Der Jahresbericht ENISA Threat Landscape der EU-Cybersicherheitsagentur weist für 2025 Phishing – einschließlich Vishing, Malspam und Malvertising – als Einstiegsweg in rund 60 Prozent der ausgewerteten Fälle aus. Die Ausnutzung technischer Schwachstellen folgt mit deutlichem Abstand.
Diese Verteilung sagt etwas Unbequemes: Wer sein gesamtes Sicherheitsbudget in Technik steckt, adressiert den kleineren Teil des Problems. Erschwerend kommt hinzu, dass generative KI die Qualität der Köder verändert hat. Die plumpen Rechtschreibfehler, an denen man Phishing jahrelang erkannt hat, sind verschwunden; ENISA beschreibt für Anfang 2025 einen dominierenden Anteil KI-gestützter Kampagnen am beobachteten Social Engineering. Erkennungsmerkmale, die auf Sprachqualität setzen, taugen damit nicht mehr.
Die gute Nachricht: Was das größte Risiko ist, kann auch die stärkste Verteidigung werden. Eine sensibilisierte Belegschaft ist ein Netz aus Hunderten Sensoren, das Angriffe oft erkennt, bevor die Technik überhaupt anschlägt – weil ein Mensch merkt, dass eine Rechnung inhaltlich nicht stimmt, und kein Filter das kann.
Die Bausteine wirksamer Awareness
Awareness ist mehr als eine jährliche PowerPoint-Schulung. Wirksame Programme verbinden vier Elemente, und keines davon trägt allein:
- Schulung: kurze, regelmäßige und praxisnahe Einheiten statt eines einmaligen Frontalvortrags. Zehn bis fünfzehn Minuten im Quartal, mit Beispielen aus dem eigenen Haus, wirken nachweislich länger als ein Halbtagsseminar. Konkrete Fälle schlagen abstrakte Regeln.
- Phishing-Simulation: unangekündigte Test-Mails, die den Ernstfall gefahrlos üben und den Lernstand messbar machen. Sie sind der einzige Baustein, der Verhalten misst statt Wissen abzufragen.
- Meldekultur: ein einfacher, angstfreier Weg, Verdächtiges zu melden – ein Melde-Button im Mailprogramm, eine Adresse, ein Ansprechpartner. Wer nach einem Klick schweigt, richtet den größten Schaden an, weil die entscheidenden ersten Stunden verstreichen.
- Gelebte Praxis: Regeln, die den sicheren Weg zum einfachsten machen. Dazu gehören Multi-Faktor-Authentifizierung für alle Konten, ein Passwortmanager und eine EDR-Lösung, die den einen Klick abfängt, der trotzdem passiert.
Der vierte Punkt ist der ehrlichste: Awareness ersetzt keine Technik, sie ergänzt sie. Ein Programm, das ohne zweiten Faktor auskommen will, verlagert die gesamte Last auf Menschen, die auch schlechte Tage haben. Wie Mitarbeitende Phishing konkret erkennen, vertieft unser Ratgeber Phishing-Mails erkennen – ideale Begleitlektüre für jedes Awareness-Programm.
Was NIS2 und das BSI-Gesetz konkret verlangen
Was lange als freiwillige Best Practice galt, ist für viele Unternehmen inzwischen gesetzlich verankert. Das NIS2-Umsetzungsgesetz hat die europäische Richtlinie ins BSI-Gesetz überführt, und dort steht die Schulungspflicht an zwei Stellen.
Erstens für die Belegschaft: § 30 Absatz 2 BSIG zählt die Mindestmaßnahmen auf, die betroffene Einrichtungen ergreifen müssen – unter Nummer 7 „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik”. Zweitens für die Spitze: § 38 Absatz 3 BSIG verpflichtet Geschäftsleitungen, „regelmäßig an Schulungen teilzunehmen”, um Risiken erkennen und bewerten zu können. Nach Absatz 2 haften sie bei Pflichtverletzungen persönlich gegenüber ihrer Einrichtung.
Wie weit diese Schulung gehen muss, hat das BSI in einer eigenen Handreichung zur NIS-2-Geschäftsleitungsschulung beschrieben; sie richtet sich ausdrücklich auch an nicht regulierte Unternehmen, die freiwillig schulen wollen. Ob Sie überhaupt betroffen sind, klärt in wenigen Minuten unser NIS2-Check.
Praktisch heißt das: Ein dokumentiertes Awareness-Programm ist zugleich ein Nachweisbaustein. Wer Teilnahmen, Simulationsläufe und Ergebnisse ohnehin protokolliert, muss im Prüffall nichts rekonstruieren. Genau dafür ist Sicherheit & Compliance als Funktion gedacht.
Ein Awareness-Programm in fünf Schritten
- Ausgangslage messen. Eine erste, unangekündigte Phishing-Simulation zeigt ehrlich, wo das Team steht – ohne Schuldzuweisung, nur als Ausgangspunkt. Ergebnis: eine Klickrate, gegen die alles Weitere gemessen wird.
- Grundlagen schulen. Die wichtigsten Themen zuerst: Phishing, Passwörter und MFA, sicherer Umgang mit Daten und Geräten. Alles andere kann warten.
- Regelmäßig üben. Über das Jahr verteilte kurze Einheiten und Simulationen im Sechs- bis Acht-Wochen-Takt halten das Thema präsent, ohne den Betrieb zu stören.
- Meldekultur etablieren. Einen Meldeweg schaffen, der einen Klick kostet, und jedes Melden positiv verstärken – auch und gerade nach einem versehentlichen Klick.
- Wirksamkeit messen und nachsteuern. Klick- und Melderaten über die Zeit verfolgen und dort nachschulen, wo es hakt – nach Abteilung, nicht nach Person.
Der erste Schritt ist der, den die meisten überspringen. Ohne Ausgangsmessung lässt sich später nicht belegen, dass sich etwas verbessert hat – weder gegenüber der Geschäftsführung noch gegenüber einem Auditor. Wer breiter ansetzen will, findet die Reihenfolge der übrigen Grundschutzmaßnahmen in unserer IT-Sicherheits-Checkliste für KMU.
Wir starten jede Zusammenarbeit mit einer Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen und was zuerst dran ist.
Jens HagelGründer & Geschäftsführer
Wirksamkeit messbar machen
Awareness, die man nicht misst, ist Behauptung. Die beiden wichtigsten Kennzahlen sind einfach: die Klickrate bei Phishing-Simulationen – wie viele fallen darauf herein – und die Melderate, also wie viele den Verdacht aktiv melden. Ein gutes Programm senkt die erste und hebt die zweite, Runde für Runde.
Die Melderate ist dabei die unterschätzte Zahl. Sie beschreibt nicht Wissen, sondern Vertrauen: Nur wer keine Konsequenzen fürchtet, meldet auch den Klick, der schon passiert ist. Und genau diese Meldung entscheidet, ob ein Vorfall nach zwanzig Minuten beendet ist oder nach drei Tagen entdeckt wird. Eine begleitete Phishing-Simulation liefert beide Zahlen automatisch mit, aufgeschlüsselt nach Abteilung und Zeitverlauf.
Werten Sie Simulationsergebnisse niemals personenbezogen aus und nennen Sie keine Namen. Das zerstört die Meldekultur schneller, als jede Schulung sie aufbaut. In Betrieben mit Betriebsrat kommt hinzu, dass die Einführung solcher Systeme nach § 87 Absatz 1 Nummer 6 BetrVG mitbestimmungspflichtig ist – eine Betriebsvereinbarung mit rein aggregierter Auswertung klärt beides auf einmal.
Was Awareness kostet – und der Einwand „Uns ist noch nie etwas passiert”
Der häufigste Satz in Erstgesprächen lautet sinngemäß: Bisher ging es doch gut. Das Problem daran ist, dass automatisierte Massenangriffe nicht nach Unternehmensgröße oder Branche fragen. Sie testen, was erreichbar ist – und eine Belegschaft ohne Training ist erreichbar.
Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt – jedes Dokument, jede E-Mail, jede Rechnung.
Gegen diese Größenordnung ist Awareness die günstigste Sicherheitsmaßnahme überhaupt. Bei kjello ist die Grundlage im Betrieb bereits enthalten: Core kostet 29 € pro Nutzer und Monat, optional kommen 10 € pro Nutzer und Monat für Antivirus und EDR dazu. Was ein begleitetes Simulationsprogramm zusätzlich kostet, hängt vom Umfang ab – der Vergleichsmaßstab bleibt aber derselbe: drei Monate Stillstand kosten ein Vielfaches eines Jahresbudgets für Schulung.
Und wenn es doch passiert, entscheidet nicht die Awareness, sondern die Vorbereitung. Wie der Ablauf für den Ernstfall aussieht, steht in unserem Beitrag zum IT-Notfallplan.
Wir starten mit einer unangekündigten Simulation und zeigen Ihnen, wo Ihr Team wirklich steht – anonymisiert, ohne Angstkultur.
Programm ansehenFazit: aus dem schwächsten Glied die stärkste Linie
Cybersecurity Awareness ist die günstigste Sicherheitsinvestition mit dem größten Hebel – weil sie genau dort ansetzt, wo rund 60 Prozent der Angriffe beginnen. Entscheidend ist die Haltung: kein einmaliges Pflicht-Event und keine Angstkultur, sondern ein fortlaufendes, messbares Programm, das Melden zur Selbstverständlichkeit macht. Wer das ernst nimmt, verwandelt seine Belegschaft vom vermeintlich schwächsten Glied in die stärkste Verteidigungslinie – und erfüllt nebenbei die Schulungspflichten aus § 30 und § 38 BSIG.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Wie oft sollte man Mitarbeitende schulen?
Was kostet ein Awareness-Programm?
Bringen Phishing-Simulationen wirklich etwas?
Ist Cybersecurity-Awareness Pflicht?
Muss der Betriebsrat bei Phishing-Simulationen beteiligt werden?
Awareness-Programm mit Phishing-Simulation
Mit realistischen Phishing-Simulationen und begleitender Schulung macht kjello Ihre Belegschaft zum stärksten Glied Ihrer Sicherheit – messbar und ohne Angstkultur.
