Die Zahlen sind eindeutig. Laut dem Verizon Data Breach Investigations Report 2025 war bei 60 Prozent aller untersuchten Sicherheitsverletzungen der Mensch beteiligt. Der Bericht 2024 kam auf 68 Prozent. Angreifer wissen das und setzen gezielt beim Menschen an, weil das oft leichter ist als ein technischer Angriff. Der BSI-Lagebericht 2025 zeigt zugleich, dass sich rund 80 Prozent der angezeigten Angriffe gegen kleine und mittlere Unternehmen richten. Eine geschulte Belegschaft ist damit einer der wirksamsten Schutzmechanismen überhaupt.
Viele Unternehmen schulen bislang unvollständig. Laut Bitkom bieten nur 24 Prozent der Unternehmen Schulungen für alle Beschäftigten an, und jedes fünfte verzichtet ganz darauf. Genau hier liegt eine große Chance, denn Awareness ist im Verhältnis zu ihrer Wirkung günstig. Eine Schulung, die einen einzigen erfolgreichen Angriff verhindert, hat sich in der Regel schon bezahlt gemacht. Hinzu kommt, dass geschulte Mitarbeiter Vorfälle früher erkennen und melden, was den Schaden im Ernstfall begrenzt.
Schulung ist für viele Unternehmen nicht nur sinnvoll, sondern gefordert. Die DSGVO nennt in Art. 39 die Sensibilisierung und Schulung der Beschäftigten ausdrücklich als Aufgabe im Datenschutz und verlangt über die Rechenschaftspflicht einen Nachweis. Die ISO/IEC 27001 fordert in ihren Anforderungen an Kompetenz und Bewusstsein regelmäßige Awareness-Maßnahmen. Das NIS2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 gilt, verlangt Schulungen zur Cyberhygiene und verpflichtet die Geschäftsleitung persönlich, sich schulen zu lassen. Auch der BSI IT-Grundschutz sieht mit dem Baustein zur Sensibilisierung und Schulung ein eigenes Kapitel dafür vor.
Eine einmalige Schulung verpufft schnell. Wirksame Awareness bleibt deshalb nicht bei einem Termin im Jahr. Sie verbindet regelmäßige Trainings mit simulierten Phishing-Mails, die das Gelernte im Alltag testen, und misst den Fortschritt über klare Kennzahlen. So wird aus einer Pflichtübung ein Prozess, der das Sicherheitsniveau dauerhaft hebt. Das passt zu unserem Grundsatz: Sicherheit ist ein Prozess, kein Projekt.
Ein Awareness-Programm folgt bei uns einem klaren Ablauf. Am Anfang steht eine Ausgangsmessung, meist eine erste Phishing-Simulation, die zeigt, wo Ihr Team heute steht. Darauf folgen regelmäßige Schulungen und über das Jahr verteilte Simulationen, deren Ergebnisse wir auswerten und in gezieltes Nachtraining überführen. Durch die Wiederholung wird aus einzelnen Terminen ein dauerhafter Lerneffekt.
Inhaltlich behandeln wir die Themen, die im Arbeitsalltag zählen: das Erkennen von Phishing und Social Engineering, den sicheren Umgang mit Passwörtern und die Mehr-Faktor-Authentifizierung, den Umgang mit E-Mails und Anhängen, das sichere Arbeiten im Homeoffice und unterwegs, den Umgang mit Daten und Datenträgern sowie klare Meldewege, wenn doch einmal etwas passiert. Die Schwerpunkte stimmen wir auf Ihre Branche ab.
Wirksamkeit muss sichtbar sein. Wir messen den Fortschritt über zwei Kennzahlen: die Klickrate bei Phishing-Simulationen und die Melderate verdächtiger E-Mails. Zu Beginn liegt die Klickrate oft bei 20 bis 35 Prozent. Als Ziel nach etwa zwölf Monaten gelten eine Klickrate unter 10 Prozent und eine Melderate über 30 Prozent.
Diese Kennzahlen zeigen nicht nur den Lernerfolg, sie dienen zugleich als Nachweis. Zusammen mit der Teilnahmedokumentation belegen Sie damit gegenüber Auditoren und Aufsichtsbehörden, dass Sie Ihre Beschäftigten regelmäßig schulen, wie es ISO 27001, die DSGVO und NIS2 verlangen. Den Anfang macht eine kostenlose Erstberatung.
