Awareness-Schulungen vermitteln Mitarbeitenden, wie sie Phishing, Social Engineering und riskantes Verhalten erkennen und melden, und machen den Menschen damit zum aktiven Teil der Verteidigung.
Awareness-Schulungen sollen Mitarbeitende in die Lage versetzen, Angriffe zu erkennen, die auf den Menschen zielen: Phishing-Mails, Anrufe mit falscher Identität (Vishing), gefälschte Zahlungsaufforderungen oder Personen, die ohne Berechtigung ins Gebäude wollen. Dazu gehört das Wissen, woran man solche Versuche erkennt, und ebenso das Verhalten danach: melden statt ignorieren, nachfragen statt ausführen.
Eine Schulung ersetzt keine technische Kontrolle. Niemand erkennt jede gut gemachte Phishing-Mail. Das realistische Ziel ist, dass ein Angriff auf hundert Mitarbeitende von einigen gemeldet wird, bevor der Erste klickt, und dass die Meldung im SOC ankommt.
Formate und Wirkungsweise
- Grundlagenschulung: Jährliche Pflichtunterweisung zu Phishing, Passwörtern, Umgang mit Daten und Meldewegen; nach NIS2 auch für die Geschäftsleitung verpflichtend.
- Kurzformate: Regelmäßige Lerneinheiten von wenigen Minuten halten das Thema präsent, ohne den Arbeitsalltag zu belasten.
- Phishing-Simulationen: Kontrollierte Test-Mails messen Klick- und Meldequote und liefern unmittelbares Feedback. Entscheidend ist der Umgang mit dem Ergebnis: Lernmoment statt Sanktion.
- Rollenspezifische Schulung: Finanzbereich zu Business Email Compromise, Empfang und Facility zu Tailgating, Administratoren zu Angriffen auf ihre privilegierten Konten.
- Live-Demonstrationen: Ein Red Team zeigt, wie ein echter Angriff gegen das eigene Unternehmen aussähe. Das wirkt stärker als jede Folie.
Bedeutung für Unternehmen
Der Mensch bleibt ein zentrales Einfallstor. Laut Mandiant M-Trends 2026 war Vishing mit 11 Prozent der zweithäufigste Erstzugriff, E-Mail-Phishing lag bei 6 Prozent; laut IBM Cost of a Data Breach 2025 begann in Deutschland jeder siebte Vorfall mit Phishing. Gleichzeitig verändern Deepfakes die Lage: Stimme und Video einer Führungskraft lassen sich nachbilden, sodass die klassische Regel „Rückruf unter bekannter Nummer" wichtiger wird als das Erkennen von Rechtschreibfehlern.
Was wir in Einsätzen sehen: Die Klickquote ist selten das Problem, die Meldequote ist es. In vielen Organisationen klicken wenige Prozent, aber fast niemand meldet, und das SOC erfährt von der Kampagne erst, wenn wir sie im Bericht offenlegen. Zweiter Befund: Schulungen konzentrieren sich auf E-Mail, während unsere erfolgreichsten Szenarien über Telefon, Chat-Werkzeuge oder den physischen Zugang laufen. Dritter Befund: Mitarbeitende, die einen Verdacht hatten, wussten nicht, wo sie ihn melden sollten.
Praxis: Umsetzung und Prüfung
- Meldeweg vor Erkennung: Ein Melde-Button im Mail-Programm, eine bekannte Telefonnummer und die Zusicherung, dass eine Fehlmeldung keine Folgen hat. Messen Sie die Meldequote, nicht nur die Klickquote.
- Alle Kanäle abdecken: Telefon, SMS, Messenger, QR-Codes, Besucher am Empfang. Schulen Sie Verifikationsroutinen, die unabhängig vom Kanal funktionieren.
- Prozesse absichern: Zahlungsfreigaben und Stammdatenänderungen brauchen ein Vier-Augen-Prinzip mit Rückruf, damit ein einzelner getäuschter Mitarbeitender keinen Schaden auslösen kann.
- Fehlerkultur: Wer klickt und sofort meldet, hat richtig gehandelt. Sanktionen senken die Meldequote und helfen dem Angreifer.
- Realistisch testen: Eine Social-Engineering-Kampagne mit individuellen Vorwänden zeigt, ob Schulung und Prozesse im Ernstfall greifen. Im Red Teaming kombinieren wir die Täuschung mit dem technischen Angriff und prüfen, ob eine einzelne Meldung die gesamte Kette stoppt.