# Security Awareness im Mittelstand: Schulungen, die im entscheidenden Moment wirken > Wie Sensibilisierung wirkt statt zu nerven: reale Angriffsmuster zeigen, kurz und regelmäßig schulen, Meldekultur aufbauen, Führungskräfte einbeziehen und Wirkung messbar machen. URL: https://techport.ai/it-beratung/sicherheit-und-resilienz/awareness-und-schulung --- 1. [IT-Beratung](/it-beratung)/ 2. [Sicherheit und Resilienz](/it-beratung/sicherheit-und-resilienz)/ 3. Beschäftigte sensibilisieren [Sicherheit und Resilienz](/it-beratung/sicherheit-und-resilienz) # Beschäftigte sensibilisieren Von Redaktion techport.ai, IT-Beratung · Zuletzt aktualisiert am 21\. August 2026 Der häufigste Einstieg in ein Unternehmensnetz führt über einen Menschen, der etwas anklickt, das echt aussieht. Das ist kein Argument gegen Menschen, sondern eines für Vorbereitung. Angriffe per E-Mail und Telefon sind heute gut gemacht, sprachlich einwandfrei, oft mit Bezug auf echte Vorgänge und echte Namen aus dem Unternehmen. Sensibilisierung wirkt, wenn sie konkret ist und wenn Melden einfacher ist als Schweigen. Sie wirkt nicht als jährliche Pflichtschulung mit Klickstrecke. ## Woran Sie es merken * Nach einem verdächtigen Klick meldet sich niemand, aus Sorge vor Konsequenzen. * Schulung findet einmal jährlich statt und behandelt Beispiele, die nach Betrug aussehen. * Es ist unklar, an wen ein Verdacht gemeldet werden soll und was dann passiert. * Zahlungsanweisungen per E-Mail werden ohne Rückfrage bearbeitet, wenn der Absender bekannt wirkt. ## Warum das passiert Sicherheitsschulungen werden häufig als Pflichterfüllung gestaltet: einmal im Jahr, für alle gleich, mit allgemeinen Inhalten. Sie erzeugen ein Bewusstsein, das nach zwei Wochen verblasst, und vermitteln ein Bild von Angriffen, das mit der Realität wenig zu tun hat. Gleichzeitig verhindert eine Kultur, in der ein Fehler als Verfehlung gilt, genau das Verhalten, das im Ernstfall zählt: die sofortige Meldung. Zeit ist bei einem erfolgreichen Angriff die entscheidende Größe. ## So gehen wir vor 1. **Reale Muster zeigen.** Wir arbeiten mit Beispielen, die zu Ihrem Unternehmen passen: gefälschte Rechnungen Ihrer tatsächlichen Lieferanten, Anfragen im Namen Ihrer Geschäftsführung, Anrufe angeblicher Dienstleister. Diese Beispiele bleiben haften, allgemeine Warnungen nicht. 2. **Kurz und regelmäßig schulen.** Wir setzen auf kurze Einheiten mehrmals im Jahr statt auf eine lange jährliche Schulung, ergänzt um gezielte Inhalte für besonders gefährdete Bereiche wie Buchhaltung, Einkauf, Vertrieb und Personal. 3. **Meldekultur aufbauen.** Wir richten einen einfachen Meldeweg ein, sorgen für eine Rückmeldung an die meldende Person und stellen klar, dass eine Meldung nach einem Klick ausdrücklich erwünscht ist. Führungskräfte müssen das vorleben. 4. **Wirkung messen und nachsteuern.** Wir messen, wie viele Meldungen eingehen und wie schnell, und nutzen Testkampagnen mit Augenmaß. Ziel ist eine steigende Melderate, nicht eine sinkende Klickrate um jeden Preis. ## Was Sie davon haben * Verdachtsfälle, die innerhalb von Minuten gemeldet werden statt gar nicht. * Beschäftigte, die die Muster erkennen, die tatsächlich verwendet werden. * Nachweise über durchgeführte Schulungen für Prüfungen und Kunden. ## Aus unseren Projekten Die wichtigste Kennzahl ist nicht, wie viele Personen auf eine Testmail klicken, sondern wie viele sie melden und wie schnell. Ein Unternehmen, in dem zehn Prozent klicken und die Hälfte davon innerhalb weniger Minuten meldet, ist besser aufgestellt als eines mit niedriger Klickrate und keiner einzigen Meldung. Wir richten deshalb zuerst den Meldeweg ein und schulen danach. Der zweite regelmäßige Befund: Testkampagnen ohne vorherige Ankündigung des Verfahrens beschädigen Vertrauen. Wir stimmen sie vorab mit der Geschäftsführung und, wo vorhanden, mit der Arbeitnehmervertretung ab und werten sie ausschließlich anonymisiert aus. ## Gut zu wissen Für Unternehmen im Anwendungsbereich des BSI-Gesetzes ist Schulung Teil der Pflichten, und die Mitglieder der Geschäftsleitung müssen selbst an Schulungen teilnehmen, um Risiken beurteilen zu können. Unabhängig davon verlangt die KI-Verordnung seit dem 2. Februar 2025 in Artikel 4, dass Beschäftigte, die KI-Systeme einsetzen, über ausreichende KI-Kompetenz verfügen. Beide Anforderungen lassen sich in einem Schulungskonzept zusammenführen. Wenn Testkampagnen personenbezogen ausgewertet werden, sind Datenschutz und Mitbestimmung zu beachten, weshalb eine anonymisierte Auswertung der Regelfall sein sollte. ## Häufige Fragen Wie oft sollten wir schulen? Bewährt hat sich eine kurze Einheit im Quartal, ergänzt um anlassbezogene Hinweise, wenn eine neue Angriffswelle auftritt. Eine einzige lange Schulung pro Jahr erfüllt Dokumentationspflichten, verändert Verhalten aber kaum. Für neue Beschäftigte gehört eine Einheit in die Einarbeitung, und zwar in den ersten Tagen. Was tun, wenn jemand auf eine Phishing-Mail hereingefallen ist? Sofort melden lassen, Konto sperren oder Passwort zurücksetzen, betroffene Sitzungen beenden, Geräte prüfen und dokumentieren. Entscheidend ist der Umgang mit der Person: Wer eine Meldung mit Konsequenzen beantwortet, bekommt beim nächsten Mal keine Meldung mehr. Der Fehler ist der Klick, der Schaden entsteht durch die Zeit bis zur Reaktion. ## Sprechen wir über Beschäftigte sensibilisieren Im Erstgespräch klären wir in dreißig Minuten, wo bei Ihnen der größte Hebel liegt und ob wir die Richtigen dafür sind. [Erstgespräch vereinbaren](/kontakt)[Unsere Beratung](/so-funktionierts) ## Weiterführend [Sicherheit und ResilienzIdentitäten und Zugriffe ordnenWer darf was und warum: Berechtigungskonzept aufbauen, Rollen statt Einzelrechte, Mehrfaktor-Anmeldung einführen, Ein- und Austritt automatisieren und Berechtigungen regelmäßig prüfen.](/it-beratung/sicherheit-und-resilienz/identitaeten-und-zugriffe)[Sicherheit und ResilienzNIS2 und CybersicherheitOb Ihr Unternehmen unter das neue BSI-Gesetz fällt, welche Pflichten daraus folgen, wie Risikomanagement, Meldewege und Lieferkette umgesetzt werden und was die Geschäftsleitung persönlich betrifft.](/it-beratung/sicherheit-und-resilienz/nis2-und-cybersicherheit)[Einführen und verändernVeränderung begleitenWarum technisch fertige Systeme ungenutzt bleiben und was hilft: Betroffene früh beteiligen, Führungskräfte zuerst informieren, Widerstand ernst nehmen und Nutzung nach dem Start messen.](/it-beratung/einfuehren-und-veraendern/change-management)[WissenIT-Reifegrad-CheckIn zehn Minuten wissen, wo Ihre IT steht.](/it-beratung/reifegrad-check)[WissenIT-KennzahlenDefinitionen und Formeln, die im ganzen Unternehmen gleich gelesen werden.](/it-beratung/kennzahlen) Zurück zum Feld [Sicherheit und Resilienz](/it-beratung/sicherheit-und-resilienz) Rt Geschrieben von [Redaktion techport.ai](/ueber-uns), IT-Beratung Mehr als 15 Jahre Erfahrung in IT-Projekten des Mittelstands, Auswahl und Einführung von Unternehmenssoftware, Aufbau von IT-Betrieb und Informationssicherheit in wachsenden Organisationen. Diese Seite gibt den Stand zum angegebenen Datum wieder und ersetzt keine Rechtsberatung. Bei konkreten Fragen arbeiten wir mit Ihren Rechtsberatern zusammen. [Mehr über uns](/ueber-uns) Weiter im Angebot [ Software Individuelle Prozesssoftware für den Mittelstand. ](/loesungen)[ HR-Beratung Personalarbeit, Prozesse und Systeme. ](/hr-beratung)[ IT-Reifegrad-Check In zehn Minuten zur Standortbestimmung. ](/it-beratung/reifegrad-check)[ HR-Reifegrad-Check 24 Aussagen, Ergebnis je Themenfeld. ](/hr-beratung/reifegrad-check)[ Förderung BAFA-Zuschuss und über 50 Programme für die Umsetzung. ](/foerderung)[ Prozesse in der Praxis Wie aus Abläufen belastbare Software wird. ](/sop-praxis)[ Daten und KI Auswertungen, Prognosen und Assistenzsysteme. ](/daten-ki)[ Über uns Wer hinter techport.ai steht. ](/ueber-uns)