Security Awareness - Deine Mitarbeiter als erste Verteidigungslinie

Schulung allein ändert kein Verhalten dauerhaft. Simulation + sofortiges Feedback ist die effektivste Methode - Mitarbeiter lernen im Moment des Fehlers, nicht in der Theorie.

Die meisten verstehen schnell den Sinn. Wir empfehlen, das Programm intern zu kommunizieren - nicht als Überwachung, sondern als Training. Blaming verboten: die Simulation ist anonym ausgewertet.

Man kann es trainieren. Nach 3-4 Simulationsrunden sinkt die Klickrate typisch um 60-80 %. Es ist wie Feuerschutz-Übungen: Theorie allein reicht nicht.

Schulungen zu Cyber-Sicherheitsrisiken und deren Management-Auswirkungen. Kein Fixed-Format - aber dokumentiert und nachweisbar. Wir machen das audit-ready.

Ongoing - kein einmaliges Event. Wir machen Phishing-Simulation 4×/Jahr (Professional) oder monatlich (Premium), Module 1-2×/Monat. Ongoing = nachhaltig.

Awareness steckt in den Paketen Professional und Premium und wird pro Arbeitsplatz und Monat abgerechnet, im Basis-Paket ist es nicht enthalten. Der Unterschied zwischen beiden liegt vor allem in der Frequenz: Simulation quartalsweise oder monatlich, Basis-Set oder vollständiger Modulkatalog. Der Beratungs- und Einführungsanteil ist häufig BAFA-förderfähig (Bemessungsgrundlage 3.500 EUR, Zuschuss also max. 1.750 EUR; bis zu zwei geförderte Beratungen pro Jahr), den Antrag übernehmen wir.

Wir werten auf Gruppen- und Abteilungsebene aus, nicht als Namensliste für die Geschäftsführung - eine Verhaltens- und Leistungskontrolle einzelner Personen ist ausdrücklich nicht der Zweck. Wo ein Betriebsrat existiert, gehört er vor dem Start eingebunden, was in der Regel unkritisch ist, wenn Anonymität und Trainingszweck schriftlich festgehalten sind. Die nötigen Unterlagen und die interne Ankündigung bereiten wir mit vor.

Zusätzliches Training, keine Sanktion. Wer bestraft wird, meldet den nächsten Vorfall nicht mehr - und genau diese Meldung ist das, was im Ernstfall zählt. Bei besonders exponierten Rollen wie Buchhaltung oder Geschäftsführungs-Assistenz ergänzen wir technische Maßnahmen, statt das Problem auf einzelne Personen abzuwälzen.

Für die Mitarbeitenden 5 bis 10 Minuten pro Modul, ein bis zwei Mal im Monat. Auf Eurer Seite braucht es einmalig eine technische Freigabe im Mailsystem, damit die Simulations-Mails nicht schon im Filter hängen bleiben, eine interne Ankündigung des Programms und einen Ansprechpartner bei uns. Aufsetzen, Auswerten und Nachhalten machen wir.

NIS2 schreibt kein festes Intervall vor, verlangt aber regelmäßige Schulung und deren Nachweis. Ein einzelner Termin im Jahr ist im Zweifel schwer zu verteidigen und wirkt erfahrungsgemäß auch kaum nach. Wir dokumentieren Teilnahme, Inhalt und Datum durchgehend, sodass Du den Nachweis jederzeit vorlegen kannst.

Ja, denn Phishing sucht sich seine Ziele nicht nach Regulierung aus. Der Grund für Awareness ist nicht die Pflicht, sondern dass die meisten Vorfälle mit einem Klick anfangen. Wenn Du klein bist und knapp kalkulierst, fang mit dem Basis-Set und zwei Simulationsrunden an, statt gar nichts zu tun.

Viele Versicherer fragen im Antrag oder bei der Verlängerung nach Mitarbeiterschulungen, MFA und Backup - was für Deinen Vertrag gilt, steht in Deinen Antragsunterlagen. Wird danach gefragt, liefern wir die Nachweise in einer Form, die Du direkt einreichen kannst. Aussagen zur Deckung selbst treffen wir nicht, das gehört zu Deinem Makler.

An zwei Zahlen: der Klickrate, die typischerweise nach drei bis vier Runden um 60 bis 80 % sinkt, und der Meldequote, also wie viele verdächtige Mails überhaupt gemeldet werden. Die zweite ist die wichtigere. Eine Organisation, in der Leute melden, bemerkt auch den echten Angriff, den niemand angeklickt hat.

Teilweise. Wer eine dienstliche Mailadresse hat, kann Simulation und Module auch am Smartphone nutzen. Für Produktion, Lager oder Außendienst ohne eigenes Postfach ergibt eine Phishing-Simulation wenig Sinn - dort arbeiten wir mit kurzen Präsenz-Einweisungen und Themen, die zu ihrem Alltag passen, etwa Anrufe mit angeblichem Support oder fremde USB-Sticks.

Nein, und andersherum genauso wenig. Mailfilter, MFA und Endpunkt-Schutz fangen den Großteil ab, gezielte Angriffe kommen trotzdem durch - dann entscheidet der Mensch. Wer nur schult und technisch nichts tut, verlagert die Last unfair auf die Mitarbeitenden.