Seit dem NIS-2-Umsetzungsgesetz ist Security Awareness für viele Einrichtungen keine Kür mehr, sondern Pflicht. Die übliche Umsetzung, einmal im Jahr ein E-Learning und ein Phishing-Test, erfüllt die Vorgabe auf dem Papier, ändert am Verhalten der Beschäftigten aber wenig.
Mit dem NIS-2-Umsetzungsgesetz, das seit dem 6. Dezember 2025 in Kraft ist, sind Schulungen ausdrücklich vorgeschrieben. Die zugrunde liegende NIS-2-Richtlinie verpflichtet in Artikel 20 die Leitungsorgane zur Teilnahme an Schulungen und fordert, den Beschäftigten regelmäßig entsprechende Schulungen anzubieten[1]. Das deutsche Recht setzt das in Paragraf 38 BSIG um und nimmt dabei ausdrücklich auch die Geschäftsleitung in die Pflicht[2].
Für öffentliche Auftraggeber heißt das doppelt: Sie müssen Awareness intern sicherstellen, und wenn sie die Leistung einkaufen, entscheidet die Ausschreibung darüber, ob am Ende ein wirksames Programm oder nur ein abgehaktes Pflichtmodul dabei herauskommt.
Das gängige Muster ist bekannt: ein jährliches E-Learning zum Durchklicken, dazu ein Phishing-Test, dessen Klickrate dann als Erfolgsmaß dient. Das erfüllt die Dokumentationspflicht, aber es ändert selten das Verhalten. Die Schweizer Wirtschaftspsychologin Jill Wick, die sich auf die psychologischen Mechanismen hinter Sicherheitsverhalten spezialisiert hat, bringt es auf den Punkt: Die meisten Trainings seien technisch und trocken und änderten kein Verhalten[3].
Der Grund liegt in der Psychologie. Wissen allein führt nicht zu Verhalten. Menschen handeln unter Zeitdruck, aus Routine und unter Ausnutzung genau der sozialen Reflexe, die Angreifer bei Phishing und Social Engineering gezielt ansprechen. Ein einmaliges Modul, das Monate später vergessen ist, setzt an der falschen Stelle an.
Wirksame Awareness ist kein Ereignis, sondern ein fortlaufender Prozess. Aus der verhaltenswissenschaftlichen Perspektive und aus der Praxis lassen sich einige Merkmale benennen, an denen Sie ein gutes Programm erkennen:
Phishing-Simulationen sind ein nützliches Werkzeug, aber ihr Nutzen hängt davon ab, wie sie eingesetzt werden. Als Falle, die Beschäftigte vorführt und deren Ergebnis zur Bestrafung dient, erzeugen sie Angst und Verschleierung. Jill Wick beschreibt den umgekehrten Weg: Der Effekt verstärkt sich, wenn die Führung nicht nur kommuniziert, sondern selbst teilnimmt und die eigenen Fehler transparent teilt[3].
Für die Praxis heißt das: Die Simulation misst nicht, wer klickt, sondern ob die Meldequote steigt und die Reaktionszeit sinkt. Und sie ist datenschutzkonform anzulegen, denn die Auswertung des Verhaltens einzelner Beschäftigter berührt Beschäftigtendatenschutz und Mitbestimmung. Beides gehört vor der ersten Simulation geklärt.
Wenn Sie Awareness als Leistung einkaufen, entscheidet das Leistungsverzeichnis über die Wirkung. Statt „ein jährliches Schulungsmodul" zu fordern, sollten Sie die Merkmale beschreiben, die ein wirksames Programm ausmachen:
| Statt | Besser im Leistungsverzeichnis |
|---|---|
| „jährliches E-Learning" | fortlaufendes Programm mit regelmäßigen, kurzen Einheiten über die Vertragslaufzeit |
| „Phishing-Simulation" | Simulationen mit datenschutzkonformer Auswertung, Messgröße Meldequote statt reiner Klickrate |
| „für alle Mitarbeiter" | zielgruppenspezifische Inhalte für Sachbearbeitung, IT und Leitung |
| „Nachweis der Teilnahme" | Wirkungsmessung und Reporting, das Verhaltensänderung erkennbar macht |
Dazu gehören deutschsprachige, barrierefreie Inhalte und, bei Simulationen, die frühzeitige Einbindung des Personalrats. So bekommen Sie ein Programm, das nicht nur die Pflicht erfüllt, sondern die Angriffsfläche tatsächlich verkleinert.
Wir begleiten öffentliche Auftraggeber bei genau diesen Themen, und zwar nicht nur bei der Ausschreibung, sondern auch inhaltlich. Wir helfen Ihnen, die Anforderungen an ein wirksames Awareness-Programm zu formulieren, die Wirkungsmessung sauber zu definieren und den Datenschutz bei Phishing-Simulationen von Anfang an mitzudenken. Den Einstieg finden Sie bei unserer IT-Ausschreibungsunterstützung, für die Auswertung eingehender Angebote bei den IT-Angebotsvergleichen. Passende Muster für verwandte Sicherheitsthemen finden Sie in unseren Muster-Leistungsverzeichnissen, und wie andere Auftraggeber vergleichbare Verfahren aufgebaut haben, sehen Sie im Vergabe-Archiv.
Quellen
Von der Anforderungsdefinition bis zur Wirkungsmessung: Wir begleiten öffentliche Auftraggeber durch das gesamte Verfahren.
Sie haben eine konkrete Beschaffung vor sich und wollen wissen, wie andere sie aufgesetzt haben? Melden Sie sich, ein Erstgespräch kostet nichts.