Cyber-Security · Umsetzung

Security-Awareness

Die meisten erfolgreichen Angriffe beginnen mit einem Klick, und die meisten Awareness-Maßnahmen mit einem Pflichtvideo, das niemand erinnert. Wir bauen Programme, die Verhalten wirklich ändern: mit Geschichten aus echten Vorfällen, eingebetteten Phishing-Simulationen und Kennzahlen, die den Fortschritt belegen.

Awareness ist zudem Pflicht: NIS2 verlangt Cyberhygiene-Schulungen für die Belegschaft und ausdrücklich für die Leitung. Teil unseres Cyber-Security-Portfolios.

Nr. 7

Cyberhygiene und Schulung sind Maßnahmenbereich nach §30 BSIG

bis 19 %

weniger Fehlklicks durch interaktives Training (Proofpoint-Studie)

Pflicht

Schulung der Geschäftsleitung unter NIS2

Awareness-Programm anfragen →

Warum Awareness Pflicht ist und warum Pflichtvideos nicht reichen

Regulatorisch ist die Lage eindeutig: NIS2 führt Cyberhygiene und Schulungen als eigenen Maßnahmenbereich, verlangt die nachweisbare Schulung der Leitungsorgane, und Cyber-Versicherer fragen Awareness-Maßnahmen und Phishing-Tests längst im Antrag ab. Ohne Programm fehlt schlicht ein Pflichtbaustein.

Wirksam ist Awareness aber nur als Programm: Studien zeigen, dass Phishing-Trainings die Fehlklick-Quote um rund zehn Prozent senken, mit interaktivem Kontext bis zu 19 Prozent, und zwar nur bei Teilnehmenden, die das Training auch abschließen. Ein jährliches Pflichtvideo erreicht genau das nicht. Simulationen entfalten ihre Wirkung erst eingebettet in Kampagnen, Kommunikation und Führung.

Und aus unserer Vorfalls-Praxis wissen wir: Die Organisationen, die gut durch Angriffe kommen, haben keine ängstliche Belegschaft, sondern eine meldefreudige. Das Ziel ist nicht null Klicks, sondern schnelle Meldungen.

Die Programm-Bausteine

Baseline-Messung
Wo steht Ihre Organisation? Erste Phishing-Simulation und Kurz-Befragung liefern Klick- und Meldequote als Startpunkt, ohne Pranger, aber ehrlich.

Kampagnen & Microlearning
Kurze, wiederkehrende Formate statt Jahresschulung: Geschichten aus echten Vorfällen, zugeschnitten auf Verwaltung, Fachbereiche und IT.

Phishing-Simulationen
Realistisch, fair und eingebettet: Wer klickt, bekommt sofort Kontext statt Belehrung. Schwierigkeitsgrad und Szenarien wachsen mit.

Leitungs-Briefing
Das kompakte Format für Geschäftsleitung und Verwaltungsspitze: Pflichten, Haftung, Vorbildrolle, und der dokumentierte NIS2-Schulungsnachweis.

Rollen-Trainings
Vertiefung dort, wo das Risiko sitzt: Zahlungsfreigaben (CEO-Fraud), Personal- und Bürgerdaten, Administratoren, Assistenzen der Leitung.

Messung & Reporting
Klickquote, Meldequote, Trainingsabschluss: Kennzahlen fürs Management-Review, für Auditoren und den Versicherer-Fragebogen.

Unser Vorgehen: 4 Phasen zur Sicherheitskultur

Analyse & Konzept

Zielgruppen, Risikoschwerpunkte und Kommunikationswege werden kartiert; daraus entsteht der Programmplan mit Themen, Formaten und Kennzahlen, abgestimmt mit Personalvertretung und Datenschutz.

Baseline & Werkzeug

Erste Messung als Startpunkt; parallel die kuratierte Auswahl der Plattform, passend zu Größe und Budget, die geeigneten Kandidaten statt des kompletten Marktes.

Kampagnenstart

Auftakt-Kommunikation durch die Leitung (Vorbildrolle!), erste Microlearning-Welle und eingebettete Simulationen; der Support weiß Bescheid, bevor die erste Test-Mail landet.

Messen & Verstetigen

Quartalsweise Auswertung, Themen nachschärfen, Rollen-Trainings ergänzen; nach einem Jahr ist Awareness Regelbetrieb mit Nachweisen statt Projekt.

Typische Fehler, die Awareness-Programme wirkungslos machen

1.Pranger-Kultur: Wer klickt, wird bloßgestellt oder gemeldet, danach meldet niemand mehr echte Vorfälle. Fairness ist keine Nettigkeit, sondern Wirkprinzip.
2.Die Jahresschulung als Alibi: einmal 45 Minuten Video, zwölf Monate Ruhe. Verhalten ändert sich durch Wiederholung, nicht durch Vollständigkeit.
3.Gießkanne statt Zielgruppen: Die Buchhaltung braucht CEO-Fraud-Szenarien, nicht Grundlagen der Passwortwahl.
4.Simulation ohne Einbettung: Test-Mails ohne Kampagne und Kontext erzeugen Verunsicherung statt Lerneffekt.
5.Die Leitung nimmt sich aus: Ohne sichtbare Vorbildrolle (und die eigene NIS2-Pflichtschulung) bleibt jedes Programm unglaubwürdig.
6.Keine Kennzahlen: Ohne Baseline und Verlauf lässt sich weder Budget begründen noch Wirkung belegen, weder intern noch gegenüber dem Versicherer.

Für wen wir Awareness aufbauen

Kommunen & Behörden

Bürgerdaten, Fachverfahren und Personalrat: Wir kennen die Verwaltungsrealität, stimmen Formate mit der Personalvertretung ab und erzählen Vorfallsgeschichten, die im Amt spielen statt im Silicon Valley.

KRITIS & NIS2-Einrichtungen

Hier sind Schulungen Pflicht und Prüfgegenstand: Wir dokumentieren auditfest, inklusive des Leitungs-Briefings, und verzahnen Awareness mit Ihren ISMS- und IR-Prozessen.

Mittelstand

Schlankes Programm statt Konzern-Apparat: Plattform aus der kuratierten Auswahl, vorbereitete Kampagnen und ein Reporting, das auch dem Cyber-Versicherer genügt.

Warum IT-LV für Ihre Awareness

Unsere Trainings-Inhalte stammen nicht aus Stock-Folien, sondern aus begleiteten Ransomware-Großlagen: Wir erzählen, wie Angriffe wirklich beginnen und was der eine schnelle Anruf beim Helpdesk verhindert hätte. Das bleibt hängen, vom Sachbearbeiter bis zum Vorstand, dem wir in echten Krisen gegenübersaßen.

Dazu die gewohnte Brücke: kuratierte Plattform-Auswahl statt Anbieter-Roulette, vergabekonforme Beschaffung für öffentliche Auftraggeber und Kennzahlen, die in Ihr NIS2-Reporting und den Versicherer-Dialog einzahlen. Wo sich der Erfolg messen lässt, etwa an der Meldequote, vergüten Sie uns gerne erfolgsbasiert.

So sieht ein typisches Projekt aus

Der Programmstart passt in ein Quartal; danach läuft Awareness im Regelbetrieb weiter:

Woche 1-2

Analyse und Konzept: Zielgruppen, Themenplan, Kennzahlen; Abstimmung mit Personalvertretung und Datenschutz, damit der Start nicht im Gremium stecken bleibt.

Woche 3-4

Baseline-Simulation und Plattform-Entscheidung aus der kuratierten Shortlist; Auftakt-Kommunikation der Leitung wird vorbereitet.

Woche 5-8

Kampagnenstart: erste Microlearning-Welle, eingebettete Simulationen, Leitungs-Briefing als eigener Termin mit dokumentiertem Schulungsnachweis.

Woche 9-12

Erste Auswertung: Klick- und Meldequote gegen die Baseline, Nachschärfung der Themen, Rollen-Trainings für die Risikogruppen; Übergabe in den Quartals-Rhythmus.

Top 10 statt 100+: unser Anbieter-Netzwerk

Awareness-Plattformen gibt es dutzende, von Gamification-Suiten bis zu schlanken Simulations-Tools. Welche zu Ihnen passt, entscheidet Ihr Kontext, nicht das Marketing.

Marktkenntnis aus Erfahrung

Aus fachlich geleiteten Ausschreibungen, hunderten Anbietergesprächen und eigenen Marktstudien wissen wir, wer in welchem Feld wirklich liefert. Dieses Wissen halten wir aktuell, mit jedem Projekt und jedem Anbietergespräch.

Kuratierte Shortlist statt Marktschlacht

Wir kennen die Awareness-Anbieter aus Projekten und Anbietergesprächen und kuratieren die Shortlist nach Größe, Sprache, Verwaltungs-Tauglichkeit und Budget: die Top-Kandidaten statt 100+ Anbieter, auf Wunsch inklusive vergabekonformer Beschaffung.

Freie Anbieterwahl, sauber dokumentiert

Wir sind an keinen festen Partner gebunden und fragen bei Bedarf jeden Anbieter am Markt an: gemeinsam mit Ihnen, nicht als Vermittler dazwischen. Wir sitzen zusammen in den Anbietergesprächen, Sie entscheiden, und jede Empfehlung ist in einer nachvollziehbaren Wertungsmatrix begründet, die auch Gremien, Rechnungsprüfung und Vergabekammern überzeugt.

Häufige Fragen zur Security-Awareness

Bringt Awareness wirklich messbar etwas?

Ja, wenn es als Programm läuft: Studien zeigen bis zu 19 Prozent weniger Fehlklicks durch interaktives Training, und in der Praxis ist die Meldequote der stärkste Hebel: Ein gemeldeter Phishing-Versuch in Minute fünf ist der Unterschied zwischen Vorfall und Großlage.

Ist Security-Awareness Pflicht?

Für NIS2-regulierte Einrichtungen ja: Cyberhygiene und Schulungen sind Maßnahmenbereich nach §30 BSIG, die Schulung der Leitung ist ausdrücklich gefordert. Daneben verlangen Cyber-Versicherer und viele Auditoren entsprechende Nachweise.

Wie oft sollten wir schulen und simulieren?

Kurz und regelmäßig schlägt lang und selten: monatliche bis quartalsweise Microlearning-Impulse, Simulationen in unregelmäßigen Abständen mit wechselnden Szenarien, plus jährlich ein Schwerpunkt (etwa CEO-Fraud oder Ransomware). Den Rhythmus legt das Konzept fest.

Wie vermeiden wir, dass sich Beschäftigte vorgeführt fühlen?

Durch Design: keine Einzel-Bloßstellung, keine Weitergabe von Klickdaten an Vorgesetzte, sofortiger Lernkontext statt Belehrung, und die Personalvertretung sitzt von Anfang an mit am Tisch. Das Ziel ist Meldefreude, nicht Angst.

Brauchen wir eine Awareness-Plattform?

Ab mittlerer Größe ja, für Ausspielung, Simulationen und Kennzahlen. Welche, hängt von Sprache, Datenschutz-Anforderungen und Budget ab; genau dafür kuratieren wir die Auswahl, die passenden Kandidaten statt des kompletten Marktes.

Was kostet ein Awareness-Programm?

Konzept und Baseline sind Kompaktformate zum Festpreis, dazu kommen Plattform-Lizenzen (typisch pro Nutzer und Jahr) und der Kampagnenbetrieb. Nach dem kostenlosen Erstgespräch erhalten Sie eine klare Kalkulation; erfolgsbasierte Komponenten sind möglich.

Können Sie die Leitungs-Schulung nach NIS2 übernehmen?

Ja, als kompaktes Briefing für Geschäftsleitung oder Verwaltungsspitze: Pflichten, persönliche Haftung, Entscheidungsbedarfe, dokumentiert als Schulungsnachweis. Wir kennen die Vorstandsperspektive aus realen Vorfällen und sprechen entsprechend.

Wie hängt Awareness mit unseren anderen Sicherheitsmaßnahmen zusammen?

Eng: Die Meldequote füttert Ihre Incident-Response-Prozesse, die Kennzahlen gehören ins ISMS-Reporting, und Versicherer honorieren beides. Awareness ist der menschliche Layer Ihrer Sicherheitsarchitektur, kein Anhängsel.

Funktioniert das auch in der öffentlichen Verwaltung?

Gerade dort: Verwaltungen sind Top-Ziele, und die Belegschaft ist erreichbar, wenn Formate und Beispiele passen. Wir arbeiten mit Amts-Szenarien statt Startup-Folklore und stimmen alles mit Personalrat und Datenschutz ab.