Behörden, Kommunen und ihre Eigenbetriebe gehören zu den attraktivsten Zielen für Cyberangriffe, weil sie sensible Daten verwalten und kritische Dienstleistungen für Bürgerinnen und Bürger erbringen. Der Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) zur IT-Sicherheit in Deutschland 2025 zeichnet ein angespanntes Bild: Im Berichtszeitraum registrierte das BSI durchschnittlich rund 119 neue Softwareschwachstellen pro Tag (weltweit erfasst), ein Anstieg von etwa 24 Prozent gegenüber dem Vorjahr. Das Bundeskriminalamt registrierte für 2024 rund 950 angezeigte Ransomware-Fälle, von denen rund 80 Prozent kleine und mittlere Unternehmen betrafen.
Die entscheidende Erkenntnis für Behörden: Die meisten erfolgreichen Angriffe beginnen nicht mit hochkomplexer Technik, sondern mit einer E-Mail, einem Anruf oder einer Nachricht, die einen Menschen zu einer unbedachten Handlung verleitet. Auch die EU-Cybersicherheitsagentur ENISA bestätigt dieses Bild: In ihrem Threat Landscape 2025 ist Social Engineering – allen voran Phishing – mit rund 60 Prozent der untersuchten Fälle der häufigste initiale Angriffsweg. Technische Schutzmaßnahmen wie Spam-Filter und Firewalls sind notwendig, greifen aber zu kurz, wenn die Beschäftigten die Masche nicht erkennen. Genau hier setzt Security Awareness an: Sie befähigt Mitarbeitende, Angriffsversuche zu erkennen, einzuordnen und richtig zu reagieren, und macht so aus dem vermeintlich schwächsten Glied eine wirksame Verteidigungslinie.
Phishing bezeichnet den Versuch, über gefälschte Nachrichten an Zugangsdaten zu gelangen oder zur Ausführung von Schadsoftware zu verleiten. In der Verwaltung tarnen sich solche Nachrichten oft als Schreiben von Vorgesetzten, anderen Behörden, Ministerien oder IT-Dienstleistern. Diese Warnsignale helfen, eine verdächtige Nachricht zu erkennen:
Kein einzelnes Merkmal ist ein sicherer Beweis. Entscheidend ist das Gesamtbild und im Zweifel die Rückfrage über einen bekannten, unabhängigen Kanal, also über eine selbst herausgesuchte Telefonnummer und nicht über die Kontaktdaten aus der verdächtigen Nachricht selbst.
Ein klassischer Ratschlag lautete lange, Phishing an Rechtschreibfehlern und holprigem Deutsch zu erkennen. Dieser Hinweis verliert an Wert. Der BSI-Lagebericht 2025 weist darauf hin, dass Angreifer zunehmend KI-gestützte Werkzeuge einsetzen, um überzeugende, fehlerfreie und individuell zugeschnittene Nachrichten zu erstellen. Auch täuschend echte Stimm- und Videoimitationen werden einfacher. Für die Praxis bedeutet das: Sprachliche Perfektion ist kein Entwarnungssignal mehr. Umso wichtiger werden die inhaltlichen Prüffragen, etwa ob eine Aufforderung plausibel ist, ob der Weg der Kontaktaufnahme üblich ist und ob im Zweifel eine unabhängige Rückversicherung möglich ist.
Phishing ist nur eine Spielart des Social Engineering, also der gezielten Manipulation von Menschen. In Behörden treten vor allem einige Muster immer wieder auf. Beim CEO- oder Chef-Betrug geben sich Angreifer als Amtsleitung aus und drängen auf eine eilige, vertrauliche Überweisung oder Datenfreigabe. Beim Vishing erfolgt der Angriff per Telefon, etwa als angeblicher IT-Support, der zur Herausgabe von Zugangsdaten bewegen will. Beim Pretexting bauen Angreifer über mehrere Kontakte hinweg eine glaubwürdige Legende auf, um Vertrauen zu gewinnen, bevor sie ihre eigentliche Forderung stellen.
Allen Maschen gemeinsam ist, dass sie mit denselben psychologischen Hebeln arbeiten: Autorität, Zeitdruck, Hilfsbereitschaft, Angst oder Neugier. Wer diese Hebel kennt, erkennt den Manipulationsversuch leichter, auch wenn die konkrete Geschichte neu und plausibel klingt. Eine gesunde Skepsis gegenüber ungewöhnlichen Bitten, gerade wenn sie mit Druck verbunden sind, ist die wirksamste Gegenmaßnahme.
Security Awareness ist in der Verwaltung nicht nur eine Frage guter Praxis, sondern in mehreren Regelwerken angelegt. Mit dem NIS-2-Umsetzungsgesetz (NIS2UmsuCG, BGBl. 2025 I Nr. 301), das das BSI-Gesetz novelliert hat und seit dem 6. Dezember 2025 in Kraft ist, gelten für Einrichtungen der Bundesverwaltung erstmals einheitliche Mindestanforderungen an das Informationssicherheitsmanagement. Der Maßnahmenkatalog nach § 30 BSIG nennt ausdrücklich grundlegende Cyberhygiene und Schulungen zur IT-Sicherheit; die Leitungsebene ist zur Teilnahme an Schulungen verpflichtet (§ 38 BSIG). Für Länder und Kommunen richtet sich die Umsetzung nach Landesrecht: Die Länder entscheiden in eigener Zuständigkeit, welche Teile ihrer Verwaltung erfasst werden – das BSI stellt hierzu eigene Informationen für Land und Kommune bereit.
Unabhängig von NIS-2 verlangt das Datenschutzrecht angemessene technische und organisatorische Maßnahmen: Nach Artikel 32 DSGVO müssen Verantwortliche ein dem Risiko angemessenes Schutzniveau sicherstellen; die Sensibilisierung und Schulung der Beschäftigten zählt zu den anerkannten organisatorischen Maßnahmen. Für die Datenverarbeitung im Bereich der Strafverfolgung trifft § 64 BDSG eine entsprechende Regelung und verweist dabei ausdrücklich auf die Technischen Richtlinien und Empfehlungen des BSI. Als methodische Grundlage dient in der Verwaltung der IT-Grundschutz des BSI, der Informationssicherheit ganzheitlich versteht und neben technischen auch organisatorische und personelle Aspekte – also die Sensibilisierung der Beschäftigten – einbezieht.
Grenze/Einordnung: Ob und in welchem Umfang eine konkrete Behörde erfasst ist, hängt von ihrer Ebene, Aufgabe und Größe ab und lässt sich nur im Einzelfall verbindlich beurteilen. Fest steht jedoch: Sensibilisierung ist kein bloßes Zusatzangebot, sondern zieht sich als organisatorische Schutzmaßnahme durch die einschlägigen Vorgaben.
Für den Ernstfall braucht es einfache, im Voraus bekannte Verhaltensregeln. Grundsätzlich gilt: bei Verdacht keine Links anklicken, keine Anhänge öffnen und keine Zugangsdaten eingeben. Statt die Nachricht selbst zu beantworten, empfiehlt sich die Rückfrage über einen bekannten, unabhängigen Weg. Vor allem aber sollte die Nachricht der zuständigen IT-Sicherheit gemeldet werden. Auch wenn bereits reagiert wurde, etwa ein Link angeklickt oder Daten eingegeben wurden, ist die sofortige Meldung der wichtigste Schritt, um Schaden zu begrenzen.
Diese Regeln sind bewusst allgemein gehalten. Die konkreten Melde- und Notfallwege legt jede Behörde in ihren eigenen Vorgaben und Sicherheitsrichtlinien fest; sie sollten allen Beschäftigten bekannt und leicht auffindbar sein.
Neben dem Erkennen von Angriffen gehört der sichere Umgang mit Zugangsdaten zu den wirksamsten Schutzmaßnahmen. Empfohlen werden lange, für jeden Dienst unterschiedliche Passwörter, die sich nicht leicht erraten lassen; ein Passwortmanager hilft, sie zu verwalten, ohne sie mehrfach zu verwenden. Zugangsdaten gehören nicht auf Notizzettel und werden nicht per E-Mail oder Telefon weitergegeben.
Wo immer möglich, sollte zusätzlich eine Mehr-Faktor-Authentifizierung aktiviert sein: Sie verlangt neben dem Passwort einen zweiten Nachweis, etwa einen Code aus einer App, und verhindert so, dass ein einzelnes erbeutetes Passwort genügt, um ein Konto zu übernehmen. Gerade in Behörden, in denen viele Beschäftigte auf gemeinsame Fachverfahren zugreifen, senkt dieser zusätzliche Schritt das Risiko spürbar. Die konkreten Vorgaben legt die jeweilige Behörde in ihren Sicherheitsrichtlinien fest.
Kein Mensch erkennt jeden Angriff. Deshalb ist eine funktionierende Meldekultur oft wichtiger als die Erwartung, dass niemand je auf eine Masche hereinfällt. Ein einfacher Meldeweg, etwa ein Meldebutton im E-Mail-Programm oder eine klare Anlaufstelle, sorgt dafür, dass verdächtige Nachrichten schnell bei der IT-Sicherheit landen. Je früher ein Vorfall gemeldet wird, desto eher lässt sich Schaden begrenzen und desto besser können andere gewarnt werden.
Entscheidend ist ein Klima ohne Schuldzuweisung: Wer einen Fehler meldet, darf keine Sanktion befürchten. Andernfalls werden Vorfälle verschwiegen, und aus einem kleinen Zwischenfall wird ein großer Schaden. Melden muss selbstverständlicher Teil des Arbeitsalltags werden, nicht ein Eingeständnis von Versagen.
Eine einmalige Schulung verpufft. Awareness entsteht erst, wenn Sensibilisierung regelmäßig stattfindet und im Arbeitsalltag verankert ist. Bewährt haben sich wiederkehrende, kurze Lerneinheiten, ergänzt um freiwillige Phishing-Simulationen, bei denen Beschäftigte gefahrlos üben, verdächtige Nachrichten zu erkennen. Wichtig ist, solche Simulationen als Lernangebot und nicht als Falle zu gestalten, damit sie Vertrauen stärken statt beschädigen.
Sicherheitskultur bedeutet, dass Informationssicherheit als gemeinsame Aufgabe verstanden wird, von der Leitung bis zur Sachbearbeitung. Sichtbare Unterstützung der Behördenleitung, klare Zuständigkeiten und eine offene Kommunikation über Vorfälle tragen wesentlich dazu bei, dass aus einzelnen Maßnahmen eine dauerhafte Haltung wird.
Ob Sensibilisierung wirkt, lässt sich nicht am Bauchgefühl ablesen. Aussagekräftiger sind wenige, über die Zeit verfolgte Kennzahlen: die Teilnahme- und Abschlussquote der Schulungen, die Melderate verdächtiger Nachrichten – also wie viele tatsächlich gemeldet werden – und, bei freiwilligen Phishing-Simulationen, die Entwicklung von Klick- und Meldequote über mehrere Durchläufe. Wichtig ist die Blickrichtung: Eine steigende Meldequote ist ein gutes Zeichen, weil sie zeigt, dass Beschäftigte aufmerksam sind und den Meldeweg nutzen. Eine sinkende Klickrate allein sagt wenig aus, wenn niemand meldet.
Kennzahlen dienen der Steuerung, nicht der Sanktion einzelner Personen. Werden Simulationsergebnisse genutzt, um Beschäftigte bloßzustellen, leidet die Meldekultur – und damit genau die Fähigkeit, die eigentlich gestärkt werden soll. Sinnvoll ist es, Ergebnisse anonymisiert auf Team- oder Behördenebene auszuwerten und daraus abzuleiten, welche Themen im nächsten Lernimpuls Priorität haben.
Für Behörden und Kommunen bedeutet das: Awareness ist kein einmaliges Projekt, sondern ein dauerhafter Prozess mit festen Intervallen, nachvollziehbaren Inhalten und einem belastbaren Teilnahmenachweis. Gerade in der Verwaltung, in der Nachweispflichten und die spätere Prüfbarkeit der Dokumentation eine große Rolle spielen, ist die dokumentierte Durchführung ebenso wichtig wie der Inhalt. Eine standardisierte, digital ausgerollte Security-Awareness-Schulung, die sich zentral an alle Beschäftigten verteilen lässt und für jede Person einen nachvollziehbaren Teilnahmenachweis erzeugt, bietet dafür einen praktikablen Rahmen – sofern die Nachweise gepflegt und aufbewahrt werden. Hinweis in eigener Sache: Bridgly stellt solche fertigen Security-Awareness-Schulungen für die öffentliche Verwaltung bereit. Wer zunächst die eigene Betroffenheit durch aktuelle Sicherheitsvorgaben einordnen möchte, findet im Beitrag zur NIS-2-Betroffenheit einen guten Einstieg. Weitere Beiträge für Behörden und Kommunen versammelt der Themenbereich Öffentlicher Sektor und Verwaltung.
Dieser Beitrag vermittelt eine allgemeine Sensibilisierung und ersetzt keine individuelle sicherheitstechnische Beratung. Konkrete Schutzmaßnahmen, Melde- und Notfallprozesse richten sich nach den Vorgaben Ihrer Behörde, den Empfehlungen des BSI und, soweit einschlägig, nach den geltenden gesetzlichen Anforderungen. Die genannten Zahlen stammen aus dem BSI-Lagebericht 2025 (Berichtszeitraum Juli 2024 bis Juni 2025), dem BKA-Bundeslagebild Cybercrime 2024 sowie dem ENISA Threat Landscape 2025; die rechtlichen Einordnungen stützen sich auf das NIS-2-Umsetzungsgesetz (BSIG), die DSGVO und das BDSG sowie Veröffentlichungen des BSI. Stand: Mai 2026.
Was ist der Unterschied zwischen Phishing und Social Engineering?
Social Engineering ist der Oberbegriff für die gezielte Manipulation von Menschen. Phishing ist die häufigste Variante davon und läuft über gefälschte Nachrichten. Weitere Formen sind unter anderem der telefonische Angriff (Vishing) oder der CEO-Betrug.
Woran erkenne ich eine Phishing-Mail?
Typische Warnsignale sind ein unerwarteter Absender, Zeitdruck, die Aufforderung zur Preisgabe von Zugangsdaten, abweichende Links und unerwartete Anhänge. Da moderne Angriffe oft fehlerfrei formuliert sind, zählt vor allem das Gesamtbild und im Zweifel die Rückfrage über einen unabhängigen Kanal.
Wie oft sollten Behörden Awareness-Schulungen durchführen?
Einmalige Schulungen wirken kaum nach. Wirksam sind regelmäßige, kurze Wiederholungen, ergänzt um Phishing-Simulationen. Wichtig sind zudem ein dokumentierter Teilnahmenachweis und eine feste Meldekultur, damit Wissen im Arbeitsalltag verankert bleibt.
Sind Behörden gesetzlich verpflichtet, Security-Awareness-Schulungen anzubieten?
Eine für alle Behörden einheitliche Pflicht gibt es nicht. Für Einrichtungen der Bundesverwaltung zählt Sensibilisierung aber über das NIS-2-Umsetzungsgesetz und § 30 BSIG zum verpflichtenden Maßnahmenkatalog; für Länder und Kommunen gilt Landesrecht. Zusätzlich verlangt Artikel 32 DSGVO angemessene organisatorische Maßnahmen; die Sensibilisierung und Schulung der Beschäftigten zählt dabei zu den anerkannten Maßnahmen.
Einblicke in das digitale Lernen der Zukunft mit Fokus auf KI, Compliance und moderne Schulungslösungen. Entdecken Sie die neuesten Beiträge und aktuelle Artikel, um praxisnahe Insights zu rechtssicherer, effizienter und automatisierter Weiterbildung im Unternehmen zu erhalten.
Unterweisungen und Weiterbildungen auditsicher, einfach und passgenau.
Hinweis: Texte, Bilder und Videos auf dieser Website wurden teilweise mit Künstlicher Intelligenz generiert.
Alle Inhalte dienen der Information und wurden sorgfältig journalistisch geprüft, erheben jedoch keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.
