Ein Security-Awareness-Programm ist ein dauerhaft angelegter, planbarer Prozess, der das Sicherheitsbewusstsein der Belegschaft systematisch aufbaut, trainiert und misst. Der Unterschied zur klassischen Jahresschulung liegt in der Kontinuität: Statt einmal im Jahr Wissen zu vermitteln, das schnell wieder verblasst, kombiniert ein Programm kurze, wiederkehrende Lerneinheiten mit praktischen Übungen und klaren Kennzahlen. Wer die Grundlagen sucht, findet sie im Beitrag Was ist Security Awareness?; dieser Artikel zeigt, aus welchen Bausteinen ein wirksames Programm besteht. Weitere Beiträge rund um das Thema bündelt die Kategorie Datenschutz & Informationssicherheit.
Der Aufwand lohnt sich, weil der menschliche Faktor bei den meisten Sicherheitsvorfällen im Spiel ist – Phishing zählt laut ENISA mit rund 60 % zu den häufigsten initialen Angriffswegen (Threat Landscape 2025). Gleichzeitig gilt: Ein Programm selbst zu konzipieren, laufend mit Inhalten zu versorgen, die Frequenz zu steuern und die Ergebnisse auszuwerten, bindet erhebliche interne Ressourcen. Wie sich dieser Aufwand mit standardisierten Formaten senken lässt, ohne an Wirkung zu verlieren, greift der Schluss dieses Beitrags auf.
Der wichtigste Hebel ist die Frequenz. Menschen vergessen Gelerntes rasch, wenn es nicht wiederholt wird – ein Effekt, den die von Hermann Ebbinghaus beschriebene „Vergessenskurve" veranschaulicht. Konkrete Prozentzahlen dazu (etwa „nach einem Tag ist die Hälfte vergessen") kursieren zwar häufig, sind aber eher illustrativ als exakt belegt. Unstrittig ist das Prinzip: verteiltes, wiederholtes Lernen verankert Wissen dauerhaft, einmalige Schulungen nicht.
In der Praxis heißt das: kurze Lerneinheiten von wenigen Minuten, über das Jahr verteilt (Microlearning), statt einer mehrstündigen Pflichtveranstaltung. Kleine Einheiten lassen sich leichter in den Arbeitsalltag integrieren, werden seltener aufgeschoben und halten das Thema präsent. Der lernpsychologische Hintergrund heißt spaced repetition: Inhalte, die in wachsenden Abständen wiederholt werden, wandern zuverlässiger ins Langzeitgedächtnis als einmalig gepauktes Wissen.
Ergänzend halten begleitende Kampagnen, kurze Erinnerungen, Poster oder anlassbezogene Hinweise – etwa nach einer realen Angriffswelle – die Aufmerksamkeit hoch. Wichtig ist die Dramaturgie über das Jahr: eine gründliche Basisschulung als Start, danach ein steter Strom kleiner Impulse. So bleibt der Aufwand pro Termin gering, während die Gesamtwirkung durch Wiederholung wächst.
Ein praktikabler Jahresrhythmus kann so aussehen: eine ausführliche Basisschulung zum Einstieg, danach monatlich eine kurze Lerneinheit zu einem Schwerpunktthema und quartalsweise eine Phishing-Simulation. Entscheidend ist nicht die perfekte Taktung, sondern dass überhaupt ein verlässlicher, wiederkehrender Rhythmus entsteht, den die Organisation dauerhaft durchhält – lieber kleine, konsequente Schritte als ein ambitionierter Plan, der nach zwei Monaten einschläft.
Ein Programm ist nur so gut wie seine Themen. Bewährt hat sich ein Kern, der die häufigsten Angriffsflächen abdeckt:
Die Inhalte sollten rollen- und risikoorientiert sein: Wer viel mit Zahlungen zu tun hat, braucht mehr zu Business E-Mail Compromise; Beschäftigte ohne festen Bildschirmarbeitsplatz – etwa in Produktion oder Pflege – brauchen mobil abrufbare, kurze Formate statt langer Desktop-Kurse. Die Geschäftsleitung wiederum trägt besondere Verantwortung und ist ein bevorzugtes Angriffsziel, weshalb sie eigene, zugeschnittene Inhalte erhält. Eine kurze Bedarfsanalyse zu Beginn – welche Rollen mit welchen Risiken arbeiten – erspart später viel Nachsteuern und sorgt dafür, dass niemand mit irrelevanten Inhalten gelangweilt wird und alle das Training als für sie relevant erleben.
Genauso wichtig wie die Auswahl ist die Aktualität: Bedrohungen verändern sich schnell. Themen wie KI-gestütztes Phishing, Deepfakes oder QR-Code-Betrug gehören regelmäßig ergänzt, damit das Training nicht an der Realität vorbeiläuft. Diese laufende Inhaltspflege ist einer der größten Aufwandstreiber – Kurse müssen regelmäßig überarbeitet werden, damit sie relevant bleiben und nicht auf dem Stand von gestern trainieren.
Wissen zeigt sich im Verhalten. Phishing-Simulationen – kontrollierte, unschädliche Test-Mails – machen sichtbar, wie die Belegschaft real reagiert, und geben Betroffenen unmittelbar eine Lernchance: Wer auf eine Simulation klickt, erhält direkt eine kurze Erklärung, woran sich die Fälschung erkennen ließ. Sie liefern zugleich die Datenbasis für die Erfolgsmessung.
Sinnvoll ist ein Ablauf in Etappen: Eine erste, unangekündigte Kampagne bildet die Baseline ab, danach folgen in Abständen weitere Kampagnen mit steigendem Schwierigkeitsgrad – von der plumpen Massenmail bis zum gezielten, personalisierten Spear-Phishing. Wichtig ist der Zweck: Simulationen dienen dem Lernen, nicht dem Bloßstellen Einzelner; Ergebnisse werden idealerweise aggregiert und ohne persönliche Sanktion ausgewertet. Bei der Einführung sind Mitbestimmungs- und Datenschutzaspekte zu beachten – etwa die Einbindung des Betriebsrats und eine datensparsame Auswertung – die im Detail eine eigene Betrachtung erfordern.
Damit Simulationen wirken, statt Frust zu erzeugen, kommt es auf die Umsetzung an: transparente Kommunikation im Vorfeld, dass es solche Tests geben wird, eine sachliche statt strafende Nachbereitung und ein klarer, einfacher Meldeweg, über den sich auch echte Verdachtsfälle mit einem Klick melden lassen. So wird aus dem Test ein Lernanlass, der die Meldekultur stärkt, statt sie zu untergraben. Wer klickt, soll sich melden – nicht verstecken.
Ohne Kennzahlen bleibt ein Programm ein Bauchgefühl. Drei KPIs haben sich etabliert:
Entscheidend ist, die Kennzahlen im Zusammenhang zu lesen: Eine sinkende Klickrate bei gleichzeitig steigender Meldequote ist das eigentliche Erfolgsbild – die Belegschaft fällt seltener herein und meldet aktiver. Eine niedrige Klickrate allein kann täuschen, wenn kaum jemand meldet. Deshalb gehören die drei KPIs immer zusammen betrachtet und über die Zeit als Trend, nicht als Momentaufnahme.
Wichtig ist, realistische Ziele zu setzen: Eine Klickrate über Nacht auf null zu drücken, ist weder machbar noch nötig. Sinnvoller ist ein schrittweises Ziel – etwa die Baseline im ersten Jahr spürbar zu senken und die Meldequote parallel zu steigern. Ergänzend lohnt ein Blick auf weiche Indikatoren wie die Teilnahmequote an Lerneinheiten oder die Zahl freiwilliger Meldungen echter Verdachtsfälle, die zeigen, ob die Sicherheitskultur tatsächlich greift und nicht nur die Pflicht erfüllt wird.
Wie stark sich das entwickeln kann, zeigt der Phishing-Benchmark-Report 2025 des Anbieters KnowBe4 (auf Basis von über 14 Millionen Nutzern): Die durchschnittliche Klickrate lag zu Beginn bei 33,1 %, sank nach drei Monaten Training um rund 40 % und nach zwölf Monaten auf 4,1 %. Diese Zahlen stammen von einem Anbieter mit Eigeninteresse und sind als Orientierung, nicht als amtliche Statistik zu verstehen – die Größenordnung deckt sich aber mit der Branchenerfahrung, dass kontinuierliches Training die Klickrate deutlich senkt.
Wie oft ist genug? Eine allgemeingültige gesetzliche Frequenz gibt es nicht. Bewährt hat sich ein Rhythmus aus einer Erstschulung beim Onboarding, jährlicher Auffrischung und begleitendem Microlearning über das Jahr, ergänzt um regelmäßige Simulationen. Sinnvoll ist ein Reifegrad-Denken in Stufen: Am Anfang stehen Grundlagen, eine erste Baseline-Messung und das Etablieren eines einfachen Meldewegs. In der mittleren Stufe kommen rollenspezifische Inhalte, regelmäßige Simulationen und erste Kennzahlen-Ziele hinzu. In der reifen Stufe ist Sicherheit Teil der Unternehmenskultur: Meldungen sind selbstverständlich, Führungskräfte gehen voran, und das Programm wird datengestützt nachjustiert.
Das Ziel verschiebt sich mit der Zeit – von „Wissen aufbauen" zu „sicheres Verhalten zur Gewohnheit machen". Wichtig ist, den eigenen Reifegrad realistisch einzuordnen und die nächste Stufe anzusteuern, statt jede Organisation über einen Kamm zu scheren. Ein kleines Team mit einer ersten Baseline steht vor anderen Aufgaben als ein Konzern mit etabliertem Meldeprozess – der nächste sinnvolle Schritt ist jeweils ein anderer.
Awareness ist zugleich Teil anerkannter Rahmenwerke: Die ISO/IEC 27001 verlangt Sensibilisierung und Schulung, und im Anwendungsbereich von NIS-2 zählen „grundlegende Schulungen und Sensibilisierungsmaßnahmen" zu den Mindestmaßnahmen (§ 30 Abs. 2 BSIG). Ein dokumentiertes Programm zahlt damit direkt auf regulatorische Anforderungen ein und liefert im Prüfungs- oder Auditfall den Nachweis, dass Sensibilisierung planvoll und wiederkehrend betrieben wird.
Viele Programme scheitern nicht am Willen, sondern an vermeidbaren Fehlern. Die häufigsten:
Auffällig ist, dass die meisten dieser Fehler organisatorischer und nicht technischer Natur sind. Sie lassen sich mit klaren Zuständigkeiten, einem festen Redaktionsplan für die Inhalte und sichtbarer Unterstützung der Führungsebene vermeiden – Letzteres wirkt oft stärker als jedes einzelne Trainingsmodul, weil es signalisiert, dass Sicherheit Chefsache ist. Wer diese Punkte vermeidet, hat die halbe Miete – der Rest ist konsequente, dauerhafte Umsetzung.
Die Bausteine zeigen: Ein wirksames Programm ist weniger eine Frage des guten Willens als der laufenden Umsetzung – Inhalte pflegen, Frequenz halten, Simulationen fahren, KPIs auswerten und nachschulen. Wer diesen laufenden Aufwand nicht vollständig intern abbilden möchte, kann auf standardisierte Formate zurückgreifen.
Hinweis in eigener Sache: Genau hier setzen fertige Lösungen an. Bridgly bündelt Microlearning, aktuelle Inhalte, Phishing-Simulationen und Auswertung in standardisierten Awareness- und Informationssicherheits-Schulungen, die sich über eine Lernplattform ausrollen und dokumentiert nachweisen lassen – ohne dass ein Programm intern von Grund auf konzipiert werden muss. Aus den beschriebenen Bausteinen entsteht so ein Programm, das sich mit überschaubarem internem Aufbauaufwand betreiben und anhand der genannten Kennzahlen auswerten lässt.
Eine feste gesetzliche Frequenz gibt es nicht. Bewährt hat sich ein dreiteiliger Rhythmus: eine Erstschulung beim Onboarding, eine jährliche Auffrischung und begleitendes Microlearning über das Jahr verteilt, ergänzt durch regelmäßige Phishing-Simulationen. Entscheidend ist weniger die exakte Taktung als die Kontinuität – ein verlässlicher, wiederkehrender Rhythmus, den die Organisation dauerhaft durchhält, wirkt stärker als seltene Großveranstaltungen.
Am gebräuchlichsten sind drei Kennzahlen: die Phishing-Klickrate (Phish-prone Percentage), die Meldequote verdächtiger Nachrichten und die Time-to-Report. Erst im Zusammenspiel sind sie aussagekräftig – eine sinkende Klickrate bei gleichzeitig steigender Meldequote zeigt, dass Wissen tatsächlich in sicheres Verhalten übergeht. Einzeln betrachtet kann jede dieser Zahlen täuschen und sollte daher immer im Trend gelesen werden.
Microlearning sind kurze, fokussierte Lerneinheiten von wenigen Minuten, die über das Jahr verteilt und in wachsenden Abständen wiederholt werden. Sie wirken der Vergessenskurve entgegen, lassen sich leichter in den Arbeitsalltag integrieren als lange Einzelschulungen und halten das Thema Sicherheit dauerhaft präsent, statt es einmal im Jahr in einer mehrstündigen Pflichtveranstaltung abzuhandeln.
Sie sind ein verbreitetes und grundsätzlich zulässiges Instrument, berühren aber Mitbestimmung und Datenschutz. In der Regel ist der Betriebsrat einzubinden, und die Auswertung sollte datensparsam sowie ohne persönliche Sanktion erfolgen – Ziel ist das Lernen, nicht das Bloßstellen Einzelner. Die konkrete Ausgestaltung sollte im Einzelfall rechtlich geprüft und sauber dokumentiert werden.
Einblicke in das digitale Lernen der Zukunft mit Fokus auf KI, Compliance und moderne Schulungslösungen. Entdecken Sie die neuesten Beiträge und aktuelle Artikel, um praxisnahe Insights zu rechtssicherer, effizienter und automatisierter Weiterbildung im Unternehmen zu erhalten.
Unterweisungen und Weiterbildungen auditsicher, einfach und passgenau.
Hinweis: Texte, Bilder und Videos auf dieser Website wurden teilweise mit Künstlicher Intelligenz generiert.
Alle Inhalte dienen der Information und wurden sorgfältig journalistisch geprüft, erheben jedoch keinen Anspruch auf Vollständigkeit oder rechtliche Verbindlichkeit.
