Mitarbeitende sensibilisieren. Risiken minimieren. Sicherheit stärken.
Security Awareness stärkt sicheres Handeln im Arbeitsalltag.
Security Awareness ist das Fundament jeder erfolgreichen Sicherheitsstrategie. Nur informierte und sensibilisierte Mitarbeitende können Risiken erkennen, Angriffe abwehren und die Informationssicherheit im Unternehmen nachhaltig stärken.
Unser Angebot umfasst die Analyse, Entwicklung und Implementierung von Security-Awareness-Programmen, die auf Ihre individuellen Anforderungen zugeschnitten sind. Wir begleiten Sie von der Strategie bis zur technischen Umsetzung und Schulung Ihrer Mitarbeitenden.
2 Leistungsbausteine
Einzeln buchbar oder als durchgängiges Programm.
Analyse des Awareness-Reifegrads und Entwicklung einer individuellen Awareness-Strategie.
Durchführung von interaktiven Trainings, Phishing-Simulationen und Awareness-Kampagnen.
5 Phasen
Wir klären zunächst Zielgruppen, bestehende Schulungen, relevante Risiken und die internen Meldewege. Darauf bauen Awareness-Strategie, geeignete Lernformate und eine nachvollziehbare Erfolgskontrolle auf. Für eine erste Anfrage helfen Angaben zu Mitarbeitendenzahl, Sprachen, Standorten und vorhandener Lernplattform. Umfang, Zuständigkeiten, benötigte Nachweise und Aufwand werden passend zu Ihrer Ausgangslage abgestimmt.
Ansprechpartner
Sarah Richter
Head of Informationssicherheit, Cyber Security
10+ Jahre Erfahrung, CISA, CISM, Lead Auditor, DORA, NIS2, BCM, Cyber- und Informationssicherheit
Security Awareness ist der Schlüssel zu nachhaltiger Informationssicherheit. Wer seine Mitarbeitenden sensibilisiert und befähigt, macht das Unternehmen resilienter, innovativer und besser aufgestellt für die Zukunft.
Security Awareness ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Nur durch regelmäßige Trainings, praxisnahe Simulationen und eine offene Fehlerkultur lassen sich nachhaltige Verhaltensänderungen erzielen.
15 FRAGEN, KURZ BEANTWORTET
Security Awareness bedeutet, Informationsrisiken zu erkennen und im Arbeitsalltag sicher zu handeln. Sensibilisierung schafft Verständnis; Training übt konkrete Fähigkeiten, etwa verdächtige Nachrichten zu melden oder Empfänger vor einer Datenfreigabe zu prüfen. Ein Programm verbindet beides mit passenden Arbeitsabläufen, technischen Schutzmaßnahmen und einer offenen Meldekultur.
Messung und Steuerung: Legen Sie vor dem Start Ausgangswerte, Messzeitraum und Verantwortliche fest. Teilnahmequote misst abgeschlossene Schulungen bezogen auf zugewiesene Teilnehmende; Wissenstests messen Lernergebnisse. Beides beweist noch kein sicheres Verhalten im Ernstfall.
Bei einer freigegebenen Phishing-Übung kann die Meldequote als Anteil der eindeutig meldenden Empfänger an allen erfolgreich erreichten Empfängern definiert werden. Mehrfachmeldungen derselben Person zählen einmal. Erfassen Sie daneben Klicks, eine gegebenenfalls simulierte Dateneingabe und die Zeit bis zur ersten Meldung. Gleiche Beobachtungsfenster, vergleichbare Zielgruppen und dokumentierte Schwierigkeit sind Voraussetzung für brauchbare Vergleiche. Automatische Linkprüfungen können Klickdaten verzerren.
Bewerten Sie die Ergebnisse zusammen mit Rückmeldungen der Mitarbeitenden und der Bearbeitung durch das Sicherheitsteam. Mehr Meldungen können eine bessere Meldekultur anzeigen; weniger gemessene Vorfälle allein belegen keine durch Training vermiedenen Schäden. Wiederholungen richten sich nach Risiken, Rollenwechseln, neuen Werkzeugen und Erfahrungen aus Vorfällen, nicht nach einer pauschal für alle geltenden Monatsfrist.
Aufwandstreiber sind Zahl und Sprachen der Zielgruppen, Anpassung der Inhalte, bestehende Plattformen, Simulationsumfang, Datenschutzabstimmung und laufende Auswertung. Diese Angaben ermöglichen eine belastbarere Leistungsabgrenzung als ein Preis ohne definierten Umfang.
Security Awareness unterstützt den Nachweis einzelner Schulungs- und Sensibilisierungsmaßnahmen. Eine Teilnahmebescheinigung, ein Dashboard oder automatisierte Policy-Prüfungen belegen nicht die vollständige Erfüllung aller Datenschutz- und Sicherheitsanforderungen. ISO 27001 ist eine Norm, die DSGVO eine Rechtsvorschrift; ihre Anforderungen sind getrennt zu bewerten.
DORA: Für Finanzunternehmen im jeweiligen Anwendungsbereich verlangt Artikel 13 Absatz 6 verpflichtende IKT-Sensibilisierungsprogramme und Schulungen zur digitalen operationalen Resilienz für Mitarbeitende und leitendes Personal. Die Komplexität richtet sich nach deren Aufgaben; relevante IKT-Drittdienstleister sind gegebenenfalls einzubeziehen. Daraus folgt keine pauschale monatliche Schulungsfrequenz.
NIS2 in Deutschland: § 30 Absatz 2 Nummer 7 BSIG nennt grundlegende Schulungen und Sensibilisierung. § 38 Absatz 3 regelt regelmäßige Schulungen der Geschäftsleitung. Zunächst ist der Anwendungsbereich einschließlich der Ausnahmen in § 28 zu prüfen. Für die in § 28 Absatz 6 Nummer 1 genannten DORA-Finanzunternehmen gelten unter anderem §§ 30 und 38 nicht; Banken sollten diese Pflichten deshalb nicht pauschal doppelt zugeordnet bekommen.
DSGVO: Artikel 39 Absatz 1 Buchstabe b nennt Sensibilisierung und Schulung im Zusammenhang mit der Überwachung durch Datenschutzbeauftragte. Ein Awareness-Programm ersetzt weder die Prüfung konkreter Verarbeitungstätigkeiten noch weitere erforderliche Schutzmaßnahmen.
Für die Prüfung dokumentieren Sie zugeordnete Anforderungen, Zielgruppen, Lernziele, freigegebene Inhaltsversionen, Teilnahme, Auswertung und beschlossene Verbesserungen. Die zuständigen Fachverantwortlichen bewerten, ob diese Nachweise für den jeweiligen Zweck ausreichen.
Primärquellen: DORA, Artikel 13; § 28 BSIG; § 30 BSIG; § 38 BSIG; DSGVO, Artikel 39.
Phishing- und Social-Engineering-Übungen sollten zu den tatsächlichen Aufgaben der Zielgruppe passen. Legen Sie vorab Freigabe, Lernziel, sicheren technischen Rahmen, Auswertung und Rückmeldung fest. CEO-Fraud, vorgetäuschte Support-Anrufe und neue Angriffsmuster können geeignete Themen sein. Red-Teaming ist ein gesonderter, ausdrücklich freizugebender Prüfungsumfang.
Redaktionelles Übungsbeispiel: Eine vermeintliche Lieferantin fordert per E-Mail eine neue Bankverbindung für eine anstehende Zahlung. Das gewünschte Verhalten ist, die Änderung zunächst anzuhalten und über einen bereits bekannten, unabhängigen Kontaktweg zu prüfen. Telefonnummern und Links aus der verdächtigen Nachricht dienen nicht als Bestätigung. Vorgesehene Freigaben und das Vier-Augen-Prinzip bleiben erhalten.
Verdächtige Nachrichten werden über den vereinbarten Meldekanal an das Sicherheitsteam gegeben. Wurde bereits geklickt oder wurden Daten eingegeben, ist auch das zeitnah zu melden; keine eigenständigen Experimente mit dem Link. Das zuständige Team bewertet den Vorfall und veranlasst die weiteren Schritte nach dem internen Ablauf.
Auswertung: Hat die Person die Zahlungsänderung gestoppt, unabhängig geprüft und gemeldet? Wurde die Meldung angenommen und bearbeitet? Dokumentieren Sie Szenarioversion, Zielgruppe, Beobachtungsfenster und Lernmaßnahmen. Verwenden Sie bei Übungen keine echten Passwörter oder produktiven Zahlungsaufträge. Dieses Beispiel ist eine Arbeitshilfe, kein durchgeführter Kundentest und kein Nachweis vermiedener Schäden.
Datenschutz bei der Messung: Klären Sie vor dem Einsatz einer Plattform oder Simulation Zweck, Rechtsgrundlage, benötigte Daten, Zugriffsrechte und Löschfristen mit den zuständigen Stellen; beziehen Sie Datenschutz und gegebenenfalls die Arbeitnehmervertretung ein. Sammeln Sie keine echten Passwörter. Aggregierte Auswertungen für die Programmsteuerung sind von gegebenenfalls erforderlichen Einzelnachweisen zu trennen. Individuelle Bloßstellung oder öffentliche Ranglisten fördern keine offene Meldekultur.
Unsere Kunden vertrauen auf unsere Expertise in digitaler Transformation, Informationssicherheit, Compliance und Risikomanagement
Vereinbaren Sie jetzt ein strategisches Beratungsgespräch mit unseren Experten
30 Minuten • Unverbindlich • Sofort verfügbar
Direkte Hotline für Entscheidungsträger
Strategische Anfragen per E-Mail
Für komplexe Anfragen oder wenn Sie spezifische Informationen vorab übermitteln möchten