Fast jedes Unternehmen, das einen Sicherheitsvorfall überstanden hat, hatte vorher schon eine „Cybersicherheitsschulung". Meist einmal im Jahr, eine Stunde Präsentation, jemand klickt sich durch „weiter-weiter-weiter", besteht das Quiz, bekommt das Zertifikat. Drei Wochen später klickt dieselbe Person auf „Rechnung vom Paketdienst" — und das Zurückspielen aus dem Backup beginnt. Das ist kein Problem einer einzelnen Person. Es ist das Problem einer Schulung, die so tut, als würde sie etwas bewirken.
Menschen in kleinen Unternehmen klicken nicht auf Phishing, weil sie dumm sind. Sie klicken, weil sie 200 E-Mails am Tag haben, Deadlines von gestern, und eine E-Mail sieht genauso aus wie zehn andere, die sie abarbeiten müssen. Eine PowerPoint ändert das nicht. Ein Programm, das anders aussieht, schon.
Warum „Schulung einmal im Jahr" Theater ist
Menschliche Gehirne vergessen. Die Vergessenskurve nach Ebbinghaus sagt, dass du nach 24 Stunden weniger als die Hälfte einer Präsentation erinnerst. Nach einer Woche — etwa ein Dutzend Prozent. Nach einem Monat — praktisch nichts. Eine einstündige Phishing-Präsentation im Januar hat keine Chance, dich vor einem Angriff im Juni zu schützen, selbst wenn sie perfekt wäre.
Zweites Problem — solche Schulungen bringen Definitionen bei, keine Reflexe. Ein Mitarbeiter weiß, dass „Phishing das Vortäuschen eines Absenders bedeutet", hat aber nicht den Reflex „ich prüfe immer die Absenderdomain, bevor ich einen Finanzanhang öffne". Definitionen sitzen im Kopf, Entscheidungen fällt die Hand an der Maus. Zwischen beidem klafft eine Lücke, die eine einstündige Präsentation nicht überspringt.
Drittes Problem — es gibt keine Rückkopplung. Du hast das Quiz bestanden, das Zertifikat bekommen, fertig. Niemand prüft je, ob du Phishing wirklich erkennen kannst. Das Unternehmen stellt sich selbst ein gutes Zeugnis aus und beruhigt sich für ein weiteres Jahr. Das funktioniert genau so lange, bis es nicht mehr funktioniert.
Wie ein echtes Programm aussieht
Ein sinnvolles Schulungsprogramm für ein Unternehmen mit 20–50 Personen hat drei Bestandteile, und keiner davon ist „eine Stunde PowerPoint einmal im Jahr".
Micro-Training jeden Monat. Fünfzehn Minuten, ein konkretes Thema. Januar — wie erkenne ich eine gefälschte Paketdienst-Mail. Februar — wie prüfe ich einen Link, bevor ich klicke. März — warum ich mein E-Mail-Passwort niemals in ein Formular eintrage, das aus einer E-Mail verlinkt ist. Kurz, konkret, eine Gewohnheit auf einmal. Das behalten Menschen wirklich, weil sie nicht alles auf einmal schlucken müssen.
Phishing-Simulationen alle 4–6 Wochen. Kein Wissenstest — eine echte E-Mail, an einem normalen Arbeitstag verschickt, mit einem realistischen Vorwand. Wer klickt, landet auf einer Lernseite, die genau erklärt, was er übersehen hat. Niemand wird namentlich vorgeführt, niemand bekommt eine Rüge. Es geht ums Lernen, nicht um den Pranger.
Ein klarer Meldeweg. Ein Button „verdächtige E-Mail melden" direkt in Outlook oder eine schlichte Adresse phishing@firma.de, an die man eine zweifelhafte Mail in zwei Klicks weiterleiten kann. Jede Meldung schaut sich wirklich ein Mensch an und antwortet der meldenden Person innerhalb einer Stunde. Das ist die zweite Seite derselben Medaille: du bringst den Leuten das Erkennen bei, aber du gibst ihnen auch einen Weg zu handeln, wenn sie es erkennen.
Ohne alle drei Elemente gleichzeitig funktioniert das Programm nicht. Training ohne Simulationen ist Theorie ohne Praxis. Simulationen ohne Training sind ein Hinterhalt. Alles zusammen, aber ohne Meldeweg, heißt: Leute bemerken etwas, wissen aber nicht, was sie damit machen sollen.
Phishing-Simulationen — wie man daraus keinen Zirkus macht
Simulationen sind der heikelste Teil des Programms. Falsch gemacht, entmutigen sie das Team, zerstören Vertrauen und lösen einen „wir gegen die IT"-Krieg aus. Richtig gemacht, sind sie das wirkungsvollste Werkzeug, das du hast.
Ein paar Regeln, die es einzuhalten lohnt:
- Niemals Namen derjenigen veröffentlichen, die geklickt haben. Aggregierte Statistiken pro Abteilung — gerne. Eine Rangliste der Schande — nie.
- Klicks niemals mit Bonus, Beurteilung oder Beförderung verknüpfen. Ein Klick auf eine Simulation ist kein Fehlverhalten. Es ist ein Datenpunkt, der zeigt, wo mehr Training gebraucht wird.
- Der Vorwand muss realistisch, aber nicht grausam sein. Eine gefälschte Kündigungs-Mail oder eine Krankheit in der Familie — nein. Gefälschte Rechnung, gefälschte Postbenachrichtigung, gefälschtes „dein Passwort läuft heute ab" — ja.
- Die Schwierigkeit steigt mit der Zeit. Frühe Simulationen sollten für aufmerksame Leute leicht zu fangen sein (Tippfehler, seltsame Domains). Nach drei Monaten geht es zu raffinierteren über — eine Mail vom „Geschäftsführer" mit einer dringenden Überweisungsbitte, eine „neue Rechnung zur Freigabe", die wie aus dem Buchhaltungssystem aussieht.
- Immer eine Lernseite als Landung. Wer klickt, sieht keinen leeren blauen Bildschirm, sondern eine kurze Seite: „das war eine Simulation, das hätte dich stutzig machen sollen, hier sind drei Dinge, auf die du beim nächsten Mal achtest". Sechzig Sekunden, konkret.
Die Werkzeuge gibt es. KnowBe4, Sophos Phish Threat, der in Defender for Office 365 eingebaute Microsoft Attack Simulator — sie funktionieren alle. Kosten pro Nutzer und Monat liegen meist zwischen zwei und vier Euro, oft im Bundle mit einer Trainingsplattform.
Ein Beispiel aus der Praxis
Bei einem unserer Kunden — ein Steuerbüro mit 22 Personen aus Warschau, Standard-Microsoft-365, Comarch Optima als ERP für die Rechnungsstellung, Betreuung von rund 180 KMU-Mandanten — haben wir mit einer Ausgangsmessung begonnen. Wir haben eine Phishing-Simulation ohne vorheriges Training verschickt, einfach um zu sehen, wo das Unternehmen wirklich steht.
Das Ergebnis: von 22 Personen klickten 9 innerhalb von 24 Stunden. Fünf davon gingen einen Schritt weiter und gaben ihre Microsoft-365-Zugangsdaten in das gefälschte Anmeldeformular ein. Wäre das ein echter Angriff gewesen, hätte der Angreifer innerhalb eines Tages Zugriff auf fünf Buchhalter-Postfächer und die gesamte Korrespondenz mit den Mandanten gehabt. Für ein Steuerbüro ist das faktisch die Schließung — Bruch des Berufsgeheimnisses, Meldepflicht an die Datenschutzbehörde, panische Anrufe von Mandanten.
Wir haben das Programm aufgesetzt: 15 Minuten Micro-Training am ersten Dienstag jedes Monats, eine Simulation alle 5 Wochen, ein „Phishing melden"-Button in Outlook. Sechs Monate später haben wir die Messung wiederholt — gleiche Art der Simulation, ähnliche Schwierigkeit. Klicks: 2 von 22 Personen. Eingegebene Zugangsdaten: 0. Im selben Monat meldete eine der Buchhalterinnen einen echten Business Email Compromise — eine Mail, die vorgab, vom Softwareanbieter zu kommen, mit einer „aktualisierten Bankverbindung". Es ging um eine Überweisung über 47 000 PLN (rund 11 000 Euro). Sie hat sie 4 Minuten nach dem Öffnen gemeldet. Die Überweisung ging nie raus.
Programmkosten: rund 8 PLN (etwa 2 Euro) pro Nutzer und Monat für KnowBe4 mit Simulationen und Micro-Training-Bibliothek, dazu zwei Stunden im Monat unserer Zeit für die Themenauswahl und Auswertung. Etwa 4 800 PLN im Jahr. Ein einziger geblockter BEC-Angriff hat das Programm für zehn Jahre bezahlt.
Was es wirklich kostet und wer es führen sollte
Für ein Unternehmen mit 30 Personen sieht ein realistisches Budget so aus. Trainings- und Simulationsplattform: 2–4 Euro pro Nutzer und Monat, also etwa 700–1 400 Euro im Jahr. Die Person, die das Programm führt: entweder ein interner IT-Administrator (2–4 Stunden im Monat) oder ein externer Partner (ähnliche Zeit im Retainer). Gelegentliche Extras — eine größere Jahressitzung, Aktualisierung der Richtlinien, Auffrischen der Hausregeln — ein Dutzend Stunden übers Jahr.
Insgesamt landet ein 30-Personen-Unternehmen bei rund 2 000–3 000 Euro im Jahr für ein Programm, das tatsächlich etwas verändert. Zum Vergleich: ein einzelner Phishing-Vorfall mit Kontoübernahme oder eine BEC-Überweisung kostet üblicherweise zwischen mehreren zehntausend und mehreren hunderttausend Euro, dazu Anwaltskosten, Meldepflichten und Reputationsverlust. Das Programm rechnet sich beim allerersten geblockten Vorfall.
Wer sollte es führen — idealerweise jemand, der nicht nur aus der IT kommt. Die IT wählt die Plattform, fährt die Simulationen aus, erstellt Berichte. Aber die Botschaft ans Team („das ist keine Hetzjagd, das ist gemeinsames Training"), der monatliche Rhythmus, die Fähigkeit, öffentlich der Person zu danken, die einen echten Angriff gemeldet hat — das ist eine Aufgabe für jemanden, der in Organisationskultur denkt, nicht in Logs. In einem kleinen Unternehmen ist das meistens die Geschäftsführung oder die operative Leitung, technisch unterstützt von der IT (eigener oder externer).
Womit du in deinem Unternehmen anfängst
Fang mit einer Messung an — nicht mit Training. Verschick eine einzige Phishing-Simulation ohne Vorwarnung und schau, wo das Unternehmen wirklich steht. Das tut weh, aber ohne diese Zahl hast du keinen Bezugspunkt, um zu belegen, dass das Programm überhaupt etwas bringt.
Wähl eine Plattform aus — vergleiche nicht drei Monate lang fünf. Microsoft Attack Simulator in Defender for Office 365 ist in vielen Lizenzen, die du ohnehin hast, bereits enthalten. Ein guter Startpunkt.
Plane einen Kalender für sechs Monate im Voraus — sechs Micro-Training-Themen, sechs Simulationen, eine gemeinsame Sitzung. Trag es in den Firmenkalender ein, wie du Vorstandssitzungen einträgst. Das ist Arbeit, keine Einzelaktion.
Miss nach einem halben Jahr erneut. Vergleich mit der Ausgangsmessung. Zeig dem Team die Kurve — keine Rangliste der Schande, sondern den Trend. Menschen sehen gern, dass sie sich gemeinsam verbessern. Das ist der Unterschied zwischen einer Schulung, die man erträgt, und einem Programm, an dem man sich beteiligt.
Eine Präsentation einmal im Jahr beruhigt das Gewissen der Geschäftsführung, aber sie schützt das Unternehmen nicht. Was schützt, ist Rhythmus: ein kurzes Training jeden Monat, eine Simulation alle paar Wochen, ein Meldeweg einen Klick weit weg.