Inhalt
Kurzantwort
Starten Sie mit einer kurzen Basisschulung zu den Themen, die im Alltag wirklich vorkommen, und wiederholen Sie sie danach regelmäßig in kleinen Einheiten. Mindestens genauso wichtig ist ein klarer Meldeweg: Mitarbeitende sollten wissen, wo sie einen verdächtigen Vorgang oder eigenen Fehler sofort melden können – ohne Angst vor Schuldzuweisung.
Was Mitarbeitende wirklich wissen sollten
E-Mails, Links und Anhänge
Phishing erkennen, verdächtige Anhänge und Links nicht öffnen, im Zweifel nachfragen.
Anmeldung und Passwörter
Mehr-Faktor-Anmeldung nutzen, keine Codes weitergeben, Passwortmanager statt Zettel.
Zahlungen und CEO-Fraud
Zahlungsänderungen und dringende Anweisungen „von oben“ immer über einen bekannten Weg rückbestätigen.
Vertrauliche Daten und Geräte
Kundendaten nur in freigegebenen Systemen ablegen, verlorene Geräte sofort melden.
Vorfälle melden
Wen rufe ich an, wenn etwas komisch ist? Diese Antwort muss jeder kennen.
KI-Werkzeuge
Kurzer Hinweis, welche Daten nicht in KI-Dienste eingegeben werden dürfen und wo die betriebliche Regel steht.
Ein einfaches Programm
- 1
Start
Eine kurze Basisschulung für alle, praxisnah mit Beispielen aus Ihrem Betrieb.
- 2
Danach
Regelmäßige kurze Wiederholungen statt seltener langer Termine. Wie oft, legen Sie selbst fest – eine allgemeine gesetzliche Frequenz für alle Unternehmen gibt es nicht.
- 3
Im Alltag
Klare Meldewege und eine Ansprechperson, die schnell reagiert.
- 4
Bei Veränderungen
Neue Werkzeuge, Prozesse oder aktuelle Betrugsmaschen kurz erklären.
Schritt für Schritt
- 01
Verantwortung festlegen
Bestimmen Sie eine Person, die das Thema betreut – das muss keine IT-Fachkraft sein.
- 02
Inhalte auf Ihren Alltag zuschneiden
Nutzen Sie Beispiele, die im Betrieb tatsächlich vorkommen: Rechnungen, Paketbenachrichtigungen, Kundenanfragen.
- 03
Meldeweg einrichten
Ein Telefonkontakt oder eine feste Adresse für Verdachtsfälle. Bestätigen Sie jede Meldung kurz.
- 04
Basisschulung durchführen
Kurz, konkret, mit Gelegenheit für Fragen. Neue Mitarbeitende erhalten sie beim Einstieg.
- 05
Wiederholen
Kleine Einheiten, etwa als kurzer Punkt in Teambesprechungen.
- 06
Prozesse absichern
Schulung wirkt besser, wenn Abläufe sie unterstützen – zum Beispiel eine feste Rückruf-Regel bei Zahlungsänderungen.
Melden statt verstecken
Warum es darauf ankommt
Ein früh gemeldeter Klick lässt sich oft eingrenzen. Ein verschwiegener Fehler wird teurer. Awareness, die nur aus Angst vor Fehlern besteht, führt eher zum Verstecken.
Was hilft
Melden ausdrücklich erwünscht machen, Meldungen danken statt tadeln, aus Fällen gemeinsam lernen. Schuldzuweisung ist kein Sicherheitskonzept.
Phishing-Simulationen: Vorteile und Grenzen
Mögliche Vorteile
Simulationen können zeigen, ob Inhalte ankommen, und Gelegenheit zum Üben geben.
Grenzen
Sie sind keine Pflicht für jedes Unternehmen. Schlecht gemacht, können sie Vertrauen beschädigen. Ergebnisse sollten zum Lernen dienen, nicht zum Bloßstellen einzelner Personen.
Rahmenbedingungen
Datenschutz, Arbeitsrecht und gegebenenfalls die Mitbestimmung können eine Rolle spielen. Klären Sie das vorab allgemein und lassen Sie sich bei Bedarf beraten.
Checkliste
- Eine verantwortliche Person ist benannt.
- Alle kennen den Meldeweg für Verdachtsfälle und Fehler.
- Die Basisschulung ist durchgeführt, Neue erhalten sie beim Einstieg.
- Kurze Wiederholungen sind eingeplant.
- Rückruf-Regel für Zahlungsänderungen ist eingeführt.
- Meldungen werden bestätigt und nicht sanktioniert.
Typische Fehler
- Einmal im Jahr eine lange Pflichtschulung und sonst nichts.
- Fehler öffentlich machen oder bestrafen.
- Allgemeine Beispiele statt Fällen aus dem eigenen Alltag nutzen.
- Keinen klaren Meldeweg benennen.
- Schulung als Ersatz für technische Schutzmaßnahmen betrachten.
Häufige Fragen
Wie oft sollten wir schulen?
Eine einheitliche Frequenz für alle gibt es nicht. Bewährt haben sich eine Basisschulung zum Start und danach regelmäßige kurze Wiederholungen sowie Updates bei neuen Risiken.
Müssen wir Phishing-Simulationen durchführen?
Nein, nicht jedes Unternehmen muss das. Sie können ergänzen, haben aber Grenzen und rechtliche Rahmenbedingungen.
Brauchen wir einen externen Trainingsanbieter?
Nicht zwingend. Viele Inhalte lassen sich mit Material von BSI und Allianz für Cyber-Sicherheit selbst vermitteln.
Was tun, wenn jemand auf einen Phishing-Link geklickt hat?
Sofort melden, Passwort ändern lassen und die nächsten Schritte nach Ihrem Notfallplan gehen. Danken Sie für die Meldung.
Wer sollte geschult werden?
Alle mit Zugang zu E-Mail oder Firmensystemen – einschließlich Geschäftsführung und Aushilfen.
Quellen
- BSI – Awareness: Problembewusstsein und sicheres Verhalten
- Allianz für Cyber-Sicherheit – Social Engineering
- ENISA – Cybersecurity guide for SMEs: 12 steps (2021)
Geprüft am 07.10.2026.
Die Inhalte dienen der allgemeinen Orientierung. Keine Maßnahme garantiert, dass ein Angriff oder Ausfall verhindert wird.