Die bislang größte randomisierte kontrollierte Studie zu Sicherheitsschulungen lieferte ein ernüchterndes Ergebnis. Forscher der UC San Diego beobachteten über acht Monate hinweg rund 19.500 Mitarbeiter und stellten fest, dass integrierte Phishing-Schulungen die Klickraten nur um etwa zwei Prozentpunkte senkten. Jährliche Pflichtschulungsmodule zeigten überhaupt keine nennenswerte Wirkung. Das vielleicht aussagekräftigste Detail: (University of California San Diego) 75 % der Mitarbeiter verbrachten weniger als eine Minute mit dem Schulungsmaterial, und ein Drittel schloss die Seite sofort, ohne sich damit auseinanderzusetzen.

Funktionieren Schulungen zur Sicherheitssensibilisierung also? Die ehrliche Antwort lautet: nicht so, wie die meisten Unternehmen sie heute durchführen. Das heißt aber nicht, dass man sie überspringen kann. Schulungen sind in vielen Rechtsrahmen gesetzlich vorgeschrieben, und in jedem Sicherheitsfragebogen für Kunden wird danach gefragt. Die eigentliche Frage ist nicht, ob wir schulen sollten, sondern wie wir schulen, damit es kein reines Theater ist.

Was sagen die Fakten eigentlich über Sicherheitsschulungen aus?

Die meisten Inhalte von Anbietern zu diesem Thema wiederholen eine bekannte Behauptung: „Der menschliche Faktor verursacht 90 % oder mehr der Sicherheitsverletzungen.“ Diese Statistik, so wahr sie auch sein mag, impliziert stillschweigend, dass die Schulung von Menschen das Problem lösen wird. Die Studie der UC San Diego hat diese Annahme gründlich geprüft und festgestellt, dass die Abhilfe kaum Wirkung zeigt. Eingebettete Phishing-Simulationen, bei denen Mitarbeiter, die auf eine simulierte Phishing-Mail klicken, sofort eine Schulungsseite angezeigt bekommen, führten zu einem Rückgang künftiger Klicks um etwa 2 %. Jährliche Compliance-Module, wie sie die meisten Unternehmen einmal im Jahr einsetzen, zeigten überhaupt keine messbare Verbesserung.

Das bedeutet nicht, dass Sensibilisierung wertlos ist. Es bedeutet, dass das Vermittlungsmodell nicht funktioniert. Von Mitarbeitern zu verlangen, sich einmal im Jahr eine 45-minütige Präsentation anzusehen, ein Compliance-Häkchen zu setzen und den Erfolg dann daran zu messen, ob weniger Leute auf eine gefälschte E-Mail geklickt haben – das ist eine Formel, die darauf ausgelegt ist, Berichte zu erstellen, nicht Verhaltensänderungen zu bewirken.

Warum die Klickrate der falsche KPI ist

Die Klickrate ist zur Standardkennzahl für Cybersicherheits-Sensibilisierungsprogramme geworden, misst aber das Falsche. Eine niedrige Klickrate könnte bedeuten, dass Mitarbeiter gelernt haben, eine bestimmte Vorlage zu erkennen – nicht, dass sie einen echten Sicherheitsreflex entwickelt haben. Schlimmer noch: Der Fokus auf „Gotcha“-Simulationen schafft eher eine Kultur der Angst als der Wachsamkeit.

Die Kennzahl, auf die es tatsächlich ankommt, ist die Melderate: Hat der Mitarbeiter die verdächtige Nachricht gemeldet? Ein Team, in dem 60 % der Mitarbeiter einen Phishing-Versuch innerhalb weniger Minuten melden, ist weitaus sicherer als ein Team, in dem 5 % darauf klicken, aber niemand etwas meldet. Die Zeit bis zur Meldung ist ebenso wichtig, denn durch schnelle Meldungen kann dein Incident-Response-Prozess Bedrohungen eindämmen, bevor sie sich ausbreiten. Wenn du dein Programm bewertest, verlagere den Fokus von „Wie viele sind darauf hereingefallen?“ auf „Wie viele haben Alarm geschlagen?“.

Was senkt das Risiko mehr als eine Schulungspräsentation?

Technische Kontrollmaßnahmen, die den Menschen aus der Gleichung herausnehmen

Schulungen versuchen, das Verhalten zu ändern. Technische Kontrollmaßnahmen verhindern von vornherein, dass dieses Verhalten Schaden anrichten kann. Wenn es um Phishing geht, ist die mit Abstand wirksamste technische Maßnahme eine phishingresistente MFA (Multi-Faktor-Authentifizierung – also eine Methode, bei der deine Identität anhand von etwas nachgewiesen wird, das ein Phisher nicht aus der Ferne stehlen kann, wie z. B. ein Hardware-Schlüssel oder ein gerätegebundener Passkey). (Microsoft) berichtet, dass bei mehr als 99,9 % der kompromittierten Konten keine MFA aktiviert ist. Und laut (Microsoft) stoppt eine phishing-resistente MFA mehr als 99 % der identitätsbasierten Angriffe, selbst wenn der Angreifer bereits über gültige Anmeldedaten verfügt.

Neben der MFA tragen auch einige andere Sicherheitsmaßnahmen messbar zur Verbesserung bei:

• Domänengebundene Passwortmanager, die Anmeldedaten nur auf legitimen Domänen automatisch ausfüllen und so verhindern, dass Mitarbeiter Passwörter auf gefälschten Seiten eingeben.

• Zugriff nach dem Prinzip der geringsten Berechtigungen, sodass ein kompromittiertes Konto nur auf die Daten und Systeme zugreifen kann, die für die jeweilige Rolle tatsächlich erforderlich sind.

• Geräteabsicherung: erzwungene Festplattenverschlüsselung, automatische Betriebssystem-Patches und Endpunktsicherheit auch ohne spezielles IT-Personal.

• Schnelles Offboarding: Konten sperren und Geräte innerhalb von Stunden – nicht Tagen – löschen, wenn jemand das Unternehmen verlässt. Veraltete Konten sind offene Türen.

Diese Maßnahmen verkleinern die Angriffsfläche auf eine Weise, die kein noch so umfangreiches Training nachahmen kann. Wenn ein Mitarbeiter auf einen Phishing-Link klickt, sich der hardwaregebundene Passkey aber auf der gefälschten Domain nicht authentifizieren lässt, scheitert der Angriff. Dieses Ergebnis hängt nicht vom momentanen Urteilsvermögen des Mitarbeiters ab. Es hängt von der Durchsetzung technischer Richtlinien ab.

Schulungen neu konzipiert, um das Verhalten tatsächlich zu ändern

Nichts von alledem bedeutet, dass du auf Schulungen verzichten solltest. Es bedeutet, dass du sie neu gestalten solltest. Die Erkenntnisse deuten auf einige Grundsätze hin, die effektive Programme von bloßer Compliance-Fassade unterscheiden:

1. Haltet die Sitzungen kurz und häufig. Fünfminütige monatliche Mikrositzungen sind effektiver als ein zweistündiges jährliches Modul. Regelmäßige Wiederholungen helfen dabei, Informationen zu behalten; eine einmal im Jahr stattfindende Veranstaltung tut das nicht.

2. Gestalte die Inhalte rollenspezifisch. Finanzteams sind mit Betrug durch den CEO und Rechnungsbetrug konfrontiert. Die Personalabteilung geht mit sensiblen personenbezogenen Daten um. Entwickler verwalten API-Schlüssel. Eine allgemeine Schulung, die alles für alle abdeckt, deckt nichts richtig ab.

3. Messe die Meldungen, nicht die Klicks. Belohne Mitarbeiter, die verdächtige Nachrichten melden. Würdige schnelle Melder öffentlich. Hör auf, Klicker öffentlich anzuprangern.

4. Verbinde Schulungen mit echten Vorfällen. Wenn eine echte Phishing-Welle auf deine Branche abzielt, schicke eine kurze Warnung, die auf das tatsächliche Angriffsmuster verweist. Der Kontext sorgt dafür, dass Ratschläge im Gedächtnis bleiben.

5. Schafft eine Meldekultur ohne Schuldzuweisungen. Wenn Mitarbeiter Angst vor Strafen haben, weil sie auf Links geklickt haben, werden sie Fehler verheimlichen, anstatt sie zu melden. Schnelle Meldungen sind euer bestes Frühwarnsystem; Angst macht es zunichte.

Unternehmen, die KI-gestützte Phishing-Abwehrmaßnahmen mit einer solchen Neugestaltung der Schulungen kombinieren, schaffen zwei Schutzebenen: Technische Kontrollen fangen die meisten Angriffe automatisch ab, und geschulte, motivierte Mitarbeiter fangen den Rest durch schnelle Meldungen ab.

Das musst du trotzdem tun: die gesetzlichen Anforderungen, die du nicht umgehen kannst

Unabhängig davon, wie gut Schulungen funktionieren, schreiben zahlreiche gesetzliche Rahmenbedingungen sie zwingend vor. In Deutschland verlangt die Umsetzung der NIS2 durch das BSIG (insbesondere § 30 und § 38), dass betroffene Organisationen Maßnahmen zur Sensibilisierung für Cybersicherheit für alle Mitarbeiter umsetzen. Entscheidend ist, dass § 38 der Geschäftsleitung eine persönliche Schulungspflicht auferlegt: Führungskräfte müssen selbst an Sicherheitsschulungen teilnehmen und können persönlich haftbar gemacht werden, wenn sie dies nicht tun. Die Schwellenwerte für die Anwendbarkeit von NIS2 beginnen in der Regel bei 50 Mitarbeitern oder 10 Millionen Euro Jahresumsatz, wobei Unternehmen aus kritischen Sektoren unabhängig von ihrer Größe unter die Regelung fallen können.

ISO 27001 Anhang A, Kontrollmaßnahme 6.3, verlangt ausdrücklich Sensibilisierung, Aufklärung und Schulung im Bereich Informationssicherheit. Artikel 32 der DSGVO schreibt „geeignete technische und organisatorische Maßnahmen“ vor, und die Aufsichtsbehörden haben dies durchweg so ausgelegt, dass dies auch Mitarbeiterschulungen zum Datenschutz umfasst. Über die Vorschriften hinaus wird in jedem Sicherheitsfragebogen für Kunden und jeder Lieferantenbewertung gefragt, ob du ein Programm zur Sensibilisierung für Sicherheitsfragen durchführst, wie oft und wie du dessen Wirksamkeit misst.

Compliance ist, mit anderen Worten, ein absolutes Muss. Die Frage ist, ob du sie als bloße Pflichtübung oder als echte Verteidigungsstufe betrachtest.

Fazit

Schulungen zur Sicherheitssensibilisierung sind gesetzlich vorgeschrieben, kulturell sinnvoll und – wenn sie nach den richtigen Prinzipien neu gestaltet werden – ein echter Beitrag zu eurer Sicherheitslage. Aber sie funktionieren nur in Verbindung mit technischen Kontrollen, die verhindern, dass menschliches Versagen zu einer Sicherheitsverletzung eskaliert. Phishing-resistente MFA, durchgesetzte Geräterichtlinien, automatisiertes Offboarding: Das sind die Maßnahmen, die die Stellung halten, wenn ein Mitarbeiter unweigerlich auf den falschen Link klickt.

Plattformen wie deeploi automatisieren genau diese technische Ebene – von der Durchsetzung der MFA über die Absicherung von Geräten bis hin zum Offboarding –, sodass sich dein Schulungsprogramm auf das konzentrieren kann, was es am besten kann: den Aufbau einer Kultur, in der Menschen Bedrohungen schnell melden, anstatt Fehler zu verheimlichen. Diese Kombination – technische Schutzmaßnahmen plus eine Meldekultur – ist es, die Sicherheitsschulungen von einer bloßen Show in echte Verteidigung verwandelt.

FAQ

Reduzieren Phishing-Simulationsschulungen tatsächlich die Anzahl der Klicks?

Nur geringfügig. Die größte randomisierte Studie ergab eine Reduzierung von etwa 2 % durch integrierte Phishing-Schulungen und keinen signifikanten Effekt durch jährliche Module. Simulationen sind nicht nutzlos, aber sie sind auch kein Allheilmittel. Kombiniere sie mit Phishing-resistenter MFA und Passwortmanagern, um das Risiko sinnvoll zu senken.

Was verlangt die NIS2 in Bezug auf Sicherheitsschulungen für Mitarbeiter?

Die deutsche NIS2-Umsetzung (BSIG § 30 und § 38) schreibt obligatorische Sensibilisierungsmaßnahmen für alle Mitarbeiter in betroffenen Organisationen vor. Die Geschäftsleitung ist persönlich zur Teilnahme an Schulungen verpflichtet und kann bei Nichteinhaltung haftbar gemacht werden. KMUs, die die Größenkriterien erfüllen, sollten dies als Priorität behandeln.

Wie können wir Sicherheitsschulungen effektiv gestalten, statt sie nur als Alibimaßnahme abhalten?

Ersetze jährliche Click-through-Module durch kurze, häufige und rollenspezifische Schulungen. Miss die Melderate und die Zeit bis zur Meldung statt der Klickrate. Schaffe eine Kultur ohne Schuldzuweisungen, in der das Melden verdächtiger Nachrichten gelobt und nicht bestraft wird. Und ergänze die Schulungen durch technische Kontrollmaßnahmen, die Angriffe auch dann abfangen, wenn die Schulung versagt.

Welche technischen Kontrollmaßnahmen sind neben Schulungen am wichtigsten?

Phishing-resistente MFA steht ganz oben auf der Liste. Füge domänengebundene Passwortmanager, Richtlinien für den Zugriff mit geringsten Berechtigungen, automatische Geräte-Patches und schnelles Offboarding hinzu. Diese Maßnahmen verhindern, dass menschliches Versagen Schaden anrichtet – genau das, was Schulungen allein nicht garantieren können.

Dieser Artikel dient nur der allgemeinen Information und stellt keine Rechtsberatung dar.