Technik hält viel ab. Was sie nicht abhält, ist eine überzeugend gemachte Rechnung von einem vermeintlichen Lieferanten, die im richtigen Moment ankommt. Der Angriff läuft dann nicht gegen Ihre Firewall, sondern gegen die Aufmerksamkeit einer Person, die gerade zwanzig andere Dinge im Kopf hat.
Was wir schulen
- Phishing erkennen, an echten Merkmalen statt an Faustregeln: Absenderadresse gegen Anzeigename, Linkziel gegen Linktext, Dringlichkeit als Werkzeug, angehängte Dateitypen.
- Chefmasche und Rechnungsbetrug. Die teuersten Fälle sind keine Verschlüsselung, sondern eine geänderte Bankverbindung, die niemand zurückgefragt hat. Wir schulen den Rückruf als Gewohnheit.
- Passwörter und Mehr-Faktor-Authentifizierung. Warum ein Passwortmanager weniger Aufwand ist als Zettel, und warum die Freigabe im zweiten Faktor kein Reflex sein darf.
- Umgang mit Daten außerhalb des Büros. Öffentliche Netze, private Geräte, USB-Sticks, KI-Werkzeuge im Browser.
- Was im Verdachtsfall zu tun ist. Der wichtigste Teil: melden, sofort, ohne Angst vor Ärger. Wer Sorge hat, sich zu blamieren, meldet später, und später ist teuer.
Phishing-Simulationen, aber fair
Simulierte Phishing-Mails zeigen, wo die Schwachstellen liegen, und sie erzeugen Lerneffekte, die kein Vortrag schafft. Sie können aber auch Vertrauen zerstören, wenn sie als Falle inszeniert werden.
Unser Rahmen: Die Geschäftsführung weiß Bescheid, die Belegschaft weiß, dass es Simulationen geben wird, und die Auswertung erfolgt anonymisiert auf Abteilungsebene. Wer klickt, bekommt eine kurze Erklärung statt eines Eintrags in einer Liste. Ziel ist eine Meldequote, die steigt, nicht eine Klickquote, die jemanden vorführt.
Warum das inzwischen auch formal verlangt wird
Schulungen sind längst nicht mehr nur gute Praxis. NIS2 nennt in Paragraf 30 Absatz 2 BSIG ausdrücklich Cyberhygiene und Schulungen, und Paragraf 38 verpflichtet die Geschäftsleitung, selbst regelmäßig an Schulungen teilzunehmen. Cyberversicherer fragen den Schulungsstand im Antrag ab. In Lieferantenfragebögen steht die Frage nach Schulungen und Teilnahmenachweisen fast immer drin.
Deshalb dokumentieren wir Teilnahme und Inhalte so, dass Sie den Nachweis vorlegen können, ohne ihn nachträglich zusammenzusuchen.
Format und Rhythmus
Einheiten von 60 bis 90 Minuten, vor Ort oder online, in Gruppen, die zusammenarbeiten. Einmal jährlich eine Auffrischung, dazwischen kurze Erinnerungen, wenn eine neue Masche auftaucht. Neue Mitarbeitende bekommen die Grundlagen im Onboarding, nicht erst beim nächsten Sammeltermin.
Mehr zu unserem Schulungsangebot steht auf der Seite IT-Schulungen. Was technisch dahinter gehört, finden Sie unter IT-Security.
📞 Awareness-Schulung planen? Rufen Sie uns an unter 0541 50798808 oder schreiben Sie an info@team-data.de. 30 Minuten Erstberatung, kostenlos und unverbindlich.
Häufige Fragen zu Awareness-Schulungen
Wie oft sollten Schulungen stattfinden?
Einmal jährlich als Pflichttermin, dazwischen kurze Hinweise, wenn eine neue Betrugsmasche auftaucht. Neue Mitarbeitende sollten die Grundlagen im Onboarding bekommen und nicht Monate warten.
Bringen Phishing-Simulationen wirklich etwas?
Ja, wenn sie fair aufgesetzt sind. Entscheidend ist die Meldequote, nicht die Klickquote. Wer klickt und es meldet, hat richtig gehandelt. Wer aus Angst schweigt, ist das eigentliche Risiko.
Können Mitarbeitende dabei bloßgestellt werden?
Bei uns nicht. Wir werten anonymisiert auf Abteilungsebene aus, einzelne Personen tauchen in keinem Bericht auf. Wer auf eine Simulation hereinfällt, bekommt eine kurze Erklärung.
Erfüllen wir damit die NIS2-Schulungspflicht?
Die Schulung der Belegschaft deckt einen Teil von Paragraf 30 Absatz 2 BSIG ab. Die Geschäftsleitung muss nach Paragraf 38 zusätzlich selbst regelmäßig geschult werden, das planen wir getrennt ein.
Was kostet eine Schulung?
Das hängt an Teilnehmerzahl, Format und daran, ob Simulationen dazukommen. Wir rechnen Schulungen nach Aufwand ab und sagen Ihnen den Rahmen vorher.
