4crypto.eu
Kompetenz · Der Faktor Mensch · 2026

Security Awareness 2026: was die Forschung zeigt, was wirkt und was zu vermeiden ist

Autor: Dr. Adam Czubak Korrektorat: Alicja Czubak Lesezeit: 19 Min Aktualisiert: 2026-08-26

Im DBIR 2024, gestützt auf 10 626 bestätigte Verletzungen aus dem Jahr 2023, berichtete Verizon, dass 68 Prozent der Fälle einen nicht böswilligen menschlichen Anteil aufwiesen [1] - einen Irrtum oder das Nachgeben gegenüber Social Engineering. Der Vorbehalt ist wichtig: Der bewusste Missbrauch von Rechten durch Beschäftigte zählt als eigene Kategorie und ist darin nicht enthalten.

Man sollte die Zahl allerdings dem späteren Bild gegenüberstellen. Im DBIR 2026 überholte die Ausnutzung von Schwachstellen erstmals den Missbrauch von Zugangsdaten als häufigster Erstzugangsvektor und stand für 31 Prozent der Fälle gegenüber 13 Prozent [16]. Der Faktor Mensch ist nicht verschwunden, aber er ist nicht mehr der einzige sinnvolle Investitionsort - ein Awareness-Programm ergänzt das Schwachstellenmanagement, es ersetzt es nicht.

Dennoch laufen viele Schulungsprogramme in polnischen Organisationen auf eine Jahrespräsentation und eine Unterschrift auf der Anwesenheitsliste hinaus. Den Unterschied macht, ob ein Programm auf Forschung dazu beruht, was Verhalten tatsächlich verändert. Dieser Text bündelt die Ergebnisse von Bullée und Kolleginnen [3], Reinheimer und Kollegen [4] und Lallie und Kollegen [5] sowie die NIST-Leitlinien [6] und zeigt, wie sich daraus ein messbares Programm bauen lässt.

Was die Forschung zur Wirksamkeit von Schulungen sagt

Der am besten belegte Befund der Awareness-Forschung ist, dass die Wirkung einer Schulung real, aber nicht dauerhaft ist. Reinheimer und Kollegen [4] führten in einer deutschen Behörde eine Feldstudie mit 409 Beschäftigten durch und massen deren Fähigkeit, Phishing von echten Nachrichten zu unterscheiden, unmittelbar nach der Schulung und in den Folgemonaten. Die Verbesserung war direkt nach der Schulung statistisch bedeutsam und hielt nach vier Monaten an, nach sechs Monaten jedoch nicht mehr. Das ist das stärkste verfügbare Argument dafür, dass eine Schulung im Jahr nicht wirkt: Zwischen zwei Terminen liegt mindestens ein halbes Jahr, in dem die Organisation wieder am Ausgangspunkt steht.

Dieselbe Arbeit beantwortet die Frage, womit aufgefrischt werden sollte. Die Autoren prüften vier Formen der Auffrischung und stellten fest, dass Videomaterial und interaktive Nachrichtenbeispiele am besten abschneiden - ihre Wirkung hielt ein weiteres halbes Jahr an, sodass die Erkennungsleistung noch zwölf Monate nach der ersten Schulung erhöht blieb. Die untersuchte Organisation ging daraufhin zu einem Sechsmonatszyklus über. Rein textliche Formen fielen in diesem Vergleich ab.

Bullée und Kolleginnen [3] gingen die Frage von einer anderen Seite an: Sie zerlegten 74 dokumentierte Social-Engineering-Szenarien und prüften, auf welchen Überzeugungsmechanismen sie beruhten. Das Ergebnis wirkt unmittelbar auf die Schulungsinhalte. Vorherrschend war die Autorität, in etwa 63 Prozent der Angriffe vorhanden und deutlich häufiger als die übrigen Mechanismen. Die Angriffe waren dabei kurz - im Mittel knapp zwei Interaktionsschritte -, und im untersuchten Bestand überwog der telefonische Kontakt. Ein Programm, das ausschließlich auf E-Mail zielt, lässt damit den Kanal aus, der sich in dieser Analyse als häufigster erwies; und einen Überzeugungsmechanismus erkennen zu lernen deckt mehr reale Versuche ab als das Einüben konkreter Nachrichtenmuster.

Der dritte Befund betrifft den Kontext. Lallie und Kollegen [5] zeigten in ihrer Analyse der Cyberangriffe während der Pandemie, wie stark Angreifer ihre Inhalte an aktuelle Ereignisse anpassen und wie sehr ihnen ein plötzlicher Wandel der Arbeitsbedingungen entgegenkommt. Praktisch folgt daraus, dass zwei Jahre altes Schulungsmaterial Szenarien beschreibt, die es nicht mehr gibt, und dass die größte Anfälligkeit genau dann entsteht, wenn eine Organisation sich verändert - bei einer Umstrukturierung, der Einführung eines neuen Systems, dem Wechsel ins Homeoffice.

Auch das Denken über solche Programme hat sich verändert. Die Ausgabe NIST SP 800-50 Rev. 1 vom September 2024 [6] gab die aus der Fassung von 2003 bekannte Dreiteilung in Awareness, Training und Education auf, weil sie sich in der Praxis schwer anwenden liess, und verschob den Schwerpunkt auf den Aufbau eines Lernprogramms, das auf Verhaltensänderung zielt und mit dem realen Risiko der Organisation verknüpft ist.

Zum Schluss lohnt eine Präzisierung, was jene 68 Prozent aus dem DBIR 2024 eigentlich messen. Die Zahl umfasst zwei verschiedene Dinge: das Nachgeben gegenüber Social Engineering und den schlichten Irrtum - eine falsche Konfiguration, Daten an die falsche Adresse, ein verlorener Datenträger. Die Aufteilung ist wichtig, denn nur der erste Teil ist einer Schulung im klassischen Sinn zugänglich; auf den zweiten wirken Prozessänderungen und technische Schutzmaßnahmen weit stärker. Der Schluss für das Programm bleibt gleichwohl stabil: Phishing verdient den ersten Platz, aber ein Programm, das allein um Phishing gebaut ist, lässt die zweite Hälfte des Problems aus.

Welche Inhalte konkret

Die Themenwahl sollte nicht auf Intuition beruhen. Ausgangspunkt ist das aktuelle Bedrohungsbild - etwa die jährliche Bedrohungslage der ENISA [2] - abgeglichen mit dem, was in der Organisation tatsächlich gemeldet wird. Der zweite Teil wiegt schwerer und wird häufiger übergangen, denn er unterscheidet ein passgenaues Programm von einem im Paket gekauften.

Der Kern besteht meist aus acht Bereichen. Der erste und umfangreichste ist Social Engineering: Manipulationsversuche erkennen, die Identität eines Absenders unabhängig prüfen und - nach den Ergebnissen von Bullée und Kolleginnen - den Verweis auf Autorität als Warnsignal begreifen, auch im Telefonat. Der zweite ist die Authentisierung: Passwortmanager, Mehr-Faktor-Authentisierung als Standard, keine Weitergabe von Zugangsdaten und das Bewusstsein, dass ein anderswo verwendetes Kennwort ein öffentliches Kennwort ist. Der dritte ist der Umgang mit Informationen: was vertraulich ist, wie es zu kennzeichnen ist und was nie über einen externen Kanal gehen darf. Der vierte ist der Datenschutz im für Beschäftigte nötigen Umfang: was personenbezogene Daten sind, was bei einer Verletzung zu tun ist und welche Rechte betroffene Personen haben (siehe Artikel zum DSGVO-Audit).

Die übrigen vier Bereiche sind praktischer. Der fünfte umfasst die Hygiene am Arbeitsplatz - Bildschirmsperre, aufgeräumter Schreibtisch, Dokumente im Drucker. Der sechste betrifft mobiles Arbeiten und Homeoffice: öffentliche Netze, privat genutzte Geräte im Dienst und die Trennung beider Rollen. Der siebte, praktisch wichtigste, ist das Verhalten bei einem Vorfall: wie man ihn erkennt, wem man ihn meldet, was nicht gelöscht werden darf und in welcher Zeit. Der achte ist die Rollenspezifik - die Finanzabteilung trifft auf andere Szenarien als die Personalabteilung, und Systemadministratoren wiederum auf andere.

Für sich steht das Modul für das Leitungsorgan, das Artikel 20 Absatz 2 der NIS2-Richtlinie [7] ausdrücklich verlangt. Sein Inhalt unterscheidet sich von der allgemeinen Schulung: Es geht nicht um das Erkennen von Nachrichten, sondern um die Fähigkeit, Risiken und Risikomanagementpraktiken zu beurteilen, um branchentypische Bedrohungen und um das Bewusstsein der persönlichen Verantwortung aus den Vorschriften.

Format - was wirkt und was nicht

Aus der Forschung zur Behaltensleistung folgt eine einfache Aussage zur Form: Es zählt die Häufigkeit des Kontakts, nicht die Länge der einzelnen Schulung. Kurze, alle paar Wochen wiederholte Module halten die Erkennungsleistung besser als ein langes Treffen, und Auffrischungen mit Video und interaktiven Beispielen schnitten in der Studie von Reinheimer und Kollegen [4] deutlich besser ab als rein textliche Formen. Gut wirken auch Szenarien, die eine Entscheidung mit sofortiger Rückmeldung verlangen, sowie die Besprechung anonymisierter realer Vorfälle - Letztere, weil sie das Problem aus der Abstraktion in einen vertrauten Zusammenhang holen.

Ebenso gut belegt ist, was nicht wirkt. Eine Jahrespräsentation verliert ihre messbare Wirkung lange vor der nächsten Ausgabe. Generische Inhalte ohne Bezug zur Branche verlangen vom Publikum, sie selbst auf die eigene Arbeit zu übertragen, was es meist nicht tut. Rein technisches Material, das erklärt, was Phishing ist, aber nicht, warum gerade diese Person Ziel ist, verändert kein Verhalten.

Der schwerste Konstruktionsfehler ist die Bestrafung eines Klicks. Die Folge ist nicht mehr Vorsicht, sondern weniger Meldungen - wer Konsequenzen fürchtet, schweigt im realen Vorfall, und gerade die Meldezeit entscheidet über die Schadenshöhe. Ein auf Meldekultur statt auf Sanktion gebauter Ansatz ist auch der, den NIST SP 800-50 Rev. 1 verfolgt [6].

Phishing-Simulationen

Simulationen sind das meistgenutzte Werkzeug solcher Programme und zugleich das am leichtesten zu verderbende. Sinnvoll ist mindestens ein Quartalsrhythmus, in reiferen Organisationen alle vier bis sechs Wochen, mit kurzen Modulen dazwischen. Die Schwierigkeit sollte steigen: Die ersten Kampagnen dürfen auf leicht erkennbaren Mustern beruhen, spätere auf realen Prozessen der Organisation, und die anspruchsvollsten bilden Situationen ab, in denen eine bestimmte Person oder Rolle das Ziel ist.

Nach einer Kampagne zählt, was in der folgenden Stunde geschieht. Wer geklickt hat, sollte auf einer kurzen Seite landen, die erklärt, woran die Nachricht zu erkennen war - und nicht auf einer Meldung über den eigenen Fehltritt. Einzelergebnisse gehören nicht veröffentlicht; auf Teamebene aggregierte Daten reichen zur Steuerung des Programms und zerstören nicht das Vertrauen, auf dem das Melden beruht. Zu vermeiden sind auch Szenarien, die auf starke Gefühle zielen, etwa fingierte Kündigungen oder Nachrichten über Schicksalsschläge - sie erzeugen Widerstand gegen das ganze Programm, und ihr Lernwert ist gering.

Die Daten zur Wirksamkeit von Simulationen stammen großteils von Anbietern von Schulungsplattformen, was zur Vorsicht mahnt. Die von KnowBe4 veröffentlichte Branchenübersicht [8] gibt an, dass der Anteil der Klickenden im Lauf eines guten Jahres von etwa einem Drittel auf wenige Prozent fällt. Das ist jedoch Material eines Unternehmens, das solche Programme verkauft, gestützt auf Daten seiner eigenen Kunden und nicht auf eine Studie mit Kontrollgruppe - die Zahlen taugen als Richtungsangabe, nicht als gemessener Ursachenzusammenhang. Die oben beschriebene begutachtete Forschung zur Behaltensleistung ist in dieser Rolle eine weit tragfähigere Grundlage.

Metriken des Programms

Ohne Messung lässt sich ein wirkendes Programm nicht von einem abgehakten unterscheiden. Methodische Hinweise zum Aufbau solcher Messungen gibt die Norm ISO/IEC 27004:2016 [9]; der folgende Satz ist ein praktisches Minimum.

Die Grundgröße ist die Abdeckung - der Anteil des Personals, der die geplanten Module fristgerecht abgeschlossen hat. Sie ist leicht zu erheben und für sich genommen nutzlos, weil sie Teilnahme misst und nicht Wirkung. Zwei Größen, die Wirkung beschreiben, sind die Klickrate bei simulierten Nachrichten und die Meldequote, mit der sie als verdächtig gemeldet werden. Von beiden wiegt die zweite schwerer, denn Klicken sagt etwas über einen einzelnen Fehler, Melden aber darüber, ob die Organisation von Angriffsversuchen überhaupt erfährt. Ihr Verhältnis ist ein besserer Reifeindikator als jede der beiden allein.

Die dritte Größe ist die Meldezeit, gerechnet von der Zustellung der Nachricht bis zur Meldung. Sie wirkt unmittelbar auf die Folgen eines realen Vorfalls und auf regulatorische Fristen, darunter die 24-Stunden-Frühwarnung aus NIS2 [7]. Die vierte ist die Zahl realer, vom Personal gemeldeter Ereignisse, wobei ihr Anstieg in den ersten Monaten ein gutes und kein schlechtes Zeichen ist: Es wächst nicht die Zahl der Angriffe, sondern die der bemerkten. Genau deshalb sind Meldungen, Klicks auf echte Nachrichten und tatsächliche Kompromittierungen getrennt zu zählen - die erste Zahl soll steigen, die beiden anderen sinken.

Alle diese Größen gehören regelmäßig und in einer Übersicht berichtet, denn einzeln lässt sich jede verbessern, ohne dass die Sicherheit besser wird. Eine Klickrate nahe null ist kein Erfolg, sondern ein Anlass zur Programmüberprüfung: Meist bedeutet sie zu einfache, am Absender oder Kampagnenmuster erkennbare Simulationen oder eine Kultur, in der niemand riskiert, eine verdächtige Nachricht anzufassen oder zu melden.

Vorschriften, die Schulungen verlangen

Die Schulungspflicht folgt heute aus mehreren unabhängigen Grundlagen, von denen jede einen etwas anderen Personenkreis erfasst. Die NIS2-Richtlinie [7] nennt in Artikel 21 Absatz 2 Buchstabe g "grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit" unter den Risikomanagementmaßnahmen und verpflichtet in Artikel 20 Absatz 2 gesondert die Mitglieder des Leitungsorgans, regelmäßig Schulungen zu besuchen, die es ihnen erlauben, Risiken zu erkennen und Risikomanagementpraktiken zu bewerten. Diese beiden Vorschriften sind getrennt, und die Erfüllung der einen entbindet nicht von der anderen. In Polen gelten sie über das Cybersicherheitsgesetz [10].

Im öffentlichen Sektor ist die KRI-Verordnung [11] eine eigenständige Grundlage. Ihr § 19 Absatz 2 Nummer 6 verlangt Schulungen für Personen, die an der Verarbeitung von Informationen beteiligt sind, und nennt als einzige Position der ganzen Liste den Themenumfang ausdrücklich: Bedrohungen der Informationssicherheit, Folgen von Regelverstössen samt rechtlicher Verantwortung sowie den Einsatz von Maßnahmen zur Minimierung menschlicher Fehler. Eine Häufigkeit bestimmt die Vorschrift nicht, was mitunter mit dem Fehlen einer Pflicht verwechselt wird.

Die DSGVO [12] geht anders vor: Artikel 39 Absatz 1 Buchstabe b weist Sensibilisierung und Schulung des Personals dem Datenschutzbeauftragten als eine seiner Aufgaben zu, was daraus eine Pflicht der Funktion und nicht der Organisation als solcher macht. Die Norm ISO/IEC 27001:2022 [13] sieht wiederum die Maßnahme A.6.3 vor, die Bewusstsein, Aus- und Weiterbildung aller vom Managementsystem erfassten Personen umfasst.

Zwei Grundlagen sind jünger und betreffen engere Gruppen. Die DORA-Verordnung [14] verlangt von Finanzunternehmen, Schulungen zu Sicherheit und operationaler Resilienz in die verpflichtenden Schulungsprogramme aufzunehmen, Führungskräfte eingeschlossen. Nach der Änderung von 2026 verpflichtet Artikel 4 des AI Act [15] Anbieter und Betreiber dazu, Maßnahmen zu ergreifen, welche die Entwicklung von KI-Kompetenz bei ihrem Personal und anderen in ihrem Namen mit KI-Systemen arbeitenden Personen unterstützen. Ein bestimmtes Kompetenzniveau jeder einzelnen Person müssen sie ausdrücklich nicht gewährleisten. Diese Pflicht ist von der Informationssicherheit zu unterscheiden, wird in der Praxis jedoch häufig in einem gemeinsamen Modul behandelt.

Die deutlichste Veränderung liegt auf der Angreiferseite. Sprachmodelle haben die Einstiegshürde für Angriffe gesenkt, die auf eine bestimmte Person zugeschnitten sind: Fehlerfreier Text mit Bezug auf öffentlich verfügbare Informationen über die Empfängerin ist kein Zeichen von Aufwand mehr. Hinzu kommen Techniken der Stimmsynthese, die das Problem auf den Telefonkanal verlagern - denselben, der sich in der Analyse von Bullée und Kolleginnen [3] als häufigster erwies. Die praktische Antwort besteht nicht darin, immer feinere Signale erkennen zu lehren, denn dieser Weg ist zu Ende, sondern darin, bei jeder Handlung mit erheblichen finanziellen oder Zugriffsfolgen eine unabhängige Verifikation in den Prozess zu schreiben.

Die zweite Veränderung betrifft den Umfang der Programme, die heute den Umgang mit KI-Werkzeugen abdecken müssen: die Grenzen solcher Modelle, das Risiko, ihnen Daten zu geben, die nicht offengelegt werden dürfen, und ihre Anfälligkeit für Manipulation über die Eingabe. Artikel 4 des AI Act [15] gibt dem eine Rechtsgrundlage, doch der Bedarf ist älter als die Vorschrift.

Die dritte Veränderung folgt unmittelbar aus der Arbeit von Lallie und Kollegen [5]: Da Zeitdruck und ungewohnte Lagen die Anfälligkeit deutlich erhöhen, ist es sinnvoll, das Erkennen des eigenen Zustands zu üben und eine einfache Regel einzuführen, in dringlichen Situationen vor dem Handeln innezuhalten. Das ist das einzige Programmelement, das unabhängig vom konkreten Angriffsszenario wirkt.

Woran ein reifes Programm zu erkennen ist

Ein gut gebautes Programm lässt sich an wenigen, leicht prüfbaren Merkmalen beschreiben. Es hat einen regelmäßigen Takt - mindestens vierteljährliche Kontaktpunkte statt eines Treffens im Jahr - und getrennte Pfade für Leitungsorgan, Administration, Personal, Finanzen und die übrigen Beschäftigten. Es umfasst Phishing-Simulationen mit sofortiger Rückmeldung und ohne Sanktion für den Klick sowie einen allen zugänglichen Meldeweg, der eine verdächtige Nachricht mit einer Handlung meldet und dessen Meldungen bei einem Team landen, das sie bearbeiten kann (siehe Artikel zum SOC).

Organisatorisch umfasst ein reifes Programm eine Einführungsschulung, die neue Beschäftigte vor dem Systemzugang absolvieren und nicht erst Wochen später, sowie eine dokumentierte Schulung des Leitungsorgans, wie sie Artikel 20 Absatz 2 NIS2 verlangt. Materialien - Richtlinien, Anleitungen, Kontaktdaten - liegen im Intranet und werden nicht einmal verschickt und dann vergessen.

Schließlich wird ein reifes Programm gemessen und überprüft. Eine monatliche Übersicht zu Abdeckung, Klickrate, Meldequote und Meldezeit macht einen Rückschritt sichtbar, bevor ein Vorfall ihn offenlegt, und eine Jahresdurchsicht erlaubt, Szenarien gegen solche zu tauschen, die dem aktuellen Bedrohungsbild entsprechen [2]. Zusammengehalten wird das alles von einer Kultur, in der eine Meldung geschätzt wird - auch die Meldung des eigenen Fehlers. Ohne sie messen die übrigen Elemente etwas anderes, als sie behaupten.

Häufig gestellte Fragen

Was kostet ein Awareness-Programm für 50 Personen?

Mit externer Plattform (KnowBe4, Hoxhunt, Cofense): 30 bis 80 PLN je Person und Jahr, also 1 500 bis 4 000 PLN jährlich für 50 Personen. Mit eigenen Inhalten (4crypto vor Ort plus E-Learning): 5 000 bis 15 000 PLN für ein Jahresprogramm aus vier Sitzungen, Simulationen und Auswertung.

Vor Ort oder online?

Hybrid. Jährliche Einführung und Quartalsbriefing wirken vor Ort besser (Kontakt, Diskussion). Microlearning und Simulationen gehören ins Netz (Skalierbarkeit, Automatisierung).

Ist eine Schulungsplattform Pflicht?

Nein, aber sie hilft erheblich. Ohne sie müssen Inhalte gekauft oder erstellt, Kampagnen geplant, Ergebnisse ausgewertet und Berichte geschrieben werden - 20 bis 40 Stunden im Monat. Eine Plattform für 1 500 bis 4 000 PLN im Jahr ist deutlich günstiger als diese Arbeitszeit.

Was tun, wenn jemand wiederholt auf Phishing klickt?

Nicht bestrafen - das hält vom Melden ab. Stattdessen: ein kurzes Einzelgespräch von 15 bis 30 Minuten, ein Wechsel des Simulationsmusters beginnend beim einfachsten, und Beobachtung im SOC (siehe SOC 24/7). Hält das Problem nach sechs bis zwölf Monaten intensiver Begleitung an, wird daraus ein Personalgespräch.

Wie schult man eine Leitung, die "keine Zeit hat"?

Format für die Leitung: zwei bis drei Stunden im Jahr, gehalten von einer externen Fachperson. Der Inhalt kreist um die persönliche Verantwortung (NIS2 Artikel 20) und um reale Vorfälle in der Branche. In größeren Organisationen zusätzlich vierteljährliche Einzelbriefings für Geschäftsführung, Finanzen und Technik (15 bis 30 Minuten: die drei wichtigsten Vektoren der Branche und der Stand der eigenen Vorbereitung).

Ändert der AI Act die Security Awareness?

Ja - grundlegend. Seit dem 2. Februar 2025 gilt die Anforderung der KI-Kompetenz für Personal, das KI-Systeme nutzt (AI Act Artikel 4) [15]. Inhalte: was KI ist, ihre Grenzen, Halluzinationen, Prompt Injection, Datenschutz in Eingaben, Grenzen beim Einsatz von Verbrauchermodellen (siehe DSGVO-Audit).

Müssen Schulungen auf Polnisch stattfinden?

Für Beschäftigte in Polen - ja. Das folgt aus allgemeinen Grundsätzen: Der Inhalt muss verständlich sein. In internationalen Organisationen: zweisprachig oder in der Arbeitssprache, mit einer polnischen Fassung für polnischsprachige Beschäftigte.

Eine Klickrate von null Prozent in der Simulation - gut oder schlecht?

Schlecht - ein Alarmsignal. Klassisches Security Theatre. Die drei häufigsten Ursachen:

  1. Die Simulationen sind zu einfach - ein generisches "Ihr Office-365-Konto läuft ab" mit Tippfehlern. Die Beschäftigten erkennen es, die Statistik sieht gut aus, und ein sorgfältig gemachter Chefbetrug funktioniert weiterhin.
  2. Die Beschäftigten wissen, dass es eine Simulation ist - eine undichte Stelle in der IT, ein offensichtlicher Absender (typisch @simulated-phishing.com), erlernte Kampagnenmuster.
  3. Die Beschäftigten trauen sich nicht, berechtigte Zweifel zu äußern - eine Strafe für den Klick führt dazu, dass sie ignorieren und auch nicht melden.

Es gibt keinen belastbaren Schwellenwert, unterhalb dessen eine Klickrate Programmreife belegt - die veröffentlichten Zahlen stammen überwiegend von Plattformanbietern und beschreiben deren eigene Kunden. Sicher ist dagegen, dass ein Nullwert sich nicht deuten lässt: Er unterscheidet eine widerstandsfähige Organisation nicht von einer, die mit zu einfachen Mustern testet. Eine sinnvollere Bewertungsgrundlage sind Meldequote und Meldezeit sowie, forschungsseitig, das Anhalten der Verbesserung über die Zeit, das Reinheimer und Kollegen gemessen haben [4].

Meldequote oder Klickrate - was wiegt schwerer?

Die Meldequote. Die Klickrate sagt "wer ist hereingefallen" - ein negativer Indikator. Die Meldequote (Anteil der Beschäftigten, die über die Schaltfläche Phishing melden im Mailprogramm etwas Verdächtiges gemeldet haben) ist ein Indikator der Sicherheitskultur. Die Logik ist einfach und braucht keine Studie: Eine Organisation erfährt von einer Phishing-Kampagne, wenn jemand sie meldet, also setzt die Meldequote die Obergrenze dessen, was außerhalb des technischen Filters erkennbar ist. Konkrete Schwellen aus Anbietermaterialien [8] beschreiben deren eigene Kunden und stammen nicht aus einer Studie mit Kontrollgruppe - verfolgen Sie den eigenen Trend, statt sich an fremden Vergleichswerten zu messen.

Die Folge: Berichten Sie monatlich beides, doch das Feiern einer steigenden Meldequote hat kulturell mehr Gewicht als das Anprangern der Klickrate.

Jemand meldet Phishing per normaler E-Mail statt per Schaltfläche - was nun?

Wertschätzen und den weiteren Weg erleichtern. Ein wie auch immer gemeldetes Phishing (Mail, Telefon, Chat) ist ein Wert. In der Praxis:

  1. Antworten Sie binnen einer Stunde mit Dank und der Rückmeldung, ob es tatsächlich Phishing war.
  2. Bieten Sie die Einrichtung der Schaltfläche in Outlook oder Gmail an - eine einmalige Konfiguration, danach erreichen die Meldungen das SOC samt Metadaten.
  3. Aktivieren Sie die Meldefunktion in Microsoft 365 (Defender for Office 365) oder Cofense Reporter / KnowBe4 PAB - kostenfrei oder günstig.
  4. Schulen Sie kurz - eine knappe Anleitung im Intranet, "Phishing mit einem Klick melden".

Dieses Vorgehen entspricht NIST SP 800-50r1 [6], das die ganze Aufmerksamkeit auf Verhaltensänderung und Sicherheitskultur lenkt statt auf Sanktionen für den Klick.

Nach der Schulung sind reale Vorfälle gestiegen - gut oder schlecht?

Meist gut - in der Regel steigt das Melden, nicht die Zahl der Angriffe. Der Mechanismus ist einfach: Vor dem Programm wurde ein Teil der Versuche niemandem gemeldet und existierte deshalb in keiner Statistik. Nach dem Start steigt die Zahl der Meldungen, stabilisiert sich auf höherem Niveau und kann mit der Zeit sogar fallen, wenn harmlose Nachrichten treffsicherer aussortiert werden. Das Tempo hängt vom Ausgangspunkt ab und lässt sich nicht seriös als allgemeine Zahl angeben - der eigene Bezugswert muss vor dem Programmstart gemessen werden, sonst fehlt später der Vergleich.

Die Kennzahlen sind zu trennen: Zahl der gemeldeten Versuche, Zahl der Klicks auf echtes Phishing, Zahl der tatsächlichen Kompromittierungen (Zugangsdaten, Schadsoftware). Die erste steigt - das ist gut. Die beiden anderen sollen sinken - das bestätigt, dass das Programm wirkt.

Ist KI-Kompetenz nach dem AI Act dasselbe wie Security Awareness?

Verwandt, aber verschieden. Nach der Änderung von 2026 verlangt AI Act Artikel 4 [15] Maßnahmen, welche die Entwicklung von KI-Kompetenz unterstützen. Die Organisation muss kein bestimmtes Niveau für jede einzelne Person gewährleisten. Ein gemeinsames Modul mit Security Awareness ist zulässig und oft wirtschaftlich sinnvoll. Inhalte der KI-Kompetenz:

  • Was KI ist - Sprachmodell, Klassifikator, Entscheidungssystem.
  • Grenzen - Halluzinationen, Verzerrung, kein Schließen über Fakten.
  • Sicherheit - Prompt Injection, Datenabfluss über die Ausgabe, Jailbreaking.
  • Datenschutz - was in Eingaben gehört (siehe DSGVO-Audit).
  • Ethik und Verantwortung - wer für eine falsche KI-Entscheidung einsteht.

Für die Leitung: ein erweitertes Modul zur Risikoklassifizierung nach dem AI Act und zur Verantwortung für Hochrisikosysteme.

Brauchen Sie Beratung in diesem Bereich?

Eine kostenlose 30-60 minütige Beratung. Ohne Verpflichtungen. Wir besprechen Bedarf, Umfang und einen groben Zeitplan.

Anrufen: +48 691 122 312 office@4crypto.eu

Verwandte Inhalte

Weitere Kompetenzbereiche

Compliance und Regulierung

Bibliografie und Quellen

Alle zitierten Quellen sind öffentlich zugänglich. ISO/IEC-Normen, IETF-RFCs, EU-Richtlinien und nationale Rechtsakte verweisen auf die Originaldokumente.

  1. [1]reportVerizon Business (2024). 2024 Data Breach Investigations Report (DBIR). Verizon, 17th edition · https://www.verizon.com/business/resources/reports/dbir/
  2. [2]reportEuropean Union Agency for Cybersecurity (ENISA) (2025, wersja 1.2 z 9 stycznia 2026 r.). ENISA Threat Landscape 2025. ENISA · https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025
  3. [3]peer-reviewedBullée, J.-W., Montoya, L., Junger, M., Hartel, P. (2018). On the anatomy of social engineering attacks-A literature-based dissection of successful attacks. Journal of Investigative Psychology and Offender Profiling, vol. 15, no. 1, pp. 20-45 · DOI: 10.1002/jip.1482
  4. [4]peer-reviewedReinheimer, B., Aldag, L., Mayer, P., Mossano, M., Duezguen, R., Lofthouse, B., von Landesberger, T., Volkamer, M. (2020). An investigation of phishing awareness and education over time: When and how to best remind users. Sixteenth Symposium on Usable Privacy and Security (SOUPS 2020), USENIX Association, pp. 259-284 · https://www.usenix.org/conference/soups2020/presentation/reinheimer
  5. [5]peer-reviewedLallie, H. S., Shepherd, L. A., Nurse, J. R. C., Erola, A., Epiphaniou, G., Maple, C., Bellekens, X. (2021). Cyber security in the age of COVID-19: A timeline and analysis of cyber-crime and cyber-attacks during the pandemic. Computers & Security, vol. 105, art. 102248 · DOI: 10.1016/j.cose.2021.102248
  6. [6]standardMerritt, M., Hansche, S., Ellis, B., Sanchez-Cherry, K., Nethery Snyder, J., Walden, D. (2024). NIST SP 800-50r1: Building a Cybersecurity and Privacy Learning Program. National Institute of Standards and Technology, wrzesień 2024 r. Zastąpiła SP 800-50 (2003) i SP 800-16 (1998) · DOI: 10.6028/NIST.SP.800-50r1
  7. [7]regulationParlament Europejski, Rada UE (2022). Dyrektywa (UE) 2022/2555 (NIS2) w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa. Dziennik Urzędowy UE, L 333, 27.12.2022 · https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022L2555
  8. [8]reportKnowBe4 (2024). 2024 Phishing by Industry Benchmarking Report. KnowBe4 Research · https://www.knowbe4.com/resources/reports/phishing-by-industry-benchmarking-report
  9. [9]standardInternational Organization for Standardization (2016). ISO/IEC 27004:2016 - Monitoring, measurement, analysis and evaluation. ISO/IEC · https://www.iso.org/standard/64120.html
  10. [10]regulationSejm RP (2018). Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa (KSC). Dz.U. 2018 poz. 1560 (z późn. zm.) · https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20180001560
  11. [11]regulationRada Ministrów RP (2024). Rozporządzenie Rady Ministrów z 21 maja 2024 r. w sprawie Krajowych Ram Interoperacyjności (KRI). Dz.U. 2024 poz. 773 · https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20240000773
  12. [12]regulationParlament Europejski, Rada UE (2016). Rozporządzenie (UE) 2016/679 (RODO) w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych. Dziennik Urzędowy UE, L 119, 4.5.2016 · https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32016R0679
  13. [13]standardInternational Organization for Standardization (2022). ISO/IEC 27001:2022 - Information security, cybersecurity and privacy protection - Information security management systems - Requirements. ISO/IEC · https://www.iso.org/standard/27001
  14. [14]regulationParlament Europejski, Rada UE (2022). Rozporządzenie (UE) 2022/2554 (DORA) w sprawie operacyjnej odporności cyfrowej sektora finansowego. Dziennik Urzędowy UE, L 333, 27.12.2022 · https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32022R2554
  15. [15]regulationParlament Europejski, Rada UE (2024). Rozporządzenie (UE) 2024/1689 (AI Act) ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji. Dziennik Urzędowy UE, L seria, 12.7.2024 · https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R1689
  16. [16]reportVerizon Business (2026). 2026 Data Breach Investigations Report (DBIR). Verizon · https://www.verizon.com/business/resources/reports/dbir/
4crypto.eu