English

Pakete & Abos

Security Awareness Training Plus

Die teuersten Angriffe der vergangenen Jahre begannen selten mit einer unbekannten Sicherheitslücke. Sie begannen mit einer E-Mail, die jemand geöffnet hat. Security Awareness Training Plus setzt genau dort an — nicht mit einer Pflichtschulung im Jahr, sondern mit einem Programm, das über zwölf Monate läuft.

01

Das Problem

Warum die jährliche Pflichtschulung nichts ändert

Das übliche Vorgehen ist schnell beschrieben: einmal im Jahr ein E-Learning, vierzig Minuten, am Ende ein Fragebogen mit vier Antwortmöglichkeiten. Die Teilnahmequote liegt bei hundert Prozent, die Dokumentation ist sauber, das Audit zufrieden.

Geändert hat sich nichts. Wer im Januar gelernt hat, wie eine gefälschte Rechnung aussieht, erkennt sie im September nicht wieder — schon weil die Fälschung im September anders aussieht. Sicherheitsbewusstsein ist kein Wissen, das man einmal erwirbt. Es ist ein Verhalten, und Verhalten entsteht durch Wiederholung, durch Übung unter realistischen Bedingungen und durch Rückmeldung im Moment des Fehlers.

Deshalb ist unser Programm nicht als Kurs angelegt, sondern als Betrieb: kleine Einheiten in kurzem Abstand, echte Simulationen statt Beispielbilder, und eine Auswertung, die zeigt, wo es noch hakt.

Die dunkle Fassade eines großen Bürogebäudes bei Nacht, hunderte unbeleuchtete Fenster in strengem Raster. Genau ein Fenster in der Mitte leuchtet hell und wirft sein Licht auf die umliegenden Scheiben.
02

Der Aufbau

Vier Bausteine, die das ganze Jahr laufen

01

Die vier Bausteine greifen ineinander: die Module vermitteln, die Simulationen prüfen, die Workshops vertiefen, die Auswertung zeigt, wo nachzusteuern ist.

02

Monatliche Online-Module

Jeden Monat eine kurze, interaktive Einheit zu einem aktuellen Thema — von der gefälschten Zahlungsanweisung bis zum Umgang mit privaten Geräten im Firmennetz. Die Module lassen sich zwischen zwei Terminen absolvieren und werden laufend an die tatsächliche Bedrohungslage angepasst, nicht an einen Lehrplan von vorletztem Jahr.

03

Vierteljährliche Phishing-Simulationen

Viermal im Jahr verschicken wir Nachrichten, die aktuellen Angriffsmustern nachgebildet sind — auf Ihr Haus zugeschnitten, mit plausiblen Absendern und Anlässen. Wer klickt, bekommt keine Verwarnung, sondern im selben Moment die Erklärung, woran die Fälschung zu erkennen gewesen wäre. Der Schwierigkeitsgrad wächst mit der Erkennungsrate.

04

Halbjährliche Workshops vor Ort

Zweimal im Jahr kommen unsere Leute zu Ihnen. In der Gruppe wird geübt, was am Bildschirm nicht zu vermitteln ist: der Anruf, der angeblich aus der Buchhaltung kommt; der Besucher ohne Termin; die Frage, wen man wann informiert. Die Inhalte richten sich nach Ihrer Branche — eine Kanzlei hat andere Einfallstore als ein Maschinenbauer.

05

Fortschritt, der sichtbar wird

Sie sehen jederzeit, wo Ihr Haus steht: Erkennungsraten je Abteilung, Entwicklung über die Zeit, Themen mit wiederkehrenden Schwächen. Die Berichte sind für zwei Leserkreise gemacht — eine Fassung für die IT-Sicherheit, eine für die Geschäftsführung, beide aus denselben Daten.

Der Ablauf

Vom ersten Gespräch bis zum laufenden Betrieb

Bis zum ersten Modul vergehen in der Regel drei bis vier Wochen. Danach läuft das Programm, ohne dass Sie es verwalten müssen.

  1. 01

    Bedarfsanalyse — wir ermitteln den Wissensstand und die Einfallstore, die für Ihr Haus tatsächlich zählen. Ohne diesen Schritt schult man an der Wirklichkeit vorbei.

  2. 02

    Zuschnitt — aus der Analyse entsteht ein Plan: welche Themen, in welcher Reihenfolge, für welche Rollen. Die Buchhaltung braucht andere Inhalte als die Entwicklung.

  3. 03

    Einrichtung — die Plattform wird aufgesetzt, Ihre Administratoren eingewiesen, die Anbindung an Ihr Verzeichnis hergestellt.

  4. 04

    Laufender Betrieb — monatlich ein neues Modul, ohne dass jemand bei Ihnen daran denken muss.

  5. 05

    Übung — vierteljährlich die Phishing-Simulation, ausgewertet nach Abteilung und Rolle.

  6. 06

    Vertiefung — halbjährlich der Workshop vor Ort, mit den Themen, die die Auswertung nahegelegt hat.

  7. 07

    Nachsteuern — einmal im Jahr sehen wir gemeinsam auf die Entwicklung und passen den Plan für das Folgejahr an.

03

Das Ergebnis

Was Sie nach zwölf Monaten belegen können

Der Unterschied zur Pflichtschulung liegt nicht im Aufwand, sondern in dem, was am Ende vorliegt. Statt einer Teilnahmeliste haben Sie eine Entwicklungskurve: wie sich die Erkennungsrate über vier Simulationen verändert hat, welche Bereiche zuverlässig melden und welche nicht, und ob überhaupt gemeldet wird, statt nur nicht geklickt zu werden — denn eine gemeldete Phishing-Mail schützt das ganze Haus, eine ignorierte nur den Empfänger.

Diese Nachweise sind zugleich das, was Auditoren sehen wollen. Die Schulungspflichten aus ISO 27001 und NIS2 verlangen nicht nur, dass geschult wurde, sondern dass die Wirksamkeit überprüft wird. Genau das fällt hier nebenbei ab. Wer das Ergebnis in eine Gesamtlage einordnen will, findet es in Sightadel unter der Domäne Governance wieder.

Die Zielgruppe

Für wen sich das Programm lohnt

Das Programm ist für Häuser gemacht, in denen Sicherheit nicht allein Sache der IT sein kann — weil die Angriffe in der Buchhaltung ankommen, im Vertrieb und am Empfang.

01

Unternehmen ab etwa 30 Mitarbeitenden, bei denen der einzelne Zuruf nicht mehr alle erreicht.

02

Regulierte Branchen mit Nachweispflichten aus NIS2, DORA oder ISO 27001.

03

Organisationen, die nach einem Vorfall belegen müssen, dass sich etwas geändert hat.

04

Häuser mit hoher Fluktuation, in denen eine Jahresschulung die Hälfte der Belegschaft verpasst.

04

Zum Schluss

Der Mensch bleibt das Einfallstor — oder wird zur Meldestelle

Kein Programm macht eine Belegschaft unfehlbar. Aber es entscheidet darüber, was passiert, nachdem jemand geklickt hat: ob zwei Stunden vergehen, bis sich jemand aus Sorge vor Ärger doch meldet — oder zwei Minuten, weil das Melden geübt ist und niemand dafür belangt wird.

Diese zwei Minuten sind der eigentliche Ertrag. Sprechen Sie mit uns über den Zuschnitt für Ihr Haus; die Bedarfsanalyse ist unverbindlich.

FAQ

Häufige Fragen

Wie viel Zeit kostet das meine Mitarbeitenden?

Etwa 15 Minuten im Monat für das Online-Modul, dazu zweimal im Jahr ein halber Tag für den Workshop. Die Phishing-Simulationen kosten keine zusätzliche Zeit — sie laufen im normalen Postfach.

Werden die Ergebnisse einzelnen Mitarbeitenden zugeordnet?

Auf Wunsch nicht. Wir werten standardmäßig nach Abteilung und Rolle aus, nicht nach Person. Das ist keine Formalie: Sobald Beschäftigte fürchten, dass ein Klick aktenkundig wird, melden sie Vorfälle später oder gar nicht — und damit verliert das Programm genau die Wirkung, für die es da ist. Die Einbindung des Betriebsrats klären wir vor dem Start.

Was passiert, wenn jemand wiederholt auf Simulationen hereinfällt?

Diese Person bekommt zusätzliche, kürzere Einheiten zum betreffenden Thema — keine Meldung an Vorgesetzte. Wer wiederholt klickt, hat ein Wissensproblem, kein Disziplinproblem.

Reicht das für den Nachweis nach ISO 27001 oder NIS2?

Für den Teil, der Schulung und Sensibilisierung betrifft: ja. Beide verlangen neben der Durchführung auch einen Beleg der Wirksamkeit, und den liefern die Auswertungen. Die übrigen Anforderungen der Normen deckt das Programm nicht ab — dafür ist der ISMS-Aufbau da.

Können wir mit einem Teil des Hauses anfangen?

Ja, das ist sogar der übliche Weg. Häufig startet ein Bereich mit erhöhtem Risiko — Buchhaltung, Einkauf, Geschäftsführung — und das Programm wird nach dem ersten Zyklus ausgeweitet.

Pakete & Abos

Weitere Leistungen in diesem Bereich

Vulnerability Check Basic

Decken Sie Sicherheitslücken in 48 Stunden auf. Schneller Überblick über potenzielle Schwachstellen Ihrer IT-Infrastruk…

Ansehen

Red Teaming

Wie Red Teaming Schwachstellen realistisch aufdeckt, die Cyberresilienz stärkt und Unternehmen bei DORA- und TIBER-EU-A…

Ansehen

vCISO

Externer CISO im flexiblen Abomodell: ISO-27001-Begleitung, Aufbau eines ISMS, Betreuung der Unternehmenssicherheit, SO…

Ansehen

Externer CISO

Ein externer CISO (vCISO) stärkt Ihre IT-Sicherheit strategisch und flexibel — mit ISO-27001-konformer Beratung, Compli…

Ansehen

ISMS-Aufbau

Warum ein strategisches ISMS nach ISO/IEC 27001 heute unverzichtbar ist. So reduzieren Unternehmen Cyberrisiken und erf…

Ansehen

SOC Co-Managed

Security Operations Center: Kontrolle behalten, wir kümmern uns um das Wesentliche. 24/7-Überwachung und Expertenunters…

Ansehen

Kontakt

Reputation braucht Jahre. Zerstörung nur Sekunden.

Sprechen Sie mit uns, bevor es jemand anderes tut. Erstgespräch kostenlos, Rückmeldung am selben Werktag.