Security Awareness im KMU: Welche Formate sind verbreitet?

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an Security-Awareness-Schulungen ergeben sich aus mehreren parallelen Quellen:

• NIS2-Richtlinie (EU) 2022/2555 Art. 21 Abs. 2 lit. g verlangt Maßnahmen im Bereich der Cyber-Sicherheits-Hygiene und der Schulung des Personals als Bestandteil des Risikomanagements, sofern das Unternehmen in den Anwendungsbereich fällt.
• DSGVO Art. 32 Abs. 4 verlangt die Verpflichtung der mit der Verarbeitung betrauten Personen auf das Datenschutzrecht; in Verbindung mit Art. 32 Abs. 1 schließt dies eine angemessene Schulung mit ein.

Detail

• BSI IT-Grundschutz Baustein ORP.3 (Sensibilisierung und Schulung) ist die anerkannte Referenz für die Auslegung im deutschen Raum und beschreibt sowohl die Inhalte als auch die Dokumentations-Anforderungen.
• ISO/IEC 27001:2022 Annex A.6.3 (Information security awareness, education and training) definiert international die Anforderungen an ein dokumentiertes Schulungsprogramm.
• Sektorspezifische Anforderungen (BAIT für Banken, VAIT für Versicherer, KAIT für Kapitalverwaltungsgesellschaften, MaRisk, B3S Krankenhaus, KRITIS-Verordnung, TKG, IT-Sicherheitskatalog für Energieversorger) sehen regelmäßig erweiterte Schulungspflichten mit konkreten Frequenz- und Inhaltsvorgaben vor.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Tiefe und Formalisierung des Schulungsprogramms richten sich nach Schutzbedarf und Sektor:

• Normaler Schutzbedarf (Standard-Bürobetrieb ohne sektorspezifische Vorgaben): Strukturierte Mikro-Lernformate mit dokumentierten Teilnahmeprotokollen und einer initialen Onboarding-Einweisung sind ein verbreiteter Bezugspunkt, sofern die Dokumentations-Anforderungen nach BSI ORP.3 erfüllt sind.
• Hoher Schutzbedarf (vertrauliche Geschäftsdaten, größere Kundendatenbestände, exponierte Rollen wie Geschäftsführung, Finanzbuchhaltung, HR, IT-Administration): Hier sind rollen-spezifische vertiefte Inhalte, regelmäßige Wiederholungen und ggf. simulierte Phishing-Tests in Erwägung zu ziehen.

Detail

• Sehr hoher Schutzbedarf (regulierte Sektoren, besondere Datenkategorien nach Art. 9 DSGVO, KRITIS-relevante Tätigkeiten): Formalisierte Schulungsprogramme mit definierter Mindest-Frequenz, Wirksamkeitsmessung und Auditierbarkeit sind regelmäßig erforderlich.

Welcher Aufbau-Rahmen ist verbreitet?

Mikro-Lernformate, wie sie in den ENISA-Awareness-Raising-Guides und im BSI-Baustein ORP.3 referenziert werden, beruhen auf der lernpsychologischen Erkenntnis, dass häufig wiederholte kurze Impulse gegenüber einmaligen Langformaten zu besseren Behaltensquoten führen können. Der Ansatz ist nicht neu, er ist im internationalen Korpus der Erwachsenenbildungs- und Arbeitssicherheits-Literatur seit langem dokumentiert.

Detail

Ein verbreiteter Aufbau im KMU-Bereich umfasst vier Bestandteile:

1. Initialschulung beim Onboarding. Eine strukturierte Einweisung beim Eintritt neuer Mitarbeitender mit den zentralen Inhalten (Phishing-Erkennung, Passwort-Management, Multi-Faktor-Authentifizierung, Eskalationsweg bei Verdachtsfällen). Die Dauer ist nicht gesetzlich vorgegeben, entscheidend ist die nachweisbare Vermittlung der relevanten Inhalte.

2. Regelmäßige Awareness-Impulse. Kurze themen-zentrierte Mitteilungen mit konkreten Beispielen aus der aktuellen Bedrohungslage. Inhalte können aus BSI-CERT-Bund-Meldungen, ENISA-Lageberichten oder kommerziellen Bedrohungs-Diensten abgeleitet werden. Die Frequenz und Tiefe sind unternehmensindividuell festzulegen.

3. Simulierte Phishing-Tests. Kontrollierte Test-Sendungen mit anschließender Lernintervention für Mitarbeitende, die auf den Test reagieren. Marktbekannte Anbieter (Hornetsecurity, Sophos, KnowBe4, SoSafe, IT-Seal u. a.) bieten konfigurierbare Programme; die Auswahl hängt von Mitarbeitenden-Zahl, Sprach-Anforderungen und Budget ab.

4. Reporting-Prozess und No-Blame-Kultur. Eine dedizierte Meldemöglichkeit für verdächtige E-Mails (technische Anbindung in Microsoft 365 oder Google Workspace via Add-in) sowie eine schuldzuweisungs-freie Aufarbeitungskultur sind nach ENISA-Empfehlung Bestandteil eines tragfähigen Programms.

Wie ist die Wirksamkeit zu bewerten?

Die Wirksamkeitsmessung eines Awareness-Programms erfolgt nach BSI ORP.3 und ISO/IEC 27001 Annex A.6.3 über mehrere Kennzahlen:

• Teilnahmequoten je Schulungseinheit und Mitarbeitenden-Gruppe.
• Phishing-Test-Reaktion (Klickquote, Meldequote) im Zeitverlauf, ggf. nach Rolle und Standort segmentiert.

Detail

• Incident-Statistik mit Bezug zu Phishing- und Social-Engineering-Vorfällen.
• Selbst-Reporting verdächtiger E-Mails als Indikator für die Awareness-Reife.

Eine pauschale Erwartung an Verbesserungsquoten ist nicht zielführend, die Entwicklung hängt von Ausgangslage, Schulungsintensität und externer Bedrohungslage ab. Eine kontinuierliche Auswertung mit dokumentierten Anpassungs-Maßnahmen ist Bestandteil eines tragfähigen Programms.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mikro-Lernformate sind nicht für alle Unternehmensprofile ausreichend. In den folgenden Konstellationen sind formalisierte Schulungsprogramme mit definierten Frequenz- und Inhaltsanforderungen erforderlich:

• Finanzsektor (BAIT, VAIT, KAIT, MaRisk): Detaillierte Vorgaben zu Schulungs-Frequenz, Rollen-Differenzierung und Wirksamkeitsnachweis. Eine Mikro-Lern-Praxis ist nicht ohne Weiteres ausreichend.
• Gesundheitssektor (B3S Krankenhaus, KHZG, sektorspezifische Schulungspflichten zum Schutz besonderer Datenkategorien): Erweiterte Anforderungen an Schulungs-Tiefe und Wiederholung.

Detail

• KRITIS-Betreiber nach BSI-KritisV: Schulungs- und Sensibilisierungs-Maßnahmen sind Bestandteil des Nachweis-Verfahrens nach § 39 BSIG (vormals § 8a BSIG); Aufzeichnungs- und Wirksamkeits-Anforderungen sind im sektorspezifischen Standard (B3S) detailliert.
• NIS2-pflichtige wesentliche und wichtige Einrichtungen: Erforderlich ist ein dokumentiertes Schulungsprogramm mit Wirksamkeitsnachweis nach Art. 21 Abs. 2 lit. g. Die Ad-hoc-Praxis ist nicht ausreichend.
• Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO: Erweiterte Schulungs-Inhalte zu Vertraulichkeit, Berechtigungs-Management und Meldepflichten sind regelmäßig erforderlich.
• Branchen mit hohem Spear-Phishing-Risiko (Forschung und Entwicklung, Verteidigungs-Zulieferer, Auto-Zulieferer mit TISAX-Anforderungen): Erweiterte Trainings zu zielgerichteten Angriffsmustern sind in Erwägung zu ziehen.
• Cyber-Policen mit erweiterten Anforderungen: Versicherungsbedingungen schreiben regelmäßig dokumentierte Schulungsprogramme und Phishing-Test-Frequenzen als Deckungsvoraussetzung vor.

Bei Unsicherheit über die einschlägige Schulungs-Tiefe ist eine fachliche Beratung dem Verzicht auf Erweiterungen vorzuziehen.

Nächster Schritt

Eine erste Strukturierung der Reaktionsorganisation auf Social-Engineering- und Phishing-Vorfälle lässt sich über den Incident-Response-Plan-Generator anlegen. Die Verankerung der Awareness-Maßnahmen im Pflichten-Kanon der NIS2 erfolgt im nächsten Schritt.

Eine Einordnung in die breitere Cyber-Sicherheits-Hygiene unter NIS2 findet sich in NIS2-Cybersicherheitshygiene in der Praxis.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand 2026-05-16. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.