Security Awareness im KMU: Welche Formate sind verbreitet?

Welche regulatorischen Grundlagen sind einschlägig?

Die Anforderungen an Security-Awareness-Schulungen ergeben sich aus mehreren parallelen Quellen:

• NIS2-Richtlinie (EU) 2022/2555 Art. 21 Abs. 2 Buchst. g nennt grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit als Teil des Risikomanagements. In Deutschland gilt seit 06.12.2025 § 30 Abs. 2 BSIG: Nr. 7 verlangt „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik", Nr. 6 Konzepte und Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen.
• DSGVO Art. 32 Abs. 4 verlangt, dass Verantwortliche und Auftragsverarbeiter Schritte unternehmen, damit ihnen unterstellte Personen mit Zugang zu personenbezogenen Daten diese nur auf Anweisung des Verantwortlichen verarbeiten. Schulungen sind ein naheliegendes Mittel dafür und zugleich Teil der technisch-organisatorischen Maßnahmen nach Art. 32 Abs. 1.

• BSI IT-Grundschutz Baustein ORP.3 (Sensibilisierung und Schulung zur Informationssicherheit) verlangt unter anderem eine Zielgruppenanalyse und ein zielgruppenorientiertes Programm (A4), die Schulung aller Mitarbeitenden entsprechend ihren Aufgaben (A6) und die Messung des Lernerfolgs (A8).
• ISO/IEC 27001:2022 Annex A.6.3 (Information security awareness, education and training) definiert international die Anforderungen an ein dokumentiertes Schulungsprogramm.
• Sektorspezifische Anforderungen können hinzukommen, etwa im Finanzsektor DORA (VO (EU) 2022/2554), deren Art. 13 Abs. 6 Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtmodule verlangt; VAIT, KAIT und ZAIT hat die BaFin zum 16.01.2025 aufgehoben, die BAIT entfallen mit Ablauf des 31.12.2026 vollständig. Im Gesundheitswesen gibt es branchenspezifische Sicherheitsstandards (B3S). Die BSI-KritisV selbst legt nur Sektoren und Schwellenwerte fest, keine Schulungspflichten.

Welche Schutzbedarfs-Stufe passt typisch zu KMU?

Die Tiefe und Formalisierung des Schulungsprogramms richten sich nach Schutzbedarf und Sektor:

• Normaler Schutzbedarf (Standard-Bürobetrieb ohne sektorspezifische Vorgaben): Strukturierte Mikro-Lernformate mit dokumentierten Teilnahmeprotokollen und einer initialen Onboarding-Einweisung sind ein verbreiteter Bezugspunkt, sofern sich Teilnahme und Lernerfolg nachvollziehen lassen (vgl. ORP.3.A8).
• Hoher Schutzbedarf (vertrauliche Geschäftsdaten, größere Kundendatenbestände, exponierte Rollen wie Geschäftsführung, Finanzbuchhaltung, HR, IT-Administration): Hier sind rollen-spezifische vertiefte Inhalte, regelmäßige Wiederholungen und ggf. simulierte Phishing-Tests in Erwägung zu ziehen.

• Sehr hoher Schutzbedarf (regulierte Sektoren, besondere Datenkategorien nach Art. 9 DSGVO, KRITIS-relevante Tätigkeiten): Formalisierte Schulungsprogramme mit definierter Mindest-Frequenz, Wirksamkeitsmessung und Auditierbarkeit kommen in Betracht.

Welcher Aufbau-Rahmen ist verbreitet?

Mikro-Lernformate setzen auf häufig wiederholte kurze Impulse statt einmaliger Langformate. BSI-Baustein ORP.3 schreibt kein bestimmtes Format vor, verlangt aber ein zielgruppenorientiertes Programm, das regelmäßig überprüft und aktualisiert wird (ORP.3.A4). Kurze wiederkehrende Formate lassen sich damit vereinbaren, wenn sie alle Zielgruppen erreichen und der Lernerfolg gemessen wird.

Ein verbreiteter Aufbau im KMU-Bereich umfasst vier Bestandteile:

1. Initialschulung beim Onboarding. Eine strukturierte Einweisung beim Eintritt neuer Mitarbeitender mit den zentralen Inhalten (Phishing-Erkennung, Passwort-Management, Multi-Faktor-Authentifizierung, Eskalationsweg bei Verdachtsfällen). Die Dauer ist nicht gesetzlich vorgegeben, entscheidend ist die nachweisbare Vermittlung der relevanten Inhalte.

2. Regelmäßige Awareness-Impulse. Kurze themen-zentrierte Mitteilungen mit konkreten Beispielen aus der aktuellen Bedrohungslage. Inhalte können aus BSI-CERT-Bund-Meldungen, ENISA-Lageberichten oder kommerziellen Bedrohungs-Diensten abgeleitet werden. Die Frequenz und Tiefe sind unternehmensindividuell festzulegen.

3. Simulierte Phishing-Tests. Kontrollierte Test-Sendungen mit anschließender Lernintervention für Mitarbeitende, die auf den Test reagieren. Marktbekannte Anbieter (Hornetsecurity, Sophos, KnowBe4, SoSafe, IT-Seal u. a.) bieten konfigurierbare Programme; die Auswahl hängt von Mitarbeitenden-Zahl, Sprach-Anforderungen und Budget ab.

4. Reporting-Prozess und No-Blame-Kultur. Eine dedizierte Meldemöglichkeit für verdächtige E-Mails (technische Anbindung in Microsoft 365 oder Google Workspace via Add-in) sowie eine schuldzuweisungs-freie Aufarbeitungskultur senken die Hemmschwelle, Fehlklicks früh zu melden.

Wie ist die Wirksamkeit zu bewerten?

ORP.3.A8 verlangt, den Lernerfolg zielgruppenbezogen quantitativ und qualitativ zu messen, nennt aber keine Kennzahlen. In der Praxis eignen sich zum Beispiel:

• Teilnahmequoten je Schulungseinheit und Mitarbeitenden-Gruppe.
• Phishing-Test-Reaktion (Klickquote, Meldequote) im Zeitverlauf, ggf. nach Rolle und Standort segmentiert.

• Incident-Statistik mit Bezug zu Phishing- und Social-Engineering-Vorfällen.
• Selbst-Reporting verdächtiger E-Mails als Indikator für die Awareness-Reife.

Eine pauschale Erwartung an Verbesserungsquoten ist nicht zielführend, die Entwicklung hängt von Ausgangslage, Schulungsintensität und externer Bedrohungslage ab. Eine kontinuierliche Auswertung mit dokumentierten Anpassungs-Maßnahmen ist Bestandteil eines tragfähigen Programms.

Welche Konstellationen erfordern abweichendes Vorgehen?

Mikro-Lernformate sind nicht für alle Unternehmensprofile ausreichend. In den folgenden Konstellationen sind formalisierte Schulungsprogramme mit definierten Frequenz- und Inhaltsanforderungen erforderlich:

• Finanzsektor: Seit 17.01.2025 gilt DORA (VO (EU) 2022/2554); Art. 13 Abs. 6 verlangt Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtmodule für alle Beschäftigten und die Geschäftsleitung, mit einem Anspruchsniveau entsprechend der jeweiligen Funktion. VAIT, KAIT und ZAIT hat die BaFin aufgehoben; die BAIT gelten nur noch für Institute außerhalb von DORA und entfallen mit Ablauf des 31.12.2026 vollständig. Eine Mikro-Lern-Praxis ist nicht ohne Weiteres ausreichend.
• Gesundheitssektor: Für Krankenhäuser gibt es den branchenspezifischen Sicherheitsstandard B3S Krankenhaus; welche Schulungsanforderungen er enthält, ist im jeweils gültigen Standard zu prüfen. Das Krankenhauszukunftsgesetz (KHZG, Krankenhauszukunftsfonds nach § 14a KHG) regelt Fördermittel und begründet keine Schulungspflicht.

• Betreiber kritischer Anlagen (Schwellenwerte nach BSI-KritisV): Sie müssen dem BSI nach § 39 BSIG (vormals § 8a BSIG) alle drei Jahre durch Sicherheitsaudits, Prüfungen oder Zertifizierungen die Umsetzung der Maßnahmen nach § 30 und § 31 BSIG nachweisen, zu denen Schulungen nach § 30 Abs. 2 Nr. 7 gehören.
• NIS2-pflichtige besonders wichtige und wichtige Einrichtungen: § 30 Abs. 2 Nr. 7 BSIG verlangt grundlegende Schulungen und Sensibilisierungsmaßnahmen, Nr. 6 Verfahren zur Bewertung der Wirksamkeit der Maßnahmen (Umsetzung von Art. 21 Abs. 2 Buchst. g und f NIS2-Richtlinie). Schulungen sollten deshalb so dokumentiert werden, dass sich Durchführung und Wirksamkeit nachweisen lassen.
• Verarbeitung besonderer Datenkategorien nach Art. 9 DSGVO: Erweiterte Schulungs-Inhalte zu Vertraulichkeit, Berechtigungs-Management und Meldepflichten sind regelmäßig erforderlich.
• Branchen mit hohem Spear-Phishing-Risiko (Forschung und Entwicklung, Verteidigungs-Zulieferer, Auto-Zulieferer mit TISAX-Anforderungen): Erweiterte Trainings zu zielgerichteten Angriffsmustern sind in Erwägung zu ziehen.
• Cyber-Policen: Ob dokumentierte Schulungsprogramme oder Phishing-Tests Deckungsvoraussetzung sind, regeln die jeweiligen Versicherungsbedingungen; sie sollten vor Vertragsschluss und bei jeder Verlängerung geprüft werden.

Bei Unsicherheit über die einschlägige Schulungs-Tiefe ist eine fachliche Beratung dem Verzicht auf Erweiterungen vorzuziehen.

Nächster Schritt

Eine erste Strukturierung der Reaktionsorganisation auf Social-Engineering- und Phishing-Vorfälle lässt sich über den Incident-Response-Plan-Generator anlegen. Die Verankerung der Awareness-Maßnahmen im Pflichten-Kanon der NIS2 erfolgt im nächsten Schritt.

Eine Einordnung in die breitere Cyber-Sicherheits-Hygiene unter NIS2 findet sich in NIS2-Cybersicherheitshygiene in der Praxis.

Diese Einordnung beruht auf den oben genannten Quellen mit Stand: 18.09.2026. Sie ersetzt keine Einzelfallprüfung durch eine qualifizierte Beratung.