Wie baut man ein wirksames Security-Awareness-Training auf?

Ein wirksames Security-Awareness-Training baut man als Programm auf: als geplantes, dauerhaftes Vorgehen, mit dem eine Organisation alle Beschäftigten für Informationssicherheit sensibilisiert und schult. Aufgebaut wird es in acht Schritten: Leitung gewinnen, Ausgangslage messen, Zielgruppen analysieren, Regeln verständlich machen, Inhalte nach Risiken wählen, Formate mischen, alle erreichen, Erfolg messen und verbessern. Einmalige Pflichtschulungen reichen dafür nicht: Wirksam wird Awareness als Teil einer gelebten Sicherheitskultur.

Stand: 22. Oktober 2026. Diesen herstellerneutralen Leitfaden veröffentlicht der Marktplatz IT-Sicherheit des Instituts für Internet-Sicherheit – if(is), gestützt auf den IT-Grundschutz-Baustein ORP.3 „Sensibilisierung und Schulung zur Informationssicherheit“ des Bundesamts für Sicherheit in der Informationstechnik (BSI), die NIST-Richtlinie SP 800-50 Rev. 1 und das BSI-Gesetz.

Was ist Security Awareness?

Security Awareness bedeutet Sicherheitsbewusstsein: Beschäftigte kennen die Sicherheitsziele ihrer Organisation, verstehen die Schutzmaßnahmen und sind bereit, sie umzusetzen. Das BSI nennt Mitarbeitende einen wichtigen Erfolgsfaktor für ein hohes Maß an Informationssicherheit. Sie müssen für relevante Gefährdungen sensibilisiert sein und wissen, was von ihnen erwartet wird und wie sie in sicherheitskritischen Situationen reagieren sollen.

Das US-Standardinstitut NIST fasst in SP 800-50 Rev. 1 (September 2024) Sensibilisierung (Awareness), Schulung (Training) und Ausbildung (Education) zu einem Lernprogramm für Cybersicherheit und Datenschutz zusammen. Es beschreibt dafür einen Lebenszyklus mit vier Phasen: Planung und Strategie, Analyse und Design, Entwicklung und Umsetzung sowie Bewertung und Verbesserung.

Warum Awareness-Maßnahmen wirkungslos bleiben können

Regeln nur festzulegen oder Maßnahmen nur anzuordnen, genügt laut BSI nicht; Beschäftigte sollten Bedeutung und Zweck der Maßnahmen kennen, sonst könnten die Maßnahmen im Arbeitsalltag ignoriert werden. Als Ursachen für erfolglose Sensibilisierung nennt das BSI:

• fehlende Unterstützung durch das Management,
• unklare Ziele und schlechte Planung,
• mangelnde Erfolgskontrolle,
• fehlende Kontinuität sowie
• zu geringe finanzielle oder personelle Ressourcen.

Auch eine Leitung, die selbst kein Vorbild ist, oder übertriebene Sicherheitsanforderungen können dazu führen, dass Beschäftigte Vorgaben nicht umsetzen oder ablehnen.

Wie baut man ein wirksames Security-Awareness-Training auf?

1. Leitung gewinnen: Vor dem Start muss die Unterstützung der Institutionsleitung eingeholt werden, und sie selbst muss für Sicherheitsfragen sensibilisiert sein. Führungskräfte setzen die Vorgaben um und gehen mit gutem Beispiel voran.
2. Ausgangslage messen: Vor dem Start zeigt eine Bedarfsanalyse, wo heutiger Stand und Ziel auseinanderliegen. NIST empfiehlt, vorab Ausgangswerte zu erheben, an denen sich Veränderungen später messen lassen, etwa die aktuelle Klickrate bei Phishing-Übungen je Gruppe oder Rolle. Daran zeigt sich auch, wo gezieltere Schulungen nötig sind.
3. Zielgruppen analysieren: Verwaltung, Produktion, IT-Administration, Führungskräfte und besonders exponierte Personen brauchen unterschiedliche Inhalte. Das BSI empfiehlt eine Zielgruppenanalyse und ein darauf ausgerichtetes Programm.
4. Regeln verständlich machen: Alle Beschäftigten und externen Nutzenden brauchen verbindliche, verständliche und aktuelle Richtlinien zum sicheren Umgang mit IT, Steuerungstechnik und vernetzten Geräten.
5. Inhalte nach Risiken wählen: etwa Phishing und Social Engineering einschließlich CEO-Fraud, also gefälschter Zahlungsanweisungen im Namen der Leitung; sichere Passwörter und Multi-Faktor-Authentisierung; sorgfältiger Umgang mit Informationen am Arbeitsplatz, unterwegs und im Homeoffice; Sicherheitsvorfälle erkennen und sofort melden.
6. Formate mischen: E-Learning, Präsenzschulungen, Übungen und Kampagnen ergänzen sich. Neue Sicherheitsfunktionen werden zusammen mit einer Einweisung eingeführt, damit Beschäftigte sie richtig bedienen.
7. Alle erreichen: neue und langjährige Beschäftigte, Externe mit IT-Zugang und die Leitung. Informationssicherheitsbeauftragte brauchen zusätzlich Methodenwissen, etwa zum IT-Grundschutz.
8. Erfolg messen und verbessern: Lernerfolge zielgruppenbezogen messen, quantitativ und qualitativ, und die Ergebnisse in die Weiterentwicklung einfließen lassen. Das Programm regelmäßig überprüfen und aktualisieren.

Budget, Personal und Zeitplan einplanen

Für ein umfassenderes Awareness-Programm verweist das BSI ergänzend auf acht Schritte der EU-Cybersicherheitsagentur ENISA: Ziele ermitteln, finanzielle Mittel sichern, Personal sichern, Zielgruppen identifizieren, passende Methoden wählen, einen Zeitplan erstellen, starten sowie das Programm evaluieren und überarbeiten. Budget, Personal und Zeitplan gehören damit von Anfang an in die Planung.

Typische Inhalte einer Awareness-Schulung

Ist Awareness-Schulung Pflicht?

Für Einrichtungen, die unter die NIS-2-Regeln fallen, ja. § 30 Absatz 2 Satz 2 Nummer 7 des BSI-Gesetzes (BSIG) nennt unter den Risikomanagementmaßnahmen „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“. Die Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen nach § 38 Absatz 3 BSIG zudem selbst regelmäßig an Schulungen teilnehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Ausnahmen regelt § 28 Absatz 5 und 6 BSIG, etwa für bestimmte Telekommunikations- und Energieunternehmen und für Finanzunternehmen. Für Telekommunikationsunternehmen enthält § 165 Telekommunikationsgesetz eigene Schulungspflichten, für Energieunternehmen verlangt § 5e Absatz 3 Energiewirtschaftsgesetz regelmäßige Schulungen der Geschäftsleitung. Finanzunternehmen verpflichtet stattdessen die EU-Verordnung DORA: Programme zur Sensibilisierung und Schulungen sind dort für alle Beschäftigten und die Geschäftsleitung Pflicht (Art. 13 Absatz 6).

Was das BSI NIS-2-Einrichtungen konkret rät

Die Pflicht nach § 30 BSIG richtet sich laut BSI an alle internen und externen Nutzenden von Systemen und Anwendungen der Einrichtung; die Schulungspflicht der Geschäftsleitung nach § 38 sieht das BSI davon getrennt. Zweckmäßig sei es, neue Beschäftigte schon bei der Ersteinweisung zu schulen und jährlich über aktuelle Neuerungen zu informieren; Poster oder Kampagnen helfen beim Erinnern. Die Durchführung ist zu dokumentieren: Das BSI nennt die Dokumentation eine notwendige Bedingung, um die Anforderung des BSI-Gesetzes zu erfüllen.

Unabhängig davon enthält die Norm ISO/IEC 27001 Vorgaben zur Sensibilisierung und Schulung der Beschäftigten. Sie gelten für Organisationen, die ein Managementsystem nach der Norm betreiben oder zertifizieren lassen. Nach Art. 39 Absatz 1 Buchstabe b der Datenschutz-Grundverordnung überwachen Datenschutzbeauftragte die Einhaltung des Datenschutzes, ausdrücklich einschließlich der Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Mitarbeiter. Zudem unterrichten und beraten sie die Beschäftigten, die Verarbeitungen durchführen (Buchstabe a).

Phishing-Simulationen: was zu beachten ist

Simulierte Phishing-Mails können zeigen, ob Beschäftigte Betrugsversuche erkennen und melden. Sie sollten Teil des Lernens sein und nicht bloßstellen: Wer klickt, erhält am besten sofort eine kurze Erklärung. Werden dabei Daten einzelner Beschäftigter erfasst, sind Datenschutz und in Betrieben mit Betriebsrat dessen Mitbestimmung zu klären; nach § 87 Absatz 1 Nummer 6 Betriebsverfassungsgesetz bestimmt der Betriebsrat bei technischen Einrichtungen mit, die dazu bestimmt sind, das Verhalten oder die Leistung der Beschäftigten zu überwachen.

Phishing-Übungen fair gestalten

NIST rät, den Beschäftigten offen zu sagen, dass Phishing-Übungen in zufälligen Abständen stattfinden und die Ergebnisse weitere Lernangebote steuern. Niemand soll bestraft oder wegen seiner Reaktion vorgeführt werden. Die Rechtsabteilung sollte die Übungen mitplanen, etwa damit keine echten Marken als Köder dienen. Manche Organisationen bauen eine Melde-Schaltfläche ins E-Mail-Programm ein, damit verdächtige Nachrichten schnell gemeldet werden.

Worauf bei Awareness-Anbietern achten?

• Inhalte passend zu Zielgruppen, Branche und Sprache der Beschäftigten, regelmäßig aktualisiert.
• Mischung aus kurzen Lerneinheiten, Übungen und Präsenzformaten.
• Messung des Lernerfolgs mit datenschutzfreundlichen, möglichst zusammengefassten Auswertungen.
• Anbindung an vorhandene Lernplattformen und Verzeichnisdienste.
• Datenstandort, Vertrag zur Auftragsverarbeitung und Unterstützung bei der Abstimmung mit dem Betriebsrat.

Anbieter von Awareness-Schulungen, E-Learning und Phishing-Simulationen mit Sitz und Angebot nennt die Übersicht Security-Awareness-Schulungen: Anbieter im Überblick.

Einen kostenlosen Einstieg bietet die interaktive Awareness-Schulung des Marktplatzes IT-Sicherheit, weitere Hintergründe der Bereich Awareness-Schulung IT-Sicherheit; wie sich Fortschritte messen lassen, zeigt der Beitrag zu Security-Awareness-Metriken.

Häufige Fragen

Was ist Security Awareness, einfach erklärt?

Security Awareness ist das Sicherheitsbewusstsein der Beschäftigten: Sie erkennen typische Angriffe wie Phishing, kennen die Regeln ihrer Organisation und wissen, wie sie im Verdachtsfall reagieren. Ziel ist sicheres Verhalten im Alltag, nicht nur Wissen.

Was ist der Unterschied zwischen Awareness und Schulung?

Awareness lenkt die Aufmerksamkeit auf Risiken und richtiges Verhalten, Schulung vermittelt konkrete Fähigkeiten, etwa die Bedienung einer Sicherheitsfunktion. In SP 800-50 Rev. 1 fasst NIST Awareness, Schulung und Ausbildung (Education) in einem gemeinsamen Lernprogramm zusammen. Als getrennte Elemente beschrieb sie nur die frühere Fassung von 2003.

Wie oft sollten Beschäftigte geschult werden?

Regelmäßig und dauerhaft. Das BSI nennt fehlende Kontinuität als Grund für wirkungslose Maßnahmen und empfiehlt im IT-Grundschutz als Standard-Anforderung, das Programm regelmäßig zu überprüfen und zu aktualisieren, ohne festen Abstand. Für NIS-2-Einrichtungen hält das BSI Schulungen bei der Ersteinweisung und eine jährliche Information über Neuerungen für zweckmäßig. NIST rät, den Plan des Lernprogramms mindestens jährlich zu überprüfen. Das BSI-Gesetz verpflichtet die Geschäftsleitungen von NIS-2-Einrichtungen zu regelmäßigen Schulungen.

Wie misst man den Erfolg eines Awareness-Programms?

Das BSI empfiehlt, Lernerfolge zielgruppenbezogen sowohl quantitativ als auch qualitativ zu messen. Möglich sind etwa Wissenstests, die Zahl der gemeldeten Verdachtsfälle oder Befragungen. Die Ergebnisse sollten in die Verbesserung des Programms einfließen.

Ist Awareness-Schulung für Unternehmen Pflicht?

Für besonders wichtige und wichtige Einrichtungen nach dem BSI-Gesetz ja: Grundlegende Schulungen und Sensibilisierungsmaßnahmen gehören zu den Mindestmaßnahmen nach § 30 Absatz 2 BSIG, und die Geschäftsleitung muss nach § 38 Absatz 3 BSIG regelmäßig an Schulungen teilnehmen. Finanzunternehmen verpflichtet die EU-Verordnung DORA. Für andere Unternehmen kann sich eine Pflicht aus Kundenverträgen oder einer Zertifizierung nach ISO/IEC 27001 ergeben.

Weitere Leitfäden des Marktplatzes IT-Sicherheit: Was ist IT-Sicherheit? · Wie funktioniert eine Firewall? · 3-2-1-Backup-Regel · Incident-Response-Plan

Quellen

• Bundesamt für Sicherheit in der Informationstechnik (BSI): IT-Grundschutz-Kompendium, Baustein ORP.3 Sensibilisierung und Schulung zur Informationssicherheit, Edition 2023, https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/02_ORP_Organisation_und_Personal/ORP_3_Sensibilisierung_und_Schulung_Editon_2023.pdf?__blob=publicationFile&v=3
• National Institute of Standards and Technology (NIST): SP 800-50 Rev. 1, Building a Cybersecurity and Privacy Learning Program, September 2024, https://csrc.nist.gov/pubs/sp/800/50/r1/final
• BSI-Gesetz (BSIG), § 30 und § 38, https://www.gesetze-im-internet.de/bsig_2025/__30.html und https://www.gesetze-im-internet.de/bsig_2025/__38.html
• Betriebsverfassungsgesetz, § 87, https://www.gesetze-im-internet.de/betrvg/__87.html
• Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Art. 39 Absatz 1, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
• BSI: #nis2know – Grundlegende Schulungen und Sensibilisierungsmaßnahmen, https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Schulungen/NIS-2-Schulungen_node.html
• BSI-Gesetz (BSIG), § 28 Absatz 5 und 6, https://www.gesetze-im-internet.de/bsig_2025/__28.html
• Telekommunikationsgesetz (TKG), § 165, https://www.gesetze-im-internet.de/tkg_2021/__165.html
• Energiewirtschaftsgesetz (EnWG), § 5e, https://www.gesetze-im-internet.de/enwg_2005/__5e.html
• Verordnung (EU) 2022/2554 (DORA), Art. 13 Absatz 6, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022R2554