Phishing und KI-Täuschung
Echte Muster, erfundene Beispiele: Mail, Messenger, Anruf, gefälschte Stimme, QR-Code. Mit Übungen, in denen das Team selbst entscheidet.
Security-Awareness-Schulung: damit der Klick auf den falschen Link ausbleibt
Die teuerste Sicherheitslücke hat Urlaub, Kaffee und einen vollen Posteingang. Kein Vorwurf, sondern Alltag. Eine gute Schulung macht aus Menschen keine Sicherheitsexperten, aber aus dem Bauchgefühl „Da stimmt was nicht“ eine Routine. Mit Teilnahmezertifikat.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.
Was ist Security Awareness?
Security Awareness bedeutet Sicherheitsbewusstsein: das Wissen und die Gewohnheiten, mit denen Menschen im Arbeitsalltag Angriffe erkennen und richtig reagieren. Technik filtert viel, aber nicht alles. Eine perfekt formulierte Mail vom „Geschäftsführer“, ein Anruf vom „IT-Support“ oder ein QR-Code auf einem Paket landen trotzdem bei einem Menschen. Was dann passiert, entscheidet über den Schaden.
Die Lage hat sich verschärft. Laut Bitkom-Studie Wirtschaftsschutz 2026 haben 58 % der befragten Unternehmen in den vergangenen zwölf Monaten einen Schaden durch Cyberangriffe erlitten, und drei Viertel fühlen sich stark bedroht. Die Unternehmen beobachten zudem, dass Angreifer verstärkt KI einsetzen, erkennbar etwa an sprachlich sehr sauberen Mails und gefälschten Stimmen. Die alten Erkennungszeichen wie Tippfehler reichen nicht mehr.
Für Einrichtungen, die unter NIS2 fallen, ist Sensibilisierung keine Kür: § 30 Abs. 2 Nr. 7 BSIG nennt grundlegende Schulungen und Sensibilisierungsmaßnahmen ausdrücklich als Mindestmaßnahme.
Zehn Merkmale, an denen du Phishing erkennst
Kein einzelnes Merkmal beweist etwas. Zwei oder drei zusammen sind ein Grund, kurz innezuhalten und auf einem zweiten Weg nachzufragen.
Druck und Eile
„Heute noch“, „sonst Kontosperrung“, „vertraulich, sprich mit niemandem“. Zeitdruck soll das Nachdenken abkürzen.
Ungewöhnlicher Weg
Die Chefin, die sonst nie per Messenger schreibt, will plötzlich eine Überweisung per Chat.
Absender knapp daneben
Ein Buchstabe vertauscht, eine fremde Endung, ein angezeigter Name, der nicht zur Adresse passt.
Link zeigt woandershin
Mit der Maus über den Link fahren oder lange drücken: Steht dort die echte Domain oder etwas Ähnliches?
Anmeldung nach Klick
Eine Seite fragt nach Passwort oder Code, obwohl du nur ein Dokument öffnen wolltest.
Neue Bankverbindung
Ein Lieferant meldet geänderte Kontodaten per Mail. Immer über die bekannte Telefonnummer gegenprüfen.
Unerwarteter Anhang
Rechnungen, die niemand erwartet, Archive mit Passwort, Dateien mit doppelter Endung.
Zu perfekte Stimme
Ein Anruf klingt wie die Geschäftsführung, aber die Bitte ist ungewöhnlich. KI-Stimmen sind möglich. Rückruf auf bekannter Nummer.
QR-Codes von außen
Auf Briefen, Paketen oder Aushängen. Ein QR-Code ist ein Link, den man nicht lesen kann.
MFA-Anfragen ohne Anmeldung
Dein Telefon fragt, ob du dich anmelden willst, obwohl du es nicht tust. Ablehnen und melden.
Unsere Security-Awareness-Schulung
Online live oder inhouse bei dir. Keine offenen Termine, kein Klick-Kurs, sondern deine Beispiele, deine Werkzeuge, deine Abläufe.
Passwörter und MFA
Passwortmanager, Passkeys, Multi-Faktor-Authentifizierung, die § 30 BSIG für NIS2-Einrichtungen ausdrücklich nennt. Einrichten statt nur erklären.
KI-Werkzeuge sicher nutzen
Welche Daten in welches Werkzeug dürfen, wie man Ergebnisse prüft. Passt zur Pflicht aus Art. 4 KI-Verordnung, Maßnahmen zur KI-Kompetenz zu ergreifen.
Melden statt verstecken
Wer klickt, meldet. Sofort, ohne Angst. Wir üben den Meldeweg und sprechen mit der Führung über eine Fehlerkultur, die das möglich macht.
Modul Geschäftsleitung
Für NIS2-Einrichtungen: Pflichten nach § 38 BSIG, Risiken bewerten, Maßnahmen anstoßen. Orientiert am Beispielcurriculum des BSI vom Oktober 2026.
Teilnahmezertifikat
Jede Person bekommt ein Teilnahmezertifikat von mediabrandcast mit Inhalten und Datum, online prüfbar. Gut für die Dokumentation.
Live-Schulung, E-Learning, Phishing-Simulation: fair verglichen
Drei verbreitete Formate. Sie schließen sich nicht aus, und wir bieten nur eines davon an.
| Format | Stärke | Grenze | Passt gut für |
|---|---|---|---|
| Live-Schulung (online oder vor Ort) | Fragen, Diskussion, Beispiele aus dem eigenen Alltag | Termin für alle nötig | Einstieg, Teams mit eigenen Abläufen, Geschäftsleitung |
| E-Learning-Plattform | flexibel, viele Personen, kurze Lerneinheiten über das Jahr | wenig Bezug zum eigenen Betrieb, wird gern weggeklickt | große Belegschaften, Auffrischung |
| Phishing-Simulation | misst Verhalten im echten Postfach | Datenschutz und Mitbestimmung klären, kann Vertrauen kosten | nach einer Schulung, als freiwilliges Training |
Phishing-Simulationen werten das Verhalten einzelner Beschäftigter aus. Gibt es einen Betriebsrat, ist so etwas in der Regel mitbestimmungspflichtig (§ 87 Abs. 1 Nr. 6 BetrVG). Ergebnisse besser anonym und nur als Lernanlass nutzen. Orientierung, keine Rechtsberatung.
Ein Jahr Awareness in vier Schritten
- Quartal 1: Grundschulung. Zwei Stunden für alle, mit den zehn Merkmalen, Passwörtern und dem Meldeweg. Teilnahme dokumentieren.
- Quartal 2: Technik nachziehen. MFA überall aktivieren, Passwortmanager ausrollen, Meldeadresse oder Meldeknopf einrichten.
- Quartal 3: Vertiefung nach Rollen. Buchhaltung zu Zahlungsbetrug, Empfang zu Anrufen, Führungskräfte zu Krisen und Pflichten.
- Quartal 4: Auffrischen und auswerten. Kurze Einheit mit aktuellen Mustern, Meldungen des Jahres besprechen, Plan fürs nächste Jahr.
Wer NIS2 umsetzt, verknüpft den Plan mit dem Risikomanagement: Schulungen gehören zu den Maßnahmen, deren Wirksamkeit nach § 30 BSIG bewertet werden soll. Mehr unter NIS2 umsetzen.
Was die Schulung kostet
Wir rechnen wie immer: 150 € pro Stunde, für Unternehmen, zzgl. USt. Darin stecken Vorgespräch, Anpassung an deine Beispiele, die Schulung selbst und die Teilnahmezertifikate. Eine Grundschulung für ein Team dauert typischerweise einen halben Tag, das Modul für die Geschäftsleitung zwei bis drei Stunden. Den Aufwand für deinen Fall schätzt der Stundenrechner.
Wie unsere Teilnahmezertifikate funktionieren und wie man sie prüft, steht unter Zertifikate. Weitere Schulungen, etwa zur KI-Kompetenz, findest du bei den Schulungen.
Wann du uns nicht brauchst
Wenn du eine große Belegschaft mit wenig Bezug zu IT hast und vor allem regelmäßige, kurze Auffrischungen brauchst, ist eine E-Learning-Plattform oft die effizientere Wahl. Für die Basis gibt es außerdem gute kostenlose Materialien des BSI. Wir lohnen uns für den Einstieg, für Teams mit eigenen Abläufen, für die Geschäftsleitung und überall dort, wo KI-Werkzeuge und Sicherheit zusammenkommen.
Häufige Fragen zur Security-Awareness-Schulung
Was lernt man in einer Security-Awareness-Schulung?
Angriffe über Menschen erkennen und richtig reagieren: Phishing per Mail, Messenger und Telefon, gefälschte Stimmen und Videos, Zahlungsbetrug, unsichere Passwörter, Multi-Faktor-Authentifizierung, sicherer Umgang mit KI-Werkzeugen und Daten sowie der schnelle Meldeweg, wenn doch etwas passiert ist.
Ist eine Security-Awareness-Schulung Pflicht?
Für Einrichtungen, die unter NIS2 fallen, nennt § 30 BSIG grundlegende Schulungen und Sensibilisierungsmaßnahmen als Mindestmaßnahme, § 38 verlangt regelmäßige Schulungen der Geschäftsleitung. Für andere Unternehmen gibt es keine allgemeine Pflicht, aber Datenschutz, Versicherungen und Kunden verlangen oft Nachweise. Orientierung, keine Rechtsberatung.
Wie oft sollte man Mitarbeitende schulen?
Eine Grundschulung beim Einstieg und danach mindestens einmal im Jahr eine Auffrischung, besser kurze Einheiten über das Jahr verteilt. Angriffsmuster ändern sich schnell, gerade durch KI. Neue Mitarbeitende sollten die Grundschulung in den ersten Wochen bekommen.
Bekommen die Teilnehmenden ein Zertifikat?
Ja, jede Person erhält ein Teilnahmezertifikat von mediabrandcast mit Inhalten und Datum, das online geprüft werden kann. Es dokumentiert die Teilnahme, zum Beispiel für NIS2-Nachweise oder Kundenanfragen. Ein staatlich vorgeschriebenes Zertifikat gibt es für Security Awareness nicht.
Wie lange dauert eine Security-Awareness-Schulung?
Unsere Grundschulung für Teams dauert typischerweise einen halben Tag, das Modul für die Geschäftsleitung zwei bis drei Stunden. Länge und Inhalte passen wir nach dem Vorgespräch an deine Abläufe an, online live oder inhouse.
Quellen
- Bitkom: Wirtschaftsschutz 2026, Präsentation vom 26.08.2026, n = 1.003, abgerufen am 14.11.2026.
- § 30 BSIG: Risikomanagementmaßnahmen und § 38 BSIG, abgerufen am 14.11.2026.
- BSI: Curriculum für NIS2-Geschäftsleitungsschulung, 28.10.2026, abgerufen am 14.11.2026.
- § 87 Betriebsverfassungsgesetz, abgerufen am 14.11.2026.
150 € pro Stunde, pauschal für alles. Für Unternehmen, zzgl. USt.