Security-Awareness-Schulungen: aus dem größten Risiko den besten Sensor machen

Warum die jährliche Schulung nicht reicht

Fast jeder Sicherheitsvorfall im Mittelstand beginnt mit einem Menschen, der etwas angeklickt, ein Dokument geöffnet oder eine Überweisung freigegeben hat. Das ist kein Vorwurf: Die Mails sind besser geworden. Sie kommen im richtigen Layout, mit korrekter Ansprache, oft aus einem tatsächlich übernommenen Postfach eines Geschäftspartners – und seit Angreifer Sprachmodelle nutzen, fehlen auch die Rechtschreibfehler, an denen man sie früher erkannt hat.

Eine einstündige Schulung im Januar hat im Oktober niemand mehr präsent. Wirksam ist, was sich wiederholt: kurze Einheiten über das Jahr verteilt, echte Simulationen statt Theorie, und eine Auswertung, die zeigt, wo nachgeschult werden muss. Genau das organisieren wir – Sie müssen dafür niemanden abstellen.

Kein Plattformzugang, sondern ein betreutes Programm

Eine Lernplattform kann man für zwei Euro im Monat einkaufen. Was dabei regelmäßig passiert: Die Zugänge werden verteilt, ein Drittel der Belegschaft meldet sich nie an, niemand wertet aus, und nach einem Jahr ist der Vertrag ein Posten in der Buchhaltung ohne Wirkung. Wir verkaufen deshalb nicht den Zugang, sondern das Ergebnis.

• Kampagnenplan für zwölf Monate. Wir legen fest, welche Themen wann kommen und welche Simulationen dazwischen laufen – abgestimmt auf Ihre Branche, Ihre Abteilungen und den Jahresverlauf.
• Phishing-Simulationen mit realistischen Mustern. Rechnungsmail, Paketbenachrichtigung, angebliche Nachricht der Geschäftsführung, Microsoft-365-Anmeldeseite. Wer klickt, landet nicht im Pranger, sondern in einer kurzen Erklärung, woran es zu erkennen war.
• Kurze Lerneinheiten statt Schulungstag. Wenige Minuten, am Arbeitsplatz, in deutscher Sprache, mit Beispielen aus dem Mittelstand statt aus dem Konzernhandbuch.
• Nachschulung derer, die auffallen. Der Punkt, an dem die meisten Programme aufhören. Wir sehen uns die Auswertung an und weisen gezielt zusätzliche Einheiten zu – ohne dass Sie eine Liste pflegen müssen.
• Gesonderte Unterweisung für Geschäftsleitung und Buchhaltung. Dort zielen die teuren Angriffe hin: Zahlungsumleitung, gefälschte Lieferantenwechsel, Chef-Masche. Diese Gruppe braucht andere Beispiele als der Rest.
• Quartalsbericht und Schulungsnachweis. Teilnahmequote, Klickrate im Zeitverlauf, Meldequote, offene Nachschulungen – und ein Nachweis je Person, den Sie bei Prüfungen vorlegen können.
• Ein Ansprechpartner. Neue Mitarbeitende werden aufgenommen, ausgeschiedene entfernt, Fragen beantwortet jemand, den Sie kennen.

Wie das Programm anläuft

1. Vorgespräch, 30 Minuten. Größe, Abteilungen, Sprachen, bestehende Schulungen, bekannte Vorfälle. Wenn Sie schon etwas haben, sagen wir ehrlich, ob ein Wechsel lohnt.
2. Standortbestimmung. Eine erste Simulation ohne Vorankündigung an alle. Das Ergebnis ist die Messlatte – nicht zur Bloßstellung, sondern damit in zwölf Monaten ein Vorher und ein Nachher existiert.
3. Ankündigung im Haus. Wir liefern den Text für die Information an die Belegschaft und, wo ein Betriebsrat besteht, die Unterlagen für die Abstimmung. Das Programm misst Lernfortschritt, nicht Leistung Einzelner – das gehört so gesagt.
4. Betrieb. Lerneinheiten und Simulationen laufen nach Plan, wir werten aus und schulen nach.
5. Quartalsgespräch. Zahlen, auffällige Muster, Anpassung des Plans. Bei Bedarf ergänzen wir Themen, die bei Ihnen gerade aktuell sind.

Lernplattform oder betreutes Programm?

Nachweis für NIS2, ISO 27001 und Cyber-Versicherer

Schulung der Mitarbeitenden ist keine Kür mehr. Das NIS2-Umsetzungsgesetz verlangt Schulungen ausdrücklich, und zwar auch für die Leitungsebene. Die ISO 27001 fordert Sensibilisierung und deren Wirksamkeitskontrolle. Und im Antrag für eine Cyber-Versicherung steht die Frage nach regelmäßiger Schulung inzwischen genauso selbstverständlich wie die nach dem Backup.

Wer dann „machen wir gelegentlich" ankreuzt, bekommt schlechtere Konditionen oder im Schadensfall Ärger. Unser Quartalsbericht beantwortet die Frage mit Zahlen: wer wann welche Einheit absolviert hat, wie sich die Klickrate entwickelt und wie viele Mitarbeitende verdächtige Mails inzwischen selbst melden.

Die Meldequote ist die eigentliche Kennzahl

Auf die Klickrate schauen alle, und sie sinkt zuverlässig. Wichtiger ist die zweite Zahl: Wie viele Personen melden eine verdächtige Mail, statt sie nur zu ignorieren? Ein Unternehmen, in dem der erste Empfänger einer Angriffswelle binnen Minuten Bescheid gibt, hat einen Vorteil, den keine Software liefert – dann können wir die Absenderadresse sperren, bevor sie die anderen vierzig Postfächer erreicht. Deshalb ist der Meldeweg Teil der Schulung und nicht eine Fußnote.

Was es kostet

6 € je Nutzer und Monat. Darin enthalten sind Plattform, Lerninhalte, Simulationen, Auswertung, Nachschulung, Quartalsbericht und Ihr Ansprechpartner. Es gibt keine Einrichtungsgebühr und keine Staffel, die erst ab hundert Nutzern greift.

Alle Preise netto zzgl. MwSt. Abgerechnet werden die tatsächlich angelegten Nutzerkonten; Ein- und Austritte werden monatlich angepasst. Die Mindestlaufzeit beträgt zwölf Monate; danach verlängert sich der Vertrag um jeweils zwölf Monate, wenn er nicht drei Monate vor Ende gekündigt wird. Eine Nutzerobergrenze gibt es nicht – der Preis je Nutzer bleibt gleich, unabhängig davon, wie viele es werden.

Zum Vergleich: Reine Schulungslizenzen sind ab etwa 1,50 € je Nutzer und Monat zu haben. Der Unterschied ist niemand, der die Kampagne plant, auswertet und nachfasst – und genau daran scheitern die meisten Programme. Unsere Erfahrung aus der Betreuung von über 2.500 Arbeitsplätzen: Ein Programm, das läuft, ist mehr wert als eine Lizenz, die stillsteht.

Drei Sätze, die wir oft hören

Häufige Fragen