(aktualisiert am ) · Mehdi Aroui · Unternehmen · Lesedauer von ca. 4 Min.
Security-Awareness-Schulung: Warum KMU sie brauchen
Rückblick auf unser Schulungsangebot von 2019 und was davon heute noch gilt: Phishing, Passwortsicherheit und Social Engineering sind für KMU relevanter denn je.
Rückblick: Dieser Beitrag stammt aus dem Jahr 2019 und dokumentiert ein Schulungsangebot, das Netzleiter damals für Hamburger Unternehmen angeboten hat. Das konkrete Angebot in der damaligen Form ist abgelaufen. Was geblieben ist: Die Notwendigkeit, Mitarbeitende in IT-Sicherheit zu schulen, ist seitdem nicht kleiner geworden.
Was 2019 auf dem Plan stand
Netzleiter bot Computersicherheits-Schulungen für Unternehmen an, inhaltlich anpassbar auf den jeweiligen Bedarf. Themen waren unter anderem:
- Sicherer Umgang mit E-Mail-Anhängen und Dateitypen
- Risiken durch unbekannte USB-Speichermedien
- Erkennung verdächtiger Systemmeldungen und Malware-Hinweise
- Phishing-Mails von echten Nachrichten unterscheiden
- Grundlagen zur Passwortsicherheit
Das Angebot richtete sich an Mitarbeitende ohne tiefes IT-Vorwissen. Ziel war, den “Faktor Mensch” als häufigsten Einfallspunkt für Angriffe zu stärken.
Warum der Mensch das schwächste Glied bleibt
Technische Schutzmaßnahmen wie Firewalls, Virenscanner und verschlüsselte Verbindungen sind notwendig, aber nicht hinreichend. Ein Angreifer, der einen Mitarbeitenden per Phishing-Mail dazu bringt, seine Zugangsdaten einzugeben, umgeht die komplette Technik ohne jeden Aufwand.
Beim Social Engineering verleiten Kriminelle ihre Opfer, selbst Daten preiszugeben, Schutzmaßnahmen zu umgehen oder Schadprogramme zu installieren. Nach der Beschreibung des BSI nutzen sie dafür menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität. Typisch sind falsche Vorgesetzte, Lieferanten oder IT-Abteilungen, die Zeitdruck erzeugen. Schulungen sind ein wirksames Mittel gegen diese Methode, weil keine Software einen Menschen ersetzen kann, der lernt, kritisch zu fragen.
Das BSI beschreibt Social Engineering und Gegenmaßnahmen und ruft Unternehmen dazu auf, ihre Mitarbeiterinnen und Mitarbeiter für die Risiken durch Phishing und CEO-Fraud zu sensibilisieren (abgerufen am 18. Oktober 2026).
Die drei Kernthemen jeder Awareness-Schulung
Phishing erkennen
Mit KI-Werkzeugen lassen sich Phishing-Mails heute personalisieren, auf Basis öffentlicher Daten (LinkedIn, XING, Website-Impressum). Merkmale einer Phishing-Mail lassen sich trotzdem trainieren:
- Absenderadresse genau prüfen, nicht nur den Anzeigenamen
- Links vor dem Klicken mit der Maus überfahren und die Ziel-URL lesen
- Dringende Aufforderungen zu Passwortänderungen oder Zahlungen als Warnsignal behandeln
- Anhänge mit ausführbaren Dateitypen (.exe, .js, .docm) grundsätzlich nicht öffnen
Passwortsicherheit
Schwache Passwörter sind nach wie vor einer der häufigsten Angriffsvektoren. Was damals als guter Rat galt, gilt heute als Mindeststandard:
- Keine Wiederverwendung von Passwörtern zwischen Diensten
- Passwörter mit mindestens 12 Zeichen, besser Passphrasen verwenden
- Passwort-Manager im Betrieb einführen
- Zwei-Faktor-Authentifizierung überall aktivieren, wo es möglich ist
Mehr zu Passwortstandards und deren Entwicklung steht in unserem Beitrag Passwörter der Zukunft.
Social Engineering und CEO-Fraud
Ein Anruf von der “Geschäftsführung” mit der Bitte, schnell eine Überweisung auszulösen. Eine E-Mail vom “IT-Dienstleister”, die nach Zugangsdaten für ein dringendes Update fragt. Diese Szenarien sind keine Ausnahmen, sie gehören zum Alltag vieler KMU. Schulungen schaffen Handlungssicherheit: Mitarbeitende lernen, auch unter Zeitdruck nach einem zweiten Kanal zu fragen, bevor sie handeln.
Was NIS2 dazu sagt
Das NIS-2-Umsetzungsgesetz ist nach Angabe des BSI mit Wirkung zum 6. Dezember 2025 in Kraft getreten. Für betroffene Einrichtungen sind Schulungen damit kein optionaler Bonus mehr. § 30 Abs. 2 Nr. 7 BSIG nennt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik als Teil der Risikomanagementmaßnahmen, § 38 Abs. 3 BSIG verpflichtet Geschäftsleitungen zusätzlich zu regelmäßigen Schulungen (beide abgerufen am 18. Oktober 2026). Die europäische Richtlinie verlangt in Artikel 21 Maßnahmen zur Cyberhygiene und zur Schulung. Für viele Branchen gilt das direkt, für andere durch Lieferketten-Anforderungen indirekt.
Das BSI hält dazu Infopakete zu NIS-2-Schulungen bereit.
Was Netzleiter heute anbietet
Netzleiter begleitet Hamburger Unternehmen bei der IT-Sicherheit, von der technischen Absicherung bis zur Beratung bei regulatorischen Anforderungen. Ob Sie Fragen zur Umsetzung von Awareness-Maßnahmen haben oder Ihre Cybersecurity-Infrastruktur grundsätzlich prüfen lassen möchten: Sprechen Sie uns an. Warum Sensibilisierung zur Vorsorge gegen Datenverlust gehört, beschreibt der Beitrag Datenverlust vorbeugen.
Häufige Fragen
Warum bleibt der Mensch das schwächste Glied in der IT-Sicherheit?
Weil ein Angreifer, der einen Mitarbeitenden per Phishing-Mail zur Preisgabe von Zugangsdaten bringt, die gesamten technischen Schutzmaßnahmen ohne jeden Aufwand umgeht. Keine Software ersetzt einen Menschen, der lernt, kritisch nachzufragen.
Was verlangt NIS2 im Bereich Schulung?
Artikel 21 der NIS2-Richtlinie verlangt von betroffenen Einrichtungen Maßnahmen zur Cyberhygiene und zur Schulung. In Deutschland nennt § 30 Abs. 2 Nr. 7 BSIG grundlegende Schulungen und Sensibilisierungsmaßnahmen, das Umsetzungsgesetz ist laut BSI seit dem 6. Dezember 2025 in Kraft.
Woran erkennt man eine Phishing-Mail?
Absenderadresse genau prüfen statt nur den Anzeigenamen, Links vor dem Klicken mit der Maus überfahren und die Ziel-URL lesen, dringende Aufforderungen zu Passwortänderungen oder Zahlungen als Warnsignal behandeln und Anhänge mit ausführbaren Dateitypen grundsätzlich nicht öffnen.
040 25 499 500 | support@netzleiter.com
Hinweis: Das 2019 angebotene Schulungspaket in der damaligen Form wird nicht mehr so angeboten. Aktuelle Beratungsleistungen auf Anfrage.
