Maßgeschneiderte, didaktisch fundierte Awareness-Programme sind für die meisten Unternehmen die wirksamste Wahl. Wer Konzeption, Produktion und LMS-Integration aus einer Hand will, findet bei uns eine umsetzbare Lösung. Als Bezugsrahmen dienen die Empfehlungen des BSI und die Anforderungen der ISO/IEC 27001.
Kurz gesagt:
- Kleine Unternehmen kommen meist mit Standardinhalten, Phishingsimulationen und einfachem Berichtswesen aus; Unternehmen mittlerer Größe brauchen Branchenmodule, große Organisationen rollenbezogene Inhalte und zentrale Verwaltung.
- Holen Sie zwei bis drei Angebote ein, denn Anbieter veröffentlichen selten Preise; vergleichen Sie auch interne Betreuungskosten und lassen Sie sich Beispielberichte zeigen.
- Planen Sie kurze, wiederkehrende Lerneinheiten mit Basisschulung, Phishingsimulationen und vertiefenden Rollenmodulen; messen Sie Klickrate, Abschlussquote und Meldeverhalten über die Zeit.
- Für ISO/IEC 27001 und NIS 2 sollten Sie Inhalte, Teilnahmen und Ergebnisse nachvollziehbar dokumentieren; klären Sie zugleich Zugriffsrechte, Speicherort, Löschfristen und die Beteiligung des Betriebsrats.
- Testen Sie Inhalte, Technik und Akzeptanz zunächst mit einer kleinen Gruppe; der anschließende Rollout sollte sich über mehrere Monate staffeln.
Inhaltsverzeichnis
- Welche Anbietertypen gibt es, und welcher passt wann?
- Worauf sollten Sie bei der Anbieterwahl achten?
- Welche Formate und Module gehören in ein Awareness-Programm?
- Wie läuft die Einführung ab: Pilot, Rollout, Messung?
- Was sagen BSI, ENISA und ISO zu Awareness-Programmen?
- Was sagen Erfahrungsberichte über die Qualität solcher Schulungen?
- Branchenschulungen oder maßgeschneiderte Lösungen: Was passt zu welcher Unternehmensgröße?
- Welche technischen Voraussetzungen sollten Sie vorab klären?
- Worauf kommt es bei Datenschutz und Datensicherheit der Plattform an?
- Was wir aus Kundenprojekten mitnehmen
- Wie wir Sie bei einem vollständigen Awareness-Programm unterstützen
- FAQ
- Quellen
Welche Anbietertypen gibt es, und welcher passt wann?
Wer fragt, welche Anbieter Cyber-Security-Awareness-Schulungen bieten, trifft auf verschiedene Grundtypen. Marktübersichten wie die Kategorie auf G2 zeigen, wie breit das Feld ist.
- SaaS-Plattformen: Schnelles Onboarding, viele Standardinhalte, meist im Self-Service nutzbar.
- Spezialisierte E-Learning-Agenturen: Hohe Anpassbarkeit, didaktische Qualität und eigene Produktion von Videos und Erklärfilmen.
- Managed Services und Phishing-Provider: Sie betreiben komplette Simulationskampagnen und übernehmen das laufende Monitoring.
Die Wahl hängt von Ihrer Lage ab. Kleine Teams ohne eigene Lernplattform kommen mit einer SaaS-Lösung zügig ans Ziel. Branchen mit besonderen Risiken oder eigener Fachsprache profitieren von einer Agentur, die Inhalte an Rollen und Abläufe anpasst. Fehlt intern die Kapazität für Auswertung und Nachsteuerung, lohnt ein Managed Service. Oft ist es eine Kombination: Standardinhalte als Basis, individuelle Module dort, wo es wehtut.
Worauf sollten Sie bei der Anbieterwahl achten?
Eine Bewertungsmatrix spart Zeit, weil sie Angebote vergleichbar macht. Prüfen Sie diese Punkte der Reihe nach:
- Inhaltspassgenauigkeit: Gibt es branchenspezifische Module und Rollenprofile, etwa für Buchhaltung, Geschäftsleitung oder Produktion?
- Technische Integration: Lässt sich der Anbieter per LMS, SSO und API anbinden? Gibt es Reporting und Export, zum Beispiel für ein SIEM?
- Didaktik und Engagement: Setzt das Programm auf Microlearning, Gamification, Storytelling und echte Verhaltensaktivierung statt auf reines Durchklicken?
- Datenschutz und Compliance: Wie werden Daten verarbeitet, wo liegen sie, und welche Nachweisdokumentation erhalten Sie?
- Preis- und Lizenzmodell: Einmalige Produktion oder Subskription? Was kostet der laufende Betrieb?
Holen Sie 2 bis 3 Angebote ein. Die Preise sind selten transparent, viele Anbieter kalkulieren individuell, und erst im Vergleich zeigt sich der reale Gesamtaufwand inklusive interner Betreuung.
Profi-Tipp: Lassen Sie sich im Angebotsgespräch ein Beispielreporting zeigen. Daran erkennen Sie schnell, ob Sie Ergebnisse später wirklich belegen können.
Welche Formate und Module gehören in ein Awareness-Programm?
Ein tragfähiges Programm besteht aus mehreren Bausteinen, die aufeinander aufbauen:
- Basisschulung: Grundwissen zu Passwörtern, Social Engineering, Datenumgang und Meldewegen für alle Beschäftigten.
- Phishing-Simulation: Realistische Testmails zeigen, wo Mitarbeitende ins Stolpern geraten. Hintergründe liefern unsere Seiten zur Phishing-Schulung und zu Phishing Awareness.
- Deep-Dives: Vertiefende Module für IT, Führungskräfte und Rollen mit erhöhtem Risiko.
- Videos und Erklärfilme: Sie erklären abstrakte Bedrohungen anschaulich und erhöhen Motivation und Behaltensleistung, besonders in Kombination mit kleinen interaktiven Übungen.
Unsere Empfehlung: kurze, wiederkehrende Lerneinheiten statt einer langen Einmalveranstaltung. Wer regelmäßig kurze Zeit investiert, behält mehr als jemand, der nur selten einen halben Tag absitzt. Konkrete Kursbeispiele finden Sie auf unserer Seite zur Security Awareness Schulung.
Wie läuft die Einführung ab: Pilot, Rollout, Messung?
Ein Programm führen Sie am besten schrittweise ein.
- Bedarfsanalyse: Welche Risiken, Rollen und Vorkenntnisse gibt es? Welche Vorgaben müssen Sie erfüllen?
- Pilotprojekt: Eine überschaubare Gruppe testet Inhalte, Technik und Akzeptanz.
- Gestaffelter Rollout: Abteilung für Abteilung, über mehrere Monate verteilt, damit Support und Kommunikation mithalten.
- Evaluation und Optimierung: Ergebnisse auswerten, Inhalte nachschärfen, Frequenz anpassen.
Als Kennzahlen dienen die Klickrate bei Phishing-Simulationen, die Abschlussquoten und die Zeit bis zu einer sichtbaren Verhaltensänderung, etwa einer steigenden Meldequote verdächtiger Mails. Hilfreiche Einordnungen dazu bietet unsere Seite zu Schulungs-ROI.
Beim Budget zählen mehrere Faktoren, darunter Inhaltserstellung, Anpassungsaufwand, LMS-Integration und laufender Betrieb. Planen Sie den internen Aufwand für Betreuung und Auswertung ehrlich mit ein.
Was sagen BSI, ENISA und ISO zu Awareness-Programmen?
Wer Programme normkonform planen will, findet bei den offiziellen Stellen klare Anhaltspunkte. Das BSI empfiehlt regelmäßige Sensibilisierungen und beschreibt einen mehrstufigen Ansatz nach ENISA-Schritten, um ein Awareness-Programm zu entwickeln. Für Geschäftsleitungen nennen die NIS-2-Empfehlungen Pflichten, Umsetzung und Dokumentation und verlangen, Schulungen an die individuellen Gegebenheiten der Einrichtung anzupassen. Das spricht gegen reine Standardkurse.
Auch die ISO/IEC 27001 verlangt Sensibilisierung und Schulung als Teil des Informationssicherheitsmanagements; das BSI beschreibt das im Baustein ORP.3. Praktisch heißt das: Dokumentieren Sie Inhalte, Teilnahmen und Ergebnisse so, dass ein Audit sie nachvollziehen kann. Extern produzierte und intern erstellte Inhalte lassen sich kombinieren, solange der Nachweis lückenlos bleibt.
Was sagen Erfahrungsberichte über die Qualität solcher Schulungen?
Bewertungsportale und Kundenstimmen helfen bei der Vorauswahl, ersetzen aber keine eigene Prüfung. Auf Plattformen wie G2 lassen sich Funktionen und Nutzerurteile vergleichen, und Branchentexte wie die Top-10-Übersicht von it-daily nennen wiederkehrend Anbieter mit Phishing-Simulationen und großen Inhaltsbibliotheken.
Achten Sie beim Lesen auf einige wichtige Dinge. Erstens: Wer schreibt, und aus welcher Unternehmensgröße? Eine Bewertung aus einem Konzern sagt wenig über den Mittelstand. Zweitens: Wird die Wirkung belegt, etwa durch sinkende Klickraten, oder nur die Bedienung gelobt? Drittens: Spricht jemand über das Produkt oder über den Support? Gerade Letzterer entscheidet im Alltag.
Fragen Sie Anbieter deshalb direkt nach Referenzen aus Ihrer Branche und lassen Sie sich ein Gespräch mit einem Bestandskunden vermitteln. Ein guter Anbieter tut das gern. Auch ein Pilot ist eine Art Erfahrungsbericht, nur dass Sie ihn selbst schreiben: So sehen Sie, ob Ihre Leute die Inhalte annehmen oder wegklicken.
Branchenschulungen oder maßgeschneiderte Lösungen: Was passt zu welcher Unternehmensgröße?
Die Unternehmensgröße bestimmt, wie viel Individualisierung sich lohnt. Kleine Unternehmen mit überschaubarem Team fahren mit einer Standardbibliothek oft gut, solange sie Phishing-Simulationen und ein einfaches Reporting bekommen. Der Aufwand für eine Eigenentwicklung steht dort selten im Verhältnis zum Nutzen.
Im mittleren Segment lohnt der Mix. Standardmodule decken Grundlagen ab, während branchenspezifische Inhalte die Risiken abbilden, die wirklich zählen: Zahlungsfreigaben in der Finanzabteilung, Fernzugriffe in der Produktion, Patientendaten im Gesundheitswesen. Wer in einer regulierten Branche arbeitet, sollte Branchenschulungen bevorzugen, weil die Aufsicht auf angepasste Inhalte achtet.
Große Organisationen mit vielen Standorten, Sprachen und Rollenprofilen profitieren am stärksten von maßgeschneiderten Lösungen. Dort zahlt sich aus, dass Inhalte, Plattform und Reporting zusammenpassen und sich zentral verwalten lassen. Entscheidend ist weniger die Zahl der Kurse als die Passung zum Risikoprofil, zur Nutzerakzeptanz und zur vorhandenen Sicherheitsinfrastruktur. Eine breite Sprachauswahl nützt wenig, wenn die Inhalte am Arbeitsalltag vorbeigehen.
Welche technischen Voraussetzungen sollten Sie vorab klären?
Technische Stolperfallen zeigen sich oft erst im Rollout. Klären Sie deshalb früh, wie sich der Anbieter in Ihre Umgebung einfügt.
Zuerst die Lernplattform: Läuft die Schulung in Ihrem bestehenden LMS, etwa über Standardschnittstellen, oder bringt der Anbieter ein eigenes System mit? Zweitens die Anmeldung: Single Sign-on spart Passwörter und Support-Anfragen. Drittens die Datenflüsse: Lassen sich Ergebnisse per API oder Export an Ihr Reporting oder ein SIEM übergeben?
Bei Phishing-Simulationen kommt Mail-Infrastruktur dazu. Testmails müssen Ihre Filter passieren, ohne dass Sie Schutzmechanismen dauerhaft aufweichen. Prüfen Sie auch, ob Mitarbeitende mit Smartphone, Tablet oder an Schichtarbeitsplätzen ohne eigenen Rechner teilnehmen können. Die Inhalte sollten auf gängigen Browsern und Endgeräten sauber laufen, ohne Zusatzsoftware.
Fragen Sie schließlich nach dem Betrieb: Wer pflegt Updates, wer aktualisiert Inhalte bei neuen Bedrohungslagen, und welcher Support steht bei Störungen bereit? Diese Antworten entscheiden darüber, ob die Lösung im Alltag trägt.
Worauf kommt es bei Datenschutz und Datensicherheit der Plattform an?
Die DSGVO ist die Pflicht, aber nicht das Ende der Prüfung. Awareness-Plattformen verarbeiten sensible Daten: Wer hat auf eine Testmail geklickt, wer besteht Tests nicht, wer braucht mehr Training? Solche Auswertungen betreffen Beschäftigte unmittelbar und gehören in ein sauberes Berechtigungskonzept.
Klären Sie deshalb, ob Ergebnisse personenbezogen oder aggregiert ausgewertet werden und wer im Unternehmen Einblick erhält. Der Betriebsrat sollte früh eingebunden sein, bevor die erste Simulation läuft. Das schafft Akzeptanz und vermeidet Streit.
Technisch zählen Speicherort und Verarbeitung der Daten, Verschlüsselung, Rollen- und Rechtekonzept, Löschfristen und Protokollierung von Zugriffen. Ein Auftragsverarbeitungsvertrag ist Standard; prüfen Sie zusätzlich, welche Unterauftragnehmer beteiligt sind und ob Daten außerhalb der EU landen können.
Bedenken Sie auch die Plattform selbst: Sie ist ein weiteres System mit Zugangsdaten und deshalb selbst schützenswert. Fragen Sie nach Sicherheitsnachweisen des Anbieters und nach dem Umgang mit Vorfällen. Und bleiben Sie beim Zweck: Die Daten dienen dazu, Training zu verbessern, nicht dazu, Einzelne vorzuführen.
Was wir aus Kundenprojekten mitnehmen
Aus unseren Projekten haben sich wichtige Erfolgsfaktoren herauskristallisiert: ein klar formuliertes Ziel, kurze Lernsequenzen und ein sichtbares Sponsoring durch die Geschäftsführung. Interaktive Formate können Lerninhalte motivierend vermitteln, und ein sauberes Reporting macht Fortschritt erst vorzeigbar. Mein Rat: Starten Sie klein, mit einem Pilot, und lassen Sie Zahlen statt Bauchgefühl entscheiden. Referenzen stellen wir Ihnen gern vor.
— Sebastian Burmester
Wie wir Sie bei einem vollständigen Awareness-Programm unterstützen
Sie müssen nicht mehrere Dienstleister koordinieren: Wir verbinden Konzeption, Didaktik, Produktion und Betrieb in einem Projekt. Dazu gehören interaktive E-Learning-Kurse, Erklärfilme, die Anbindung an Ihre Lernplattform oder eine eigene Online Akademie sowie Zertifikate und Reporting. Inhalte zur IT-Sicherheit und zum Datenschutz entwickeln wir passend zu Ihren Rollen, Abläufen und Vorgaben, statt Ihnen Standardkurse überzustülpen. Moderne KI-Technologien helfen uns, Inhalte schneller zu erstellen und aktuell zu halten.
Der nächste Schritt ist klein: Schildern Sie uns Ihre Ausgangslage, und wir besprechen mit Ihnen ein Angebot oder ein Pilotprojekt. Mehr zu unseren Pflichtschulungen und Unterweisungen finden Sie auf unserer Leistungsseite für digitale Unterweisungen, die Kontaktaufnahme läuft über Thinkmedia.
FAQ
Was kosten Cyber-Security-Awareness-Schulungen?
Die Kosten hängen von Umfang, Anpassung und Betrieb ab. Viele Anbieter nennen keine Standardpreise, sondern kalkulieren individuell. Auch bei uns erhalten Sie den Preis auf Anfrage nach einem Gespräch zu Ihrem Bedarf.
Wie lange dauert die Einführung eines Awareness-Programms?
Die Dauer eines Piloten hängt von Ihrem Vorhaben ab. Der anschließende Rollout verteilt sich gestaffelt über mehrere Monate, je nach Größe und Zahl der Standorte.
Wie lässt sich der Erfolg einer Schulung messen?
Aussagekräftig sind die Klickrate bei Phishing-Simulationen, die Abschlussquoten und die Entwicklung des Verhaltens, etwa die Meldequote verdächtiger Mails. Ein gutes Reporting macht diese Werte über die Zeit vergleichbar.
Müssen Awareness-Schulungen normkonform dokumentiert werden?
Ja, wenn Sie nach ISO/IEC 27001 arbeiten oder von NIS-2-Vorgaben betroffen sind. Das BSI beschreibt Schulung und Sensibilisierung als festen Bestandteil wirksamer Sicherheitsmaßnahmen. Halten Sie Inhalte, Teilnahmen und Ergebnisse fest.
Worauf sollte ich beim Datenschutz achten?
Klären Sie, wo Daten liegen, wer personenbezogene Auswertungen sieht und welche Löschfristen gelten. Binden Sie den Betriebsrat früh ein und schließen Sie einen Auftragsverarbeitungsvertrag ab.
