Security Awareness Training: So schützen Unternehmen ihre Mitarbeitenden vor Cyberangriffen
Firewalls, Antivirenprogramme und andere Sicherheitslösungen bilden die technische Grundlage der Informationssicherheit. Dennoch beginnen viele erfolgreiche Cyberangriffe mit einer menschlichen Fehlentscheidung. In diesem Insight erfahren Sie, warum der Mensch zum bevorzugten Angriffsziel geworden ist, weshalb klassische Awareness-Trainings häufig nicht ausreichen und wie Unternehmen durch eine gelebte Informationssicherheitskultur ihre Widerstandsfähigkeit gegenüber Cyberbedrohungen erhöhen können.
Inhaltsverzeichnis
Das Wichtigste in Kürze
- 88 % aller Cybervorfälle gehen auf menschliche Fehler zurück – Cybersecurity ist daher auch eine Verhaltensfrage
- Phishing, Social Engineering und KI-gestützte Angriffe machen Mitarbeitende zunehmend zum bevorzugten Ziel von Cyberkriminellen
- Einmalige Schulungen reichen nicht aus – nachhaltige Security Awareness erfordert kontinuierliches Lernen, Üben und Wiederholen
- Wer Sicherheitsvorfälle aktiv erlebt statt nur darüber zu lesen, erkennt Risiken schneller und reagiert im Ernstfall souveräner
- Eine starke Informationssicherheitskultur erhöht die Resilienz von Unternehmen nachhaltig.
Was ist Security Awareness Training?
Security Awareness (oder Cybersecurity Awareness, Information Security Awareness, SecAware) bezeichnet das Bewusstsein von Mitarbeitenden für Cyber- und Informationssicherheitsrisiken sowie deren Fähigkeit und Motivation, sicherheitskonform zu handeln.
Ziel ist es, ein Verständnis für potenzielle Bedrohungen zu schaffen und ein sicheres Verhalten im Umgang mit Informationssystemen und digitalen Ressourcen nachhaltig zu fördern. Darüber hinaus soll eine sicherheitsbewusste Unternehmenskultur etabliert werden, in der alle Mitarbeitenden ihre Verantwortung für die Informationssicherheit kennen und wahrnehmen.[1]
Wie EFS Consulting ein wirksames Awareness Programm für Ihr Unternehmen entwickelt
Wirksame Security Awareness beginnt nicht mit Schulungen, sondern mit einem Verständnis für die relevanten Risiken, Zielgruppen und Verhaltensweisen im Unternehmen. Daher analysiert EFS Consulting zunächst die Bedrohungslage, definiert Zielgruppen und Lernziele und entwickelt darauf aufbauend maßgeschneiderte Awareness-Maßnahmen. Inhalte, Formate und Kommunikationswege werden dabei auf die spezifischen Risiken, regulatorischen Anforderungen und den Reifegrad der Organisation abgestimmt.
EFS Consulting unterstützt Unternehmen bei der Entwicklung, Durchführung und Erfolgsmessung klassischer Awareness-Maßnahmen. Dazu zählen beispielsweise Awareness-Kampagnen, zielgruppenspezifische Trainingsinhalte, Schulungen, Kommunikationsmaßnahmen sowie die kontinuierliche Weiterentwicklung bestehender Awareness-Programme.
Entscheidend für den Erfolg ist jedoch nicht nur was vermittelt wird, sondern wie. Unternehmen benötigen Lernformate, die Aufmerksamkeit schaffen, Wissen nachhaltig verankern und sicheres Verhalten im Arbeitsalltag fördern.
Genau hier setzt die „True Crime – Cybercrime Edition“ von EFS Consulting an.
True Cyber Crime: Wenn Security Awareness zum interaktiven Ermittlungsfall wird
Ein begrenztes Budget, zahlreiche Sicherheitsrisiken und der Auftrag des CEOs, ein wirksames ISMS aufzubauen. Die Teilnehmenden müssen Prioritäten setzen und entscheiden, welche Maßnahmen umgesetzt werden. Tage später kommt es zum Sicherheitsvorfall. War die Entscheidung richtig? Welche Warnsignale wurden übersehen? Und wie hätte der Angriff verhindert werden können?
Genau mit diesen Fragen sind die Teilnehmenden in der „True Crime – Cybercrime Edition“ von EFS Consulting konfrontiert. Statt Cyberrisiken ausschließlich theoretisch zu behandeln, werden die Teilnehmenden selbst zu Ermittler:innen eines realitätsnahen Cybervorfalls. Denn wer Sicherheitsvorfälle aktiv erlebt, versteht deren Dynamik deutlich besser als durch klassische Schulungen allein.
Lernen wie Ermittler:innen: Das True-Crime-Konzept
Die „True Crime – Cybercrime Edition“ verbindet die Spannung echter Kriminalfälle mit den Herausforderungen moderner Cybersicherheit. Während des Workshops werten die Teilnehmenden E-Mails, Chatverläufe und weitere Hinweise aus, identifizieren mögliche Schwachstellen und treffen Entscheidungen mit direkten Auswirkungen auf den weiteren Verlauf des Falls. Dabei werden nicht nur technische Aspekte betrachtet, sondern auch menschliche Faktoren, Kommunikationsfehler und organisatorische Schwachstellen sichtbar.
Das Ergebnis: Informationssicherheit wird nicht nur verstanden, sondern erlebt.
Individuell auf Unternehmen und Bedrohungslage zugeschnitten
Bevor das Rollenspiel beginnt, erfolgt eine ausführliche Vorbereitung gemeinsam mit dem Unternehmen. In einem Briefing werden Zielgruppe, Lernziele, relevante Bedrohungsszenarien sowie aktuelle Herausforderungen definiert. Die Inhalte können dabei gezielt auf regulatorische und normative Anforderungen wie ISO 27001, NIS2, CRA, VDA ISA/TISAX® oder unternehmensspezifische Compliance-Vorgaben ausgerichtet werden.
Auf dieser Grundlage wird das Szenario an die jeweilige Organisation, die Teilnehmenden und den gewünschten Reifegrad angepasst. Dadurch entsteht kein Standardtraining von der Stange, sondern ein praxisnahes Awareness-Format mit direktem Bezug zu den tatsächlichen Risiken, Anforderungen und Herausforderungen des Unternehmens.
So läuft die „True Crime – Cybercrime Edition“ ab
Das Format ist als kompakte und interaktive Trainingseinheit konzipiert und dauert in der Regel 90 bis 120 Minuten. Eine Spielgruppe besteht üblicherweise aus 10 bis 12 Teilnehmenden. Bei größeren Gruppen können mehrere Ermittlungsfälle parallel durchgeführt werden.
Während des Workshops übernehmen die Teilnehmenden die Rolle von Ermittler:innen, analysieren Hinweise, diskutieren mögliche Zusammenhänge und treffen Entscheidungen. Begleitet wird das Spiel von ein bis zwei EFS-Expert:innen, die durch das Szenario führen, Impulse geben und die Ergebnisse gemeinsam mit den Teilnehmenden reflektieren.
Im anschließenden Debriefing werden die Erkenntnisse auf die eigene Organisation übertragen und konkrete Empfehlungen für den Arbeitsalltag abgeleitet. Das Format kann sowohl vor Ort als auch remote durchgeführt werden.
Die „True Crime – Cybercrime Edition“ stellt eine Security-Awareness-Maßnahme dar und kann als Nachweis einer durchgeführten Awareness-Schulung im Rahmen regulatorischer oder interner Anforderungen dokumentiert werden. Damit unterstützt das Format Unternehmen nicht nur bei der Sensibilisierung ihrer Mitarbeitenden, sondern auch bei der Erfüllung von Schulungs- und Compliance-Anforderungen.
Für welche Unternehmen eignet sich das EFS Consulting Format?
Das Format eignet sich insbesondere für Organisationen, die Informationssicherheit als organisationsweite Verantwortung verstehen und ihre Mitarbeitenden aktiv in den Schutz des Unternehmens einbinden möchten.
Die „True Crime – Cybercrime Edition“ eignet sich insbesondere für Unternehmen, die ihre Informationssicherheit weiterentwickeln, regulatorische Anforderungen erfüllen oder sich auf Audits und Zertifizierungen vorbereiten möchten. Dazu gehören beispielsweise Organisationen im Umfeld von ISO 27001, NIS2 oder anderen Compliance-Anforderungen.
Das Format richtet sich insbesondere an CISOs, Informationssicherheitsbeauftragte, Compliance-Verantwortliche, Risikomanager:innen sowie Führungskräfte, die Security Awareness nachhaltig im Unternehmen verankern möchten.
Da die „True Crime – Cybercrime Edition“ als Security-Awareness-Training durchgeführt und dokumentiert wird, kann sie zudem als Nachweis für durchgeführte Awareness-Maßnahmen im Rahmen von Audits, Zertifizierungen und regulatorischen Anforderungen herangezogen werden.
Lernerfolge durch das True Cyber Crime Konzept
Im Fokus stehen nicht Wissensabfragen, sondern nachhaltige Verhaltensänderungen und gemeinsame Lernerfahrungen:
- Höhere Aufmerksamkeit durch aktive Beteiligung statt passivem Wissenskonsum
- Bessere Erinnerungsleistung, durch eigenes Erleben und Anwenden
- Mehr Verständnis für Rollen, Verantwortlichkeiten und Abhängigkeiten im Krisenfall
- Stärkere bereichsübergreifende Zusammenarbeit
- Konkrete Erkenntnisse zu organisatorischen Schwachstellen und Verbesserungspotenzialen
- Nachhaltige Verankerung von sicherheitsbewusstem Denken und Handeln
Was Teilnehmende über das True Cyber Crime Format sagen
„Durch den spielerischen und interaktiven Ansatz macht der Workshop das Thema Informationssicherheit überraschend zugänglich und vermittelt selbst komplexe Inhalte auf eine leicht verständliche Weise.“
„Ein hervorragendes Konzept, das realitätsnah umgesetzt wurde, den Fokus auf die Wichtigkeit des Themas gelegt hat und zusätzlich noch die Zusammenarbeit und Kommunikation im Team gestärkt hat.“
Warum ist Security Awareness heute wichtiger denn je?
Cyberangriffe werden zunehmend professioneller und zielen immer häufiger auf den Menschen als größte Angriffsfläche im Unternehmen ab. Während technische Schutzmaßnahmen kontinuierlich weiterentwickelt und verbessert werden, nutzen Angreifer gezielt menschliche Schwächen wie Unachtsamkeit, Zeitdruck, Vertrauen oder mangelndes Risikobewusstsein aus. Schätzungen zufolge lassen sich rund 88 % der Datenlecks auf menschliche Fehler zurückführen. Der sogenannte Human Risk ist damit zu einem zentralen Faktor der Unternehmenssicherheit geworden. [2]
Besonders Social Engineering und Phishing-Angriffe zeigen, dass Cyberkriminelle heute häufig nicht versuchen, Systeme direkt anzugreifen, sondern Mitarbeitende zu manipulieren. Ziel ist es, vertrauliche Informationen zu erhalten, Schadsoftware einzuschleusen oder finanzielle Transaktionen auszulösen. Selbst modernste Sicherheitslösungen können solche menschlichen Fehlentscheidungen nicht vollständig verhindern. Phishing ist mit 16 % mittlerweile der häufigste Initial Access Vector bei Sicherheitsvorfällen. Als Initial Access Vector wird der ursprüngliche Einstiegspunkt bezeichnet, über den Angreifer erstmals Zugriff auf ein System oder Unternehmensnetzwerk erlangen – beispielsweise durch Phishing-E-Mails, gestohlene Zugangsdaten oder das Ausnutzen von Schwachstellen. [3]
Hinzu kommen neue Herausforderungen durch hybride Arbeitsmodelle und Homeoffice. Mitarbeitende arbeiten außerhalb der traditionellen Unternehmensgrenzen, nutzen unterschiedliche Netzwerke und treffen sicherheitsrelevante Entscheidungen zunehmend eigenständig. Dadurch erweitern sich potenzielle Angriffsflächen für Unternehmen erheblich.
Auch das Risiko durch Insider Risks steigt. Sicherheitsvorfälle entstehen nicht ausschließlich durch externe Angreifer, sondern häufig durch unbeabsichtigtes Fehlverhalten, unsichere Routinen oder den unsachgemäßen Umgang mit sensiblen Informationen.
Gleichzeitig ermöglichen neue Technologien wie Künstliche Intelligenz Cyberkriminellen, täuschend echte Phishing-Nachrichten, hochgradig personalisierte Betrugsversuche und automatisierte Social-Engineering-Kampagnen in großem Maßstab zu erstellen. Bereits heute werden bis zu 16 % aller Cyberangriffe durch den Einsatz von KI unterstützt – mit stark steigender Tendenz. Dadurch werden Angriffe zunehmend schwerer zu erkennen und erzielen eine höhere Erfolgsquote als je zuvor. [4]
Umso wichtiger wird neben klassischer Security Awareness auch die Entwicklung von AI Literacy. Mitarbeitende müssen verstehen, wie KI-basierte Inhalte entstehen, welche Risiken mit KI-generierten Texten, Bildern oder Deepfakes verbunden sind und wie sich deren Vertrauenswürdigkeit kritisch bewerten lässt. AI Literacy ergänzt Security Awareness damit um die Fähigkeit, neue KI-gestützte Bedrohungen besser einzuordnen und Manipulationsversuche schneller zu erkennen.
Vor diesem Hintergrund gewinnt Security Awareness zunehmend an Bedeutung. Ziel ist es, Mitarbeitende zu befähigen, Sicherheitsrisiken richtig einzuschätzen und in kritischen Situationen angemessen zu handeln. Nur wenn potenzielle Bedrohungen erkannt und Sicherheitsvorfälle rechtzeitig gemeldet werden, lassen sich Schäden wirksam vermeiden und Unternehmensdaten, Geschäftsprozesse sowie kritische Informationen schützen.
Security Awareness ist daher längst nicht mehr nur ein IT-Thema, sondern ein wesentlicher Bestandteil der Unternehmenssicherheit. Erst die Kombination aus Technologie, Wissen, sicherem Verhalten und einer gelebten Sicherheitskultur schafft die Grundlage für langfristige Cyber-Resilienz.
Warum Security Awareness neu gedacht werden muss
Wissen allein schützt nicht vor Cyberangriffen. Wirksame Security Awareness entsteht erst dann, wenn Mitarbeitende Risiken in realistischen Situationen erkennen, Entscheidungen treffen und sicheres Verhalten im Arbeitsalltag verankern. Genau deshalb gewinnen praxisnahe und interaktive Lernformate zunehmend an Bedeutung. [5]
Die „True Crime – Cybercrime Edition“ ist ein Beispiel für ein solches Security Awareness Training. Sie stärkt das Sicherheitsbewusstsein von Mitarbeitenden und fördert sicherheitskonformes Verhalten im Arbeitsalltag. Für eine ganzheitliche Sicherheitskultur sollten Awareness-Maßnahmen jedoch durch Cybersecurity Trainings ergänzt werden, die zusätzlich fachliche und technische Kompetenzen vermitteln.
Security Awareness Training vs. Cybersecurity Training
Security Awareness und Cybersecurity Training ergänzen sich als zentrale Bestandteile einer ganzheitlichen Sicherheitskultur, verfolgen jedoch unterschiedliche Ziele. Während Cybersecurity Training konkrete Kenntnisse und Fähigkeiten für sicheres Handeln vermittelt, stärkt Security Awareness Training das Verständnis für Sicherheitsrisiken und fördert ein langfristig sicherheitsbewusstes Verhalten. [6]
Fazit
Security Awareness ist längst mehr als eine Pflichtschulung – sie entwickelt sich zu einem zentralen Baustein einer resilienten Sicherheitskultur. Unternehmen sind zunehmend gefordert, Mitarbeitende aktiv einzubinden und Sicherheitsverhalten praxisnah zu fördern.
EFS Consulting unterstützt Organisationen dabei, Security Awareness nachhaltig zu verankern. Interaktive Formate wie die „True Crime – Cybercrime Edition“ zeigen, wie Security Awareness über die reine Wissensvermittlung hinausgehen kann. Sie machen Risiken erlebbar, fördern bereichsübergreifende Zusammenarbeit und unterstützen Unternehmen dabei, eine nachhaltige Sicherheitskultur aufzubauen.
FAQs
Was versteht man unter Security Awareness?
Security Awareness bezeichnet das Bewusstsein und Verständnis von Mitarbeitenden für Cyberrisiken sowie deren Fähigkeit, sicherheitsrelevante Bedrohungen zu erkennen und angemessen darauf zu reagieren. Ziel ist es, sicheres Verhalten langfristig im Arbeitsalltag zu verankern.
Warum Security Awareness Training?
Da viele Sicherheitsvorfälle auf menschliche Fehler zurückzuführen sind, helfen Security-Awareness-Trainings dabei, Risiken frühzeitig zu erkennen und sicherheitsbewusst zu handeln. Sie fördern nicht nur Wissen, sondern unterstützen auch die Entwicklung einer nachhaltigen Sicherheitskultur.
Wie oft sollten Security Awareness Trainings durchgeführt werden?
Security Awareness sollte nicht als einmalige Maßnahme verstanden werden, sondern als kontinuierlicher Prozess.
Welche Inhalte gehören zu einem Security Awareness Training?
Das ist individuell an die Zielgruppe anzupassen und sollte aktuelle Themen wie Phishing, Social Engineering, Passwortsicherheit, Datenschutz oder den Umgang mit KI-gestützten Bedrohungen umfassen. Entscheidend ist, dass die Inhalte praxisnah und für den Arbeitsalltag relevant sind.
Welche gesetzlichen Anforderungen gibt es an Security Awareness Trainings?
Regelwerke wie NIS2, ISO 27001 oder branchenspezifische Compliance-Anforderungen fordern die regelmäßige Sensibilisierung und Schulung von Mitarbeitenden im Bereich Informationssicherheit. Die „True Crime – Cybercrime Edition“ unterstützt Unternehmen dabei, diese Anforderungen durch ein praxisnahes Awareness-Format zu adressieren. Die Teilnahme kann als Nachweis einer durchgeführten Security-Awareness-Maßnahme dokumentiert werden und fördert gleichzeitig nachhaltige Verhaltensänderungen.
Was unterscheidet das EFS True Crime von klassischen Awareness Schulungen?
Unsere Trainings basieren nicht auf theoretischen Beispielen, sondern auf den Herausforderungen, die wir aus der langjährigen Begleitung von Unternehmen im Bereich Informationssicherheit kennen. In zahlreichen Projekten erleben wir, wie Sicherheitsvorfälle tatsächlich entstehen, welche Fehler unter Zeitdruck passieren und welche organisatorischen und menschlichen Faktoren dabei eine Rolle spielen.
Genau diese Realität haben wir in unser Rollenspiel „True Crime – Cybercrime Edition“ übertragen. Das Training bildet damit nicht nur theoretisches Wissen ab, sondern die Realität, mit der Unternehmen im Ernstfall tatsächlich konfrontiert sind.
Quellenverzeichnis
[1] Bundesamt für Sicherheit in der Informationstechnik (BSI): Awareness. Verfügbar unter: https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Faktor-Mensch/Awareness/awareness_node.html
[2] CISOMAG: “Psychology of Human Error” Could Help Businesses Prevent Security Breaches. Verfügbar unter: https://cisomag.com/psychology-of-human-error-could-help-businesses-prevent-security-breaches/ (Zugriff am 07.07.2026).
[3] Enzoic: IBM’s Cost of a Data Breach Report 2025. Verfügbar unter: https://www.enzoic.com/blog/ibm-cost-of-a-data-breach-report-2025/ (Zugriff am 13.07.2026).
[4] Mayer Brown: 2025 Cyber Incident Trends: What Your Business Needs to Know. Verfügbar unter: https://www.mayerbrown.com/en/insights/publications/2025/10/2025-cyber-incident-trends-what-your-business-needs-to-know (Zugriff am 13.07.2026).
[5] Lemon Learning: Learning by Doing: Definition, Benefits & Advantages. Verfügbar unter: https://lemonlearning.com/blog/6-advantages-of-learning-by-doing (Zugriff am 08.07.2026)
[6] Emerge Digital: Cyber Security Training vs Awareness: Key Differences. Verfügbar unter: https://emerge.digital/resources/cyber-security-training-vs-awareness-key-differences/
Autoren
