Was ist Security Awareness: Ein Leitfaden für Unternehmen

Etwa 60 % aller Hackerangriffe und Datenlecks sind auf menschliches Versagen zurückzuführen, zum Beispiel:

• Klicken auf einen Phishing-Link
• Keine regelmäßigen Software-Updates
• Arbeiten im öffentlichen WLAN ohne VPN
• Verwendung schwacher Passwörter

Die meisten dieser menschlichen Fehler können verhindert werden, indem der Zustand der Cyber Security Awareness in Ihrer Organisation verbessert wird.

In diesem Artikel lernen Sie die Grundlagen der Security Awareness und wie Ihr Unternehmen heute damit beginnen kann, diese zu verbessern.

Was ist Security Awareness: eine Definition

Security Awareness bezieht sich auf das Verständnis von Cyber-Bedrohungen und Best Practices zum Schutz sensibler Informationen und Systeme. Es beinhaltet das Erkennen potenzieller Risiken, das Einhalten sicherer Verhaltensweisen und das Informiertbleiben über sich entwickelnde Cyber-Bedrohungen, um sich vor Datenlecks, Malware und anderen Online-Sicherheitsherausforderungen zu schützen.

Warum Security Awareness wichtiger ist denn je

Es gibt viele Missverständnisse über Security Awareness. Hier sind einige, die wir oft hören:

→ „Sicherheit ist die Verantwortung der IT-Abteilung, nicht meine“

→ „Cyberkriminelle sind zu fortschrittlich, als dass Security Awareness Training wirksam wäre“

→ „Cyberkriminelle hacken nur große Konzerne, warum sollten sie mich ins Visier nehmen?“

→ „Meine Mitarbeiter brauchen kein Training, sie sind erfahrene Internetnutzer“

Wie bereits in der Einleitung dieses Artikels erwähnt, sind laut Verizons „2025 Data Breach Investigations Report“ bei rund 60 % aller Sicherheitsvorfälle menschliche Faktoren beteiligt, so der „2025 Data Breach Investigations Report“ von Verizon. Ganz gleich, wie viel Cybersicherheitssoftware Sie einsetzen – sie kann Sie nicht vor menschlichen Fehlern schützen, wie dem Anklicken eines Phishing-Links oder der Verwendung schwacher Passwörter. Das bedeutet, dass jeder einzelne Mitarbeiter in Ihrem Unternehmen die Verantwortung dafür trägt, Ihre Unternehmensdaten zu schützen.

Viele der Taktiken, die Cyberkriminelle anwenden, sind nicht so ausgeklügelt, wie man denkt. Sobald Ihr Team die Grundlagen kennt, sinkt die Wahrscheinlichkeit einer Datenschutzverletzung erheblich. Die meisten Datenlecks werden beispielsweise immer noch durch schwache Passwörter und das Fehlen einer Zwei-Faktor-Authentifizierung verursacht.

Hier ist ein Beispiel, wie ein ethischer Hacker das System einer Organisation hackt. Nicht mit ausgefallenen Tools, sondern mit einfachem Social Engineering:

Wenn Ihre Organisation sich dieser Bedrohungen bewusst ist und die richtigen Verfahren implementiert hat, sind Beispiele für solche Hacks wesentlich unwahrscheinlicher.

Die meisten Großkonzerne haben umfassend in Cybersicherheit investiert. Deshalb weiten Cyberkriminelle ihren Aktionsradius aus und nehmen Unternehmen jeder Größe ins Visier. Der Bericht von Verizon für das Jahr 2025 zeigt, dass bei 88 % der Sicherheitsvorfälle in kleinen und mittleren Unternehmen Ransomware im Spiel ist, verglichen mit 39 % bei großen Unternehmen. Und der Druck nimmt weiter zu: Check Point zählte im Jahr 2025 durchschnittlich 1.968 Angriffe pro Unternehmen und Woche – 70 % mehr als im Jahr 2023.

Darüber hinaus wird das Sicherheitsbewusstsein zunehmend zu einer gesetzlichen Verpflichtung. Die europäische NIS2-Richtlinie schreibt vor, dass Führungskräfte an Schulungen zur Cybersicherheit teilnehmen müssen, und erwartet von Organisationen, dass sie allen Mitarbeitern ähnliche Schulungen anbieten. In den Niederlanden wird NIS2 durch das Cyberbeveiligingswet umgesetzt, das ab dem 15. August 2026 für rund 8.000 Organisationen gilt. Weitere Informationen zu den Anforderungen finden Sie in unserer NIS2-Übersicht.

All dies bedeutet, dass es für Unternehmen jeder Größe unerlässlich ist, in Security Awareness für ihre gesamte Organisation zu investieren.

Wie man Security Awareness innerhalb einer Organisation entwickelt

Um ein robustes Cybersecurity Awareness-Programm in Ihrer Organisation zu entwickeln, müssen Sie die folgenden Schritte unternehmen.

Sichern Sie sich die Zustimmung der Führungsebene

Bevor Sie Security Awareness Kampagnen starten, stellen Sie sicher, dass Sie die Unterstützung Ihres Führungsteams erhalten. Wenn die Führungsebene nicht engagiert ist, wird all Ihre harte Arbeit am Ende umsonst sein. Wenn Ihr CEO sich nicht dafür interessiert, warum sollte sich der Rest des Unternehmens engagiert fühlen?

Vermitteln Sie die Bedeutung von Cybersecurity Awareness (oder teilen Sie einfach diesen Artikel 😉 ) und etablieren Sie eine regelmäßige Kadenz, in der Sie sie über laufende Sicherheitsprojekte informieren.

Sobald Ihr Führungsteam wirklich von der Notwendigkeit der Cyber Security Awareness überzeugt ist, können Sie sich auf die sogenannten Abteilungs-Champions konzentrieren. Dies sind oft Teamleiter, die näher an den Mitarbeitern sind und Sie bei der Umsetzung von Sicherheitsinitiativen unterstützen können. Sie sind die Personen, über die Sie Bedenken und neue Sicherheitsmaßnahmen kommunizieren.

Wenn Sie in einer größeren Organisation arbeiten und viele Stakeholder überzeugen müssen, kann es hilfreich sein, diese in einer Stakeholder-Management-Vorlage zu verfolgen.

Wenn Sie Ihre Pläne dem Führungsteam präsentieren, ist es wichtig klarzustellen, dass es sich um ein langfristiges Programm handelt. Ist dies nicht klar, könnten einige denken, Sie würden eine einmalige Veranstaltung organisieren. Doch Ihr Awareness-Programm muss ein Marathon und kein Sprint sein, um effektiv zu wirken.

Legen Sie klare Richtlinien und Verfahren fest.

Sicherheitsrichtlinien und -verfahren sind die Grundlage der Verteidigung jeder Organisation gegen Cyberangriffe. Diese Richtlinien dienen als Regelwerk, das nicht nur definiert, wie Daten, Systeme und Netzwerke zu schützen sind, sondern auch vorschreibt, wie sich Mitarbeiter in der digitalen Welt verhalten sollen.

Zwei Beispiele für wesentliche Sicherheitsrichtlinien sind:

1. Richtlinie zur Datenzugriffskontrolle: Diese Richtlinie legt fest, wer unter welchen Umständen auf sensible Daten zugreifen darf. Sie definiert Benutzerrollen und -berechtigungen, Authentifizierungsmethoden für den Zugriff und Einschränkungen bei der Datenfreigabe. Dies verhindert, dass unbefugte Personen vertrauliche Informationen einsehen und ändern.
2. Passwortrichtlinie: Eine robuste Passwortrichtlinie legt Richtlinien für die Erstellung und Verwaltung von Passwörtern fest. Sie definiert Kriterien für Passwortkomplexität, Ablauf und Schutz. Dies reduziert das Risiko eines unbefugten Kontozugriffs.

Sie benötigen auch klare Verfahrensanweisungen, wie Mitarbeiter bei einer Cyber-Bedrohung oder einem Vorfall vorgehen sollen.

Richten Sie regelmäßige Mitarbeiterschulungen ein.

Sobald Sie die Zustimmung der Führungsriege erhalten haben, ist es an der Zeit, Schulungen zur Sensibilisierung für Sicherheitsfragen für alle Mitarbeiter des Unternehmens zu organisieren. In diesen Schulungen sollten die Mitarbeiter alles über relevante Cyberbedrohungen erfahren, auf die wir später in diesem Artikel noch näher eingehen werden.

Sie sind sich nicht sicher, wo Ihr Team derzeit steht? Beginnen Sie mit einer Bestandsaufnahme des Sicherheitsbewusstseins – so erhalten Sie einen klaren Ausgangspunkt, an dem Sie den Fortschritt messen können.

Bei der Suche nach einer Trainingslösung sollten Sie die folgenden Aspekte berücksichtigen:

• Entscheiden Sie sich für eine Schulungslösung, die auf Gamification basiert. Ein Spiel zur Sensibilisierung für Sicherheitsfragen wie Guardey ermöglicht es den Nutzern, aktiv zu lernen.
• Bieten Sie wiederkehrende Schulungen an. Unternehmen bieten oft jährliche Schulungen an, die einen schnellen Wissensschub vermitteln, aber keine dauerhafte Verhaltensänderung bewirken. Suchen Sie nach Trainingslösungen, die wöchentliche, mundgerechte Schulungen anbieten.
• Stellen Sie sicher, dass Sie Schulungen zu allen aktuellen Cyber-Bedrohungen anbieten. Wenn eine Schulungslösung beispielsweise keine Inhalte zu den Bedrohungen durch KI bietet, ist sie nicht die richtige Lösung. Cyberkriminelle agieren schnell, was bedeutet, dass sich Ihre Schulungslösung ebenso schnell weiterentwickeln sollte, um Ihre Mitarbeitenden auf dem Laufenden zu halten.

Gestalten Sie Ihr Programm mit einem positiven Ton.

Oft ist die Kommunikation rund um Cyber Security negativ behaftet. Wenn Mitarbeiter einen Phishing-Test nicht bestehen oder keine hohen Punktzahlen im Awareness Training erreichen, können sie das Gefühl haben, dafür beurteilt oder sogar bestraft zu werden. Deshalb ist es entscheidend, Ihr Programm als etwas zu positionieren, das sowohl Ihrem Unternehmen als auch dem Mitarbeiter zugutekommt.

Beachten Sie dabei auch, dass sich die Mitarbeiter nicht in gleichem Maße für Ihr Sicherheitsprogramm interessieren werden wie Sie. Die Kommunikation des Warums kann daher einen wirklich großen Unterschied machen. Zeichnen Sie ein anschauliches Bild davon, welche Auswirkungen es haben kann, wenn kein Security Awareness Programm existiert.

Welche Cyber threats sollten im Training behandelt werden?

Security Awareness umfasst mehr als nur Phishing und Passwortmanagement. Beim Training Ihres Personals müssen Sie sicherstellen, dass Sie jede Cyber-Bedrohung abdecken, der Sie begegnen könnten. Hier ist eine bei Weitem unvollständige Liste, die Ihnen eine Vorstellung von Bedrohungen gibt, die im Training enthalten sein sollten.

1. Phishing-Angriffe: Bringen Sie Ihrem Team bei, Phishing-E-Mails und verdächtige Links zu erkennen, und betonen Sie, wie wichtig es ist, keine sensiblen Informationen an unbekannte Absender weiterzugeben. Prüfen Sie durch wiederkehrende Phishing-Simulationen, ob die Botschaft wirklich verinnerlicht wurde.
2. Ransomware: Geben Sie Anleitungen zur Identifizierung potenzieller Ransomware-Bedrohungen und betonen Sie die Wichtigkeit regelmäßiger Datensicherungen.
3. Social Engineering: Schulen Sie Mitarbeiter, vorsichtig zu sein, wenn sie sensible Informationen persönlich, telefonisch oder online teilen, und die Identität von Personen zu überprüfen, die vertrauliche Daten anfordern.
4. Passwortsicherheit: Fördern Sie sichere Passwortpraktiken, einschließlich der Verwendung komplexer und einzigartiger Passwörter, der Aktivierung der Zwei-Faktor-Authentifizierung und der Vermeidung der Passwortweitergabe.
5. Malware: Schulen Sie Mitarbeiter über die Risiken des Herunterladens von Software oder Dateien aus nicht vertrauenswürdigen Quellen und die Bedeutung der Verwendung seriöser Antivirensoftware.
6. Insider-Bedrohungen: Schaffen Sie Bewusstsein für das Potenzial böswilliger Handlungen durch Mitarbeiter oder Partner und betonen Sie die Notwendigkeit einer Kultur der Wachsamkeit und des Vertrauens.
7. BYOD (Bring Your Own Device)-Risiken: Stellen Sie Richtlinien für die sichere Nutzung privater Geräte am Arbeitsplatz und zur Erkennung der damit verbundenen potenziellen Sicherheitsbedrohungen bereit.
8. Datenhandhabung und -schutz: Weisen Sie Mitarbeiter an, wie sensible Daten ordnungsgemäß zu handhaben, zu speichern und zu übertragen sind, um Datenlecks und unbefugten Zugriff zu verhindern.
9. Wi-Fi-Sicherheit: Schulen Sie Mitarbeitende über die Gefahren der Nutzung ungesicherter öffentlicher Wi-Fi-Netzwerke und die Wichtigkeit der Nutzung eines Virtual Private Network (VPN) bei Bedarf.
10. E-Mail-Sicherheit: Betonen Sie bewährte E-Mail-Praktiken, wie die Überprüfung von E-Mail-Absendern, das Nicht-Öffnen von Anhängen oder Klicken auf Links in verdächtigen E-Mails sowie das Melden von Phishing-Versuchen.

Und die Liste ist lang. Wenn eine Security Awareness Training-Lösung einige der oben genannten Themen nicht abdeckt, sollten Sie diese als unvollständig und ungeeignet betrachten.

Das Fazit

Entgegen der landläufigen Meinung können Sie Hacker tatsächlich überlisten. Organisationen mit ausgeprägtem Security Awareness sind einfach weniger anfällig für Cyberangriffe. Die meisten Hacks und Datenlecks entstehen immer noch durch einfache menschliche Fehler: das Klicken auf Phishing-Links, die Arbeit in einem ungesicherten Netzwerk oder die Nichtverwendung der Zwei-Faktor-Authentifizierung.

Um Cybersecurity Awareness in Ihrer Organisation zu etablieren, sollten Sie in Betracht ziehen, regelmäßiges Security Awareness Training anzubieten. Dies ermöglicht Ihren Mitarbeitern, die größten Cyber-Risiken kennenzulernen und entsprechend zu handeln, wenn sie damit konfrontiert werden.

Mit Guardeys Security Awareness Game erhält Ihr Team wöchentlich eine 3-minütige Challenge zu einem spezifischen Sicherheitsthema. Das Game wurde in Zusammenarbeit mit ethischen Hackern und Pädagogen entwickelt, um eine nachhaltige Verhaltensänderung zu bewirken. Sie können jetzt eine 14-tägige kostenlose Testphase starten.

Häufig gestellte Fragen zum Thema Sicherheitsbewusstsein

Was versteht man unter Sicherheitsbewusstsein?

Sicherheitsbewusstsein bedeutet, dass alle Mitarbeiter Ihres Unternehmens ein Verständnis für Cyberbedrohungen entwickeln und sich sowohl im digitalen als auch im physischen Umfeld sicher verhalten. Dazu gehört, Phishing zu erkennen, sorgfältig mit sensiblen Daten umzugehen und zu wissen, was zu tun ist, wenn etwas schiefgeht. Es handelt sich dabei um eine Fähigkeit, die man kontinuierlich pflegt, und nicht um eine einmalige Maßnahme.

Warum ist Sicherheitsbewusstsein wichtig?

Etwa 60 % aller Sicherheitsvorfälle sind auf menschliches Versagen zurückzuführen, was Ihre Mitarbeiter zum entscheidenden Faktor zwischen einem versuchten Angriff und einem tatsächlichen Vorfall macht. Hinzu kommt, dass Rechtsvorschriften wie NIS2 von Unternehmen verlangen, sowohl die Führungskräfte als auch die Mitarbeiter zu schulen.

Wie oft sollten Mitarbeiter an Schulungen zur Sensibilisierung für Sicherheitsfragen teilnehmen?

Kurze und häufige Einheiten sind besser als lange und seltene. Eine jährliche Sitzung gerät schon nach wenigen Wochen in Vergessenheit, während kurze wöchentliche Trainingseinheiten das Wissen auffrischen und das Verhalten nach und nach verändern. Genau dieser Rhythmus macht aus Bewusstsein eine Gewohnheit.

Was ist der Unterschied zwischen Sicherheitsbewusstsein und Schulungen zum Sicherheitsbewusstsein?

Das Ziel ist die Sensibilisierung für Sicherheitsfragen: Mitarbeiter, die Cyberrisiken erkennen und entsprechend handeln. Der Weg dorthin führt über Schulungen zur Sensibilisierung für Sicherheitsfragen – mit einem strukturierten Programm, das Schritt für Schritt Wissen und sicheres Verhalten vermittelt.