Kurzdefinition

Cyber Security Awareness Training ist ein systematisches Schulungsprogramm, das Mitarbeitende befähigt, Cyberbedrohungen wie Phishing, Social Engineering und Ransomware-Anbahnung zu erkennen und richtig darauf zu reagieren. Es verbindet kontinuierliche Lerninhalte mit simulierten Angriffen, um den Menschen als häufigsten Angriffsvektor gezielt abzusichern. In der Schweiz und in Deutschland ist es über die NIS2-Richtlinie und die nationale KRITIS-Gesetzgebung für viele Unternehmen inzwischen eine regulatorische Pflicht.

1. Warum der Mensch das eigentliche Angriffsziel ist

Technische Schutzsysteme – Firewalls, Endpoint-Security, Netzwerksegmentierung – haben in den letzten Jahren einen hohen Reifegrad erreicht. Gleichzeitig verlagern Angreifer ihren Fokus konsequent auf den Faktor, der sich technisch nicht patchen lässt: den Menschen.

Der aktuelle Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) für den Zeitraum Juli 2024 bis Juni 2025 dokumentiert für Deutschland durchschnittlich 119 neu entdeckte Sicherheitslücken pro Tag – ein Anstieg von 24 Prozent gegenüber dem Vorjahreszeitraum. Das Bundeskriminalamt registrierte im selben Zeitraum 950 Ransomware-Angriffe, wobei 80 Prozent der betroffenen Organisationen kleine und mittlere Unternehmen waren.

Gleichzeitig beobachtet das BSI eine Verschiebung der Angriffswege hin zu manipulierten Webseiten: Typo-Squatting (Tippfehler-Domains wie „facebok.com") und Brand-Jacking (Missbrauch bekannter Markennamen in der URL) gehören inzwischen zu den gängigsten Methoden, um Nutzende auf Phishing-Seiten zu locken.

Diese Verschiebung ist kein Zufall. Sie folgt einer ökonomischen Logik: Ein einziger erfolgreicher Klick öffnet Angreifern den Weg ins Unternehmensnetzwerk – ganz ohne aufwändigen technischen Exploit. Genau deshalb ist Security Awareness Training kein Randthema der IT-Abteilung mehr, sondern eine unternehmensweite Führungsaufgabe.

2. Wissenschaftlicher Hintergrund: Phishing-Forschung von Dr. Teichmann

Die Cybersicherheitsforschung von Dr. iur. Dr. rer. pol. Fabian M. Teichmann befasst sich seit mehreren Jahren intensiv mit der Frage, wie Phishing-Angriffe strukturell funktionieren und warum sie trotz technischer Fortschritte weiterhin so wirksam sind. In der 2024 in der International Cybersecurity Law Review erschienenen Studie „Phishing Attacks: Risks and Challenges for Law Firms" (Teichmann & Boticiu, 2024) unterscheiden die Autoren drei zentrale Angriffsformen, deren Logik sich unmittelbar auf Unternehmen jeder Branche übertragen lässt:

Spear-Phishing

Anders als breit gestreute Massen-E-Mails richten sich Spear-Phishing-Angriffe gezielt gegen einzelne Personen oder Organisationen. Die Studie zeigt, dass Angreifer öffentlich zugängliche Informationen aus sozialen Netzwerken nutzen, um Nachrichten so zu personalisieren, dass sie kaum von legitimer Kommunikation zu unterscheiden sind – häufig unter Vortäuschung einer Vorgesetzten- oder Partnerrolle, verbunden mit einer Zahlungs- oder Datenanfrage.

Pharming

Hierbei werden Opfer nicht per E-Mail, sondern über kompromittierte DNS-Einträge oder manipulierte Host-Dateien auf gefälschte Webseiten umgeleitet – oft ohne dass ein einziger verdächtiger Klick nötig war. Die Studie beschreibt DNS-Poisoning als Methode, bei der die IP-Adresse einer legitimen Domain im Hintergrund auf die Infrastruktur des Angreifers umgebogen wird.

Kontoübernahme (Account Takeover)

Massenhaft versendete Phishing-Mails zielen darauf ab, Zugangsdaten abzugreifen. Sobald ein E-Mail-Konto kompromittiert ist, nutzen Angreifer dieses laut der Studie häufig, um Zahlungsflüsse innerhalb bestehender Geschäftsbeziehungen umzuleiten oder mit vertraulichen Informationen zu erpressen.

Die Studie kommt zu einem für Awareness-Programme zentralen Schluss: Die wirksamste Einzelmassnahme gegen alle drei Angriffsformen ist nicht eine weitere technische Kontrolle, sondern die systematische Schulung von Mitarbeitenden – ergänzt um E-Mail-Filter, aktuelle Antiviren-Software, Multi-Faktor-Authentifizierung und sichere WLAN-Praktiken. Technik reduziert die Angriffsfläche, aber erst geschulte Mitarbeitende schliessen die Lücke, die am Ende jeder Kette bleibt – den Moment der menschlichen Entscheidung.

3. Das Geschäftsmodell hinter Cyberangriffen verstehen

Wer versteht, warum Angreifer überhaupt Phishing einsetzen, schult wirksamer. In der 2025 in der International Cybersecurity Law Review erschienenen Arbeit „Cybersecurity of Critical Infrastructure in Europe: The NIS2 Directive in Focus" (Teichmann, 2025) wird das dahinterliegende Geschäftsmodell analysiert: Ransomware hat sich von einer simplen Zugangsblockade zu einem arbeitsteiligen Wirtschaftszweig entwickelt.

Beim Modell „Ransomware-as-a-Service" stellen Entwickler Schadsoftware und Infrastruktur bereit, während sogenannte Affiliates die eigentlichen Angriffe durchführen und die Erlöse anteilig teilen. Ergänzt wird dieses Ökosystem durch „Initial Access Broker", die ausschliesslich mit gestohlenen Zugangsdaten handeln – Zugangsdaten, die in den meisten Fällen aus genau den Phishing-Kampagnen stammen, gegen die Awareness-Trainings schützen sollen.

Die Studie ordnet Ransomware auch rechtlich ein: Auf EU-Ebene verpflichtet die Richtlinie 2013/40/EU die Mitgliedstaaten, unbefugten Systemzugang, Datenveränderung, Computersabotage und Erpressung konsequent unter Strafe zu stellen; in Deutschland greifen dabei die §§ 202a, 253 und 303b StGB ineinander. Besonders problematisch bleibt laut der Studie die grenzüberschreitende Dimension: Angreifer, Server und Geldflüsse liegen häufig in unterschiedlichen Rechtsräumen.

Die Studie führt als Praxisbeispiele unter anderem den Ransomware-Angriff auf den irischen Gesundheitsdienst HSE (2021) sowie den bewussten Verzicht des norwegischen Aluminiumkonzerns Norsk Hydro (2019) auf eine Lösegeldzahlung an – ein Fall, in dem konsequentes, transparentes Krisenmanagement trotz hoher Kosten langfristig Vertrauen zurückgewann.

Für die Awareness-Praxis bedeutet das: Jede Phishing-Simulation, die Mitarbeitende für eine kompromittierte Zugangsdatenanfrage sensibilisiert, unterbricht potenziell eine ganze Angriffskette – von der Initial-Access-Beschaffung bis zur eigentlichen Ransomware-Verschlüsselung.

4. Rechtlicher Rahmen: NIS2, KRITIS und die Schulungspflicht

Die NIS2-Richtlinie (Richtlinie (EU) 2022/2555) verpflichtet Betreiber wesentlicher und wichtiger Einrichtungen ausdrücklich zu „Cyberhygiene-Praktiken und Schulungen zur Cybersicherheit". Wie diese Pflicht sektorspezifisch ausgestaltet wird, zeigt die Forschung von Dr. Teichmann anhand mehrerer konkreter Wirtschaftszweige:

In der 2025 erschienenen Studie „NIS-2 in der Energiewirtschaft: Pflichten und Haftungsregime für Kritis-Betreiber" (Teichmann, 2025, Zeitschrift für das gesamte Recht der Energiewirtschaft) wird herausgearbeitet, dass Energieunternehmen als wesentliche Einrichtungen den strengsten Pflichten unterliegen: umfassende Risikomanagementsysteme, Lieferkettensicherheit bis zu Cloud- und Steuerungstechnik-Zulieferern sowie eine gestufte Meldepflicht – erste Meldung binnen 24 Stunden, Zwischenbericht nach 72 Stunden, Abschlussanalyse binnen eines Monats.

Die Studie benennt zudem die persönliche Haftung der Geschäftsleitung: Bussgelder von bis zu 10 Millionen Euro oder 2 Prozent des globalen Jahresumsatzes sind ebenso möglich wie individuelle Sanktionen bis hin zum Berufsverbot für Verantwortliche.

Für den Bankensektor untersucht die Studie „Umsetzung der NIS-2-Richtlinien im deutschen Bankensektor" (Teichmann, 2025, Zeitschrift für Bank- und Kapitalmarktrecht) die Schnittstellen zwischen NIS2 und bereits bestehenden Regelwerken wie DORA. Für den öffentlichen Sektor legt die Arbeit „Cybersicherheit in Kommunen – Regelungsdefizite und Reformbedarf" (Teichmann, 2025, Zeitschrift für Rechtspolitik 6/2025, S. 184–187) offen, dass viele Kommunen strukturell unterfinanziert sind, um die neuen Anforderungen an Personal und Prozesse zu erfüllen.

Der gemeinsame Nenner aller drei Studien: Awareness-Massnahmen sind kein optionales Add-on zur technischen Compliance, sondern ein eigenständiger, dokumentationspflichtiger Baustein des Risikomanagements nach NIS2 – unabhängig davon, ob es sich um einen Energieversorger, eine Bank oder eine Kommunalverwaltung handelt.

5. Vorbereitung, Reaktion, Wiederherstellung – die drei Phasen

Die 2024 erschienene Studie „Adequate Responses to Cyber-Attacks" (Teichmann & Boticiu, 2024, International Cybersecurity Law Review) liefert ein Phasenmodell, das sich unmittelbar auf den Aufbau eines Awareness-Programms übertragen lässt:

Vor einem Angriff

Die Studie nennt getestete Backup-Verfahren auf physisch getrennten Speichermedien, dokumentierte Incident-Response- und Business-Continuity-Pläne sowie Systeme zur Erkennung von Eindringlingen (Intrusion Detection Systems) als Grundpfeiler. Als eigenständigen, gleichrangigen Baustein führt die Studie explizit „Schulungen zum Thema Cybersicherheit" auf – mit dem konkreten Ziel, Mitarbeitende in die Lage zu versetzen, Phishing-Mails zu erkennen und Zugriffsrechte auf sensible Informationen bewusst einzuschränken.

Während und unmittelbar nach einem Angriff

Die Studie empfiehlt die sofortige Isolierung kompromittierter Netzwerksegmente, die Einbindung von Rechtsberatung zur Kommunikation mit Aufsichtsbehörden sowie eine lückenlose forensische Dokumentation – Faktoren, die auch für die NIS2-Meldefristen relevant sind.

Nach einem Angriff

Im Mittelpunkt stehen laut der Studie die vollständige Bereinigung der Systeme, ein verpflichtender Passwort-Reset, die Aktivierung von Zwei-Faktor-Authentifizierung sowie – als letzter Schritt des Kreislaufs – die Aktualisierung der Awareness-Massnahmen auf Basis der aus dem Vorfall gewonnenen Erkenntnisse.

Ein Awareness-Programm, das sich an diesem Dreiklang orientiert, ist kein einmaliges Schulungsereignis, sondern ein sich selbst verbessernder Kreislauf.

6. Cyber Threat Intelligence als Ergänzung zu Awareness-Trainings

Awareness-Training entfaltet seine volle Wirkung erst im Zusammenspiel mit Cyber Threat Intelligence (CTI). Die Studie „Cyber Threat Intelligence: Existing Benefits and Challenges for Law Firms and Businesses" (Teichmann & Boticiu, 2024, International Cybersecurity Law Review) beschreibt CTI als strukturierten Prozess zur Sammlung und Analyse von Informationen über die Ziele, Motive und Angriffsmuster von Bedrohungsakteuren, gegliedert in sechs Phasen: Festlegung der Informationsziele, Sammlung, Aufbereitung, Analyse, Verteilung an relevante Stellen und Feedback zur kontinuierlichen Verbesserung.

Für Awareness-Programme ist vor allem die „Verteilungs"-Phase relevant: Aktuelle Erkenntnisse über neue Phishing-Kampagnen oder Angriffsmuster einer bestimmten Branche lassen sich direkt in Schulungsinhalte und Simulationsszenarien einspeisen. Die Studie benennt zugleich typische Herausforderungen – etwa Datenüberlastung durch zu viele unstrukturierte Quellen oder fehlendes Fachpersonal – die bei der Auswahl eines Anbieters berücksichtigt werden sollten.

7. Branchenspezifische Betrachtung

(Hinweis für den Webdesigner: Diese Tabelle ist so angelegt, dass sie später auf branchenspezifische Unterseiten verlinken kann. Jede Zeile kann zum Link werden, sobald die entsprechende Unterseite live ist.)

8. Die drei Kernkomponenten eines wirksamen Awareness-Programms

Kontinuierliche Lerninhalte statt Einmalschulung

Ein jährliches Pflichtvideo verändert kein Verhalten. Wirksame Programme arbeiten mit kurzen, wiederkehrenden Lerneinheiten (Microlearning), die Wissen über das Jahr verteilt festigen – ein Prinzip, das sich mit der von der CTI-Studie beschriebenen Feedback-Phase deckt: Inhalte werden fortlaufend an neue Bedrohungslagen angepasst statt einmalig festgelegt.

Phishing-Simulationen mit Praxisbezug

Realistische, an aktuelle Angriffsmuster angelehnte Simulationen – etwa Typo-Squatting-Domains, wie sie der BSI-Lagebericht 2025 als zunehmend verbreitete Methode beschreibt – liefern messbare Kennzahlen (Klickrate, Meldequote) statt nur Teilnahmebestätigungen.

Nachweisbare Compliance-Dokumentation

Für NIS2- und KRITIS-Nachweise braucht es lückenlose Dokumentation: wer wann mit welchem Ergebnis geschult wurde und welche Massnahmen bei wiederholten Auffälligkeiten ergriffen wurden.

9. Woran man einen guten Anbieter erkennt

10. Über die wissenschaftliche Grundlage von DeeplySecure

DeeplySecure ist als ZFU-zertifizierte Weiterbildung konzipiert und wird inhaltlich von Dr. iur. Dr. rer. pol. Fabian M. Teichmann verantwortet. Teichmanns Forschung zu Phishing, Ransomware, Cyber Threat Intelligence und der NIS2-Umsetzung in verschiedenen Branchen – regelmässig publiziert unter anderem in der International Cybersecurity Law Review, der Neuen Juristischen Wochenschrift und der Zeitschrift für Rechtspolitik – fliesst direkt in die Trainingsinhalte und Phishing-Simulationen der Plattform ein.

Diese enge Verzahnung von akademischer Forschung und praktischer Trainingsumsetzung unterscheidet DeeplySecure von Anbietern, die ausschliesslich mit Marketing-Fachwissen statt mit peer-referenzierten Publikationen arbeiten.

11. Häufig gestellte Fragen

Was kostet Security Awareness Training für ein KMU?

Die Kosten hängen von Mitarbeiterzahl und Funktionsumfang ab. Seriöse Anbieter kalkulieren nach Mitarbeiterzahl, nicht nach Pauschalpaketen ohne Skalierung.

Ist Security Awareness Training für alle Unternehmen Pflicht?

Verpflichtend ist es primär für Betreiber wesentlicher und wichtiger Einrichtungen unter NIS2 sowie für KRITIS-Betreiber. Für alle anderen Unternehmen bleibt es freiwillig, wird aber von Cyberversicherungen zunehmend als Voraussetzung verlangt.

Wie oft sollten Phishing-Simulationen durchgeführt werden?

Empfehlenswert sind monatliche bis quartalsweise Simulationen mit wechselnden Angriffsmustern, um einen nachhaltigen Lerneffekt statt eines einmaligen Überraschungseffekts zu erzielen.

Was unterscheidet Spear-Phishing von klassischem Phishing?

Spear-Phishing richtet sich gezielt gegen einzelne Personen oder Organisationen und nutzt personalisierte, öffentlich verfügbare Informationen, während klassisches Phishing breit gestreut und weniger individualisiert ist.

Was ist der Unterschied zwischen Security Awareness Training und Phishing-Simulation?

Security Awareness Training ist der Oberbegriff für das gesamte Schulungsprogramm; die Phishing-Simulation ist eine einzelne Massnahme innerhalb dieses Programms, die das Verhalten unter realistischen Bedingungen testet.

Welche Meldefristen gelten nach NIS2 bei einem Sicherheitsvorfall?

Eine erste Meldung ist binnen 24 Stunden fällig, ein Zwischenbericht nach 72 Stunden, eine Abschlussanalyse spätestens nach einem Monat.

Wer haftet bei fehlendem Awareness-Training und Cybervorfall?

Bei NIS2-pflichtigen Unternehmen kann die Geschäftsleitung persönlich haftbar gemacht werden. Möglich sind Bussgelder bis zu 10 Millionen Euro oder 2 Prozent des globalen Jahresumsatzes sowie individuelle Sanktionen bis hin zum Berufsverbot.

Was ist Cyber Threat Intelligence und wie hängt es mit Awareness-Training zusammen?

Cyber Threat Intelligence ist die strukturierte Sammlung und Analyse von Informationen über Bedrohungsakteure. Aktuelle Erkenntnisse fliessen idealerweise direkt in Schulungsinhalte und Phishing-Simulationen ein, damit diese reale, aktuelle Angriffsmuster abbilden.

12. Quellenverzeichnis

Teichmann, F. M. & Boticiu, S. R. (2024): Phishing Attacks: Risks and Challenges for Law Firms. International Cybersecurity Law Review, 07.02.2024.

Teichmann, F. M. & Boticiu, S. R. (2024): Adequate Responses to Cyber-Attacks. International Cybersecurity Law Review, 04.04.2024.

Teichmann, F. M. & Boticiu, S. R. (2024): Cyber Threat Intelligence: Existing Benefits and Challenges for Law Firms and Businesses. International Cybersecurity Law Review, 05.04.2024.

Teichmann, F. M. (2025): Cybersecurity of Critical Infrastructure in Europe: The NIS2 Directive in Focus. International Cybersecurity Law Review, 10.07.2025. DOI: 10.1365/s43439-025-00154-4

Teichmann, F. M. (2025): NIS-2 in der Energiewirtschaft: Pflichten und Haftungsregime für Kritis-Betreiber. Zeitschrift für das gesamte Recht der Energiewirtschaft.

Teichmann, F. M. (2025): Umsetzung der NIS-2-Richtlinien im deutschen Bankensektor. Zeitschrift für Bank- und Kapitalmarktrecht.

Teichmann, F. M. (2025): Cybersicherheit in Kommunen – Regelungsdefizite und Reformbedarf. Zeitschrift für Rechtspolitik, 6/2025, S. 184–187.

Teichmann, F. M. (2026): Platform governance under NIS2 and the Cyber Resilience Act: cybersecurity by design as social practice. Information, Communication & Society. DOI: 10.1080/1369118X.2025.2609780

Bundesamt für Sicherheit in der Informationstechnik (BSI) (2025): Die Lage der IT-Sicherheit in Deutschland 2025. Berichtszeitraum 1. Juli 2024 – 30. Juni 2025.