Muss die Geschäftsführung wirklich selbst geschult werden?

Bei Einrichtungen, die unter NIS2 fallen, ja: § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen, regelmäßig an Schulungen teilzunehmen. Unabhängig davon ist die Geschäftsführung bei CEO-Fraud das Gesicht des Angriffs – sie sollte wissen, wie er aussieht.

Reicht ein Online-Kurs mit Zertifikat?

Als Grundlage kann er dienen. Wirksamer sind Einheiten mit den eigenen Beispielen und den eigenen Abläufen, weil sie zeigen, was im Haus konkret zu tun ist: welche Meldetaste, welche Nummer für den Rückruf, wer bei einem Fehlklick angerufen wird.

Dürfen wir Phishing-Simulationen ohne Ankündigung durchführen?

Das ist vor allem eine Frage der Mitbestimmung und des Datenschutzes und sollte vorher mit Betriebsrat und Datenschutzbeauftragtem geklärt werden. Bewährt hat sich, Simulationen allgemein anzukündigen, ohne Zeitpunkt, und nur für die Gruppe auszuwerten.

Wie messen wir, ob die Schulung wirkt?

Nicht an der Klickrate allein, sondern an der Meldequote und der Zeit bis zur ersten Meldung. Ein Haus, in dem drei Personen klicken und zwanzig melden, ist besser geschützt als eines, in dem niemand klickt und niemand meldet.

Security-Awareness-Schulung, die wirkt: kurz, regelmäßig, mit echten Beispielen – und ohne Schuldzuweisung

Der jährliche Pflichtfilm über Phishing schützt vor dem Angriff des Vorjahres. Was Mitarbeitende tatsächlich vor Fehlklicks bewahrt, sind kurze Einheiten mit Nachrichten aus dem eigenen Posteingang, eine Meldetaste und eine Geschäftsführung, die einen gemeldeten Fehler lobt. Für Einrichtungen unter NIS2 ist Schulung außerdem Pflicht – auch für die Geschäftsleitung selbst.

0621 877 55 990 · rund um die Uhr, 365 Tage im Jahr

Beratungsgespräch in einem Besprechungsraum

14Jahre
unternehmerisch im IT-Betrieb, GmbH seit 2020
InternationaleExpertise
Betreuung in Deutschland, Europa und dem Nahen Osten
99,9 %Verfügbarkeit
der Cloud-Services, je Kalendermonat
15 Min.Reaktionszeit
im Notfall, rund um die Uhr
ISO 27001zertifiziert
Partner-Rechenzentren in Deutschland

Das BSI beschreibt Social Engineering als Angriff auf den Menschen: über Hilfsbereitschaft, Vertrauen, Respekt vor Autorität und Zeitdruck. Gegen diese Angriffe hilft Technik nur zum Teil. Ein Filter erkennt keine gut gemachte Nachricht aus einem übernommenen echten Postfach, und keine Software hält jemanden davon ab, am Telefon ein Passwort zu nennen. Deshalb gehört Schulung zu jedem Schutzkonzept – nicht als Pflichtübung, sondern als die Maßnahme, die den Rest erst wirksam macht.

Für Einrichtungen, die unter das NIS2-Umsetzungsgesetz fallen, ist das keine Empfehlung. § 30 Abs. 2 Nr. 7 BSIG zählt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Informationssicherheit zu den Mindestmaßnahmen. Und § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen selbst, regelmäßig an Schulungen teilzunehmen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können.

Was eine Schulung wirksam macht

Gemessen an dem, was nach Schulungen tatsächlich passiert: Wie viele verdächtige Nachrichten werden gemeldet, wie schnell, und wie viele Fehlklicks bleiben unentdeckt.

Kurz und regelmäßig statt lang und seltenFünfzehn Minuten im Quartal wirken mehr als zwei Stunden im Jahr. Angriffe ändern sich laufend – die Schulung muss es auch.
Echte Beispiele aus dem eigenen PosteingangNachrichten, die tatsächlich bei Ihnen angekommen sind, mit Ihren Lieferanten, Ihrer Bank, Ihrem Paketdienst. Allgemeine Beispiele werden als fremd abgetan; die eigenen nicht.
Eine MeldetasteEin Klick im E-Mail-Programm, und die verdächtige Nachricht geht mit allen Kopfzeilen an die IT. Wer erst überlegen muss, an wen er wie meldet, meldet nicht.
Lob für Meldungen, keine Strafe für FehlerWer nach einem Fehlklick Ärger fürchtet, schweigt – und der Angreifer hat Tage statt Minuten. Die Geschäftsführung sagt es einmal laut: Wer meldet, hat richtig gehandelt.
Rollen, die gezielt angegriffen werdenBuchhaltung, Assistenz der Geschäftsführung, Personal und Einkauf bekommen eine zusätzliche Einheit zu CEO-Fraud, gefälschten Rechnungen und Bewerbungen mit Schadsoftware.

Phishing-Simulationen – mit Augenmaß

Simulierte Phishing-Mails, die an das eigene Team gehen, sind ein verbreitetes Mittel, um den Stand zu messen. Sie können nützlich sein, wenn drei Bedingungen erfüllt sind: Das Team weiß, dass es solche Tests gibt; das Ergebnis wird für die Gruppe ausgewertet und nicht für Einzelne; und wer klickt, landet auf einer kurzen Erklärung statt auf einer Rüge. Werden Simulationen dagegen als Fallen eingesetzt, mit Namenslisten an die Geschäftsführung, zerstören sie genau die Meldekultur, auf die es ankommt.

Vor einer Simulation sind außerdem der Betriebsrat, soweit vorhanden, und der Datenschutz einzubinden, weil das Verhalten einzelner Beschäftigter ausgewertet werden könnte. Die Auswertung bleibt deshalb aggregiert: Wie viele haben geklickt, wie viele gemeldet, wie schnell kam die erste Meldung.

Ein Jahresplan für ein Haus mit 20 bis 200 Arbeitsplätzen

Quartal 1: Grundlagen und MeldetasteEine Einheit für alle: die fünf Merkmale von Phishing, Absender und Link prüfen, Meldetaste einführen. Für die Geschäftsleitung: Pflichten nach NIS2, Haftung, was ein Vorfall kostet.
Quartal 2: RollenBuchhaltung und Einkauf: CEO-Fraud, gefälschte Rechnungen, Rückruf-Regel. Personal: Bewerbungen mit Anhängen. Assistenz: Anrufe im Namen der Geschäftsführung.
Quartal 3: Telefon, QR-Code, MessengerQuishing, Smishing, Anrufe angeblicher Microsoft-Mitarbeiter, die Bitte, eine Anmeldung auf dem Telefon zu bestätigen.
Quartal 4: Übung und AuswertungEine angekündigte Simulation mit Gruppenauswertung, eine kurze Notfallübung mit der Rufkette, Nachweis der Teilnahme für Prüfer und Versicherung.

Dazu gehört

Häufige Fragen

Muss die Geschäftsführung wirklich selbst geschult werden?: Bei Einrichtungen, die unter NIS2 fallen, ja: § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitungen, regelmäßig an Schulungen teilzunehmen. Unabhängig davon ist die Geschäftsführung bei CEO-Fraud das Gesicht des Angriffs – sie sollte wissen, wie er aussieht.
Reicht ein Online-Kurs mit Zertifikat?: Als Grundlage kann er dienen. Wirksamer sind Einheiten mit den eigenen Beispielen und den eigenen Abläufen, weil sie zeigen, was im Haus konkret zu tun ist: welche Meldetaste, welche Nummer für den Rückruf, wer bei einem Fehlklick angerufen wird.
Dürfen wir Phishing-Simulationen ohne Ankündigung durchführen?: Das ist vor allem eine Frage der Mitbestimmung und des Datenschutzes und sollte vorher mit Betriebsrat und Datenschutzbeauftragtem geklärt werden. Bewährt hat sich, Simulationen allgemein anzukündigen, ohne Zeitpunkt, und nur für die Gruppe auszuwerten.
Wie messen wir, ob die Schulung wirkt?: Nicht an der Klickrate allein, sondern an der Meldequote und der Zeit bis zur ersten Meldung. Ein Haus, in dem drei Personen klicken und zwanzig melden, ist besser geschützt als eines, in dem niemand klickt und niemand meldet.

Quellen und Nachweise

§ 30 BSIG – Risikomanagementmaßnahmen (Absatz 2 Nr. 7: grundlegende Schulungen und Sensibilisierungsmaßnahmen) · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
§ 38 BSIG – Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen · Bundesministerium der Justiz (gesetze-im-internet.de)amtlich
BSI: Social Engineering – der Mensch als Schwachstelle · Bundesamt für Sicherheit in der Informationstechnikamtlich
BSI IT-Grundschutz-Kompendium – Bausteine (unter anderem ORP.3 Sensibilisierung und Schulung zur Informationssicherheit) · Bundesamt für Sicherheit in der Informationstechnikamtlich

Ihr nächster Schritt

Sprechen wir über Ihre IT.

Schildern Sie uns Ihr Anliegen – Sie erhalten innerhalb der nächsten zwei Stunden eine Antwort von jemandem, der entscheiden kann.

Das gehört dazu

Phishing erkennenRechtschreibfehler und seltsame Anreden waren jahrelang das Erkennungszeichen. Heute schreiben Angreifer fehlerfrei, kennen Namen und Anlässe und tarnen Links hinter QR-Codes. Was bleibt, sind fünf Merkmale, die mit dem Inhalt der Nachricht zu tun haben, nicht mit ihrer Form – und zwei Prüfungen, die jeder in zehn Sekunden machen kann.Ansehen →

CEO-FraudKeine Schadsoftware, kein Link, kein Anhang – nur eine glaubwürdige Nachricht im Namen der Geschäftsführung oder eines Lieferanten, die eine eilige Zahlung oder eine neue Bankverbindung verlangt. CEO-Fraud und Rechnungsbetrug gehen an jedem technischen Schutz vorbei. Sie brechen an einer einzigen Regel im Zahlungsablauf, die nichts kostet.Ansehen →

Ransomware-AblaufDie Verschlüsselung ist das Ende eines Angriffs, nicht sein Anfang. Davor liegen Tage oder Wochen, in denen sich jemand im Netz bewegt, Rechte sammelt, Sicherungen sucht und Daten abzieht. Wer die Phasen kennt, weiß, wo ein Angriff sichtbar wird – und dass die beste Gelegenheit, ihn zu stoppen, lange vor dem Erpresserschreiben liegt.Ansehen →

Die ersten 24 StundenEin Bildschirm mit Erpresserschreiben, ein Postfach, das Mails verschickt, die niemand geschrieben hat, Server, die nicht mehr starten. In den ersten Stunden nach einem Angriff entscheiden wenige Handgriffe darüber, wie groß der Schaden wird – und einige gut gemeinte machen ihn größer. Diese Seite ist die Reihenfolge, die wir im Ernstfall abarbeiten, mit den Fristen, die ab der Kenntnis laufen.Ansehen →

E-Mail-SicherheitDen Absender einer E-Mail kann jeder frei eintragen. Ob er stimmt, prüft der Empfänger über drei Einträge im DNS Ihrer Domain: SPF, DKIM und DMARC. Fehlen sie oder stehen sie auf „nur beobachten“, kommen gefälschte Rechnungen und Anweisungen in Ihrem Namen bei Kunden und Kollegen an. Das BSI hat im Mai 2025 aufgeschrieben, woran die Einrichtung am häufigsten scheitert.Ansehen →

MeldepflichtenNach einem Angriff laufen mehrere Uhren gleichzeitig, und sie beginnen alle mit der Kenntnis: 72 Stunden für die Datenschutzaufsicht, 24 Stunden für die NIS2-Erstmeldung, die Fristen der Cyberversicherung und die Pflichten aus Kundenverträgen. Diese Seite sortiert, welche Meldung für wen gilt, was hinein muss und wer im Haus sie vorbereitet.Ansehen →

CyberversicherungEine Cyberversicherung zahlt nicht für jedes Haus. Die Musterbedingungen des Gesamtverbands der Versicherungswirtschaft nennen Obliegenheiten, die vor dem Schaden erfüllt sein müssen – individuelle Zugänge, Schutz gegen Schadsoftware, zeitnahe Updates, eine mindestens wöchentliche Sicherung, die niemand vom Netz aus löschen kann. Wer sie nicht erfüllt, riskiert im Schadenfall Kürzung oder Ablehnung. Diese Seite übersetzt sie in Technik und Nachweise.Ansehen →

Phishing & RansomwareFast jeder Angriff auf ein mittelständisches Haus beginnt nicht mit Technik, sondern mit einer Nachricht: einer E-Mail, die nach dem Paketdienst aussieht, einem Anruf, der nach dem Geschäftsführer klingt, einem QR-Code auf einem Brief. Was danach kommt – gestohlene Zugangsdaten, gefälschte Überweisungen, verschlüsselte Server – folgt einem Muster. Diese Seiten beschreiben das Muster, die Stellen, an denen es sich brechen lässt, und was in den ersten Stunden zu tun ist, wenn es nicht gelungen ist.Ansehen →

Schulung mit Ihren eigenen Nachrichten

Kurze Einheiten vor Ort oder online, mit den Phishing-Mails, die tatsächlich bei Ihnen ankommen, einer Meldetaste im E-Mail-Programm und einem Nachweis für den Prüfer. Für die Geschäftsleitung eine eigene Einheit zu den Pflichten nach NIS2.

Störung sofort melden