Europäischer Monat der Cybersicherheit: Nur 45 Prozent der Beschäftigten werden regelmäßig geschult

Schlagwörter: NIS-2 | Phishing | Security Awareness

Drei Felder in den procado-Farben mit den Kennzahlen 74 Prozent, 45 Prozent und Paragraf 38 BSIG

Jeden Oktober läuft der Europäische Monat der Cybersicherheit, und in diesem Jahr hat die EU-Agentur ENISA ihn unter ein Motto gestellt, das für Arbeitgeber*innen unbequem ist: die stärkste Schicht ist der Mensch. Die Zahlen hinter diesem Motto zeigen allerdings, dass genau diese Schicht in vielen Unternehmen gar nicht trainiert wird. 85 Prozent der Beschäftigten in Europa wollen mehr über IT-Sicherheit wissen, aber nur 45 Prozent bekommen von ihrer Organisation regelmäßig etwas dazu zu hören. Eine Security Awareness Schulung ist damit keine Maßnahme für ruhige Wochen, sondern die Stelle mit der größten Lücke zwischen Bedarf und Angebot. Wir zeigen euch, was die aktuellen Zahlen bedeuten, welche Pflichten inzwischen daran hängen und wie ihr das Thema in drei Schritten aus dem Nachgang in den Regelbetrieb holt.

Was eine Security Awareness Schulung leistet, und was sie nicht ist

Security Awareness bezeichnet die Fähigkeit eurer Beschäftigten, einen Angriffsversuch im Arbeitsalltag zu erkennen, richtig zu reagieren und den Vorfall zu melden, bevor Schaden entsteht. Eine Schulung dazu ist kein Vortrag über Viren, sondern ein wiederkehrendes Training an den Situationen, die bei euch tatsächlich vorkommen: die Rechnung im Anhang, der Anruf aus der angeblichen Buchhaltung, die Aufforderung zum schnellen Login, der Befehl, den jemand selbst ins Terminal eintippen soll.

Dreierlei ist damit nicht gemeint. Erstens ist die einmalige Unterschrift unter eine IT-Richtlinie bei der Einstellung keine Schulung, sondern eine Kenntnisnahme. Zweitens ist eine Phishing-Simulation allein noch kein Training, denn sie misst nur den Zustand und verändert ihn nicht, solange auf die Klickrate kein Lernangebot folgt. Drittens ersetzt Awareness keine Technik. Mehrfaktor-Anmeldung, aktuelle Systeme und eine saubere Berechtigungsvergabe bleiben Pflicht, Awareness senkt die Zahl der Fälle, in denen diese Schutzschichten überhaupt geprüft werden.

Die Abgrenzung ist nicht akademisch. Aufsichtsbehörden und Prüfer*innen fragen inzwischen nach Turnus, Inhalten und Nachweis. Eine Unterschrift von vor vier Jahren beantwortet keine dieser drei Fragen.

Wie verbreitet die Lücke ist

ENISA hat am 30. September 2026 zum Start des Aktionsmonats Zahlen zur Lage in den Belegschaften veröffentlicht. 74 Prozent der befragten Beschäftigten haben innerhalb von sechs Monaten verdächtige Mails, Nachrichten oder Links erhalten, 39 Prozent berichten ausdrücklich von Phishing. Der Angriffsversuch ist für drei von vier Arbeitsplätzen also Alltag. Dagegen stehen die 45 Prozent, die angeben, dass ihre Organisation sie regelmäßig auf dem aktuellen Stand hält.

Interessanter als die Lücke selbst ist ihre Richtung. 85 Prozent der Beschäftigten wollen ihre Kenntnisse verbessern, die Bereitschaft fehlt also nicht. Als Hürden nennen 26 Prozent fehlende Zeit und 16 Prozent die Kosten. Beides sind Organisationsfragen und keine Einstellungsprobleme, sie liegen damit auf dem Tisch der Geschäftsführung. Wer Schulung als Haltungsfrage behandelt, löst das falsche Problem.

Dass es dabei nicht um Kleinbeträge geht, zeigt die Studie Wirtschaftsschutz 2026, die Bitkom und das Bundesamt für Verfassungsschutz am 26. August 2026 vorgestellt haben. Sie beziffert den jährlichen Schaden für die deutsche Wirtschaft durch Cyberangriffe, Sabotage und Spionage auf 211 bis 270,8 Milliarden Euro. Der Europäische Monat der Cybersicherheit läuft seit 2012 jeden Oktober und ist der naheliegende Anlass, die eigene Schulungsplanung einmal anzusehen, auch wenn der Anlass natürlich nicht von der Pflicht abhängt.

Fünf Risiken, wenn Awareness liegen bleibt

1. Der Angriff beginnt im Postfach, nicht an der Firewall

Wenn 74 Prozent der Arbeitsplätze regelmäßig Kontakt mit verdächtigen Nachrichten haben, entscheidet sich der Verlauf eines Angriffs in den ersten Sekunden am Bildschirm. Technik filtert einen großen Teil weg, der Rest kommt an, weil er gut gemacht ist. Ohne Training fehlt dann nicht nur das Erkennen, sondern vor allem der Meldeweg. Ein Vorfall, den niemand meldet, wird nicht abgewehrt, sondern nur später entdeckt.

2. Datenschutz: Schulung gehört zu den Maßnahmen nach Artikel 32 DSGVO

Artikel 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen, und Schulung ist eine der organisatorischen. Wie konkret Aufsichtsbehörden dabei hinsehen, zeigt eine Entscheidung der französischen Aufsicht CNIL vom 3. September 2026. Sie verhängte 500.000 Euro gegen ein Krankenhaus, nachdem Daten von 524.867 Patient*innen abgeflossen waren. Gerügt wurden unter anderem eine fehlende Mehrfaktor-Anmeldung für externe Zugänge und eine Berechtigungsvergabe, die einem einzigen übernommenen Konto den Blick auf alle Daten erlaubte. Der Fall ist eine Erinnerung daran, dass Prüfungen die tatsächlichen Abläufe betreffen und nicht die Ordnerstruktur.

3. Regulatorik: NIS-2 nennt Schulungen ausdrücklich

Das BSI-Gesetz führt in § 30 Absatz 2 die Risikomanagementmaßnahmen auf, die besonders wichtige und wichtige Einrichtungen umsetzen müssen. Unter Nummer 7 stehen grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik, unter Nummer 10 die Mehrfaktor-Anmeldung. Awareness ist in diesem Rahmen also keine freiwillige Zugabe, sondern ein benannter Baustein. Wer unter NIS-2 fällt, braucht dafür eine Planung, die prüfbar ist, und wer nicht darunter fällt, bekommt mit derselben Liste einen brauchbaren Maßstab.

4. Haftung der Geschäftsführung

§ 38 BSIG verpflichtet die Geschäftsleitungen persönlich. Sie müssen die Risikomanagementmaßnahmen umsetzen, ihre Umsetzung überwachen und regelmäßig selbst an Schulungen teilnehmen, um die Lage und ihre Folgen für die eigenen Dienste beurteilen zu können. Wer diese Pflichten fahrlässig oder vorsätzlich verletzt, haftet der eigenen Einrichtung für den entstandenen Schaden nach den Regeln der jeweiligen Rechtsform. Das BSI hat dazu am 17. April 2026 eine Handreichung zu Geschäftsleitungsschulungen veröffentlicht. Für euch heißt das praktisch: die Schulung der Belegschaft ohne die eigene Teilnahme deckt nur die Hälfte ab.

5. Der Schaden ist bezifferbar, das Budget für Schulung auch

211 bis 270,8 Milliarden Euro Schaden pro Jahr für die deutsche Wirtschaft, so die Zahl von Bitkom und Verfassungsschutz vom 26. August 2026. Diese Summe verteilt sich auf einzelne Unternehmen, in denen Produktion stillsteht, Kund*innen informiert werden müssen und Jurist*innen beschäftigt sind. Gegen diese Größenordnung stehen die 16 Prozent der Beschäftigten, die Kosten als Hürde für Weiterbildung nennen. Das Verhältnis beider Zahlen ist das eigentliche Argument.

So kommt Awareness in drei Schritten in den Regelbetrieb

Schritt 1: Bestand aufnehmen, ehrlich

Drei Fragen genügen für den Anfang. Wann hat wer zuletzt an welcher Schulung teilgenommen, und gibt es dazu einen Nachweis? Wohin melden Beschäftigte eine verdächtige Mail, und wie lange dauert es, bis jemand antwortet? Welche Rollen bei euch sind besonders ausgesetzt, etwa Buchhaltung, Einkauf, Assistenz und Geschäftsführung? Die Antworten ergeben die Themen, nicht ein Standardkatalog.

Schritt 2: Grundlast über E-Learning abdecken

Die Fläche gehört ins E-Learning, weil nur so alle erreicht werden, auch im Schichtbetrieb, in Teilzeit und an entfernten Standorten. Kurze Einheiten, ein fester Turnus, automatische Erinnerung und eine Teilnahmeübersicht, die ihr auf Nachfrage vorlegen könnt. Damit sind die 26 Prozent, die fehlende Zeit als Hürde nennen, zuerst adressiert.

Schritt 3: Vertiefen, üben und nachweisen

Auf die Grundlast kommen Webinare und Präsenztermine für die ausgesetzten Rollen, die Geschäftsleitungsschulung nach § 38 BSIG und eine Übung, in der der Meldeweg einmal wirklich benutzt wird. Danach dokumentiert ihr Turnus, Inhalte und Teilnahme an einer Stelle. Dieser Nachweis ist das, was im Prüfungsfall zählt.

Was wir dabei für euch übernehmen

Die procado Akademie deckt die drei Schritte als zusammenhängendes Angebot ab. Für die Fläche nutzt ihr unser E-Learning Informationssicherheit, für die datenschutzrechtliche Seite die Datenschutzschulungen, jeweils mit Teilnahmeübersicht für den Nachweis. Für die Vertiefung kommen unsere Webinare zur Informationssicherheit dazu, bei Bedarf auch als Präsenzschulung bei euch im Haus.

Wenn hinter der Schulungsfrage eine Pflicht steht, ordnen wir sie mit ein. Zur Einordnung, ob und wie ihr betroffen seid, hilft unsere Seite zur NIS-2-Compliance, für die laufende Arbeit am Managementsystem die Informationssicherheit und bei fehlender eigener Kapazität der externe Informationssicherheitsbeauftragte. Dass der Meldeweg im Ernstfall trägt, prüfen wir mit euch in einer Notfallübung.

Fazit

Das Motto des Aktionsmonats stellt den Menschen als stärkste Schicht dar, und die Zahlen geben dieser Formulierung recht. Die Bereitschaft ist mit 85 Prozent vorhanden, was fehlt, ist das Angebot. Eine Security Awareness Schulung ist damit die seltene Maßnahme, die rechtlich gefordert, betriebswirtschaftlich günstig und bei den Beschäftigten erwünscht ist. Dass sie in mehr als der Hälfte der Organisationen trotzdem nicht regelmäßig stattfindet, ist eine Entscheidung und kein Schicksal. Fangt mit den drei Fragen aus Schritt 1 an, der Rest ergibt sich daraus.

Ihr wollt wissen, wo euer Schulungsstand gerade steht?

Wir sehen uns mit euch den Turnus, die Inhalte und den Nachweis an und sagen euch, was für euren Betrieb reicht und was nicht.

Jetzt unverbindlich Kontakt aufnehmen

Häufige Fragen zur Security Awareness Schulung

Wie oft muss eine Security Awareness Schulung stattfinden?

Weder die DSGVO noch das BSI-Gesetz nennen einen festen Turnus in Monaten. Beide verlangen Maßnahmen, die wirksam und dem Risiko angemessen sind, und das lässt sich mit einer Schulung alle paar Jahre schwer begründen. In der Praxis hat sich eine jährliche Pflichteinheit für alle Beschäftigten bewährt, dazu kurze Impulse im Quartal und eine zusätzliche Einheit nach relevanten Vorfällen oder Änderungen im Betrieb. Neue Kolleg*innen sollten die Grundlagen in den ersten Wochen durchlaufen und nicht erst beim nächsten Jahresturnus.

Gilt die Schulungspflicht aus NIS-2 auch für kleine Unternehmen?

Die Pflichten aus dem BSI-Gesetz treffen besonders wichtige und wichtige Einrichtungen, die über Sektor, Größe und Umsatz bestimmt werden. Viele kleinere Betriebe fallen nicht direkt darunter, geraten aber über die Lieferkette hinein, weil ihre Auftraggeber*innen Nachweise verlangen. Unabhängig davon bleibt die DSGVO anwendbar, sobald personenbezogene Daten verarbeitet werden, und Artikel 32 verlangt organisatorische Maßnahmen ohne Mindestgröße. Die Frage lautet also seltener, ob geschult werden muss, und häufiger, in welchem Umfang.

Reicht E-Learning aus, oder braucht es Präsenzschulungen?

E-Learning ist das richtige Mittel für die Fläche, weil es alle erreicht und die Teilnahme automatisch dokumentiert. Für Rollen mit erhöhtem Risiko und für die Geschäftsleitung greift es zu kurz, weil dort Rückfragen, eigene Fälle und Entscheidungen zur Sprache kommen. Die sinnvolle Kombination ist deshalb eine E-Learning-Grundlast für alle plus Webinare oder Präsenztermine für Buchhaltung, Einkauf, Assistenz, IT und Geschäftsführung.

Muss die Geschäftsführung selbst an einer Schulung teilnehmen?

Für Einrichtungen im Anwendungsbereich des BSI-Gesetzes ja. § 38 BSIG verlangt von den Geschäftsleitungen, die Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen, um Fachkenntnisse in IT-Sicherheit und Risikobewertung zu erlangen. Wer diese Pflichten verletzt, haftet der eigenen Einrichtung für den Schaden nach den Regeln der Rechtsform. Das BSI hat dazu im April 2026 eine Handreichung zu Geschäftsleitungsschulungen veröffentlicht.

Wie weisen wir die Teilnahme im Prüfungsfall nach?

Nachweisbar heißt, dass sich für jede Person und jeden Zeitraum sagen lässt, welche Inhalte wann vermittelt wurden. Aus einem Lernsystem kommt das als Teilnahmeübersicht mit Datum, Kurs und Ergebnis. Für Präsenz- und Webinartermine braucht es Einladung, Agenda und Teilnahmeliste. Dazu gehört eine knappe Schulungsplanung, in der Zielgruppen, Themen und Turnus festgehalten sind, denn erst sie zeigt, dass hinter den Einzelnachweisen ein System steht.

Weitere Links und Hinweise

procado Akademie, E-Learning, Webinare und Präsenzschulungen im Überblick
E-Learning Informationssicherheit, die Grundlast für alle Beschäftigten
Webinare zur Informationssicherheit, Vertiefung für ausgesetzte Rollen
NIS-2-Compliance, Einordnung der Betroffenheit und der Pflichten
Kontakt, kurzes Gespräch zum Schulungsstand

Externe Quelle: ENISA, Cybersecurity Month @ work: Employees‘ skills under the looking glass, Meldung vom 30. September 2026. Weitere Zahlen aus der Studie Wirtschaftsschutz 2026 von Bitkom und Bundesamt für Verfassungsschutz vom 26. August 2026 sowie der Sanktionsentscheidung der CNIL vom 3. September 2026.