Lohnt sich Security-Awareness-Training für ein kleines Unternehmen wirklich?

Die meisten Inhaber gehen davon aus, dass das Thema erledigt ist. Alle haben beim Onboarding ein fünfzehnminütiges Video gesehen, am Ende gab es ein Quiz, und die IT hat einen Haken gesetzt. Das ist kein Security-Awareness-Training, und die Lücke zwischen dem, was die meisten kleinen Unternehmen tun, und dem, was Verhalten tatsächlich verändert, ist größer, als viele Inhaber annehmen.

Den klarsten Beleg dafür liefert der 2026 Phishing by Industry Benchmarking Report von KnowBe4, erstellt aus 42 Millionen simulierten Phishing-Tests bei 64.000 Unternehmen. Mitarbeitende ohne laufendes Training klickten in 33,2 Prozent der Fälle auf einen simulierten Phishing-Link, ungefähr jeder Dritte. Nach zwölf Monaten kontinuierlichem, strukturiertem Training sank dieser Wert auf 4,2 Prozent, ein Rückgang um 87 Prozent. Das einmalige Video hat diese Zahl nicht erzeugt. Kontinuierliche, wiederholte Übung hat es getan, und genau dieser Unterschied ist die eigentliche Frage, die dieser Artikel beantwortet.

Warum das jährliche Video nicht hängen bleibt

Menschen vergessen, was sie nicht anwenden. Ein Trainingsvideo, das einmal im Januar geschaut wird, ohne Nachfassen, konkurriert mit einem Jahr echtem E-Mail-Verkehr, und wenn im Oktober eine echte Phishing-Nachricht ankommt, ist der konkrete Rat aus dem Video meist vergessen, selbst wenn die allgemeine Vorsicht noch da ist. Das ist kein Disziplinproblem. So funktioniert Gedächtnis bei allem, was passiv gelernt und danach nie wieder geübt wird.

Es ist auch kein Problem, das ein Spamfilter allein lösen kann. Der Verizon 2026 Data Breach Investigations Report fand den menschlichen Faktor in 62 Prozent aller Sicherheitsvorfälle weltweit beteiligt, das heißt jemand hat geklickt, ein Passwort auf der falschen Seite eingegeben oder eine Anfrage genehmigt, bei der eigentlich eine Nachfrage nötig gewesen wäre. Filter, Härtung der Microsoft-365-Sicherheit und Multi-Faktor-Authentifizierung reduzieren alle, wie viel überhaupt bei einer Person ankommt. Keines davon senkt es auf null, und genau im verbleibenden Rest zahlt sich Training aus.

Was die Klickrate wirklich verändert

Die Daten von KnowBe4 zeigen ein klares Muster nach Häufigkeit: Training, das sich nach einem festen Rhythmus wiederholt, kombiniert mit simulierten Phishing-Tests übers Jahr verteilt statt eines einzelnen Tests, bringt die Verbesserung. Ein einzelner Test ohne Nachfassen bewegt die Ausgangslage kaum. Monatliche oder vierteljährliche Simulationen, jede gefolgt von kurzem, konkretem Feedback, wenn jemand klickt, dagegen schon. Der Mechanismus ähnelt eher Muskelgedächtnis als Frontalunterricht. Mitarbeitende werden besser darin, einen verdächtigen Link zu erkennen, weil sie in kurzen Abständen genug davon sehen, mit sofortiger Korrektur, wenn sie einen übersehen.

Das gilt für manche Rollen mehr als für andere. Wer Zahlungen freigibt, Bankdaten ändert oder Zugriff auf die Gehaltsabrechnung hat, ist ein wertvolleres Ziel, und genau solche Zugänge werden gerade aktiv angegriffen. Wir haben einen solchen Angriff beschrieben, der wochenlang Gehalts-Postfächer mitlas, trotz aktivierter MFA. Training allein stoppt keinen technisch ausgefeilten Proxy-Angriff, aber eine Person in der Finanzabteilung, die geübt hat, den Aufbau zu erkennen, einen unerwarteten Voicemail-Link, eine dringende Bitte, eine Zahlungsverbindung zu ändern, wird deutlich seltener zum Einstiegspunkt.

Die drei Ansätze im Vergleich, zwischen denen ein kleines Unternehmen wirklich wählt

Der Ausfall in der mittleren Zeile ist üblich und vorhersehbar: Jemand im Büro ist nominell dafür zuständig, monatlich Test-Mails zu verschicken, es funktioniert zwei Monate lang gut, dann kommt ein hektisches Quartal und es bleibt still liegen. Der Wert des Trainings liegt fast vollständig in der Konsistenz, weshalb ein Programm, das von einer einzelnen Person abhängt, genau an der entscheidenden Stelle anfällig ist.

Das Werkzeug, das die meisten Microsoft-365-Unternehmen schon haben und nicht nutzen

Wer Microsoft 365 Business Premium oder einen E5-Plan nutzt, hat Attack Simulation Training bereits in Microsoft Defender for Office 365 enthalten, und die meisten kleinen Unternehmen, die dafür zahlen, haben es nie aktiviert. Damit kann ein Administrator realistische Phishing-, Zugangsdaten- und Anhang-Simulationen an Mitarbeitende schicken, wer klickt bekommt automatisch ein kurzes Trainingsmodul zugewiesen, mit Reporting darüber, wer sich über die Zeit verbessert hat und wer nicht. Das ersetzt kein eigenes Awareness-Programm vollständig, ist für ein Unternehmen mit 10 bis 50 Mitarbeitenden aber ein wirklich nützlicher Startpunkt, der bereits bezahlt ist, keine zusätzliche Kostenposition.

Die Lücke liegt meist nicht bei der Lizenz. Sie liegt daran, dass in einem kleinen Unternehmen niemand die Zeit hat, den Simulationsplan einzurichten, die Nachfass-Inhalte zu schreiben und zu prüfen, wer einen zweiten Anstoß braucht, neben allem, was die IT ohnehin schon stemmt. Genau das ist der Teil, den ein Angebot für verwaltete Cloud-Sicherheit übernehmen soll: Jemand anderes trägt den Kalender, nicht nur die Lizenz.

Ein weiterer Punkt, der oft übersehen wird: Die Simulation allein bringt wenig, wenn niemand die Ergebnisse über mehrere Monate vergleicht. Ein einzelner Report zeigt nur eine Momentaufnahme, erst der Verlauf zeigt, ob eine bestimmte Abteilung dauerhaft schwächer abschneidet oder ob eine einzelne Person wiederholt klickt und ein persönliches Gespräch statt eines weiteren Moduls braucht.

Wo das Thema mit Compliance zusammenhängt, nicht nur mit Risiko

Für Unternehmen im Geltungsbereich von NIS2 oder mit Sicherheitsanforderungen aus der Lieferkette eines Kunden ist Mitarbeiter-Awareness keine freiwillige Empfehlung, sondern ein erwarteter Bestandteil grundlegender Cyberhygiene. Ein Auditor oder das Einkaufsteam eines Kunden, der fragt "wie schulen Sie Mitarbeitende zu Phishing", erwartet eine konkrete, wiederholbare Antwort, nicht "wir erwähnen es beim Einstieg". Dieser Dokumentationsaufwand ist ein weiterer Grund, warum ein strukturiertes, datiertes Programm mehr wert ist als ein informelles, und genau diese Lücke schließt unsere Governance- und Compliance-Arbeit gemeinsam mit den technischen Maßnahmen.

Was es ein kleines Unternehmen realistisch kostet

Für ein Unternehmen mit 20 Mitarbeitenden liegt ein verwaltetes Awareness-Programm meist bei wenigen Euro pro Person und Monat, deutlich unter den Kosten eines einzigen Nachmittags, der durch ein kompromittiertes Postfach verloren geht, von einer fehlgeleiteten Überweisung ganz zu schweigen. Auch der Zeitaufwand für die Mitarbeitenden bleibt klein: Ein gut geführtes Programm hält einzelne Trainingsmodule unter fünf Minuten und löst sie nur bei Personen aus, die die Erinnerung brauchen, statt die ganze Belegschaft zu einem festen Termin durch dieselbe Sitzung zu schicken. Die eigentlichen Kosten liegen nicht im Training selbst. Sie liegen in den zwanzig Minuten im Monat, die jemand braucht, um sicherzustellen, dass es wirklich stattgefunden hat, genau der Teil, der ohne feste Zuständigkeit still einschläft.

Eine brauchbare Faustregel, um zu entscheiden, ob im eigenen Unternehmen etwas geändert werden muss: Wer nicht sagen kann, wann der letzte simulierte Phishing-Test verschickt wurde oder wer geklickt hat, hat die Antwort damit fast sicher schon gegeben. Die Lösung erfordert keinen kompletten Neuaufbau. Sie erfordert, den Rhythmus zur echten Aufgabe einer Person zu machen, ob intern oder bei einem Anbieter.

Wie ein erster Monat tatsächlich aussieht

Unternehmen, die das gut hinbekommen, fangen meist kleiner an, als sie erwarten würden. Ein realistischer erster Schritt ist eine unangekündigte Basis-Simulation an alle Mitarbeitenden, um zu ermitteln, wo die Klickrate heute tatsächlich liegt, statt dort, wo die Geschäftsführung sie vermutet. Das Ergebnis ist oft unangenehm und immer nützlich, weil aus "wir sollten wahrscheinlich etwas gegen Phishing tun" eine konkrete Zahl mit Namen wird, wer das Nachfass-Training zuerst braucht.

Von da an zählt der Rhythmus mehr als der Inhalt. Eine kurze Simulation alle drei bis vier Wochen, jeweils mit leicht anderem Thema, eine Rechnungsanfrage, eine Versandbenachrichtigung, eine gefälschte interne IT-Nachricht, hält die Fähigkeit aktuell, statt Mitarbeitende nur eine einzige Vorlage erkennen zu lassen. Wer klickt, bekommt automatisch ein Modul von zwei bis fünf Minuten zugewiesen, keine Ermahnung per E-Mail von der Führungskraft, was sowohl wirksamer ist als auch die Hemmschwelle senkt, einen eigenen Fehler später zu melden.

Häufige Fragen

Brauchen wir das, wenn wir schon eine gute E-Mail-Filterung haben?

Filterung und Attack Simulation Training lösen zwei verschiedene Hälften desselben Problems. Ein Filter stoppt die meiste bösartige Post, bevor sie überhaupt jemand sieht, aber nichts fängt alles ab, und was durchrutscht, ist meist genau das, was gezielt so gebaut wurde, dass es echt aussieht. Training entscheidet, was in dem Moment passiert, in dem eine dieser Nachrichten trotzdem im Postfach landet.

Wie oft sollten Simulationen tatsächlich verschickt werden?

Monatlich ist das Muster hinter den stärksten Ergebnissen in den KnowBe4-Daten. Vierteljährlich ist besser als nichts, aber spürbar schwächer, weil die Lücke zwischen den Tests dem Vergessen mehr Raum gibt. Wöchentlich führt eher zu Ermüdung und geringerem Engagement beim Nachfass-Training, mehr ist hier also nicht automatisch besser.

Ab welcher Unternehmensgröße lohnt sich das überhaupt?

Der Break-even liegt niedrig. Schon ein Unternehmen mit zehn Mitarbeitenden hat durch einen einzigen erfolgreichen Business-E-Mail-Betrug genug finanzielles Risiko, um ein Programm für wenige Euro pro Person und Monat zu rechtfertigen, und der Verwaltungsaufwand, es zu betreiben, ist derselbe, ob fünf oder fünfzig Personen eingebunden sind.