Security Awareness: wer geschult werden muss und wer das verantwortet

Was die Regelwerke wörtlich verlangen und was nicht

Das BSIG in der seit dem 6. Dezember 2025 geltenden Fassung zählt in § 30 Abs. 2 zehn Mindestmaßnahmen auf. Nr. 7 nennt grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik; die oft zitierte Formulierung mit der Cyberhygiene stammt aus Art. 21 Abs. 2 lit. g der NIS2-Richtlinie, nicht aus dem deutschen Gesetz. § 30 Abs. 1 verpflichtet dazu, die Einhaltung zu dokumentieren. § 38 Abs. 3 verpflichtet die Mitglieder der Geschäftsleitung, regelmäßig an Schulungen teilzunehmen, um ausreichende Kenntnisse zur Erkennung und Bewertung von Risiken und zu Risikomanagementpraktiken zu erlangen und deren Auswirkungen auf die Dienste der Einrichtung beurteilen zu können.

Die ISO/IEC 27001:2022 verlangt in Kapitel 7.2, dass Personen, deren Arbeit die Informationssicherheit beeinflusst, kompetent sind und dass dafür Nachweise aufbewahrt werden. Kapitel 7.3 verlangt, dass diese Personen die Sicherheitsrichtlinie, ihren Beitrag und die Folgen von Verstößen kennen. Control 6.3 in Anhang A verlangt, dass Beschäftigte und relevante interessierte Parteien, also auch Dienstleister mit Zugriff, angemessene Sensibilisierung, Aus- und Weiterbildung sowie regelmäßige Aktualisierungen zur Richtlinie erhalten, passend zu ihrer Funktion. Der IT-Grundschutz-Baustein ORP.3 beschreibt denselben Gegenstand ausführlicher, von der Sensibilisierung der Institutionsleitung über die Einweisung des Personals bis zur Messung des Lernerfolgs und der besonderen Schulung exponierter Personen.

Die DSGVO verpflichtet in Art. 39 Abs. 1 lit. b den Datenschutzbeauftragten zur Sensibilisierung und Schulung der an den Verarbeitungsvorgängen beteiligten Beschäftigten, und Art. 32 verlangt technische und organisatorische Maßnahmen, zu denen Aufsichtsbehörden regelmäßig auch geschultes Personal zählen. Art. 4 der KI-Verordnung verlangt seit dem 2. Februar 2025 von Anbietern und Betreibern Maßnahmen zur Förderung der KI-Kompetenz ihres Personals; seit dem Digital Omnibus vom Juli 2026 muss dabei kein bestimmtes Kompetenzniveau mehr garantiert werden. Keines dieser Texte nennt eine Stundenzahl oder einen Abstand zwischen zwei Schulungen. Wer euch einen gesetzlichen Jahresturnus verkauft, zitiert eine Praxis, keine Norm.

Zielgruppen: eine Schulung für alle reicht nicht

Die Breite der Belegschaft braucht wenige Dinge, die aber sitzen müssen: Phishing in allen Formen inklusive QR-Codes und gefälschter Anmeldeseiten, den Umgang mit Passwörtern, Passkeys und MFA-Anfragen, die niemand ausgelöst hat, und den Umgang mit Dateien und Freigaben. Vor allem aber braucht sie den Meldeweg. Er ist die wichtigste Einheit: Wer eine Mail geöffnet hat, muss wissen, bei wem er sich in den nächsten fünf Minuten meldet, und zwar ohne Nachteil.

Exponierte Gruppen sind die, deren Rolle Geld bewegt oder Zugänge verwaltet: Buchhaltung, Einkauf, Personal, Assistenz der Geschäftsleitung, Vertriebsinnendienst. Diese Gruppen sind das Ziel von Rechnungsbetrug, CEO-Fraud und gefälschten Änderungen von Bankverbindungen. Für sie gehören Vier-Augen-Regeln, Rückrufprozesse und reale Fallbeispiele in die Schulung. Admins und Entwickler bilden eine dritte Gruppe mit eigenem Stoff: Berechtigungen, Härtung, Protokollierung, Abhängigkeiten in der Software-Lieferkette. Eine Phishing-Einheit ist für sie Zeitverschwendung, eine Einheit zu kompromittierten Admin-Konten nicht.

Die Geschäftsleitung ist die vierte Gruppe und die, bei der am meisten schiefgeht. Ihre Lernziele beschreibt § 38 Abs. 3 BSIG eigenständig: Risiken erkennen und bewerten, Risikomanagementmaßnahmen beurteilen, Auswirkungen auf die eigenen Dienste einschätzen. Das ist Entscheiderwissen, kein Anwenderwissen. Ein halber Tag, in dem die Geschäftsleitung an einem Szenario durchspielt, was ein Ransomware-Vorfall für Lieferfähigkeit, Meldepflichten und Liquidität bedeutet, erfüllt den Zweck. Eine Stunde im E-Learning der Belegschaft erfüllt ihn nicht, auch wenn am Ende ein Zertifikat herauskommt.

Turnus und Nachweis: was Prüfer sehen wollen

Da kein Gesetz einen Turnus nennt, prüfen Auditoren und Behörden zwei Dinge: Habt ihr einen festgelegt, und haltet ihr ihn ein? Die verbreitete und akzeptierte Praxis ist eine Erstschulung innerhalb der ersten Wochen nach Eintritt, eine jährliche Auffrischung für alle und anlassbezogene Einheiten, wenn ein Vorfall, eine neue Betrugswelle oder eine neue Technologie es verlangt. Für die Geschäftsleitung gilt das Wort regelmäßig aus § 38 Abs. 3; ein jährlicher Termin ist dafür eine vertretbare Lesart, eine einmalige Teilnahme ist es nicht.

Der Nachweis besteht aus mehr als einer Liste. Prüfer wollen das Konzept sehen, aus dem die Zielgruppen und der Turnus hervorgehen, den Jahresplan, die Teilnehmerlisten mit Datum und Inhalt, die Quote der Teilnahme und eine Auswertung, etwa die Ergebnisse eines Abschlusstests oder die Klickrate einer Simulation im Verlauf. Für die Geschäftsleitung gehört eine Bestätigung dazu, aus der Thema und Datum hervorgehen.

Die Nachweise gehören dorthin, wo auch die übrige Dokumentation nach § 30 Abs. 1 BSIG oder die ISMS-Dokumentation liegt. Lege die Aufbewahrungsdauer mit dem Datenschutzbeauftragten fest, denn Teilnahmedaten sind personenbezogen. Drei Jahre, also ein Zertifizierungszyklus, sind eine übliche Spanne, die ihr begründen könnt.

KI-Kompetenz als Nachbarpflicht

Art. 4 der KI-Verordnung gilt seit dem 2. Februar 2025 und trifft nicht nur Hersteller. Betreiber ist jedes Unternehmen, das ein KI-System in eigener Verantwortung einsetzt, also auch die Firma, die ihren Beschäftigten einen Assistenten in der Bürosoftware freischaltet. Seit dem Digital Omnibus, der Verordnung (EU) 2026/1744 vom Juli 2026, verlangt der Artikel Maßnahmen, die die Entwicklung von KI-Kompetenz beim Personal fördern, unter Berücksichtigung von Vorkenntnissen, Einsatzkontext und betroffenen Personen; ein bestimmtes Kompetenzniveau einzelner Personen muss niemand garantieren, und Kommission und Mitgliedstaaten sollen die Unternehmen dabei unterstützen. Art. 4 steht nicht im Bußgeldkatalog des Art. 99, aber Aufsichtsbehörden und Kunden werden nach dem Nachweis fragen.

Inhaltlich gehört KI-Kompetenz in dasselbe Programm wie Security Awareness, weil die Risiken dieselben Menschen treffen. Vertrauliche Daten in öffentlichen Chatbots sind ein Datenabfluss. Prompt Injection in einem Assistenten, der Mails liest, ist ein Angriff über eine neue Oberfläche. Deepfake-Stimmen am Telefon sind die nächste Stufe von CEO-Fraud. Ein gemeinsames Modul, das diese drei Dinge erklärt und die Freigaberegeln des Hauses für KI-Werkzeuge vermittelt, erfüllt zwei Pflichten mit einem Termin.

Wo Awareness aufhört zu wirken

Schulung ersetzt keine technische Maßnahme, und ein Programm, das so tut, erzeugt eine Schuldkultur. Wenn eine Phishing-Mail ankommt, hat zuerst der Mailfilter versagt. Wenn ein gestohlenes Passwort zum Zugriff reicht, fehlt Phishing-resistente MFA. Awareness ist die Schicht, die greift, wenn diese Maßnahmen versagt haben, und sie wirkt nur, wenn die Menschen das Melden als Hilfe erleben und nicht als Geständnis.

Daraus folgt eine Regel für die Auswertung: Die Klickrate einer Simulation ist eine Kennzahl für das Programm, nicht für einzelne Personen. Die Meldequote, also der Anteil derer, die eine verdächtige Mail weitergeben, ist die wichtigere Zahl, weil sie misst, ob der Meldeweg funktioniert. Wer Meldungen belohnt, bekommt im Ernstfall die eine Meldung, die den Unterschied macht.