Phishing-Schulungen planen: wirksam im Mittelstand

Eine täuschend echte E-Mail zur angeblich überfälligen Microsoft-365-Anmeldung erreicht um 8:17 Uhr das Postfach der Buchhaltung. Kurz darauf ruft ein Lieferant an, die Rechnung sei dringend. In solchen Momenten entscheidet nicht allein der technische Schutz. Wer Phishing-Schulungen plant, muss Mitarbeitende auf konkrete Arbeitssituationen vorbereiten – ohne sie vorzuführen und ohne den Geschäftsbetrieb auszubremsen.

Gerade mittelständische Unternehmen sind häufig attraktiv, weil sie mit vielen Dienstleistern, Rechnungen, Personalunterlagen und Cloud-Diensten arbeiten. Angreifer nutzen diese Routinen aus. Eine wirksame Sensibilisierung ist deshalb kein jährlicher Pflichttermin, sondern ein planbarer Bestandteil des Sicherheitsmanagements.

Phishing-Schulungen wirksam planen statt nur abhaken

Das Ziel sollte nicht sein, möglichst viele Fehler zu dokumentieren. Entscheidend ist, ob Beschäftigte verdächtige Nachrichten erkennen, einen Vorfall schnell melden und im Zweifel handlungsfähig bleiben. Eine gute Planung beginnt daher mit einer nüchternen Bestandsaufnahme: Welche Kommunikationswege nutzt das Unternehmen? Welche Rollen erhalten besonders viele externe Nachrichten? Und wie sieht der Meldeweg aus, wenn eine E-Mail verdächtig wirkt?

In der Praxis unterscheiden sich die Risiken deutlich. Die Geschäftsführung wird oft mit gefälschten Zahlungsanweisungen oder Anfragen zu vertraulichen Unterlagen konfrontiert. In der Buchhaltung sind manipulierte Rechnungen, geänderte Bankverbindungen und falsche Freigaben relevant. Personalabteilungen erhalten Bewerbungen und Dokumente, die schädliche Anhänge enthalten können. IT-Teams wiederum müssen Anmeldeseiten, Support-Anfragen und Mehrfaktor-Anmeldungen beurteilen.

Eine Schulung gewinnt an Wirkung, wenn sie diese Unterschiede berücksichtigt. Ein allgemeiner Vortrag zu verdächtigen Links ist sinnvoll, reicht aber nicht aus. Beschäftigte müssen die Muster in ihrem eigenen Arbeitskontext wiedererkennen.

Ausgangslage, Ziele und Zuständigkeiten festlegen

Vor dem ersten Schulungstermin sollten Verantwortliche ein klares Zielbild formulieren. Dafür genügt keine Aussage wie mehr Sicherheitsbewusstsein. Besser sind überprüfbare Ziele: Die Belegschaft kennt den zentralen Meldekanal, Führungskräfte können Zahlungsanweisungen außerhalb des regulären Prozesses zurückweisen, und kritische Vorfälle werden innerhalb einer definierten Zeit an die zuständige Stelle gegeben.

Ebenso wichtig ist die Rollenverteilung. Die IT verantwortet typischerweise technische Schutzmaßnahmen und die Auswertung von Meldungen. HR kann Schulungen in Onboarding- und Pflichtunterweisungen einbinden. Führungskräfte schaffen Akzeptanz, wenn sie die Regeln selbst befolgen und Verdachtsfälle nicht als Störung behandeln. Datenschutz und Betriebsrat sollten bei Umfang, Auswertung und personenbezogenen Daten frühzeitig eingebunden werden.

Ein häufiger Projektfehler besteht darin, eine Simulation zu starten, bevor Meldewege, Ansprechpartner und Reaktionen geklärt sind. Mitarbeitende erkennen dann zwar möglicherweise die Täuschung, wissen aber nicht, wohin sie diese weiterleiten sollen. Das erzeugt Frust statt Sicherheit.

Den Meldeweg vor der Simulation testen

Ein Meldeweg muss einfacher sein als das Weiterleiten einer verdächtigen Nachricht an mehrere Personen. In kleineren Organisationen kann ein zentral definiertes IT-Postfach funktionieren. Bei größeren Teams bietet sich zusätzlich eine Schaltfläche im E-Mail-Programm an. Entscheidend ist die Rückmeldung: Wer etwas meldet, sollte zeitnah erfahren, ob die Nachricht tatsächlich gefährlich war und was als Nächstes geschieht.

Testen Sie den Ablauf vorab mit einem realistischen Beispiel. Kann ein Mitarbeitender die Nachricht in weniger als einer Minute melden? Ist bei Abwesenheit klar, wer übernimmt? Werden auffällige Konten, Geräte oder Empfänger unmittelbar geprüft? Diese operativen Fragen sind wichtiger als eine besonders aufwendige Schulungsfolie.

Lerninhalte an tatsächlichen Angriffsmustern ausrichten

Die besten Inhalte orientieren sich an aktuellen und für das Unternehmen relevanten Szenarien. Dazu gehören nicht nur klassische E-Mails mit fehlerhaften Absenderadressen. Moderne Angriffe verwenden gut formulierte Texte, echte Namen aus sozialen Netzwerken, gestohlene E-Mail-Verläufe oder gefälschte Anmeldeseiten. Teilweise erfolgt die erste Kontaktaufnahme per Telefon oder über Kollaborationsplattformen.

Für viele mittelständische Betriebe haben sich vier Themenbereiche bewährt:

• Manipulierte Anmeldeseiten für Cloud-Konten und Office-Anwendungen
• Gefälschte Rechnungen, Bestellbestätigungen und Bankdatenänderungen
• Vorgetäuschte Anweisungen von Geschäftsführung oder Führungskräften
• Verdächtige Anhänge, QR-Codes und telefonische Rückrufbitten

Die Schulung sollte vermitteln, welche Signale geprüft werden: Passt die Anfrage zum Vorgang? Ist Zeitdruck plausibel? Wurde eine Bankverbindung außerhalb des vereinbarten Kanals geändert? Führt ein Link wirklich zur erwarteten Adresse? Gleichzeitig braucht es eine klare Botschaft: Einzelne Merkmale sind kein Beweis. Auch eine korrekt wirkende Absenderadresse kann missbraucht sein. Bei finanziellen Freigaben und Zugangsdaten gilt deshalb immer ein zweiter, unabhängiger Prüfweg.

Mit Simulationen üben, ohne Vertrauen zu beschädigen

Simulierte Phishing-Nachrichten sind ein nützliches Instrument, wenn sie als Lernmaßnahme gestaltet werden. Sie zeigen, ob Inhalte im Alltag ankommen und wo Prozesse unklar sind. Sie dürfen jedoch nicht als Test der persönlichen Loyalität oder Leistungsfähigkeit verstanden werden.

Der richtige Schwierigkeitsgrad hängt von der Ausgangslage ab. Beginnen Unternehmen ohne etablierte Schulungskultur direkt mit einer hochgradig personalisierten Täuschung, kann das demotivieren. Sinnvoller ist eine Lernkurve: zunächst erkennbare Beispiele mit sofortiger Erklärung, später realistischere Nachrichten und rollenspezifische Szenarien. Wer auf eine Simulation klickt, sollte unmittelbar sehen, woran die Nachricht erkennbar gewesen wäre und wie sie korrekt zu melden ist.

Kennzahlen helfen bei der Steuerung, müssen aber sorgfältig interpretiert werden. Eine sinkende Klickrate ist positiv, sagt allein jedoch wenig aus. Steigt gleichzeitig die Zahl qualifizierter Meldungen, deutet das auf eine funktionierende Sicherheitskultur hin. Auch die Zeit bis zur Meldung und wiederkehrende Fehlerarten sind aussagekräftig. Einzelne Mitarbeitende öffentlich zu vergleichen oder Sanktionen aus einem Fehlklick abzuleiten, ist dagegen kontraproduktiv.

Datenschutz und Mitbestimmung früh klären

Bei Simulationen entstehen häufig personenbezogene Daten. Daher sollten Unternehmen vorab festlegen, welche Daten erhoben werden, wie lange sie gespeichert bleiben und wer sie auswerten darf. Anonymisierte oder gruppenbezogene Auswertungen reichen für viele Steuerungsfragen aus. Soweit erforderlich, sind Betriebsrat und Datenschutzbeauftragte früh einzubeziehen. Das verhindert Verzögerungen kurz vor dem geplanten Start und erhöht die Akzeptanz.

Einen realistischen Jahresrhythmus etablieren

Eine einmalige Unterweisung verliert schnell an Wirkung. Besser ist ein Rhythmus aus kurzen, wiederkehrenden Lerneinheiten, punktuellen Simulationen und konkreten Informationen bei aktuellen Angriffswellen. Für die meisten Organisationen ist eine ausführlichere Basisschulung pro Jahr sinnvoll, ergänzt durch kompakte Auffrischungen von fünf bis zehn Minuten im laufenden Betrieb.

Neue Mitarbeitende sollten die Grundlagen bereits im Onboarding erhalten. Veränderungen an der IT-Landschaft gehören ebenfalls in die Planung: Wird eine neue Cloud-Telefonie eingeführt, ein Portal für Lieferanten genutzt oder eine neue Freigaberegel etabliert, entstehen neue Angriffspunkte. Sicherheitskommunikation muss diese Änderungen begleiten, statt erst Monate später darauf zu reagieren.

Ein mittelständischer Produktionsbetrieb kann beispielsweise nach einer Umstellung seiner Rechnungsfreigabe gezielt das Szenario geänderter Kontodaten üben. Ein Dienstleistungsunternehmen mit vielen mobilen Beschäftigten sollte stärker auf gefälschte Anmeldeseiten und Mobilgeräte eingehen. Standardinhalte bleiben notwendig, doch die Reihenfolge und Gewichtung sollten zum Geschäftsprozess passen.

Technik, Prozesse und Schulung zusammenführen

Schulungen ersetzen keine technischen Sicherheitsmaßnahmen. E-Mail-Filter, Mehrfaktor-Authentifizierung, sichere Gerätekonfigurationen, aktuelle Updates und geprüfte Backups reduzieren Risiken erheblich. Dennoch wird es immer Nachrichten geben, die technische Kontrollen passieren. Dann zählt das Zusammenspiel aus Mensch, Prozess und Technik.

Ein praktisches Beispiel ist die Zahlungsfreigabe. Selbst eine gut geschulte Buchhaltung kann unter Zeitdruck eine glaubwürdige Anfrage erhalten. Ein verbindlicher Rückruf über eine bekannte Nummer, ein Vier-Augen-Prinzip und klar dokumentierte Bankdatenänderungen begrenzen den möglichen Schaden. Die Schulung erklärt den Grund für den Prozess und trainiert, ihn auch gegenüber vermeintlich ranghöheren Absendern konsequent einzuhalten.

Viele Unternehmen ziehen für Konzeption, technische Umsetzung und Auswertung externe Spezialisten hinzu. Das ist besonders hilfreich, wenn Microsoft 365, bestehende Sicherheitswerkzeuge, Identitätsverwaltung und interne Abläufe zusammengebracht werden müssen. Ein IT- und Digitalisierungsdienstleister kann typische Schwachstellen sichtbar machen, Schulungsinhalte an Rollen anpassen und sicherstellen, dass Simulationen datenschutzkonform in den laufenden Betrieb passen. LTmemory begleitet solche Vorhaben beispielsweise mit einem Blick auf Infrastruktur, Kommunikationswege und die Prozesse hinter dem einzelnen Klick.

Fazit: Sicherheit wird im Arbeitsalltag entschieden

Gut geplante Phishing-Schulungen schaffen keine fehlerfreie Belegschaft. Sie schaffen etwas Wertvolleres: Mitarbeitende, die Unsicherheit erkennen, ohne Zögern nachfragen und Vorfälle früh melden. Mit realistischen Szenarien, klaren Zuständigkeiten und wiederkehrenden Lernimpulsen wird aus einer Pflichtunterweisung ein messbarer Beitrag zur Betriebssicherheit.

Nächster Schritt: den eigenen Ablauf sachlich prüfen

Wenn Meldewege unklar sind, Simulationen noch nie stattgefunden haben oder Zahlungsprozesse stark von einzelnen Personen abhängen, lohnt sich eine strukturierte Bestandsaufnahme. Dafür werden Zeit von IT, HR und den Fachbereichen, ein abgestimmter Datenschutzrahmen sowie belastbare Informationen über Kommunikations- und Freigabeprozesse benötigt.

Eigenimplementierungen scheitern häufig nicht am Schulungstool, sondern an fehlenden Zuständigkeiten, zu allgemeinen Szenarien oder einer Auswertung ohne Konsequenzen für Prozesse und Technik. Ein erfahrener Partner kann helfen, den Aufwand realistisch einzuordnen, Risiken früh zu erkennen und eine Schulungsplanung aufzusetzen, die zum Unternehmen passt. Der erste sinnvolle Schritt ist oft kein großer Rollout, sondern ein gemeinsam geprüfter Meldeweg – denn dort zeigt sich, ob aus Aufmerksamkeit auch wirksames Handeln wird.