Security Awareness Schulungen: Warum NIS2 sie zur Pflicht macht – und wie KMU sie umsetzen
87 Prozent aller deutschen Unternehmen wurden im vergangenen Jahr Opfer eines Cyberangriffs. Bei rund 80 Prozent der Ransomware-Fälle begann der Angriff mit einer menschlichen Aktion – einem Klick auf einen Phishing-Link, einem geöffneten Anhang, einem weitergegebenen Passwort. NIS2 reagiert darauf mit einer klaren Vorgabe: § 30 Abs. 2 Nr. 7 BSIG verpflichtet betroffene Unternehmen zu regelmäßigen Schulungen in Cybersicherheit. Dieser Artikel zeigt, was das konkret bedeutet und wie KMU die Pflicht pragmatisch umsetzen.
Was NIS2 bei Schulungen konkret verlangt
Das NIS2-Umsetzungsgesetz (NIS2UmsuCG) ist seit dem 6. Dezember 2025 ohne Übergangsfrist in Kraft. § 30 BSIG definiert zehn Mindestmaßnahmen, die betroffene Unternehmen umsetzen müssen. Maßnahme Nr. 7 betrifft ausdrücklich „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Sicherheit in der Informationstechnik“. Damit sind Security Awareness Schulungen keine freiwillige Zusatzleistung mehr – sie sind geltendes Recht.
Besonders relevant für Geschäftsführer: § 38 BSIG nimmt die Geschäftsleitung persönlich in die Pflicht. Sie muss die Risikomanagementmaßnahmen billigen, ihre Umsetzung überwachen – und sich selbst regelmäßig schulen lassen. Wer das versäumt, haftet im Schadensfall persönlich. Eine ausführliche Analyse der NIS2-Geschäftsführerhaftung finden Sie in unserem separaten Beitrag.
Bußgelder bei Verstößen
Wer die Schulungspflicht ignoriert, riskiert Bußgelder von bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen. Auch für wichtige Einrichtungen drohen bis zu 7 Mio. €. Die fehlende Dokumentation von Schulungsmaßnahmen kann bei BSI-Prüfungen als materieller Pflichtverstoß gewertet werden.
Warum technische Schutzmaßnahmen allein nicht reichen
Firewalls, Endpoint Detection und SIEM-Systeme sind unverzichtbar. Aber sie schützen nicht vor dem Moment, in dem ein Mitarbeiter eine täuschend echte Mail seines vermeintlichen Geschäftsführers öffnet und die darin angeforderte Überweisung freigibt. Oder vor dem Moment, in dem ein Kollege seine VPN-Zugangsdaten in ein gefälschtes Login-Formular eingibt. Die drei aktivsten Ransomware-Gruppen in der DACH-Region – Qilin, Akira und LockBit – setzen gezielt auf diese menschlichen Schwachstellen.
Das BSI dokumentiert in seinem aktuellen Lagebericht: Pro Tag werden rund 280.000 neue Schadprogramm-Varianten registriert. Kein Filter kann jede davon abfangen. Security Awareness schafft die letzte Verteidigungslinie, die kein technisches System ersetzen kann – den geschulten Mitarbeiter, der auffällige Mails meldet, bevor er klickt.
Die 5 Bausteine eines wirksamen Schulungsprogramms
Ein Schulungsprogramm, das sowohl die NIS2-Anforderungen erfüllt als auch tatsächlich schützt, braucht mehr als eine jährliche PowerPoint-Präsentation. Es besteht aus fünf Bausteinen:
| Baustein | Inhalt | Frequenz |
|---|---|---|
| 1. Onboarding-Schulung | Grundlagen der IT-Sicherheit, Passwort-Policy, Meldewege, Clean-Desk-Policy | Erster Arbeitstag |
| 2. Phishing-Simulationen | Realistische Test-Mails mit Tracking, individuellem Feedback und Nachschulung bei Klick | Monatlich |
| 3. Themenmodule | Kurze E-Learning-Einheiten (10–15 Min.) zu Ransomware, Social Engineering, MFA, Mobile Security, KI-Betrug | Quartalsweise |
| 4. Geschäftsführer-Schulung | NIS2-Haftung, Risikoentscheidungen, Meldepflichten, Notfallkommunikation | Halbjährlich |
| 5. Incident-Response-Übung | Tabletop-Exercise: simulierter Sicherheitsvorfall mit Krisenstab, Meldekette und Wiederanlauf | Jährlich |
Welche Themen müssen abgedeckt werden?
Die NIS2-Richtlinie und der BSI-Grundschutz liefern den inhaltlichen Rahmen. Für KMU sind vor allem diese Themen relevant:
Pflichtthemen für Security Awareness
- Phishing und Social Engineering: Erkennung gefälschter Mails, Anrufe (Vishing) und QR-Codes (Quishing). Inklusive KI-generierter Deepfake-Anrufe, die inzwischen täuschend echte Stimmen des Geschäftsführers imitieren.
- Passwortsicherheit und MFA: Warum Passwörter allein nicht reichen und wie Multi-Faktor-Authentifizierung korrekt genutzt wird – insbesondere bei Microsoft 365.
- Umgang mit Datenträgern und Cloud-Diensten: Keine privaten USB-Sticks, kein ungeprüfter Dateiupload in nicht freigegebene Cloud-Speicher.
- Meldepflichten: Wann und wie Mitarbeiter einen Sicherheitsvorfall intern melden müssen, damit das Unternehmen die 24-Stunden-Meldefrist nach NIS2 einhalten kann.
- Mobiles Arbeiten und VPN: Sicheres Verhalten im Homeoffice, in öffentlichen WLANs und bei der Nutzung privater Geräte.
- KI-Tools und Shadow IT: Welche KI-Werkzeuge erlaubt sind und warum die Nutzung nicht freigegebener Tools ein Sicherheitsrisiko darstellt.
Typische Fehler bei der Umsetzung
In der Praxis scheitern viele KMU nicht am guten Willen, sondern an der Umsetzung. Diese Fehler sehen wir bei TSMONDO besonders häufig:
Fehler 1: Einmal im Jahr reicht
Eine jährliche Pflichtschulung ist besser als nichts, aber sie ändert kein Verhalten. Studien zeigen, dass das Wissen aus einmaligen Schulungen nach 4–6 Monaten fast vollständig verblasst. Wirksam sind kurze, regelmäßige Impulse – eine 10-Minuten-Lektion pro Monat bringt mehr als ein ganzer Schulungstag im Januar.
Fehler 2: Schulung ohne Erfolgskontrolle
Wer Schulungen durchführt, aber nicht misst, ob sie wirken, kann bei einer BSI-Prüfung nicht nachweisen, dass die Maßnahmen angemessen sind. Mindestens zwei Kennzahlen sollten erhoben werden: die Phishing-Klickrate (Ziel: unter 5 %) und die Melderate (Ziel: über 60 % der simulierten Phishing-Mails werden aktiv gemeldet).
Fehler 3: Geschäftsführer nehmen sich aus
§ 38 BSIG ist eindeutig: Die Geschäftsleitung muss sich selbst schulen lassen. Trotzdem erleben wir regelmäßig, dass Geschäftsführer die eigene Schulung überspringen. Das ist nicht nur ein Compliance-Risiko – es untergräbt die Sicherheitskultur im gesamten Unternehmen.
Fehler 4: Keine Dokumentation
Jede Schulung, jeder Teilnehmer und jedes Ergebnis muss dokumentiert werden. Bei einer BSI-Prüfung oder einem Sicherheitsvorfall ist die Dokumentation der Nachweis, dass das Unternehmen seinen Pflichten nachgekommen ist. Ohne Nachweis gilt die Schulung als nicht durchgeführt.
Pragmatische Umsetzung für KMU
Ein mittelständisches Unternehmen mit 50–250 Mitarbeitern braucht kein sechsstelliges Budget für Security Awareness. Es braucht einen strukturierten Ansatz, der in den Arbeitsalltag passt:
Umsetzungsfahrplan in 4 Schritten
- Schritt 1 – Bestandsaufnahme (Woche 1–2): Aktuelle Risiken erfassen. Schwachstellenscan durchführen, um technische Lücken zu identifizieren. Phishing-Baseline messen: Wie viele Mitarbeiter klicken aktuell auf simulierte Phishing-Mails?
- Schritt 2 – Schulungsplan erstellen (Woche 3): Themen priorisieren, Zielgruppen definieren (IT, Buchhaltung, Geschäftsführung), Frequenzen festlegen. Onboarding-Modul für neue Mitarbeiter einrichten.
- Schritt 3 – Rollout (Woche 4–8): Erste Pflichtmodule ausrollen, Phishing-Simulationen starten, Geschäftsführer-Schulung durchführen. Meldewege kommunizieren und testen.
- Schritt 4 – Messen und Verbessern (laufend): Klickraten tracken, Schulungsabschlussquoten überwachen, Inhalte quartalsweise aktualisieren. Jährliche Incident-Response-Übung einplanen.
Woran Sie ein gutes Schulungsprogramm erkennen
Nicht jedes Awareness-Programm ist gleichwertig. Achten Sie auf diese Merkmale, wenn Sie einen Anbieter oder eine Lösung evaluieren:
| Kriterium | Gutes Programm | Unzureichend |
|---|---|---|
| Frequenz | Monatliche Kurzmodule + Phishing-Simulationen | Eine Schulung pro Jahr |
| Inhalte | Aktuelle Bedrohungen, branchenspezifisch, mit KI-Szenarien | Generische Folien von 2023 |
| Dokumentation | Automatische Protokolle, Zertifikate, Audit-Trail | Unterschriftenliste auf Papier |
| Erfolgsmessung | Klickrate, Melderate, Wissenstest pro Modul | Keine Messung |
| Sprache | Deutsch, verständlich, auf KMU zugeschnitten | Nur Englisch, Konzern-Fokus |
| GF-Schulung | Separates Modul für § 38 BSIG-Pflichten | Geschäftsführer nicht berücksichtigt |
Fazit: Schulung ist kein Soft-Thema – es ist Pflicht
Security Awareness Schulungen sind unter NIS2 keine optionale Empfehlung. Sie sind eine gesetzliche Pflicht mit konkreten Bußgeldrisiken und persönlicher Geschäftsführerhaftung. Gleichzeitig sind sie eine der wirksamsten Maßnahmen überhaupt: Ein geschulter Mitarbeiter, der eine Phishing-Mail erkennt und meldet, verhindert im Zweifel einen sechsstelligen Ransomware-Schaden.
Die Umsetzung muss nicht komplex sein. Kurze, regelmäßige Module, kombiniert mit Phishing-Simulationen und sauberer Dokumentation, erfüllen sowohl die gesetzlichen Anforderungen als auch den eigentlichen Zweck: Ihr Unternehmen sicherer zu machen.
Security Awareness für Ihr Unternehmen aufbauen
TSMONDO unterstützt KMU bei der Einführung von Security Awareness Programmen – von der Bestandsaufnahme über Phishing-Simulationen bis zur NIS2-konformen Dokumentation. Pragmatisch, deutschsprachig und auf den Mittelstand zugeschnitten.