Awareness-Programme im KI-Zeitalter: Das Ende der Jahresschulung

Traditionelle Cybersicherheit konzentriert sich auf Endpoints, Netzwerke, Datenbanken, Anwendungen und Identitäten. Der Faktor Mensch wird dabei häufig zu wenig berücksichtigt, obwohl Angreifer genau dort ansetzen, etwa über Phishing, Social Engineering oder gefälschte Identitäten.

Laut dem Cisco Talos Incident Response Report war Phishing im ersten Quartal 2026 der am häufigsten genutzte Angriffsvektor für den Erstzugriff.[1] In mehr als einem Drittel der auswertbaren Fälle verschafften sich Angreifer auf diesem Weg Zugang.

Der Einsatz von künstlicher Intelligenz (KI) beschleunigt diese Entwicklung. Angreifer können innerhalb kurzer Zeit personalisierte Phishing-Nachrichten erstellen und unternehmensinterne Schreibstile imitieren. Mit Voice Cloning und Deepfakes lassen sich vertrauenswürdige Personen zudem täuschend echt nachahmen. Dadurch werden Angriffe nicht nur schwerer erkennbar, sie lassen sich auch über längere Zeit konsistent fortführen, etwa über mehrere Nachrichten, Kanäle oder Telefonate hinweg.

Wie real dieses Risiko ist, zeigt ein Fall aus dem Schweizer Kanton Schwyz[2]: Dort wurde ein Unternehmer im Januar 2026 dazu gebracht, mehrere Millionen Schweizer Franken auf ein Konto in Asien zu überweisen. Dem Betrug ging eine zweiwöchige Serie von Telefonaten voraus, bei denen die KI-geklonte Stimme eines vertrauten Geschäftspartners eingesetzt wurde.

Business Email Compromise folgt einem ähnlichen Prinzip: Angreifer setzen nicht primär bei technischen Schwachstellen an, sondern missbrauchen vertraute Kommunikationswege, Freigabeprozesse und Geschäftsbeziehungen. Besonders gefährdet sind Bereiche mit Zahlungsfreigaben, personenbezogenen Daten oder externer Kommunikation, etwa Finanzabteilung, HR, Einkauf oder Kundenservice.

Diese Beispiele zeigen, dass Awareness-Programme mit der Entwicklung der Angriffsmethoden Schritt halten müssen. Jährliche Standardschulungen reichen dafür nicht aus. Unternehmen sollten Awareness stärker in den Arbeitsalltag integrieren und an neue Bedrohungen, Rollen und Kommunikationskanäle anpassen.

Warum klassische Awareness-Programme zu kurz greifen

Viele Awareness-Programme sind stark auf Compliance ausgerichtet: jährliche Schulungen, Richtlinienbestätigungen und standardisierte Wissensabfragen. Das erfüllt zwar Audit-Anforderungen, verändert aber selten das Verhalten im Arbeitsalltag. Generische Inhalte gehen zudem häufig an den konkreten Risiken einzelner Rollen vorbei.

Wirksamer wird Awareness, wenn Unternehmen sie mit operativer Cyberhygiene verbinden. Dafür können IT- und Security-Teams vorhandene Informationen aus ihren Sicherheitslösungen nutzen: wiederholte Phishing-Klicks, Aufrufe riskanter URLs, verdächtige Downloads, ungewöhnliche Login-Versuche, riskante Multi-Faktor-Authentifizierung-(MFA)-Bestätigungen, auffällige Dateiaktivitäten oder die Nutzung nicht freigegebener Cloud-Dienste.

Solche Daten zeigen, wo tatsächlich Schulungsbedarf besteht. Mitarbeiter, die häufig riskante Links oder verdächtige Anhänge anklicken, benötigen andere Awareness-Impulse als Teams mit auffälligen Logins, ungewöhnlichen Dateiaktivitäten oder riskanten Datenfreigaben. Anonymisierte Beispiele können in kurze Microtrainings einfließen, um diese stärker an realen Situationen auszurichten.

Rollen und Risiken als Grundlage für Schulungsinhalte

Awareness-Maßnahmen wirken besser, wenn sie zu den Aufgaben und Risiken der jeweiligen Zielgruppe passen. Führungskräfte sind häufiger Ziel von Identitätsvortäuschung und Spear-Phishing, Finanzteams von Rechnungsbetrug und Human-Resources-(HR)-Abteilungen von schadhaften Bewerbungsunterlagen. IT- und Entwicklungsteams wiederum müssen besonders für Credential-Missbrauch, unsichere Schnittstellen oder riskante Konfigurationsänderungen sensibilisiert werden.

Statt einheitlicher Module sollten Unternehmen typische Entscheidungssituationen aus dem Arbeitsalltag abbilden: Soll eine Zahlungsanweisung freigegeben werden? Ist ein Bewerbungsanhang vertrauenswürdig? Warum erscheint eine MFA-Anfrage? Solche Szenarien machen Awareness konkreter und relevanter. Damit Schulungen wirksam bleiben, sollten Inhalte zudem regelmäßig an neue Angriffsmethoden, genutzte Tools und interne Prozesse angepasst werden.

Hilfreich ist auch, wenn sich Mitarbeiter aktiv mit Angriffsszenarien auseinandersetzen, statt nur Inhalte zu lesen oder Videos anzusehen. Interaktive Formate wie Quizze, Team-Challenges oder Entscheidungssimulationen helfen, Risikosituationen einzuüben und sicheres Verhalten zu festigen.

Auch praxisnahe Formate wie Cyber-Escape-Rooms oder Red-Team-Simulationen können Awareness greifbarer machen, indem sie zeigen, wie Angriffe ablaufen, welche Entscheidungen unter Zeitdruck getroffen werden müssen und warum schnelles Melden wichtig ist.

Gamification sollte jedoch kein Selbstzweck sein, sondern konkrete Lernziele unterstützen – etwa das Erkennen von Phishing, den sicheren Umgang mit sensiblen Daten oder das richtige Verhalten bei verdächtigen Vorfällen.

Phishing-Simulationen als fortlaufende Verteidigungsstrategie

Phishing-Simulationen helfen ebenfalls, Awareness unter realistischen Bedingungen zu trainieren. Sie zeigen, ob Mitarbeiter verdächtige Nachrichten erkennen, Links oder Anhänge kritisch prüfen und potenzielle Angriffe melden.

Wichtig ist, Simulationen nicht als einmaligen Test zu verstehen, sondern als wiederkehrende Übung mit steigender Schwierigkeit. Neben E-Mails sollten auch SMS, Messenger, Kollaborationstools oder Telefonanrufe berücksichtigt werden, da Angriffe zunehmend kanalübergreifend erfolgen.

Die Auswertung sollte konstruktiv erfolgen: Wer auf eine Simulation hereinfällt, braucht passende Lernimpulse statt Bloßstellung. Gleichzeitig sollten die Ergebnisse zeigen, welche Angriffsmuster besonders häufig funktionieren und wo Schulungsmaßnahmen verbessert werden müssen.

Awareness mit aussagekräftigen KPIs messen

Teilnahmequoten und bestandene Wissenstests zeigen allerdings nur begrenzt, was im Alltag wirklich angewendet wird. Aussagekräftiger sind Kennzahlen, die tatsächliches Verhalten abbilden: Klicks auf Phishing-Links, Eingaben von Zugangsdaten, Meldequoten und -geschwindigkeit, wiederholte Fehler sowie Risikoprofile einzelner Abteilungen.

Solche Key Performance Indicators (KPIs) helfen, Risikomuster sichtbar zu machen und konkrete Verbesserungen abzuleiten. Werden die Ergebnisse zusätzlich mit Daten aus Security-Monitoring, Identity and Access Management (IAM) oder User and Entity Behavior Analytics (UEBA) verknüpft, lassen sich problematische Muster schneller erkennen, beispielsweise wenn wiederholte Phishing-Interaktionen mit auffälligen Login-Versuchen oder ungewöhnlichem Datenzugriff zusammenfallen.

Von Awareness zu organisatorischer Resilienz

Security Awareness ist längst nicht mehr nur eine HR- oder Compliance-Aufgabe, sondern Teil des operativen Sicherheitsmanagements. Mitarbeiter müssen Angriffe nicht nur kennen, sondern in konkreten Situationen richtig handeln: verdächtige Inhalte erkennen, Freigaben hinterfragen, Vorfälle melden und bei Störungen nach definierten Prozessen reagieren.

Je ausgefeilter und personalisierter KI-gestützte Angriffe werden, desto zentraler ist es, Awareness kontinuierlich weiterzuentwickeln und mit technischen Sicherheitsmaßnahmen zu kombinieren. So wird aus einzelnen Schulungen ein belastbarer Prozess, der Mitarbeiter befähigt, Bedrohungen früher zu erkennen und schneller zu melden – und damit einen wichtigen Beitrag zur Cyberresilienz leistet.

Literatur

[1] Cisco Talos: Incident Response Trends Q1 2026, 2026, abrufbar unter: https://blog.talosintelligence.com/ir-trends-q1-2026/ (abgerufen am 19. Mai 2026)
[2] Kantonspolizei Schwyz: Unbekannte erlangen mit CEO-Fraud-Masche Millionen-Betrag, Pressemitteilung vom 19. Januar 2026, abrufbar unter: https://www.sz.ch/verwaltung/sicherheitsdepartement/kantonspolizei/medienmitteilungen/detailseite.html/8756-8758-8802-9496-9613-10011-12161/news/24495 (abgerufen am 19. Mai 2026)