Security Awareness Training

Die Kluft liegt nicht im Wissen – sie liegt im Verhalten

Warum sich Schulungen zur Sensibilisierung für Sicherheitsfragen zunehmend zum Management des Sicherheitsverhaltens entwickeln

by Kurt Werner

Aug. 03, 2026

Wichtige Punkte

Die meisten Mitarbeiter wissen zwar bereits über Phishing Bescheid, doch unter Druck – wenn sie mit KI-generierten, hochgradig personalisierten Angriffen konfrontiert sind – klicken sie dennoch darauf. Herkömmliche Bewertungsmaßstäbe wie Abschlussquoten und simulierte Klickraten sehen auf dem Papier zwar gut aus, spiegeln jedoch nicht das tatsächliche Risiko wider.
Den Daten von Mimecast zufolge sind etwa 8 % der Mitarbeiter für 80 % der Sicherheitsvorfälle verantwortlich; dennoch gelingt es pauschalen Schulungsprogrammen nicht, diese Personen mit hohem Risiko zu identifizieren oder entsprechend anzusprechen, da die Risikosignale über verschiedene, nicht miteinander vernetzte Tools verstreut sind.
Anstatt sich auf planmäßige Schulungen zu verlassen, müssen Unternehmen Risikosignale über den gesamten Sicherheitsbereich hinweg verknüpfen, um individuelle Risikoprofile zu erstellen und kurze, kontextbezogene Hinweise genau in dem Moment zu geben, in dem risikobehaftetes Verhalten auftritt – wodurch Sicherheit nicht mehr nur eine Maßnahme zur Einhaltung von Vorschriften ist, sondern zu etwas wird, mit dem sich die Mitarbeiter persönlich auseinandersetzen.

Schulungen zur Sensibilisierung für Sicherheitsfragen haben ein Problem mit den Kennzahlen – nicht, weil diese schlecht ausfallen, sondern weil sie gut ausfallen. Die Abschlussquoten sind gestiegen. Die Klickraten bei simulierten Phishing-Angriffen sind zurückgegangen. Der vierteljährliche Bericht des Vorstands spiegelt stetige Fortschritte wider.

Und dennoch kommt es immer wieder zu Sicherheitsverletzungen. Zugangsdaten werden immer wieder gestohlen. Mitarbeiter klicken immer wieder auf Links, auf die sie nicht klicken sollten, laden Daten an Orte hoch, an die sie diese nicht hochladen sollten, und reagieren auf Anfragen, die sie hätten hinterfragen sollen.

Dies ist kein Mangel an Bewusstsein. Das Modell ist gescheitert. Das Problem war nie, dass die Menschen nichts über Phishing wissen – vielmehr ist es so, dass sie unter Zeitdruck, während sie Dutzende von Anwendungen gleichzeitig verwalten und auf eine E-Mail antworten, die genau so aussieht, als stamme sie von ihrem Finanzvorstand, trotzdem darauf klicken. Die Lücke besteht nicht im Wissen. Das ist Action.

Die Bedrohungslage hat sich weiterentwickelt

Angreifer nutzen mittlerweile KI, um innerhalb von Sekunden hochgradig personalisierte Phishing-E-Mails zu erstellen, die Stimmen von Führungskräften nachzuahmen und ihre Köder in Echtzeit anzupassen. Laut dem „Threat Landscape 2025“ der ENISA macht KI-gestütztes Phishing mehr als 80% der weltweit beobachteten Social-Engineering-Aktivitäten aus. Laut dem „Global Threat Intelligence Report 2025“ von Mimecast beginnen mittlerweile 77% aller Cyberangriffe mit Phishing – ein Anstieg gegenüber 60% im Vorjahr.

Wenn sich die verdächtige E-Mail kaum von einer legitimen E-Mail unterscheiden lässt – da sie KI-generiert, personalisiert und von einer gefälschten Domain versendet wurde –, erweist sich die Strategie „Suchen Sie nach Tippfehlern“ als unzuverlässig. Die Antwort kann nicht darin bestehen, das Bewusstsein weiter zu schärfen. Es muss sich um intelligentere Maßnahmen handeln, die sich an den tatsächlichen Tätigkeiten der Mitarbeiter orientieren.

Das Risiko für den Menschen hat eine bestimmte Form – und es ist nicht gleichmäßig verteilt

Bei Mimecast unterteilen wir das durch Menschen verursachte Risiko in drei Dimensionen. Handeln– gut gemeinte Fehler, die unter Druck begangen werden. Angriff– wenn Mitarbeiter gezielt durch Phishing, BEC oder KI-generierte Köder ins Visier genommen werden. Und Zugriff– wenn legitimer Zugriff missbraucht wird, sei es durch das Hochladen sensibler Daten in ein nicht genehmigtes KI-Tool, durch den Missbrauch von Zugriffsrechten oder durch das Mitnehmen von geistigem Eigentum beim Ausscheiden aus dem Unternehmen.

Dieses Rahmenkonzept macht deutlich, dass das Risiko für den Menschen nicht gleichmäßig verteilt ist. Unsere Daten zeigen, dass bereits 8 % der Mitarbeiter für 80 % der Sicherheitsvorfälle verantwortlich sind – und zwar unabhängig von der Unternehmensgröße und der Branche. Ein einheitliches Schulungsprogramm geht nicht nur an diesen 8 % vorbei – es lässt sie sogar völlig außer Acht.

Um diese zu identifizieren, müssen Signale – Phishing-Vorfälle, Malware-Warnungen, Identitätsanomalien, Verstöße gegen den Schutz sensibler Daten – miteinander verknüpft werden, die zwar in den meisten Sicherheitsarchitekturen vorhanden sind, jedoch über voneinander getrennte Tools verstreut sind und nie mit den einzelnen Mitarbeitern in Verbindung gebracht werden, die sie verursacht haben.

Warum Sensibilisierungsschulungen allein diese Lücke nicht schließen können

Schulungen zur Sensibilisierung für Sicherheitsfragen entstanden als Compliance-Maßnahme und haben diesen Rahmen nie überwunden: Schulungen werden an die gesamte Belegschaft verteilt, die Abschlussquoten und Klickraten werden gemessen und dem Vorstand berichtet. Die Daten sprechen für sich: Bei 60% der Sicherheitsvorfälle spielt der Faktor Mensch eine Rolle (Verizon 2025 DBIR), dennoch führen 72% der Unternehmen Sensibilisierungsprogramme durch, ohne eine kontinuierliche Risikoüberwachung zu betreiben (Mimecast State of Human Risk 2026).

Eigenständige Sensibilisierungsplattformen können Abschlussquoten und Trends bei Phishing-Klicks anzeigen. Allerdings können sie Ihnen nicht sagen, welche Mitarbeiter derzeit tatsächlich ein hohes Risiko darstellen, worauf dieses Risiko zurückzuführen ist oder wie Sie eingreifen können, bevor etwas schiefgeht. Aus diesem Grund verlagert sich der Fokus von der Frage „Wie viele Mitarbeiter haben die Schulung absolviert?“ hin zu der Frage „Wie verändert sich unser Personalrisiko tatsächlich?“

Welche Änderungen ergeben sich beim Sicherheitsverhaltensmanagement?

Das Sicherheitsverhaltensmanagement ist ein anderes Modell – es orientiert sich daran, was Menschen tatsächlich tun, und nicht daran, was sie wissen sollen.

Sichtbarkeit. Das Mimecast Human Risk Command Center verknüpft Risikosignale aus dem gesamten Sicherheitsbereich – E-Mail-Verhalten, tatsächliche Phishing-Vorfälle, Malware-Ereignisse, Anomalien bei der Identitätsverwaltung, den Umgang mit sensiblen Daten sowie Simulations- und Schulungsergebnisse –, die auf die einzelnen Mitarbeiter bezogen normalisiert werden. Siebzehn Integrationen in sechs Kategorien verhaltensbezogener Risiken, die in Echtzeit Risikodaten auf individueller Ebene liefern.

Für Unternehmen, die bereits die E-Mail-Sicherheitslösung von Mimecast einsetzen, bilden die bereits verarbeiteten Bedrohungsdaten – jeder Phishing-Versuch, jede abgewehrte Bedrohung, jeder riskante Klick – die verhaltensbasierte Grundlage. Sie fügen kein neues Tool mit einem eigenen Datensilo hinzu. Sie aktivieren die Intelligenz, die bereits in Ihrer Umgebung vorhanden ist.

Maßnahmen im Moment der Gefährdung. Mimecast Engage versendet Verhaltenshinweise – 20- bis 40-sekündige Mikro-Lernmodule per E-Mail, über Slack oder Teams –, die in dem Moment ausgelöst werden, in dem ein risikobehaftetes Verhalten auftritt. Ein enger Rückkopplungskreislauf zwischen Handlung und Folge, der im jeweiligen Kontext stattfindet und nicht für die Schulung am kommenden Dienstag vorgesehen ist.

Sicherheit, die sich persönlich anfühlt. Individuelle Benutzer-Scorecards bieten jedem Mitarbeiter einen monatlichen Überblick über seine eigene Risikobewertung, seinen Schulungsstand, die Ergebnisse von Phishing-Tests sowie Sicherheitsvorfälle. Wenn Menschen ihr eigenes Risiko vor Augen geführt wird, wird Sicherheit nicht mehr nur zu einer abstrakten Frage der Einhaltung von Vorschriften, sondern zu etwas, das sie selbst in die Hand nehmen können. Genau dort entsteht die Sicherheitskultur.

Die Plattformarchitektur ist das entscheidende Unterscheidungsmerkmal

Ein eigenständiges Tool zur Sensibilisierung kann lediglich Simulationsergebnisse und den Abschluss von Schulungen anzeigen. Eine integrierte Sicherheitsplattform verknüpft all diese Informationen miteinander – sie erfasst nicht nur, dass ein Mitarbeiter auf einen simulierten Phishing-Link geklickt hat, sondern auch, dass er letzte Woche eine echte Phishing-E-Mail erhalten hat, bei ihm ein ungewöhnliches Identitätsereignis aufgetreten ist und er drei Schulungsmodule in Folge versäumt hat. Das ist ein individuelles Risikoprofil, und genau das ermöglicht adaptive Interventionen in großem Maßstab.

Ein Ansatz gibt Ihnen Aufschluss darüber, wie erfolgreich Ihr Trainingsprogramm ist. Das andere zeigt Ihnen, wie sich Ihr Personalrisiko verändert – und bei wem Sie Maßnahmen ergreifen müssen, bevor es zu Problemen kommt.

Wo soll man anfangen?

Die Umstellung auf das Sicherheitsverhaltensmanagement erfordert keinen Neuanfang. Für die meisten Organisationen liegen die Signale und Daten bereits vor. Was noch fehlt, ist die Plattform, um dies miteinander zu verknüpfen.

Der Mimecast-Bericht „State of Human Risk 2026“ befasst sich eingehender damit, wie Unternehmen den Stand ihrer Programme zum Umgang mit menschlichen Risiken einschätzen und wie dieser tatsächlich aussieht. Und wenn Sie als Mimecast-Kunde bereit sind, zu erfahren, wie dies in der Praxis aussieht, kann Ihnen Ihr Kundenbetreuungsteam erläutern, welche zusätzlichen Vorteile Mimecast Engage Ihnen über Ihre bestehende E-Mail-Sicherheitslösung hinaus bietet. Die Infrastruktur ist wahrscheinlich bereits vorhanden. Engage setzt dies in die Praxis um.