Für Betriebsräte & Mitarbeitendenvertretung

Sicherheit, bei der niemand vorgeführt wird.

Awareness darf nicht zur Leistungskontrolle werden. Bei mir gibt es keine öffentliche Bloßstellung und keine personenbezogene „Wer-hat-geklickt"-Liste für die Chefetage. Ausgewertet wird das Team als Ganzes – als Schutz, nicht als Überwachung.

Beispielszene für Betriebsräte
„Wird hier heimlich die Leistung kontrolliert?“
„Werden Einzelne vorgeführt, wenn sie klicken?“
„Ist die Teilnahme freiwillig und fair?“
Muster-Betriebsvereinbarung Preise ansehen
Ihre Pflichten

Was Sie müssen – und was Sie damit abhaken.

Maßstab sind § 87 BetrVG und die DSGVO. Beides lässt sich mit einer kurzen Betriebsvereinbarung sauber regeln. Jeder Punkt zeigt offen, ob ich ihn abdecke, teilweise unterstütze oder ob er bei Ihrer IT liegt – mit Bezug zum passenden Angriffsszenario.

◐ teilweise
Mitbestimmung bei technischen Einrichtungen, die Verhalten oder Leistung überwachen können. · § 87 Abs. 1 Nr. 6 BetrVG
↳ deckt ab: Phishing-Simulation

Eine Phishing-Simulation kann unter die Mitbestimmung fallen. Ich liefere die Muster-Betriebsvereinbarung und das Infoblatt, damit das Gremium vor dem Start zustimmen kann. Den Beschluss fassen Sie selbst.

✓ abgedeckt
Keine personenbezogene Verhaltens- oder Leistungskontrolle durch die Auswertung. · § 87 BetrVG, Art. 5 DSGVO
↳ deckt ab: Teamreport

Der Teamreport weist nur Quoten je Gruppe aus. Es gibt keine „Wer hat geklickt"-Liste für die Leitung, und kein Ergebnis wandert in die Personalakte.

✓ abgedeckt
Information der Beschäftigten vor Beginn über Zweck, Ablauf und Datenverarbeitung. · Art. 13 DSGVO, § 81 BetrVG
↳ deckt ab: Infoblatt

Das Infoblatt für die Belegschaft erklärt in einer Seite, was passiert, was nicht passiert und welche Daten entstehen.

✓ abgedeckt
Datensparsamkeit und Löschfristen für Simulationsdaten. · Art. 5 Abs. 1 lit. c, e DSGVO
↳ deckt ab: Teamreport

Gespeichert wird nur, was für Nachweis und Teamreport nötig ist; Klickdaten einzelner Personen werden nach dem Lauf archiviert und nicht ausgewertet.

✓ abgedeckt
Schulung vor dem ersten Test, damit niemand ohne Vorwissen „erwischt" wird. · Fairness, Betriebsklima
↳ deckt ab: Ablauf

Erst Schulung, dann angekündigter Test. Die Reihenfolge ist Teil des Produkts, nicht Verhandlungssache.

Den vollständigen Abgleich mit ISO 27001, NIS2 und Cyberversicherung finden Sie unter Pflichten & Normen. Betriebe erzeugen ihren Nachweis mit Zeitstempel direkt im Cockpit.

Das Betriebsrat-Paket

Zwei Dokumente, mit denen die Zustimmung in einer Sitzung geklärt ist.

Beide Vorlagen stelle ich kostenlos bereit, ohne Anmeldung. Sie sind bewusst kurz, in verständlichem Deutsch, und auf die Datenverarbeitung bei secureIT zugeschnitten. Eigene Anpassungen sind ausdrücklich erwünscht.

📝 Muster-Betriebsvereinbarung (PDF)

Zweck, Ablauf, Auswertung ohne Personenbezug, Löschfristen, Rechte der Beschäftigten. Zwei Seiten, zum Ausfüllen und Unterschreiben.

 📄 Infoblatt für die Belegschaft (PDF)

Eine Seite für das schwarze Brett oder die Rundmail: Was kommt auf uns zu, was passiert mit einem Fehlklick, wer sieht was.
Beispiele

So sieht das konkret aus.

Cockpit, Team-Report, Zertifikat und Nachweis einer fiktiven Firma mit zwölf Personen. Alle Namen und Ergebnisse sind erfunden, der Aufbau ist exakt der, den Sie später selbst sehen.

Cockpit Das Cockpit des Betriebs

Gruppen, eingetragene Personen und die offenen Kosten aus laufenden Vorgängen und Rechnungen. Von hier aus starten Sie Schulung, Ersttest oder Wiederholungslauf.

Team-Report Team-Report im Cockpit

Klick- und Eingabequote des Teams, Einordnung im Vergleich zu allen Testläufen, Beteiligung an Schulung und Training. Anonymisiert.

Team-Report Nachweis-PDF, Seite 1

Ergebnis im Überblick und Schutzniveau mit Empfehlung. Das PDF trägt einen Echtheits-QR und eignet sich für Audit, Versicherer und NIS2-Dokumentation.

Zertifikat Teilnahmezertifikat

Name, Kurs, Datum von Schulung und Praxistest, Normbezug, Unterschrift und prüfbare Zertifikatsnummer mit QR-Code.

Compliance-Nachweis Compliance-Nachweis NIS2

Alle durchgeführten Schulungen mit Zeitstempel und Teilnahmequote, zugeordnet zu den Anforderungen. Auch für ISO 27001, DSGVO, AI Act und Cyberversicherung.

Einzelbericht Persönlicher Bericht

Jede Person sieht nur ihr eigenes Ergebnis: Reaktion je Testmail, woran der Betrug zu erkennen war, und was das Gerät verraten hat.

Alle Beispiel-Ansichten
So arbeite ich mit Ihnen

So läuft das Training bei mir ab.

Fairness ist bei mir kein Zusatz, sondern eingebaut: Erst wird geschult, dann – angekündigt und ohne Pranger – geübt. Ein Fehlklick ist ein Lernmoment, kein Eintrag in die Personalakte. So wächst Sicherheit mit dem Team, nicht gegen es.

Drei Wege – Sie wählen, was zu Ihnen passt.

1 Persönlich durch mich

Ich schule Ihr Team persönlich – vor Ort oder online, im Gespräch und mit Beispielen aus Ihrem Alltag.

2 Intern mit meinen Unterlagen

Sie schulen selbst: Ich stelle die fertigen Unterlagen bereit, Sie geben sie im Haus weiter – in Ihrem Rhythmus.

3 Jede Person für sich online

Jede Person lernt online auf ihrem Wunschweg – per Text oder Video, im eigenen Tempo, mit Auswahl der Inhalte.

Meine Empfehlung

Erst schulen, dann testen – bewusst in dieser Reihenfolge.

  1. Initiale Schulung

    Zuerst befähige ich Ihr Team (oder Sie tun es mit meinen Unterlagen). Alle starten mit demselben Grundwissen.

  2. Phishing-Test zur Selbstüberprüfung

    Erst danach folgt der simulierte Angriff – nicht als Prüfung, sondern als Selbstcheck: Jede Person sieht, ob das Gelernte im Alltag sitzt.

  3. Sicherheitskultur, bei Bedarf aufgefrischt

    Aus Schulung und Test wächst eine konstruktive Sicherheitskultur im Betrieb, die Sie zu gegebener Zeit einfach wiederholen.

📊

Ihr Lagebild entsteht aus den Ergebnissen Ihres Teams nach der Schulung – es zeigt den Zustand, den Sie erreichen wollten, nicht den ungeschützten Startpunkt.

➕

Neue Teammitglieder binden Sie später per Klick ein: Sie erhalten sofort die Online-Schulungsunterlagen und einen ersten Selbsttest – und steigen mit demselben Vorwissen in die nächste gemeinsame Schulung oder das nächste Training ein.

Der umgekehrte Weg – und warum ich davon abrate.

Aus Sicht der Leitung wirkt es oft logisch, zuerst mit einem Test die Lage zu erheben und erst dann zu entscheiden, ob Schulungen nötig sind. Technisch geht das – ich richte es Ihnen ein.

Ein Überraschungstest ohne vorherige Schulung ist genau das, wovor Sie zu Recht warnen: Menschen werden hereingelegt, bevor sie es besser wissen konnten. Das beschädigt Vertrauen und Betriebsklima – und ist mitbestimmungsrechtlich heikel. Ein Test ohne vorherige Schulung misst nur den Startpunkt bei null. Mein Weg dreht das um: erst befähigen, dann prüfen.

Alles ohne Abo, nach Bedarf und immer mit meiner persönlichen Unterstützung.

KI im Arbeitsalltag

KI-Werkzeuge sind mitbestimmungspflichtig. Hier ist ein Muster dafür.

Copilot, Transkription, Chatbots: Sobald KI-Werkzeuge Verhalten oder Leistung auswerten können, hat der Betriebsrat nach § 87 Abs. 1 Nr. 6 BetrVG mitzubestimmen. Meine Muster-Betriebsvereinbarung KI regelt die Grundsätze, damit nicht jedes Werkzeug einzeln verhandelt werden muss: keine Leistungskontrolle, keine KI-Entscheidungen über Menschen, Schulung in der Arbeitszeit.

  • Muster-Betriebsvereinbarung KI, kostenlos als PDF
  • Schulungspflicht nach Art. 4 KI-Verordnung als Teil der Vereinbarung
  • KI-Kurs mit Bescheinigung, ohne Auswertung einzelner Antworten
KI-Kurs mit Nachweis ansehen Muster-Betriebsvereinbarung KI (PDF)
Passend für Sie

Für Ihre Prüfung.

Warum niemand vorgeführt wird →

Wie Auswertung, Freiwilligkeit und Datenschutz zusammenspielen.

 So funktioniert es →

Der komplette Ablauf, transparent von Anfang bis Nachweis.

 Fragen an mich →

Offene Punkte? Ich beantworte sie persönlich – auch für das Gremium.
FAQ

Häufige Fragen

Muss der Betriebsrat einer Phishing-Simulation zustimmen?
In vielen Fällen ja. Eine Phishing-Simulation kann als technische Einrichtung gelten, die Verhalten überwachen könnte (§ 87 Abs. 1 Nr. 6 BetrVG). Deshalb liefere ich die Muster-Betriebsvereinbarung gleich mit, damit das Gremium vor dem Start sauber zustimmen kann. Ob die Mitbestimmung im Einzelfall greift, klären Sie mit Ihrem Gremium oder Ihrer Rechtsberatung; ich gebe dazu keine Rechtsberatung.
Sieht die Geschäftsführung, wer geklickt hat?
Nein. Der Teamreport zeigt Quoten je Gruppe, keine Namen. Die geschulte Person selbst sieht ihr eigenes Ergebnis als Lernmoment. Es gibt keinen Export einer personenbezogenen Klickliste für die Leitung.
Was passiert mit den Daten nach dem Test?
Gespeichert wird, was für Nachweis und Teamreport nötig ist: wer geschult wurde und wann, und die Teamquote. Die Klickdaten einzelner Personen werden nach dem Lauf archiviert und nicht weiter ausgewertet. Fristen und Umfang stehen in der Muster-Betriebsvereinbarung.
Kann der Betriebsrat „nur Schulung, Test später" vereinbaren?
Ja. Die Schulung läuft ohne Simulation, der Phishing-Test wird erst nach Beschluss des Gremiums freigeschaltet. Der Schulungsnachweis entsteht trotzdem sofort.
Ist das ein Abo?
Nein. Es gibt kein Abonnement und keine Vertragsbindung. Sie buchen Schulungen und Tests nach Bedarf – einmalig oder wiederkehrend, wie es zu Ihnen passt.
Was kostet das?
Für Betriebe 49 € netto pro Person, einmalig: Schulung, erster Phishing-Lauf, Teamreport, Cockpit und sechs Monate monatliche Auffrischung. Weitere Testläufe kosten 22 € pro Person. Für Einzelpersonen gibt es die Schulung mit Zertifikat für 29 € brutto, allerdings ohne Teamreport, Cockpit und Auffrischung, deshalb der niedrigere Preis. Ein erstes Gespräch und die Selbsttests sind kostenlos. Alle Leistungen im Vergleich auf der Preisseite →
Hält der Effekt einer einmaligen Schulung überhaupt an?
Von allein nicht, deshalb hört es bei mir nicht mit dem Zertifikat auf. Wer den Kurs abgeschlossen hat, bekommt sechs Monate lang in jedem Kalendermonat eine kurze Mitmach-Lektion per Mail: keine fünf Minuten, ohne Anmeldung, jedes Mal ein anderes aktuelles Thema. Die Kürze ist Absicht, die Wirkung kommt aus der Verteilung über die Zeit. Im Cockpit sehen Sie die Erfüllungsquote Ihrer Teams und das durchschnittliche Ergebnis. Diese Auffrischung ist im Betriebspreis enthalten und kostet nichts extra.
Brauche ich dafür eine IT-Abteilung?
Nein. Das Ganze ist in etwa einer Stunde eingerichtet: Kurs auswählen, Team eintragen, loslegen. Die Nachweise entstehen automatisch. Wenn Sie mögen, richte ich es gemeinsam mit Ihnen ein.
Wie läuft eine Schulung bei Ihnen ab?
Auf Ihrem Wunschweg: Ich schule Ihr Team persönlich (vor Ort oder online), Sie schulen selbst mit meinen fertigen Unterlagen, oder jede Person lernt online im eigenen Tempo. Meine Empfehlung: erst schulen, dann den Phishing-Test zur Selbstüberprüfung – das baut eine Sicherheitskultur auf, statt Menschen vorzuführen.
Wird bei uns jemand vorgeführt oder überwacht?
Nein. Es gibt keine öffentliche Bloßstellung und keine personenbezogene „Wer-hat-geklickt"-Liste für die Chefetage. Ausgewertet wird das Team als Ganzes. Ein Fehlklick ist ein Lernmoment, kein Eintrag in die Personalakte.
Erfülle ich damit DSGVO, NIS2, ISO 27001 oder Versicherungsauflagen?
Den Awareness-/Schulungsteil dieser Pflichten decken Sie damit ab – inklusive Nachweis mit Zeitstempel. Was in Ihre Technik/IT gehört, kennzeichne ich offen. Den vollständigen Abgleich finden Sie unter „Pflichten & Normen".
Was passiert bei Personalwechsel?
Neue Teammitglieder binden Sie später per Klick ein: Sie erhalten sofort die Online-Schulungsunterlagen und einen ersten Selbsttest und steigen mit demselben Wissensstand in die nächste gemeinsame Schulung ein.
Bekomme ich einen Nachweis bzw. ein Zertifikat?
Ja. Teilnahme- und Abschlussnachweise mit Datum und Zeitstempel entstehen automatisch je Person – als prüffester Beleg für Audits, Versicherung oder die eigene Dokumentation.
Deckt das auch KI-Betrug und Deepfakes ab?
Ja. Aktuelle Motive wie KI-gestütztes Phishing, gefälschte Stimmen und Deepfakes sind Teil der Kurse und der Simulationen – passend zur KI-Kompetenzpflicht des EU AI Act.
Sind Schulen und Vereine wirklich kostenlos?
Ja. Für Schulen und gemeinnützige Vereine ist das Angebot kostenlos – das ist mir ein persönliches Anliegen.
Wie schnell kann ich starten?
Sofort und ohne Gespräch, wenn Sie möchten: Sie registrieren Ihren Betrieb oder Ihre Institution selbst unter /registrieren, legen Ihr Team an, wählen Kurs und Phishing-Vorlagen und starten den Lauf – alles eigenständig im Cockpit, in rund einer Stunde eingerichtet. Zum Reinschnuppern gibt es die kostenlosen Selbsttests. Und wer lieber begleitet wird, schreibt mir kurz; dann melde ich mich persönlich.

Ihre Frage ist nicht dabei?

Stellen Sie sie mir direkt. Eine E-Mail-Adresse brauchen Sie nur, wenn Sie meine Antwort erhalten möchten.

Bestätigt kurz, dass hier ein Mensch tippt – kein Bot.

In einer Stunde eingerichtet – ohne IT-Abteilung.

Kurs auswählen, Team eintragen, loslegen. Nachweise entstehen automatisch als Nebenprodukt.

Team eintragen Erst selbst testen

In einer Stunde eingerichtet, in einer Woche geschult.

Konto kostenlos anlegen, Team eintragen, Kurs freischalten. Bezahlt wird erst beim Start. Lieber erst sehen, wie eine Test-Mail aussieht? Der Selbsttest ist kostenlos.

Team eintragen Erst selbst testen