Was Awareness-Training wirklich bringt, in Zahlen.
Wie wirksam ist es, Menschen zu schulen? Lohnt sich das? Die Forschung gibt klare Antworten, und sie fallen deutlicher aus, als viele erwarten.
68 %
aller Datenpannen laufen über Menschen, meist über Social Engineering oder erbeutete Zugangsdaten.
Verizon Data Breach Investigations Report, 2024
Was sich technisch nicht verhindern lässt.
Firewalls, Virenscanner und Spamfilter fangen einen großen Teil der Angriffe ab. Den Perimeter zu bauen und zu betreiben ist und bleibt Aufgabe der IT. Was sie technisch nicht verhindern kann: eine überzeugende E-Mail, ein glaubwürdiger Anruf, ein gefälschtes Login-Formular. Diese Angriffe nehmen den offiziellen Weg, mit gültigen Zugangsdaten und einer plausiblen Bitte. Dagegen hilft kein weiteres Produkt, sondern Übung: den Angriff erkennen und wissen, was dann zu tun ist.
289 Mrd. €
Gesamtschaden durch Cyberangriffe auf deutsche Unternehmen im Jahr 2025. Davon 202 Milliarden Euro durch rein digitale Angriffe.
Bitkom Wirtschaftsschutz-Studie, 2025
87 %
der deutschen Unternehmen berichten von Datendiebstahl, Spionage oder Sabotage. 59 % fühlen sich durch Cyberangriffe existenzbedroht.
Bitkom, 2025
80 %
der angegriffenen Organisationen in Deutschland sind kleine und mittlere Unternehmen. „Zu klein für Angreifer" ist keine Schutzstrategie mehr.
BSI Lagebericht, 2025
Was passiert, wenn man Menschen tatsächlich schult?
Die Frage ist berechtigt: Bringt das wirklich etwas, oder klicken die Leute danach trotzdem? Die Zahlen aus Studien mit hunderttausenden Teilnehmern sind überraschend eindeutig.
33 %
der Mitarbeiter klicken auf simulierte Phishing-Mails, wenn sie noch nie eine Awareness-Schulung hatten. In Europa liegt der Wert bei 32,5 %.
KnowBe4 Phishing by Industry Benchmarking Report, 2025
4 %
Klickrate nach einem Jahr regelmäßigem Training und Phishing-Simulationen. Das ist eine Reduktion um 86 % gegenüber dem Ausgangswert.
KnowBe4, 2025
Der Verlauf im Detail
Tag 1
Jeder dritte Mitarbeiter klickt. Das ist der Normalzustand ohne Schulung, kein Zeichen für besondere Nachlässigkeit, sondern für fehlende Übung.
90 Tage
Nach drei Monaten Training sinkt die Klickrate um über 40 %. Die Schulung zeigt bereits messbare Wirkung.
12 Monate
Die Klickrate liegt bei 4 %, eine Reduktion um 86 %. Der Unterschied zwischen geschulten und ungeschulten Teams ist an diesem Punkt nicht mehr subtil.
Warum einmal schulen nicht reicht.
Der Psychologe Hermann Ebbinghaus hat bereits 1885 gezeigt, dass Menschen Gelerntes schnell wieder vergessen, wenn es nicht wiederholt wird. Moderne Studien bestätigen seine Ergebnisse für den Bereich Cybersicherheit.
67 %
des Gelernten vergessen nach 24 Stunden
Murre & Dros, PLOS One, 2015
79 %
vergessen nach einem Monat ohne Wiederholung
Murre & Dros, PLOS One, 2015
6 Mon.
Nach sechs Monaten ohne Auffrischung verfällt der Trainingseffekt signifikant
ISACA & div. Studien
Die Konsequenz: Wer einmal im Jahr eine Schulung durchführt und danach nicht mehr daran erinnert, hat nach sechs Monaten fast den Ausgangszustand wiederhergestellt. Training muss wiederholt und mit praktischen Tests kombiniert werden, damit es dauerhaft wirkt. ISACA empfiehlt Auffrischungen alle vier bis sechs Monate, ergänzt durch regelmäßige Simulationen.
Was es kostet, nichts zu tun.
Awareness-Training wird oft als „weiches" Thema behandelt, aber die Zahlen zu Vorfallskosten und Einsparungen sind alles andere als weich.
4,8 Mio. $
durchschnittliche Kosten einer durch Phishing verursachten Datenpanne, weltweit. Darin enthalten: Forensik, Rechtskosten, Betriebsunterbrechung, Reputationsschaden und regulatorische Strafen.
IBM Cost of a Data Breach Report, 2025
1,5 Mio. $
weniger Schadenskosten bei Organisationen mit einem etablierten Awareness-Programm gegenüber solchen ohne. Das entspricht einer Reduktion der durchschnittlichen Vorfallskosten um über 30 %.
IBM Cost of a Data Breach Report, 2023
In Relation gesetzt: Ein Awareness-Training für 50 Mitarbeiter kostet bei secureIT unter 2.500 €. Eine einzelne Phishing-Datenpanne kostet im Durchschnitt das Zweitausendfache. Selbst wenn Training nur einen einzigen Vorfall in zehn Jahren verhindert, hat es sich um ein Vielfaches bezahlt gemacht.
Die Bedrohungslage vor der eigenen Tür.
Die Zahlen des BSI und der Bitkom zeigen: Deutsche Unternehmen sind kein Nebenschauplatz, sondern ein Hauptziel. Besonders betroffen sind kleine und mittlere Betriebe.
- 119 neue Schwachstellen pro Tag, ein Anstieg von 24 % gegenüber dem Vorjahr
- 950 Ransomware-Anzeigen, davon 72 % mit Datenleak
- 80 % der angegriffenen Organisationen waren KMU
- Die Bedrohungslage bleibt auf „angespanntem Niveau"
- Gesamtschaden: 289 Milliarden Euro
- Phishing: 26 %, Ransomware: 31 % der Schäden
- 87 % der Unternehmen betroffen
- 59 % fühlen sich existenzbedroht
Was NIS2 dazu sagt: Die europäische NIS2-Richtlinie verpflichtet betroffene Unternehmen ausdrücklich zu regelmäßigen Cybersecurity-Schulungen. Die DSGVO verlangt „organisatorische Maßnahmen", und darunter fällt die Sensibilisierung des Personals. Training ist keine Empfehlung, sondern eine gesetzliche Anforderung. Mehr zu NIS2 und DSGVO →
Fünf Prinzipien, die wirksames Training von Alibi-Schulung unterscheiden.
Nicht jedes Training wirkt gleich. Die Forschung zeigt klare Muster, was funktioniert und was nur eine Compliance-Checkbox erfüllt, ohne das Verhalten zu ändern.
Erst schulen, dann testen.
Ein Phishing-Test ohne vorherige Schulung misst nur, dass Menschen klicken, und verbessert nichts. Schulung vor dem Test macht den Test zur Übung statt zur Falle. Die Akzeptanz im Team steigt, weil niemand das Gefühl hat, hereingelegt zu werden.
secureIT: Jeder Phishing-Lauf setzt eine abgeschlossene Awareness-Schulung voraus. Ohne Kurs kein Test.
Kurz und regelmäßig statt lang und einmalig.
Kurze Module von 5–10 Minuten, regelmäßig wiederholt, erzeugen stärkere Wissensspeicherung als einstündige Jahresschulungen. Das bestätigen sowohl die Vergessenskurve als auch die Praxisstudien von SANS und ISACA.
secureIT: Die Schulung besteht aus kurzen, abgeschlossenen Lektionen. Nachtest-Läufe können beliebig oft nachgebucht werden, ohne die Schulung erneut zu kaufen.
Praxis statt Theorie.
Simulierte Phishing-Angriffe sind das wirksamste Mittel, um Gelerntes zu verankern. Organisationen mit regelmäßigen Simulationen reduzieren reale Phishing-Vorfälle um bis zu 50 %. Der Effekt kommt nicht vom Wissen allein, sondern von der Erfahrung, einen Angriff unter realistischen Bedingungen zu erkennen.
secureIT: Drei realistische Phishing-Simulationen pro Lauf, verteilt über zehn Arbeitstage. Kein angekündigter Test, sondern E-Mails, die im normalen Arbeitsalltag ankommen.
Fehler meldbar machen, nicht bestrafen.
Die größte Gefahr nach einem Klick ist nicht der Klick selbst, sondern das Schweigen danach. Teams, die Fehlklicks sofort melden, begrenzen den Schaden. Teams, die Angst vor Konsequenzen haben, verschweigen den Vorfall, und aus einem Klick wird ein Sicherheitsvorfall.
secureIT: Die Auswertung zeigt Gruppenstatistiken, keine individuellen Namen. Niemand wird bloßgestellt. Wer geklickt hat, sieht sofort eine Aufklärungsseite: kein Tadel, sondern eine Erklärung.
Messbar machen, was sich verändert.
67 % der Organisationen können den Nutzen ihres Awareness-Trainings nicht belegen, weil sie Ergebnisse nicht messen. Ohne Messung bleibt Training eine Ausgabe, mit Messung wird es eine nachweisbare Verbesserung.
secureIT: Das Cockpit zeigt Klickraten, Abschlussquoten und den Verlauf über die Zeit. Jeder Lauf liefert Daten, und die Zertifikate dokumentieren, wer wann geschult wurde.
Erkennen, melden, weiterarbeiten.
Niemand soll zur Sicherheitsanlage werden. Es geht um eine Fähigkeit, die heute überall gebraucht wird, beruflich wie privat: sehen, dass etwas nicht stimmt, es kurz sagen, und dann normal weiterarbeiten. Wer weiß, worauf zu achten ist, und sich traut, Verdächtiges zu melden, verschafft der IT den Vorsprung, den sie für alles Weitere braucht.
Vorher
Mitarbeiter erkennen Angriffe nicht, melden nichts, und IT erfährt von Vorfällen erst, wenn der Schaden bereits eingetreten ist. Ein typisches Unternehmen generiert mit reinem Compliance-Training nur rund 4.000 Datenpunkte pro Jahr, zu wenig, um Muster zu erkennen.
Nachher
Geschulte Mitarbeiter melden verdächtige E-Mails aktiv. In einer dokumentierten Fallstudie stieg die Zahl gemeldeter Phishing-Versuche um das 6,5-Fache. Die Klickrate sank von 16 auf 4 %, und die IT konnte echte Angriffe frühzeitig erkennen und stoppen.
Hoxhunt / Monster Energy, LyondellBasell
Der Punkt ist nicht, dass niemand mehr klickt. Das ist unrealistisch. Der Punkt ist, dass die Quote so niedrig wird, dass ein einzelner Klick aufgefangen werden kann, weil der Rest des Teams den Angriff erkennt und meldet. Und weil die Person, die geklickt hat, es sofort sagt, statt es zu verbergen.
Studien und Berichte
Die Zahlen auf dieser Seite stammen aus den folgenden regelmäßig erscheinenden Berichten und Studien:
- Verizon Data Breach Investigations Report (DBIR): jährliche Analyse realer Datenpannen weltweit, 2024
- KnowBe4 Phishing by Industry Benchmarking Report: Klickraten vor und nach Training, 2025
- IBM Cost of a Data Breach Report: Vorfallskosten und Einflussfaktoren, 2023 und 2025
- Proofpoint State of the Phish: Nutzerverhalten und Awareness-Trends, 2024
- SANS Security Awareness Report: Reifegradmodell und Best Practices, 2024/2025
- BSI Lagebericht zur IT-Sicherheit in Deutschland: Bedrohungslage und Schwachstellen, 2025
- Bitkom Wirtschaftsschutz-Studie: Schadensstatistik deutscher Unternehmen, 2025
- Murre & Dros, PLOS One (2015): Replikation der Ebbinghaus-Vergessenskurve
- ISACA: Empfehlungen zur Trainingsfrequenz
- ENISA NIS360 (2024): Sektoranalyse des Awareness-Niveaus in der EU
Sind Sie von NIS2 betroffen?
Beantworten Sie fünf kurze Fragen, die Auswertung erscheint sofort. Keine Daten werden gespeichert oder übertragen.
Frage 1 von 5
Wie viele Mitarbeitende hat Ihr Unternehmen?
Frage 2 von 5
In welchem Bereich ist Ihr Unternehmen tätig?
Frage 3 von 5
Beliefern oder betreuen Sie Unternehmen aus den oben genannten Sektoren?
Frage 4 von 5
Verarbeiten Sie personenbezogene Daten? (Kunden, Mitarbeiter, Bewerber)
Frage 5 von 5
Welche Maßnahmen zur Mitarbeiter-Sensibilisierung gibt es bei Ihnen aktuell?
Überzeugt? Dann legen Sie los.
Der kostenlose Selbsttest zeigt Ihnen in zwei Wochen, wie anfällig Ihre eigene Inbox ist. Für Ihr Team geht es ab 49 € pro Person los, einmalig und ohne Abo.