Jeder bezahlte Kurs bei secureIT finanziert das Schulangebot mit.
Wie wirksam ist es, Menschen zu schulen? Lohnt sich das? Die Forschung gibt klare Antworten, und sie fallen deutlicher aus, als viele erwarten.
68 %
aller Datenpannen laufen über Menschen, meist über Social Engineering oder erbeutete Zugangsdaten.
Verizon Data Breach Investigations Report, 2024
Firewalls, Virenscanner und Spamfilter fangen einen großen Teil der Angriffe ab. Den Perimeter zu bauen und zu betreiben ist und bleibt Aufgabe der IT. Was sie technisch nicht verhindern kann: eine überzeugende E-Mail, ein glaubwürdiger Anruf, ein gefälschtes Login-Formular. Diese Angriffe nehmen den offiziellen Weg, mit gültigen Zugangsdaten und einer plausiblen Bitte. Dagegen hilft kein weiteres Produkt, sondern Übung: den Angriff erkennen und wissen, was dann zu tun ist.
289 Mrd. €
Gesamtschaden durch Cyberangriffe auf deutsche Unternehmen im Jahr 2025. Davon 202 Milliarden Euro durch rein digitale Angriffe.
Bitkom Wirtschaftsschutz-Studie, 2025
87 %
der deutschen Unternehmen berichten von Datendiebstahl, Spionage oder Sabotage. 59 % fühlen sich durch Cyberangriffe existenzbedroht.
Bitkom, 2025
80 %
der angegriffenen Organisationen in Deutschland sind kleine und mittlere Unternehmen. „Zu klein für Angreifer" ist keine Schutzstrategie mehr.
BSI Lagebericht, 2025
Die Frage ist berechtigt: Bringt das wirklich etwas, oder klicken die Leute danach trotzdem? Die Zahlen aus Studien mit hunderttausenden Teilnehmern sind überraschend eindeutig.
33 %
der Mitarbeiter klicken auf simulierte Phishing-Mails, wenn sie noch nie eine Awareness-Schulung hatten. In Europa liegt der Wert bei 32,5 %.
KnowBe4 Phishing by Industry Benchmarking Report, 2025
4 %
Klickrate nach einem Jahr regelmäßigem Training und Phishing-Simulationen. Das ist eine Reduktion um 86 % gegenüber dem Ausgangswert.
KnowBe4, 2025
Klickrate auf simulierte Phishing-Mails über zwölf Monate, Durchschnitt über alle Branchen. Quelle: KnowBe4, 2025.
Tag 1
Jeder dritte Mitarbeiter klickt. Das ist der Normalzustand ohne Schulung, kein Zeichen für besondere Nachlässigkeit, sondern für fehlende Übung.
90 Tage
Nach drei Monaten Training sinkt die Klickrate um über 40 %. Die Schulung zeigt bereits messbare Wirkung.
12 Monate
Die Klickrate liegt bei 4 %, eine Reduktion um 86 %. Der Unterschied zwischen geschulten und ungeschulten Teams ist an diesem Punkt nicht mehr subtil.
Tragen Sie Ihre eigenen Werte ein. Die Ergebnisse rechnen sich sofort um, es wird nichts gespeichert und nichts übertragen.
Stillstand, Wiederherstellung, Anwalt, Meldepflichten, Reputationsschaden. Für kleine Betriebe liegen dokumentierte Fälle meist zwischen 20.000 und 200.000 €.
8
Personen klicken bei einer einzigen Phishing-Welle
100 % Wahrscheinlichkeit, dass mindestens eine Person klickt
1
Personen klicken bei einer einzigen Phishing-Welle
64 % Wahrscheinlichkeit, dass mindestens eine Person klickt
Modellrechnung: Risiko = erwartete Klicks × Anteil der Klicks, die zum Vorfall werden × geschätzter Schaden. Die Klickrate nach Training ist aus dem Verhältnis 33 % zu 4 % (KnowBe4, 2025) auf Ihre Ausgangslage übertragen. Nicht jeder Klick wird zum Vorfall, aber jeder Vorfall beginnt mit einem.
Was das konkret für Ihre Branche heißt, mit den jeweiligen Pflichten und typischen Angriffen:
Der Psychologe Hermann Ebbinghaus hat bereits 1885 gezeigt, dass Menschen Gelerntes schnell wieder vergessen, wenn es nicht wiederholt wird. Moderne Studien bestätigen seine Ergebnisse für den Bereich Cybersicherheit.
67 %
des Gelernten vergessen nach 24 Stunden
Murre & Dros, PLOS One, 2015
79 %
vergessen nach einem Monat ohne Wiederholung
Murre & Dros, PLOS One, 2015
6 Mon.
Nach sechs Monaten ohne Auffrischung verfällt der Trainingseffekt signifikant
ISACA & div. Studien
Die Konsequenz: Wer einmal im Jahr eine Schulung durchführt und danach nicht mehr daran erinnert, hat nach sechs Monaten fast den Ausgangszustand wiederhergestellt. Training muss wiederholt und mit praktischen Tests kombiniert werden, damit es dauerhaft wirkt. ISACA empfiehlt Auffrischungen alle vier bis sechs Monate, ergänzt durch regelmäßige Simulationen.
Awareness-Training wird oft als „weiches" Thema behandelt, aber die Zahlen zu Vorfallskosten und Einsparungen sind alles andere als weich.
4,8 Mio. $
durchschnittliche Kosten einer durch Phishing verursachten Datenpanne, weltweit. Darin enthalten: Forensik, Rechtskosten, Betriebsunterbrechung, Reputationsschaden und regulatorische Strafen.
IBM Cost of a Data Breach Report, 2025
1,5 Mio. $
weniger Schadenskosten bei Organisationen mit einem etablierten Awareness-Programm gegenüber solchen ohne. Das entspricht einer Reduktion der durchschnittlichen Vorfallskosten um über 30 %.
IBM Cost of a Data Breach Report, 2023
In Relation gesetzt: Ein Awareness-Training für 50 Mitarbeiter kostet bei secureIT unter 2.500 €. Eine einzelne Phishing-Datenpanne kostet im Durchschnitt das Zweitausendfache. Selbst wenn Training nur einen einzigen Vorfall in zehn Jahren verhindert, hat es sich um ein Vielfaches bezahlt gemacht.
Die Zahlen des BSI und der Bitkom zeigen: Deutsche Unternehmen sind kein Nebenschauplatz, sondern ein Hauptziel. Besonders betroffen sind kleine und mittlere Betriebe.
Allein in den letzten 7 Tagen hat das BSI 29 Mal vor Software gewarnt, die in Betrieben täglich läuft — davon 2 als kritisch eingestuft.
Betroffen sind diese Woche unter anderem Adobe Magento, VMware, Microsoft Windows. Die Jahreszahlen oben sind Rückblick, das hier ist der laufende Betrieb.
Die aktuelle Lage im Einzelnen →Quelle: BSI, Warn- und Informationsdienst. Stand 01.11.2026, 06:00 Uhr.
Was NIS2 dazu sagt: Die europäische NIS2-Richtlinie verpflichtet betroffene Unternehmen ausdrücklich zu regelmäßigen Cybersecurity-Schulungen. Die DSGVO verlangt „organisatorische Maßnahmen", und darunter fällt die Sensibilisierung des Personals. Training ist keine Empfehlung, sondern eine gesetzliche Anforderung. Mehr zu NIS2 und DSGVO →
Nicht jedes Training wirkt gleich. Die Forschung zeigt klare Muster, was funktioniert und was nur eine Compliance-Checkbox erfüllt, ohne das Verhalten zu ändern.
Ein Phishing-Test ohne vorherige Schulung misst nur, dass Menschen klicken, und verbessert nichts. Schulung vor dem Test macht den Test zur Übung statt zur Falle. Die Akzeptanz im Team steigt, weil niemand das Gefühl hat, hereingelegt zu werden.
secureIT: Jeder Phishing-Lauf setzt eine abgeschlossene Awareness-Schulung voraus. Ohne Kurs kein Test.
Kurze Module von 5–10 Minuten, regelmäßig wiederholt, erzeugen stärkere Wissensspeicherung als einstündige Jahresschulungen. Das bestätigen sowohl die Vergessenskurve als auch die Praxisstudien von SANS und ISACA.
secureIT: Die Schulung besteht aus kurzen, abgeschlossenen Lektionen. Nachtest-Läufe können beliebig oft nachgebucht werden, ohne die Schulung erneut zu kaufen.
Simulierte Phishing-Angriffe sind das wirksamste Mittel, um Gelerntes zu verankern. Organisationen mit regelmäßigen Simulationen reduzieren reale Phishing-Vorfälle um bis zu 50 %. Der Effekt kommt nicht vom Wissen allein, sondern von der Erfahrung, einen Angriff unter realistischen Bedingungen zu erkennen.
secureIT: Drei realistische Phishing-Simulationen pro Lauf, verteilt über fünf Arbeitstage. Kein angekündigter Test, sondern E-Mails, die im normalen Arbeitsalltag ankommen.
Die größte Gefahr nach einem Klick ist nicht der Klick selbst, sondern das Schweigen danach. Teams, die Fehlklicks sofort melden, begrenzen den Schaden. Teams, die Angst vor Konsequenzen haben, verschweigen den Vorfall, und aus einem Klick wird ein Sicherheitsvorfall.
secureIT: Die Auswertung zeigt Gruppenstatistiken, keine individuellen Namen. Niemand wird bloßgestellt. Wer geklickt hat, sieht sofort eine Aufklärungsseite: kein Tadel, sondern eine Erklärung.
67 % der Organisationen können den Nutzen ihres Awareness-Trainings nicht belegen, weil sie Ergebnisse nicht messen. Ohne Messung bleibt Training eine Ausgabe, mit Messung wird es eine nachweisbare Verbesserung.
secureIT: Das Cockpit zeigt Klickraten, Abschlussquoten und den Verlauf über die Zeit. Jeder Lauf liefert Daten, und die Zertifikate dokumentieren, wer wann geschult wurde.
Niemand soll zur Sicherheitsanlage werden. Es geht um eine Fähigkeit, die heute überall gebraucht wird, beruflich wie privat: sehen, dass etwas nicht stimmt, es kurz sagen, und dann normal weiterarbeiten. Wer weiß, worauf zu achten ist, und sich traut, Verdächtiges zu melden, verschafft der IT den Vorsprung, den sie für alles Weitere braucht.
Mitarbeiter erkennen Angriffe nicht, melden nichts, und IT erfährt von Vorfällen erst, wenn der Schaden bereits eingetreten ist. Ein typisches Unternehmen generiert mit reinem Compliance-Training nur rund 4.000 Datenpunkte pro Jahr, zu wenig, um Muster zu erkennen.
Geschulte Mitarbeiter melden verdächtige E-Mails aktiv. In einer dokumentierten Fallstudie stieg die Zahl gemeldeter Phishing-Versuche um das 6,5-Fache. Die Klickrate sank von 16 auf 4 %, und die IT konnte echte Angriffe frühzeitig erkennen und stoppen.
Hoxhunt / Monster Energy, LyondellBasell
Der Punkt ist nicht, dass niemand mehr klickt. Das ist unrealistisch. Der Punkt ist, dass die Quote so niedrig wird, dass ein einzelner Klick aufgefangen werden kann, weil der Rest des Teams den Angriff erkennt und meldet. Und weil die Person, die geklickt hat, es sofort sagt, statt es zu verbergen.
Die Zahlen auf dieser Seite stammen aus den folgenden regelmäßig erscheinenden Berichten und Studien:
Fünf kurze Fragen, die Auswertung erscheint sofort. Es wird nichts gespeichert.
Der kostenlose Selbsttest zeigt Ihnen in zwei Wochen, wie anfällig Ihre eigene Inbox ist. Für Ihr Team geht es ab 49 € pro Person los, einmalig und ohne Abo.
Angriffe erklärt statt beschrieben: wie konkrete Maschen funktionieren, was aktuell kursiert und was im Alltag wirklich hilft.
Kann man mit ganz normalem WLAN durch Wände sehen? Ich habe mir die Forschung angesehen: Ob jemand zu Hause ist und sich bewegt, lässt sich schon heute recht zuverlässig erkennen – mit WLAN-Sensing (IEEE 802.11bf) wird das sogar Standard in Routern. Am KIT in Karlsruhe wurden 99,5 % von 197 Personen an Gang und Körperform wiedererkannt, allein durch Mitlesen – aber nur nach vorherigem Ei...
Weiterlesen →
Corona ist wieder da – diesmal digital. Die PHP-Lücken breiten sich aus wie eine Pandemie, und das war erst die erste Welle. PHP steckt in rund 70 % aller Web-Installationen: Hausautomation, Geräte, Backends, Web-Apps hinter Smartphone-Apps und natürlich WordPress. Und in vielen Produkten ist PHP fest eingebaut – für die gibt es noch gar kein Update. Die nächste Patchwelle kommt also ers...
Weiterlesen →
Hat dir jemand einen AirTag untergeschoben, um zu sehen, wo du dich bewegst? Diese Frage kam so oft unter meinen Videos – hier ist meine Antwort: Mit einem iPhone und der App nRF Connect startest du einen Bluetooth-Scanner, der alle Funksignale in deiner Nähe und ihre Empfangsstärke anzeigt. Im Graphen siehst du live, welches Signal stärker wird, wenn du dich bewegst – je höher der Pegel...
Weiterlesen →
Zwei neue Sicherheitslücken in PHP – und die Patches sollten am besten noch am selben Tag drauf. PHP steckt fast überall: in Webseiten, Web-Anwendungen in Firmen, Backends von Smartphone-Apps. Über die Lücken lässt sich ohne Anmeldung praktisch jeder Befehl auf dem Server ausführen – Vollzugriff. Der Fehler steckt seit Jahrzehnten im Code, und mit KI-Systemen ohne Grenzen wird das Ausnut...
Weiterlesen →
Warum das, was uns gerade mit KI so unglaublich vorkommt, nur der Anfang ist: Der Schlüssel zum Erfolg der Chatbots war, dass sie menschliche Sprache verstehen – und damit Zugang zu unserem gesamten Wissen bekamen. Mit dem gleichen Trick werden uns bald humanoide Roboter überraschen: Sie haben unsere Körperform und damit Zugang zu allem, was für Menschen gebaut ist – vom Auto bis zur Hau...
Weiterlesen →
Ganz automatisch teilt ihr bei jedem Webseitenbesuch jede Menge Daten – egal ob per Smartphone, PC, Link oder QR-Code: IP-Adresse, Sprache, Browser-Version (und damit fehlende Updates), Betriebssystem, Prozessorkerne, Bildschirm, Zeitzone, Dark Mode … bis hin zu Fingerabdrücken aus Grafikkarte, Schrift-Darstellung und Audio, mit denen ihr wiedererkannt und für Werbung verfolgt werdet. Pr...
Weiterlesen →
Sind eure Mailserver sicher? In Schulen, Behörden und vielen Betrieben sind selbst betriebene Mailserver oft nahezu ungeschützt. Ohne DKIM, SPF und DMARC kann jeder im Internet E-Mails in eurem Namen verschicken – zum Beispiel als Geschäftsführer an die Finanzabteilung. Die Empfänger können nicht erkennen, dass die Mail gefälscht ist. Folge 3 der Serie „Sicherheit am Arbeitsplatz“: Was d...
Weiterlesen →
Kaum größer als ein Finger, um die 100 Euro, mit WLAN: Ein Keylogger steckt zwischen Tastatur und PC und schickt jeden Tastendruck live aufs Handy – Passwörter inklusive. Die Sicherheitssoftware merkt davon nichts, weil das Gerät keinen Treiber installiert. Folge 2 der Serie „Sicherheit am Arbeitsplatz“: Was hilft? Tastaturen, die verschlüsselt übertragen – oder regelmäßig an PC und Dock...
Weiterlesen →
Smarte Steckdose, WLAN-Glühbirne, Kamera, Heizungssteuerung – all die kleinen, günstigen Helfer im Smart Home hängen früher oder später an eurem Router. Was in ihnen steckt, weiß kaum jemand, und Updates bekommen sie selten. Mein Tipp: Aktiviert im Router das Gastnetz und hängt alle diese Geräte dort hinein. Sie kommen weiter ins Internet, aber nicht mehr an euren PC, euren Netzwerkspeic...
Weiterlesen →
Kostenloses WLAN in der Ferienwohnung, im Zug oder im Wartezimmer beim Arzt – praktisch, aber riskant. Ohne Passwort prüft niemand, wer hinter dem Netz steckt: Ein Angreifer kann mit einem kleinen Gerät einfach denselben Namen ausstrahlen. Hat sein Signal mehr Balken, verbindet sich dein Handy mit ihm – und er sieht deinen ganzen Datenverkehr und kann dir gefälschte Anmeldeseiten untersc...
Weiterlesen →
Von wem werden wir eigentlich gerade angegriffen? Ich werte die Meldungen von BSI und CISA aus – und die Quellen erzählen ganz unterschiedliche Geschichten. In amerikanischen Datenbanken kommen Angriffe nie aus den USA. Das BSI sagt kaum etwas über Herkunftsländer. Spannend ist die Bitkom-Studie, in der Betriebe selbst angeben, wer sie angegriffen hat: China 22 %, Russland 21 %, Osteurop...
Weiterlesen →
Macht euch bereit: Die Zahl der Angriffe steigt. Das BSI hat dieses Jahr schon über 2.000 Sicherheitswarnungen veröffentlicht – und das Jahr ist noch nicht rum. In meiner Bedrohungslage sortiere ich jede Warnung dem Bereich im Betrieb zu, den sie trifft: Serverraum, Firewall, Arbeitsplätze, Cloud. Die Balken werden jede Woche größer. Heißt: Updates automatisch und einfach einspielen, wis...
Weiterlesen →Konto kostenlos anlegen, Team eintragen, Kurs freischalten. Bezahlt wird erst beim Start. Lieber erst sehen, wie eine Test-Mail aussieht? Der Selbsttest ist kostenlos.