Jeder bezahlte Kurs bei secureIT finanziert das Schulangebot mit.
Wie wirksam ist es, Menschen zu schulen? Lohnt sich das? Die Forschung gibt klare Antworten, und sie fallen deutlicher aus, als viele erwarten.
68 %
aller Datenpannen laufen über Menschen, meist über Social Engineering oder erbeutete Zugangsdaten.
Verizon Data Breach Investigations Report, 2024
Firewalls, Virenscanner und Spamfilter fangen einen großen Teil der Angriffe ab. Den Perimeter zu bauen und zu betreiben ist und bleibt Aufgabe der IT. Was sie technisch nicht verhindern kann: eine überzeugende E-Mail, ein glaubwürdiger Anruf, ein gefälschtes Login-Formular. Diese Angriffe nehmen den offiziellen Weg, mit gültigen Zugangsdaten und einer plausiblen Bitte. Dagegen hilft kein weiteres Produkt, sondern Übung: den Angriff erkennen und wissen, was dann zu tun ist.
289 Mrd. €
Gesamtschaden durch Cyberangriffe auf deutsche Unternehmen im Jahr 2025. Davon 202 Milliarden Euro durch rein digitale Angriffe.
Bitkom Wirtschaftsschutz-Studie, 2025
87 %
der deutschen Unternehmen berichten von Datendiebstahl, Spionage oder Sabotage. 59 % fühlen sich durch Cyberangriffe existenzbedroht.
Bitkom, 2025
80 %
der angegriffenen Organisationen in Deutschland sind kleine und mittlere Unternehmen. „Zu klein für Angreifer" ist keine Schutzstrategie mehr.
BSI Lagebericht, 2025
Die Frage ist berechtigt: Bringt das wirklich etwas, oder klicken die Leute danach trotzdem? Die Zahlen aus Studien mit hunderttausenden Teilnehmern sind überraschend eindeutig.
33 %
der Mitarbeiter klicken auf simulierte Phishing-Mails, wenn sie noch nie eine Awareness-Schulung hatten. In Europa liegt der Wert bei 32,5 %.
KnowBe4 Phishing by Industry Benchmarking Report, 2025
4 %
Klickrate nach einem Jahr regelmäßigem Training und Phishing-Simulationen. Das ist eine Reduktion um 86 % gegenüber dem Ausgangswert.
KnowBe4, 2025
Klickrate auf simulierte Phishing-Mails über zwölf Monate, Durchschnitt über alle Branchen. Quelle: KnowBe4, 2025.
Tag 1
Jeder dritte Mitarbeiter klickt. Das ist der Normalzustand ohne Schulung, kein Zeichen für besondere Nachlässigkeit, sondern für fehlende Übung.
90 Tage
Nach drei Monaten Training sinkt die Klickrate um über 40 %. Die Schulung zeigt bereits messbare Wirkung.
12 Monate
Die Klickrate liegt bei 4 %, eine Reduktion um 86 %. Der Unterschied zwischen geschulten und ungeschulten Teams ist an diesem Punkt nicht mehr subtil.
Tragen Sie Ihre eigenen Werte ein. Die Ergebnisse rechnen sich sofort um, es wird nichts gespeichert und nichts übertragen.
Stillstand, Wiederherstellung, Anwalt, Meldepflichten, Reputationsschaden. Für kleine Betriebe liegen dokumentierte Fälle meist zwischen 20.000 und 200.000 €.
8
Personen klicken bei einer einzigen Phishing-Welle
100 % Wahrscheinlichkeit, dass mindestens eine Person klickt
1
Personen klicken bei einer einzigen Phishing-Welle
64 % Wahrscheinlichkeit, dass mindestens eine Person klickt
Modellrechnung: Risiko = erwartete Klicks × Anteil der Klicks, die zum Vorfall werden × geschätzter Schaden. Die Klickrate nach Training ist aus dem Verhältnis 33 % zu 4 % (KnowBe4, 2025) auf Ihre Ausgangslage übertragen. Nicht jeder Klick wird zum Vorfall, aber jeder Vorfall beginnt mit einem.
Was das konkret für Ihre Branche heißt, mit den jeweiligen Pflichten und typischen Angriffen:
Der Psychologe Hermann Ebbinghaus hat bereits 1885 gezeigt, dass Menschen Gelerntes schnell wieder vergessen, wenn es nicht wiederholt wird. Moderne Studien bestätigen seine Ergebnisse für den Bereich Cybersicherheit.
67 %
des Gelernten vergessen nach 24 Stunden
Murre & Dros, PLOS One, 2015
79 %
vergessen nach einem Monat ohne Wiederholung
Murre & Dros, PLOS One, 2015
6 Mon.
Nach sechs Monaten ohne Auffrischung verfällt der Trainingseffekt signifikant
ISACA & div. Studien
Die Konsequenz: Wer einmal im Jahr eine Schulung durchführt und danach nicht mehr daran erinnert, hat nach sechs Monaten fast den Ausgangszustand wiederhergestellt. Training muss wiederholt und mit praktischen Tests kombiniert werden, damit es dauerhaft wirkt. ISACA empfiehlt Auffrischungen alle vier bis sechs Monate, ergänzt durch regelmäßige Simulationen.
Awareness-Training wird oft als „weiches" Thema behandelt, aber die Zahlen zu Vorfallskosten und Einsparungen sind alles andere als weich.
4,8 Mio. $
durchschnittliche Kosten einer durch Phishing verursachten Datenpanne, weltweit. Darin enthalten: Forensik, Rechtskosten, Betriebsunterbrechung, Reputationsschaden und regulatorische Strafen.
IBM Cost of a Data Breach Report, 2025
1,5 Mio. $
weniger Schadenskosten bei Organisationen mit einem etablierten Awareness-Programm gegenüber solchen ohne. Das entspricht einer Reduktion der durchschnittlichen Vorfallskosten um über 30 %.
IBM Cost of a Data Breach Report, 2023
In Relation gesetzt: Ein Awareness-Training für 50 Mitarbeiter kostet bei secureIT unter 2.500 €. Eine einzelne Phishing-Datenpanne kostet im Durchschnitt das Zweitausendfache. Selbst wenn Training nur einen einzigen Vorfall in zehn Jahren verhindert, hat es sich um ein Vielfaches bezahlt gemacht.
Die Zahlen des BSI und der Bitkom zeigen: Deutsche Unternehmen sind kein Nebenschauplatz, sondern ein Hauptziel. Besonders betroffen sind kleine und mittlere Betriebe.
Allein in den letzten 7 Tagen hat das BSI 29 Mal vor Software gewarnt, die in Betrieben täglich läuft — davon 2 als kritisch eingestuft.
Betroffen sind diese Woche unter anderem Adobe Magento, VMware, Microsoft Windows. Die Jahreszahlen oben sind Rückblick, das hier ist der laufende Betrieb.
Die aktuelle Lage im Einzelnen →Quelle: BSI, Warn- und Informationsdienst. Stand 01.11.2026, 06:00 Uhr.
Was NIS2 dazu sagt: Die europäische NIS2-Richtlinie verpflichtet betroffene Unternehmen ausdrücklich zu regelmäßigen Cybersecurity-Schulungen. Die DSGVO verlangt „organisatorische Maßnahmen", und darunter fällt die Sensibilisierung des Personals. Training ist keine Empfehlung, sondern eine gesetzliche Anforderung. Mehr zu NIS2 und DSGVO →
Nicht jedes Training wirkt gleich. Die Forschung zeigt klare Muster, was funktioniert und was nur eine Compliance-Checkbox erfüllt, ohne das Verhalten zu ändern.
Ein Phishing-Test ohne vorherige Schulung misst nur, dass Menschen klicken, und verbessert nichts. Schulung vor dem Test macht den Test zur Übung statt zur Falle. Die Akzeptanz im Team steigt, weil niemand das Gefühl hat, hereingelegt zu werden.
secureIT: Jeder Phishing-Lauf setzt eine abgeschlossene Awareness-Schulung voraus. Ohne Kurs kein Test.
Kurze Module von 5–10 Minuten, regelmäßig wiederholt, erzeugen stärkere Wissensspeicherung als einstündige Jahresschulungen. Das bestätigen sowohl die Vergessenskurve als auch die Praxisstudien von SANS und ISACA.
secureIT: Die Schulung besteht aus kurzen, abgeschlossenen Lektionen. Nachtest-Läufe können beliebig oft nachgebucht werden, ohne die Schulung erneut zu kaufen.
Simulierte Phishing-Angriffe sind das wirksamste Mittel, um Gelerntes zu verankern. Organisationen mit regelmäßigen Simulationen reduzieren reale Phishing-Vorfälle um bis zu 50 %. Der Effekt kommt nicht vom Wissen allein, sondern von der Erfahrung, einen Angriff unter realistischen Bedingungen zu erkennen.
secureIT: Drei realistische Phishing-Simulationen pro Lauf, verteilt über fünf Arbeitstage. Kein angekündigter Test, sondern E-Mails, die im normalen Arbeitsalltag ankommen.
Die größte Gefahr nach einem Klick ist nicht der Klick selbst, sondern das Schweigen danach. Teams, die Fehlklicks sofort melden, begrenzen den Schaden. Teams, die Angst vor Konsequenzen haben, verschweigen den Vorfall, und aus einem Klick wird ein Sicherheitsvorfall.
secureIT: Die Auswertung zeigt Gruppenstatistiken, keine individuellen Namen. Niemand wird bloßgestellt. Wer geklickt hat, sieht sofort eine Aufklärungsseite: kein Tadel, sondern eine Erklärung.
67 % der Organisationen können den Nutzen ihres Awareness-Trainings nicht belegen, weil sie Ergebnisse nicht messen. Ohne Messung bleibt Training eine Ausgabe, mit Messung wird es eine nachweisbare Verbesserung.
secureIT: Das Cockpit zeigt Klickraten, Abschlussquoten und den Verlauf über die Zeit. Jeder Lauf liefert Daten, und die Zertifikate dokumentieren, wer wann geschult wurde.
Niemand soll zur Sicherheitsanlage werden. Es geht um eine Fähigkeit, die heute überall gebraucht wird, beruflich wie privat: sehen, dass etwas nicht stimmt, es kurz sagen, und dann normal weiterarbeiten. Wer weiß, worauf zu achten ist, und sich traut, Verdächtiges zu melden, verschafft der IT den Vorsprung, den sie für alles Weitere braucht.
Mitarbeiter erkennen Angriffe nicht, melden nichts, und IT erfährt von Vorfällen erst, wenn der Schaden bereits eingetreten ist. Ein typisches Unternehmen generiert mit reinem Compliance-Training nur rund 4.000 Datenpunkte pro Jahr, zu wenig, um Muster zu erkennen.
Geschulte Mitarbeiter melden verdächtige E-Mails aktiv. In einer dokumentierten Fallstudie stieg die Zahl gemeldeter Phishing-Versuche um das 6,5-Fache. Die Klickrate sank von 16 auf 4 %, und die IT konnte echte Angriffe frühzeitig erkennen und stoppen.
Hoxhunt / Monster Energy, LyondellBasell
Der Punkt ist nicht, dass niemand mehr klickt. Das ist unrealistisch. Der Punkt ist, dass die Quote so niedrig wird, dass ein einzelner Klick aufgefangen werden kann, weil der Rest des Teams den Angriff erkennt und meldet. Und weil die Person, die geklickt hat, es sofort sagt, statt es zu verbergen.
Die Zahlen auf dieser Seite stammen aus den folgenden regelmäßig erscheinenden Berichten und Studien:
Fünf kurze Fragen, die Auswertung erscheint sofort. Es wird nichts gespeichert.
Der kostenlose Selbsttest zeigt Ihnen in zwei Wochen, wie anfällig Ihre eigene Inbox ist. Für Ihr Team geht es ab 49 € pro Person los, einmalig und ohne Abo.
Angriffe erklärt statt beschrieben: wie konkrete Maschen funktionieren, was aktuell kursiert und was im Alltag wirklich hilft.
Ich bin einfach süchtig. 20 Jahre entwickle ich jetzt Software – und die neuen KI-Tools wie Claude Code können Dinge, die ich selbst nicht konnte: schnell, vollständig, mit Tests bis ins Deployment. Meine Nachricht an alle Entwickler und an alle, die es werden wollen: Holt ein altes Projekt raus, gebt es der KI und sagt „bau neu“. Hört nicht auf die Leute, die irgendwas erzählen – probie...
Weiterlesen →
Kann ein kleines Gadget deine Handy-PIN knacken? Mit einem Flipper Zero und einem Bad-USB-Skript hängt sich ein Angreifer per USB-Kabel als Tastatur an dein Handy und probiert automatisch die häufigsten 4-stelligen PINs durch. Die gute Nachricht: Moderne Handys bauen nach jedem Fehlversuch längere Sperren ein – mit einer langen, ungewöhnlichen PIN und aktuellen Updates bist du gut geschü...
Weiterlesen →Und dann die Vision: Viele Menschen haben keine Arbeit mehr, weil Maschinen sie verrichten. Utopie oder Dystopie? Heute definiert Geldverdienen unser Leben. Morgen braucht es ein System, in dem man auch davon leben kann, sich um Kranke, Ältere oder Kinder zu kümmern – soziales Engagement muss einen Wert haben. Das ist unsere Aufgabe, nicht die unserer Kinder. Bleibt auf dem Laufenden! Te...
Weiterlesen →Wir müssen uns gesellschaftlich mit KI auseinandersetzen: Wie funktioniert Demokratie morgen, wie der Staat, wo droht Überwachung? Und: Macht euch keine Sorgen, dass es morgen keine Arbeit gibt. Irgendjemand muss KI überall einführen, Roboter sicher betreiben, KI-Systeme pflegen und zu den Menschen bringen – bis das Ganze wirklich läuft. Teil 5 von 6. Mehr auf secureit.icu
Weiterlesen →In China und Amerika entstehen tausende Fabriken, die nur humanoide Roboter bauen – schaut euch die Videos an, das ist kein Fake. Nach der KI-Welle, mit der wir schon nicht klarkommen, rollt die nächste: Roboter, die das Paket bringen oder in der Küche kochen. Der Trick ist derselbe wie bei KI – über die menschliche Gestalt bekommen sie Zugang zu allem, was ein Mensch tun kann. Wir müsse...
Weiterlesen →Viele wehren sich gegen KI. Meiner Meinung nach aussichtslos: Wo will man denn hin? Nirgendwo auf der Welt findet KI nicht statt. Selbst wenn ein Börsencrash kommt und Firmen pleitegehen – die Technologie bleibt und wird genutzt. Setzen wir sie nicht ein, tun es andere: produktiver, schneller. Und das ist erst Level 1. Teil 3 von 6. Mehr auf secureit.icu
Weiterlesen →Agentische KI-Systeme, die Websites oder Firmen hacken – klingt nach Science-Fiction, passiert aber schon. Doch meistens stecken Menschen mit Interessen dahinter, nicht eine KI, die sich selbst losmacht. KI hat riesiges Potenzial: Krankheiten heilen, Hunger beseitigen, Lösungen für die Umwelt. Und genauso viel Potenzial, Schaden anzurichten. In dieser Welt müssen unsere Kinder klarkommen...
Weiterlesen →Reden wir über die Zukunft: In welcher Arbeitswelt leben unsere Kinder, wenn das mit KI so weitergeht? KI wird einfach eingeführt, Gesetze kennt kaum jemand, und die Chancen sind riesig – gefühlt ein El Dorado, Goldgräberstimmung in der IT. Mit ein, zwei Prompts entstehen tragfähige Anwendungen, weil KI das Fachwissen gleich mitbringt. Unfassbar viele Möglichkeiten – und unfassbar viele...
Weiterlesen →
Lehrer gesucht! Ich möchte mit euch zusammen Kinder stärken – mit Kursmaterial, das Kapitel für Kapitel am Lehrplan entlang aufgebaut ist: Klasse 5/6 lernt die digitale Welt kennen (z. B. „Der Chat kippt“), Klasse 7 macht das Faktencheck-Spiel, ab Klasse 8 geht es um digitale Selbstverteidigung – Fake-Profile erkennen, Phishing, Verschlüsselung mit dem Caesar-Trick. Neu: viele KI-Themen,...
Weiterlesen →
Sind wir mal ehrlich: Jeder kennt den Kollegen, der sagt „KI wird nichts“ – und den, der nur noch mit KI arbeitet. Diese zwei Lager spalten gerade unsere Gesellschaft und unsere Arbeitswelt. Die Schulen ziehen noch nicht nach, am Ende bleiben Stellen unbesetzt. Dabei steckt in KI ein Wahnsinnspotenzial – gerade für unsere Kinder, wenn wir sie befähigen, KI richtig zu nutzen. Lasst uns in...
Weiterlesen →
Lehrer gesucht! Ich will nicht immer nur meckern, sondern etwas tun: Für Schulen habe ich Kursmaterial vorbereitet – kostenlos, ohne Werbung, ohne Hintergedanken. Klasse 5 und 6: Medienbildung, Social Media, Schutz vor Betrug, Handyzeit und Gaming. Ältere Klassen: Phishing, Betrugsmaschen und IT-Sicherheit. Dazu die großen KI-Fragen: Wie nutze ich KI sinnvoll und behalte die Kontrolle? M...
Weiterlesen →
Experten sollen den Nachwuchs trainieren? Viele sagen: zweimal Verlust. Ich sehe zweimal Gewinn. KI-Transformation heißt nicht, Chatbot-Lizenzen auszurollen, sondern Prozesse umzustellen. Die KI übernimmt den Fleißteil, der Mensch behält die Oberhand. Die gewonnene Zeit stecken wir nur bedingt in neue Projekte – ein fester Teil geht in KI-Weiterbildung und in die Begleitung der Juniors a...
Weiterlesen →Konto kostenlos anlegen, Team eintragen, Kurs freischalten. Bezahlt wird erst beim Start. Lieber erst sehen, wie eine Test-Mail aussieht? Der Selbsttest ist kostenlos.