Themen für Sicherheitsschulungen im Jahr 2027

Ein nützliches Security-Awareness-Curriculum für 2027 sollte Mitarbeitenden beibringen, wie sie sicherere Entscheidungen über E-Mail, SMS, Sprache, QR-Codes, Authentifizierungsabfragen, Cloud-Apps und KI-Tools hinweg treffen. Die Kernthemen sind Phishing und Business Email Compromise, Smishing und Vishing, Passwörter und MFA-Müdigkeit, Ransomware, Vorfallmeldungen, Deepfakes und Stimmklonung, sicherer KI-Einsatz und Prompt Injection, der Umgang mit Daten sowie die eigenen Verifizierungs- und Eskalationsverfahren der Organisation.

Die Liste allein ist noch kein Curriculum. Jedes Thema braucht ein spezifisches Verhalten zum Üben, eine realistische Situation, zeitnahes Feedback und Nachweise, die mehr als nur die Teilnahme zeigen. Programmverantwortliche sollten eine kleine gemeinsame Basis für alle aufbauen, dort gezielte Module hinzufügen, wo sich die Exposition unterscheidet, und risikoreiche Entscheidungen das ganze Jahr über in kurzen Übungen erneut aufgreifen.

Das Curriculum 2027 auf einen Blick

Thema	Die Fähigkeit, die Mitarbeitende üben sollten	Nützliche Trainingsnachweise
Phishing und Business Email Compromise	Innehalten, den Kontext prüfen, sensible Anfragen unabhängig verifizieren und melden	Entscheidungsweg, Meldeentscheidung, Wissensprüfung
Smishing, Quishing und Scams über Kollaborationsnachrichten	Mobile, QR- und Chat-Anfragen mit derselben Sorgfalt behandeln wie E-Mails	Prüfung des sicheren Ziels, Ablehnung, Meldung oder Eskalation
Vishing, Deepfakes und Stimmklonung	Identität verifizieren, ohne Stimme, Video, Anrufer-ID oder Dringlichkeit zu vertrauen	Entscheidung zum Rückruf oder zu einem Zweitkanal
Passwörter und MFA-Müdigkeit	Genehmigte Passwort-Tools verwenden und unerwartete Authentifizierungsaufforderungen zurückweisen	Richtige Reaktion auf Anmelde- und MFA-Szenarien
Ransomware und verdächtige Dateien	Riskante Interaktion stoppen und dem genehmigten Isolierungs- und Meldeweg folgen	Eskalationsgenauigkeit und Zeit bis zur Meldung
Vorfallmeldung und Wiederherstellung	Unsicherheiten und Fehler schnell mit nützlichem Kontext melden	Gewählter Weg, bereitgestellte Informationen, Wiederherstellungsmaßnahme
Sicherer KI-Einsatz und Prompt Injection	Vertrauliche Daten schützen, unzuverlässigen Anweisungen misstrauen und Ausgaben prüfen	Entscheidungen zum Datenumgang und zur Tool-Wahl
Datenschutz und sicherer Umgang mit Daten	Informationen angemessen klassifizieren, teilen, speichern und entsorgen	Richtige Umgangsentscheidung im Kontext
Richtlinien, NIS2 und KI-Kompetenz	Organisationale Regeln anwenden und verstehen, warum sie existieren	Abschluss, Wissensprüfung, Anwendung in Szenarien

Diese Basis sollte kompakt bleiben. Eine Organisation kann rollenbezogene Übungen für Zahlungsfreigaben, Identitätsverwaltung, Kundendaten, Softwarebereitstellung oder regulierte Abläufe ergänzen, sollte aber die gemeinsamen Gewohnheiten, die alle Mitarbeitenden brauchen, nicht ersetzen.

1. Phishing und Business Email Compromise

Phishing bleibt ein grundlegendes Thema, weil es übertragbare Fähigkeiten vermittelt: eine ungewöhnliche Anfrage erkennen, Druck widerstehen, Identität über einen vertrauenswürdigen Weg prüfen, Anmeldedaten schützen und früh melden. Das Training sollte über Rechtschreibfehler und verdächtige Anhänge hinausgehen. Moderne Nachrichten können professionell gestaltet sein, in einer bestehenden Unterhaltung ankommen, einen bekannten Lieferanten imitieren oder eine legitime Handlung zum falschen Zeitpunkt verlangen.

Business Email Compromise verdient eine explizite Behandlung. Lernende sollten den Umgang mit Zahlungsänderungen, Gehaltsanfragen, Forderungen nach Geschenkkarten, Rechnungsaktualisierungen und dringenden Anweisungen von Führungskräften üben. Das Ziel ist nicht, Beispiele auswendig zu lernen. Es geht darum, eine wiederholbare Verifizierungsregel anzuwenden:

1. erkennen, was Geld, Zugriff oder sensible Daten verändern könnte;
2. innehalten, bevor Anweisungen innerhalb der Anfrage befolgt werden;
3. ein bekanntes Verzeichnis, einen genehmigten Workflow oder einen zuvor verifizierten Kontaktweg verwenden;
4. eskalieren, wenn die Anfrage normale Kontrollen umgeht;
5. die Nachricht melden, auch wenn kein Schaden entstanden ist.

Vermitteln Sie Verifizierung als Fähigkeit für die Geschäftskontinuität, nicht als Erlaubnis, jede ungewöhnliche Anfrage abzulehnen. Mitarbeitende müssen wissen, wie sie legitime Arbeit sicher erledigen.

2. Smishing, Quishing und Scams über Kollaborationsnachrichten

Mitarbeitende treffen Sicherheitsentscheidungen auf dem Smartphone, im Team-Chat und rund um physische QR-Codes. Ein Curriculum, das Phishing als reines E-Mail-Problem behandelt, lässt eine große Lücke.

Smishing-Trainings sollten verkürzte Links, Paket- und Kontoalarme, gefälschte Supportnachrichten und Anfragen abdecken, die eine Unterhaltung aus einem verwalteten Kanal in einen persönlichen verlagern. Quishing-Übungen sollten Mitarbeitenden beibringen, zu überlegen, wo ein QR-Code erschienen ist, das Ziel vorab anzusehen, wenn das Gerät dies zulässt, nach einem unerwarteten Scan keine Anmeldedaten einzugeben und manipulierte oder verdächtige Codes zu melden.

Szenarien zu Kollaborationsnachrichten sollten geteilte Dokumente, Termineinladungen, die Vortäuschung des Helpdesks und Anfragen von neu erstellten oder kompromittierten Konten umfassen. Die übertragbare Lehre lautet: Eine vertraute Oberfläche ist kein Beweis dafür, dass die Person oder das Ziel vertrauenswürdig ist.

3. Vishing, Deepfakes und Stimmklonung

Stimme und Video können ein falsches Gefühl von Identität erzeugen. Im Jahr 2027 sollten Mitarbeitende lernen, ein überzeugendes Gesicht, eine überzeugende Stimme, eine Anrufer-ID oder einen Sprechstil nur als ein Signal zu behandeln – nicht als Autorisierung.

Das Üben sollte sich auf Verfahren konzentrieren, die auch dann funktionieren, wenn Medien synthetisch sind:

• über eine vertrauenswürdige Nummer zurückrufen, nicht über eine vom Anrufer genannte;
• den normalen Freigabeweg für Zahlungen, Zugriffe und sensible Offenlegungen verlangen;
• bei gerechtfertigtem Risiko eine zuvor vereinbarte Verifizierungsmethode nutzen;
• eine weitere autorisierte Person einbeziehen, wenn eine Anfrage außergewöhnlich ist;
• verdächtigen Kontext sichern und melden, ohne den Anrufer zu konfrontieren.

Vermeiden Sie es, das Thema Deepfake-Erkennung in eine Jagd nach optischen Fehlern zu verwandeln. Erkennungsmerkmale ändern sich schnell, und gewöhnliche Anrufe können Artefakte enthalten. Nachhaltiges Training lehrt Mitarbeitende, folgenschwere Anfragen unabhängig zu verifizieren, auch wenn die Person echt erscheint.

4. Passwörter, Sitzungssicherheit und MFA-Müdigkeit

Passwortschulungen sollten kurz und praxisnah sein. Mitarbeitende müssen wissen, wie sie den genehmigten Passwort-Manager verwenden, wo erforderlich eindeutige Zugangsdaten erstellen, Missbrauch der Kontowiederherstellung erkennen und reagieren, wenn ein Zugangsdatenleck möglich ist.

MFA-Training darf nicht bei „MFA aktivieren“ stehen bleiben. Lernende sollten das Zurückweisen einer unerwarteten Push-Anfrage üben, wiederholte Genehmigungsaufforderungen als möglichen Angriff erkennen, den betroffenen Dienst und das Gerät prüfen und den richtigen Support-Weg kontaktieren. Erklären Sie, dass MFA die Sicherheit verbessert, aber nicht jede Aufforderung legitim macht. Beziehen Sie Sitzungsrisiken auf defensiver Ebene ein: Eine erfolgreiche Anmeldung kann trotzdem unsicher sein, wenn die Person einem unzuverlässigen Link gefolgt ist oder eine von ihr nicht initiierte Anfrage genehmigt hat.

Das Zielverhalten ist einfach: Authentifizierung über einen bekannten Weg starten, nur das genehmigen, was die Mitarbeitenden selbst begonnen und verstanden haben, und Anomalien umgehend melden.

5. Ransomware, verdächtige Dateien und Wiederherstellungsentscheidungen

Awareness zu Ransomware sollte Mitarbeitende nicht zu Malware-Analysten machen. Es sollte die ersten sicheren Entscheidungen lehren, wenn etwas nicht stimmt.

Nützliche Szenarien fragen die Lernenden, was nach einer unerwarteten Datei, einem ungewöhnlichen Anmeldeereignis, einer plötzlichen Verschlüsselungswarnung, einem deaktivierten Sicherheitstool oder Geräteverhalten zu tun ist, das auf eine Kompromittierung hindeutet. Die richtige Handlung hängt vom Verfahren der Organisation ab, aber das Training sollte verdeutlichen:

• wann die Interaktion mit dem Gerät oder der Datei zu stoppen ist;
• wie der Incident-Kanal bei Bedarf von einem anderen Gerät aus erreicht wird;
• welche Informationen den Ersthelfern helfen, ohne die Meldung zu verzögern;
• warum das Verbergen eines Fehlers den Schaden vergrößert;
• welche Wiederherstellungsmaßnahmen Mitarbeitende nicht improvisieren dürfen.

Security Awareness sollte die menschliche Entscheidung mit getesteten Incident-Response-Verfahren verbinden. Ein Kurs kann eine nicht erreichbare Hotline oder eine unklare Eskalationsstruktur nicht kompensieren.

6. Vorfallmeldung, Eskalation und Reaktion nach einem Klick

Meldungen sollten ein eigenständiges Lernziel sein, nicht nur eine letzte Folie. Mitarbeitende müssen üben, eine verdächtige Nachricht, eine unerwartete MFA-Aufforderung, einen falschen Klick, ein offengelegtes Passwort, einen merkwürdigen Anruf, eine riskante KI-Interaktion oder ein verlorenes Gerät zu melden.

Ein gutes Meldemodul beantwortet vier Fragen:

1. Welchen Kanal soll die Mitarbeitende oder der Mitarbeitende verwenden?
2. Welchen Mindestkontext sollen sie bereitstellen?
3. Welche unmittelbare Schutzmaßnahme ist autorisiert?
4. Was geschieht nach der Meldung?

Beziehen Sie Wiederherstellungspfade mit ein. Eine Person, die geklickt hat, sollte trotzdem in der Lage sein, schnell zu melden und die Folgen zu begrenzen. Das verringert die schädliche Annahme, dass es in der Schulung nur darum geht, Fehler zu vermeiden. Die Organisation profitiert, wenn Mitarbeitende sich frühzeitig melden und die Ersthelfer verwertbaren Kontext erhalten.

7. Sicherer KI-Einsatz, Prompt Injection und KI-Kompetenz

Mitarbeitende nutzen zunehmend Assistenten, Copiloten, Suchwerkzeuge, Besprechungszusammenfassungen und automatisierte Agenten. Das Training sollte ihnen helfen zu entscheiden, welche Daten in welches Tool eingegeben werden dürfen, welche Ausgaben überprüft werden müssen und wie nicht vertrauenswürdige Inhalte ein KI-System manipulieren können.

Halten Sie die Schulung zu Prompt Injection defensiv. Mitarbeitende brauchen keine Angriffsrezepte. Sie müssen jedoch verstehen, dass ein Dokument, eine Website, eine E-Mail oder ein abgerufener Datensatz Anweisungen enthalten kann, die dazu bestimmt sind, ein KI-Tool umzuleiten. Ein Szenario zur sicheren Nutzung kann die Lernenden auffordern:

• zu erkennen, dass externe Inhalte nicht vertrauenswürdige Eingaben sind;
• keine vertraulichen oder personenbezogenen Daten in einen nicht genehmigten Dienst einzufügen;
• Quellmaterial von autorisierten Anweisungen zu trennen;
• folgenschwere Ausgaben anhand verlässlicher Quellen zu prüfen;
• vor dem Senden, Veröffentlichen, Löschen, Bezahlen oder Ändern von Zugriffsrechten eine menschliche Freigabe einzuholen;
• unerwartetes KI-Verhalten über den passenden Kanal zu melden.

Der EU AI Act liefert einen Governance-Grund, KI-Kompetenz ernst zu nehmen. Artikel 4 verlangt von Anbietern und Betreibern von KI-Systemen Maßnahmen, um ein ausreichendes Maß an KI-Kompetenz für relevantes Personal und andere Personen sicherzustellen, die Systeme in ihrem Auftrag betreiben. Der offizielle Text des EU AI Act ist die maßgebliche Quelle; Inhalt und Tiefe des Trainings sollten die Systeme, Menschen, den Kontext und das Risiko der Organisation widerspiegeln.

8. Datenschutz, Datenumgang und sichere Zusammenarbeit

Awareness-Programme trennen Datenschutz oft von Cybersicherheit, obwohl Mitarbeitende beides als eine einzige Entscheidung erleben: Kann ich diese Information hier, mit dieser Person und für diesen Zweck teilen?

Nutzen Sie realistische Übungen zu Dokumentberechtigungen, externer Freigabe, Kunden- und Mitarbeiterdaten, Wechseldatenträgern, privaten Geräten, Screenshots, Besprechungsaufzeichnungen und KI-Tools. Vermitteln Sie die Klassifizierungen und genehmigten Kanäle der Organisation, prüfen Sie aber die Anwendung und nicht nur den Wortschatz.

Das sicherere Verhalten lautet nicht „niemals teilen“. Es besteht darin, Empfänger, Zweck, Sensibilität, Tool und Berechtigung vor dem Teilen zu bestätigen – und etwas umgehend zu widerrufen oder zu melden, wenn etwas schiefgelaufen ist.

9. NIS2-Cyberhygiene und Anwendung von Richtlinien

Compliance-Inhalte sollten die Pflichten der Organisation erklären, ohne zu suggerieren, dass der Abschluss eines Kurses gleichbedeutend mit Compliance ist. NIS2 umfasst grundlegende Cyberhygiene-Praktiken und Cybersicherheitsschulungen als Teil der Risikomanagementmaßnahmen und behandelt auch die Schulung von Leitungsorganen. Mitarbeitende benötigen dennoch praktische Anweisungen, die an ihre tatsächlichen Verfahren für Meldung, Authentifizierung, Datenumgang und Vorfälle gekoppelt sind.

Bewahren Sie für den Nachweis genehmigte Kursversionen, den Umfang der Zuweisung, den Abschlussstatus, Bewertungsergebnisse, Ausnahmen und Folgemaßnahmen auf. Dokumentieren Sie, wer das Curriculum verantwortet und wie es sich nach Vorfällen, Übungen, regulatorischen Entwicklungen oder wesentlichen Systemänderungen verändert. Für einen tieferen Nachweisprozess siehe den AutoPhish-Leitfaden zum Dokumentieren von Simulationen für ein NIS2-Audit.

Themen in beobachtbare Lernziele übersetzen

Ein schwaches Ziel lautet: „Mitarbeitende verstehen Phishing.“ Ein nützliches Ziel lautet: „Bei einer unerwarteten Änderung von Bankdaten nutzt die lernende Person einen unabhängig vertrauenswürdigen Kontaktweg und meldet die Anfrage.“ Das Zweite lässt sich üben und bewerten.

Definieren Sie für jedes Thema:

• Auslöser: Welche Situation soll die Person erkennen?
• Entscheidung: Welche Wahl muss getroffen werden?
• Aktion: Was soll im realen Arbeitsablauf getan werden?
• Feedback: Welche Konsequenz und welche sicherere Alternative sollte das Training zeigen?
• Nachweis: Welcher Beleg demonstriert Durchführung und Anwendung?
• Auffrischungsregel: Welches Ereignis oder Intervall sollte eine weitere Übung auslösen?

NIST SP 800-50 Rev. 1 empfiehlt einen Lebenszyklusansatz für ein Lernprogramm zu Cybersicherheit und Datenschutz, einschließlich Zielen, Bewertung, Verhaltensänderung und kontinuierlicher Verbesserung. Dieses Modell ist nützlicher, als einen jährlichen Kurskatalog als das Programm selbst zu behandeln.

Ein praktikabler jährlicher Umsetzungsplan

Weisen Sie nicht das gesamte Curriculum als ein einziges Jahrespaket zu. Ein praktikables Programm kann Folgendes kombinieren:

1. Eine gemeinsame Basis: Meldung, Verifizierung, Authentifizierung, Datenumgang und Vorfallserwartungen für alle.
2. Monatliches oder zweimonatliches Microlearning: jeweils ein fokussiertes Entscheidungsszenario von 5–15 Minuten.
3. Gezielte Module: zusätzliche Übung für Mitarbeitende, die Zahlungen freigeben, Identitäten verwalten, mit sensiblen Daten umgehen oder KI-Systeme mit hoher Auswirkung nutzen.
4. Ereignisgesteuerte Nachverfolgung: sofortiges Korrekturlernen nach einem relevanten Simulationsergebnis, Vorfall, einer Richtlinienänderung oder einer beobachteten Prozesslücke.
5. Verzögerte Abrufprüfungen: ein anderes Szenario Wochen später, um zu testen, ob sich die Fähigkeit übertragen lässt.
6. Quartalsweise Programmüberprüfung: Abdeckung, Abschluss, Bewertung, Meldeverhalten, operative Reibung und Korrekturmaßnahmen.

Die AutoPhish-Trainingsplattform unterstützt diesen Ansatz mit einem Katalog zu Phishing, BEC, Smishing, Vishing, Passwörtern und MFA, Ransomware, Vorfallmeldung, Deepfakes, Stimmklonung, Prompt Injection, DSGVO und dem EU AI Act. Die browserbasierten simulierten Arbeitsumgebungen nutzen verzweigte Entscheidungen, 5–15-minütige Übungen und bewertete Wissensprüfungen. Teams können Simulationen mit automatischen Folgeaufgaben verknüpfen, den Abschluss nachverfolgen, mehrsprachige Inhalte nutzen oder Übungen über ein bestehendes LMS mit SCORM 1.2 oder SCORM 2004 bereitstellen.

Diese Funktionen sind nur dann wichtig, wenn sie einem klar definierten Lernziel dienen. Käufer sollten sich zeigen lassen, wie aus einem Thema eine Entscheidung wird, wie sich Feedback je nach Pfad verändert, wie Folgeaufgaben zugewiesen werden und welche Nachweise Managern zur Verfügung stehen, ohne das Programm in Mitarbeiterüberwachung zu verwandeln.

Abdeckung messen, ohne Abschluss mit Resilienz zu verwechseln

Der Abschluss belegt, dass zugewiesene Inhalte nach der Definition der Plattform bearbeitet wurden. Er belegt nicht, dass eine Mitarbeitende oder ein Mitarbeitender die Fähigkeit Monate später anwenden wird. Nutzen Sie mehrere Nachweisschichten:

• Durchführung: Zuweisungen, Zugriff, Abschluss und Ausnahmen.
• Lernen: bewertete Prüfungen und verzögerter Abruf mit unterschiedlichen Szenarien.
• Verhalten: Verifizierung, Meldung, Ablehnung, Eskalation und Wiederherstellungsentscheidungen in kontrollierten Übungen.
• Betrieb: ob Meldungen beim richtigen Team angekommen sind und ob Verfahren funktioniert haben.
• Verbesserung: Änderungen am Curriculum, Prozesskorrekturen, gezielte Auffrischungen und abgeschlossene Korrekturmaßnahmen.

Vergleichen Sie Ähnliches mit Ähnlichem. Ein schwieriges BEC-Szenario sollte nicht als Beleg dafür gelten, dass Mitarbeitende weniger fähig geworden sind als nach einer offensichtlichen Basismeldung. Schützen Sie personenbezogene Daten, beschränken Sie den Zugriff, legen Sie Aufbewahrungsfristen bewusst fest und nutzen Sie aggregierte Trends, wenn namentliche Ergebnisse nicht erforderlich sind.

Häufig gestellte Fragen

Wie viele Security-Awareness-Themen sollte ein Unternehmen abdecken?

Decken Sie die Entscheidungen ab, die Mitarbeitende tatsächlich treffen müssen, statt auf eine reine Zahl von Themen zu zielen. Die meisten Organisationen brauchen eine gemeinsame Basis zu Phishing, mobilen und sprachbasierten Betrugsversuchen, Passwörtern und MFA, Ransomware, Meldung, Datenumgang und sicherer KI-Nutzung. Ergänzen Sie zielgerichtete Themen je nach Systemen, Rollen, Vorfällen und rechtlichen Verpflichtungen.

Wie oft sollte Security-Awareness-Training stattfinden?

Nutzen Sie eine Basisschulung beim Onboarding und wiederholen Sie fokussierte Übungen über das Jahr hinweg. Kurze monatliche oder zweimonatliche Übungen, ereignisgesteuerte Nachverfolgung und verzögerte Abrufprüfungen schaffen in der Regel bessere Lerngelegenheiten als ein großer Jahreskurs. Passen Sie die Frequenz an Risiko und Ermüdung an.

Sollten Deepfakes und KI-Sicherheit das Phishing-Training ersetzen?

Nein. Sie erweitern dasselbe Vertrauens- und Verifizierungsproblem auf neue Kanäle. Phishing, Identitätsprüfung, Authentifizierung, Meldung und Wiederherstellung bleiben grundlegend. Deepfake- und KI-Module sollten auf diesen Gewohnheiten aufbauen.

Ist NIS2-Schulung dasselbe wie ein Security-Awareness-Curriculum?

Nein. Schulungen unterstützen einen Teil eines umfassenderen Risikomanagementprogramms. NIS2 kann Umfang, Einbindung der Leitung, Inhalte zur Cyberhygiene und Nachweise beeinflussen, aber jede Organisation benötigt weiterhin Kontrollen, Verfahren, Incident-Handling und Governance über den Kurs hinaus.

Kann das Training über ein bestehendes LMS laufen?

Ja, wenn Inhalt und LMS einen geeigneten Interoperabilitätsstandard unterstützen und die benötigten Nachweise austauschen. Prüfen Sie SCORM-Version, Zuweisungsregeln, Abschlussdefinitionen, Wiederholungsversuche, Versionierung, Barrierefreiheit und wie Ergebnisse an das führende System zurückfließen.

Ein Curriculum für 2027 sollte Mitarbeitenden helfen, die Entscheidungen zu üben, die Technologie und Richtlinien nicht für sie treffen können. Um interaktive Szenarien, Curriculumsabdeckung, automatische Nachverfolgung, LMS-Bereitstellung und Nachweise mit AutoPhish zu prüfen, eine Demo buchen.