Was ist Cyber-Awareness-Schulung?

Cyber-Awareness-Schulung bringt Mitarbeitenden bei, Cyberangriffe zu erkennen und sicher damit umzugehen – Phishing, Business E-Mail Compromise, Rechnungsbetrug, Ransomware, schwache Authentifizierung und Fehler im Umgang mit Daten. Moderne Programme kombinieren kurze Module mit realistischen simulierten Angriffen, damit messbar wird, ob sich Verhalten geändert hat, und nicht nur, ob ein Kurs abgeschlossen wurde.

Brauchen kleine und mittlere Unternehmen wirklich Security-Awareness-Schulung?

Ja – wohl sogar dringender als Großunternehmen. KMU haben dieselbe menschliche Angriffsfläche, aber einen Bruchteil der technischen Kontrollen und kein Security-Team, das auffängt, was durchkommt. Angreifer wissen das. Awareness-Schulung ist eine der wenigen Sicherheitsinvestitionen, die sich sauber auf ein 20-Personen-Unternehmen herunterskalieren lässt.

Wie oft sollten Mitarbeitende Cyber-Awareness-Schulungen machen?

Laufend, in kleinen Dosen. Ein Jahreskurs ist nach Wochen vergessen und erfüllt bei keinem Prüfer die Erwartung an ein „laufendes“ Programm. Die meisten AutoPhish-Kunden fahren monatlich eine Phishing-Simulation und weisen Schulungen nur denen zu, die hereinfallen – so verbringt die durchschnittliche Person Minuten pro Jahr damit, und wer Hilfe braucht, bekommt sie wiederholt.

Was kostet Cyber-Awareness-Schulung für ein KMU?

Branchenübliche Platzpreise liegen im niedrigen zweistelligen Euro-Bereich pro Mitarbeiter und Jahr, wobei Enterprise-orientierte Anbieter oft Onboarding-Gebühren, Mindestabnahmen und separate Inhaltspakete hinzurechnen. Vergleichen Sie Gesamtkosten pro Jahr und Person plus die internen Stunden für den Betrieb. AutoPhish hat keine Mindestabnahme und keine Onboarding-Gebühr und enthält Simulation, Schulung, Smishing und Domain-Überwachung in einem Abo.

Ist Security-Awareness-Schulung durch NIS2 oder ISO 27001 vorgeschrieben?

Faktisch ja. NIS2 Artikel 20 verlangt Cybersicherheitsschulungen für Leitungsorgane und regelmäßig ähnliche Schulungen für Beschäftigte. ISO 27001 verlangt in Abschnitt 7.3 und Annex-A-Maßnahme 6.3 ein laufendes Awareness-Programm. Beide schreiben kein bestimmtes Produkt vor, erwarten aber Nachweise, dass Schulung wiederholt stattfindet – und genau das liefern Nachweise pro Person und die Simulationshistorie.

Wie lange dauert die Einrichtung?

Die meisten KMU haben ihre erste Simulation in rund 10 Minuten laufen. Sie importieren oder synchronisieren Ihre Mitarbeiterliste, verifizieren Ihre Domains und wählen einen Takt. Simulationen gehen von dedizierten AutoPhish-Domains raus, es sind also vorab keine DNS-Änderungen nötig.

Verärgern Phishing-Simulationen meine Mitarbeitenden?

Nicht, wenn Sie sie als Teamübung und nicht als Falle fahren. Kündigen Sie das Programm an, machen Sie klar, dass Ergebnisse der gezielten Schulung dienen und nie der Sanktionierung Einzelner, und nutzen Sie die Möglichkeit, Einzelergebnisse zu anonymisieren oder nur auf Gruppenebene zu berichten. Teams, die das tun, sehen steigende Melderaten – und genau dieses Verhalten schützt das Unternehmen.

Brauche ich einen Sicherheitsexperten für den Betrieb?

Nein. AutoPhish ist für die Person gemacht, die auch Notebooks, Backups und die Telefonanlage betreut. Kampagnen werden automatisch erzeugt, geplant, versendet und mit Schulungen nachbereitet; Sie bekommen einen Monatsbericht und greifen nur ein, wenn Sie etwas ändern wollen.

Kann ich es für mehrere Unternehmen oder Kunden nutzen?

Ja. Ein Login verwaltet mehrere Unternehmen mit jeweils eigenen Mitarbeitenden, Domains, Kampagnen, Branding und Reports. MSPs und IT-Dienstleister betreiben damit Awareness-Programme für ihren gesamten KMU-Kundenstamm aus einem Dashboard.

Sind meine Mitarbeiterdaten sicher und DSGVO-konform?

AutoPhish ist ein in Österreich gegründetes Unternehmen mit Servern in Deutschland, und alle Daten werden innerhalb der EU verarbeitet. Wir unterzeichnen AVV auf Anfrage, die Datenschutzerklärung ist verständlich formuliert, und einzelne Simulationsergebnisse lassen sich anonymisieren, damit das Programm DSGVO-verhältnismäßig und für Betriebsräte akzeptabel bleibt.

Security-Awareness-Schulung für kleine und mittlere Unternehmen

Cyber-Awareness-Schulung für KMU – ohne KMU-Budget zu sprengen

AutoPhish betreibt Ihr komplettes Awareness-Programm: jeden Monat realistische Phishing-Simulationen, kurze Schulungen genau dann, wenn jemand darauf hereinfällt, und die Nachweise, die NIS2 und ISO 27001 verlangen. Ohne Berater, ohne Jahresvideo, das niemand ansieht.

Demo buchen Leistungen ansehen

Von 10 bis 500 Mitarbeitenden
Server in Deutschland
DSGVO-konform von Haus aus
Erste Kampagne in 10 Minuten

Ihr Awareness-Programm auf Autopilot

Das erledigt ein laufendes AutoPhish-Programm jeden Monat, ohne dass Sie eingreifen.

Verschickt KI-geschriebene Phishing-Simulationen an alle Mitarbeitenden
Zeigt den Lernmoment in der Sekunde, in der jemand Zugangsdaten eingibt
Weist ein kurzes Modul genau zu der Masche zu, die funktioniert hat
Verfolgt Klickrate und Wiederholungstäter je Team über die Zeit
Überwacht Ihre SPF-, DKIM- und DMARC-Einträge auf Änderungen
Hält Schulungsnachweise pro Person für Audits bereit

Sicherheitsbewusste Teams vertrauen auf AutoPhish

Schließ dich Teams an, die mit AutoPhish eine menschliche Firewall gegen Phishing aufbauen.

Warum KMU

Angreifer überspringen Sie nicht, weil Sie klein sind

Kleine und mittlere Unternehmen werden gerade deshalb angegriffen, weil bei ihnen echtes Geld und echte Daten liegen – mit einem Bruchteil eines Enterprise-Sicherheitsteams. Einen eigenen Sicherheitsbeauftragten gibt es selten, die IT-Leitung hat schon drei andere Rollen, und das Awareness-Budget ist ein Bruchteil dessen, was die Anbieter aus den Analystenquadranten voraussetzen. Also wird Security-Awareness-Schulung einmal gekauft, als jährliches E-Learning-Video ausgerollt, abgehakt und vergessen – bis eine Rechnung auf das falsche Konto bezahlt wird.

Cyber-Awareness-Schulung für KMU muss anders funktionieren. Sie muss sich in Minuten statt in Quartalen einrichten lassen, ohne Programmmanager laufen, genau in dem Moment lehren, in dem jemand einen Fehler macht, und Compliance-Nachweise nebenbei erzeugen statt als eigenes Projekt. Genau dafür ist AutoPhish gebaut.

E-Mail ist nach wie vor die Eingangstür

Phishing, Rechnungsbetrug und Business E-Mail Compromise sind weiterhin der häufigste Weg, wie Angreifer in ein kleines Unternehmen kommen – weil sie jede technische Kontrolle umgehen, indem sie einen Menschen freundlich fragen.

Jede und jeder ist irgendwo Admin

In einem 40-Personen-Betrieb hat das Büromanagement das Bankportal, die Assistenz das CRM und die Geschäftsführung gibt Zahlungen vom Handy frei. Rollenbasierte Risikoannahmen aus Enterprise-Programmen greifen hier schlicht nicht.

Niemand hat ein Quartal übrig

Ein Awareness-Programm mit Kickoff-Workshop, Content-Kuratierung und monatlichem Kampagnenverantwortlichen stirbt spätestens im vierten Monat still. Es muss sich selbst betreiben – sonst läuft es nicht.

Die Compliance kam trotzdem

NIS2, ISO 27001 und Sicherheitsfragebögen von Kunden fragen alle, ob Ihre Belegschaft geschult ist und woher Sie das wissen. „Wir haben ein PDF verschickt“ überlebt kein Audit.

So funktioniert es

Von der Anmeldung zur ersten Simulation in rund 10 Minuten

Vier Schritte, einmal erledigt. Danach läuft das Programm im von Ihnen gewählten Takt und meldet sich nur, wenn wirklich etwas zu entscheiden ist.

Mitarbeitende hinzufügen

Importieren Sie Ihre Belegschaft per CSV oder synchronisieren Sie sie automatisch aus Microsoft 365 oder Active Directory, damit Ein- und Austritte sich selbst pflegen. Gruppieren Sie nach Abteilung, Standort oder Risiko, damit die Buchhaltung härter getestet wird als die Werkstatt.

Domain verifizieren

Hinterlegen Sie Ihre eigenen Domains, damit AutoPhish SPF, DKIM und DMARC laufend für Sie prüft. Simulationen gehen von dedizierten AutoPhish-Versanddomains raus – vor der ersten Kampagne ist also keine einzige DNS-Änderung nötig.

Takt festlegen

Monatlich, quartalsweise oder durchgehend. Die KI schreibt die Vorwände für Ihre Branche, Ihre Sprache und die Jahreszeit – Lohnzettel im Jänner, Paketbetrug im Dezember, MFA-Zurücksetzungen jederzeit. Der Versand wird zeitlich gestreut, damit nicht das ganze Büro um 09:05 Uhr die Köpfe zusammensteckt.

Schulen und berichten lassen

Klicks und eingegebene Zugangsdaten werden erfasst. Wer auf eine Simulation hereinfällt, landet auf einer Lernmoment-Seite mit genau den übersehenen Warnsignalen und erhält – wenn Sie es aktivieren – ein kurzes Modul zu genau dieser Masche. Sie bekommen Klickraten je Team, Listen der Wiederholungstäter und exportierbare Schulungsnachweise.

Enthalten

Ein komplettes Awareness-Programm in einem Abo

Simulation, Schulung, Reporting und Überwachung der E-Mail-Authentifizierung – nicht vier Tools, die mit einer Tabelle zusammengehalten werden.

KI-generierte Phishing-Simulationen

Vorwände, geschrieben für Ihre Branche, Ihre Sprache und die aktuelle Saison – statt einer Vorlagenbibliothek, die Ihre Leute bei den letzten drei Arbeitgebern schon gesehen haben. Erst Realismus macht die Klickrate aussagekräftig.

Kurze Mitarbeiterschulungen

Kurzmodule, automatisch der Person zugewiesen, die hereingefallen ist – zu genau der Masche, die bei ihr funktioniert hat. Minuten statt Pflichtnachmittag. Nutzen Sie den integrierten Kurs, verlinken Sie Ihre eigene Schulungs-URL oder schalten Sie es je Kampagne ab.

Smishing- und SMS-Simulationen

Dasselbe Programm, erweitert aufs Handy – denn die CEO-Fraud-SMS an die Buchhaltung landet in gar keinem Mail-Gateway.

Domain- und E-Mail-Sicherheitsüberwachung

Laufende SPF-, DKIM- und DMARC-Prüfungen Ihrer echten Domains, mit Alarm, wenn Einträge sich ändern oder ähnlich aussehende Domains auftauchen, von denen jemand in Ihrem Namen schreiben könnte.

Reporting, das die Geschäftsführung liest

Klickrate im Zeitverlauf, Risiko je Abteilung, Wiederholungstäter und Schulungsabschlüsse – in einem Dashboard und in einem Export, den Sie ohne Nachbearbeitung an einen Sicherheitsfragebogen hängen können.

Automatisierung, die auch einen vollen Monat übersteht

Takt einmal setzen: Kampagnen laufen weiter, schulen weiter und berichten weiter – ganz gleich, ob sich jemand einloggt. Der Erfolg des Programms hängt nicht mehr daran, dass jemand daran denkt.

Schulungsthemen

Worauf Ihre Mitarbeitenden tatsächlich geschult werden

Jedes Modul bildet einen realen Angriff auf KMU ab und wird von der Simulation ausgelöst, die die Lücke gezeigt hat – nicht als 40-Minuten-Pflichtvideo im Jänner.

Phishing und Spear-Phishing

Gefälschte Absender, ähnlich aussehende Domains, künstlicher Zeitdruck und Anmeldeseiten, die Ihren echten Microsoft-365-Login pixelgenau nachbauen.

Business E-Mail Compromise und CEO-Fraud

Warum eine Zahlungsanweisung „der Geschäftsführung“, die freitags um 16:50 Uhr eintrifft, einen Anruf auf einer bereits bekannten Nummer verdient – und keine Antwort auf die E-Mail.

Rechnungs- und Lieferantenbetrug

Die E-Mail mit den geänderten Bankdaten, die KMU mehr kostet als Ransomware, und das Vier-Augen-Prinzip, das sie stoppt.

Passwörter, MFA und MFA-Fatigue

Passwortmanager statt Mehrfachnutzung, warum eine bestätigte Push-Meldung, die man nicht ausgelöst hat, ein Vorfall ist, und wie sich ein MFA-Fatigue-Angriff von innen anfühlt.

Ransomware und schädliche Anhänge

Wie Ransomware über ein Makro, ein Archiv oder eine gefälschte Rechnungs-PDF hereinkommt und wie die ersten zehn Minuten der Reaktion in einem Unternehmen ohne SOC aussehen sollten.

Smishing, Vishing und QR-Codes

Angriffe per SMS, Telefonanruf oder ausgedrucktem QR-Code am Parkplatz – dort greift keiner Ihrer E-Mail-Filter.

Datenschutz- und DSGVO-Grundlagen

Was personenbezogene Daten sind, warum der Export einer Kundenliste ins private Postfach meldepflichtig sein kann und wie man eine Betroffenenanfrage ohne Panik bearbeitet.

Sicherheit im Homeoffice und unterwegs

Öffentliches WLAN, neugierige Blicke, private Geräte mit Firmenmail und der Heimrouter, den seit 2019 niemand aktualisiert hat.

Sicherer Umgang mit KI-Tools

Was in einen öffentlichen Chatbot darf und was nicht – und warum KI-geschriebenes Phishing das Erkennungsmerkmal „schlechte Grammatik“ abgeschafft hat.

Vorfälle melden

Das wertvollste Verhalten überhaupt: schnell und angstfrei Bescheid geben, wenn man geklickt haben könnte. Schnelles Melden macht aus einem Vorfall einen Nicht-Vorfall.

Ihr erstes Jahr

So sieht ein 12-Monats-Awareness-Programm im KMU aus

Awareness ist kein Event, sondern eine Gewohnheit. So rollen es die meisten unserer KMU-Kunden aus – und alles davon passiert im von Ihnen gesetzten Takt, ohne Projektplan.

Woche 1
Ausgangswert
Mitarbeitende importieren, Domains verifizieren und eine erste Simulation ohne Ankündigung starten. Die Klickrate daraus ist Ihr ehrlicher Startpunkt – die meisten KMU liegen zwischen 15 % und 35 %, und genau diese Zahl bringt üblicherweise das Budget.
Monat 1–3
Gewohnheit etablieren
Monatliche Simulationen über alle Abteilungen, jeweils mit automatischer Nachschulung für alle, die hereinfallen. Kommunizieren Sie das Programm intern als Teamübung, nicht als Falle – Ziel ist eine Belegschaft, die verdächtige Mails meldet, statt Fehler zu verstecken.
Monat 4–8
Schwierigkeit erhöhen
Weg von generischen Ködern hin zu gezielten Vorwänden: geänderte Lieferantenbankdaten für die Buchhaltung, gefälschte Bewerbungen für HR, MFA-Zurücksetzungen für alle mit Adminrechten. Smishing dazunehmen. Wiederholungstäter bekommen häufigere, kürzere Interventionen statt eines großen Kurses.
Monat 9–12
Wirkung belegen
Klick- und Melderate gegen den Ausgangswert vergleichen, Schulungsnachweise pro Person für Ihr ISO-27001- oder NIS2-Nachweispaket exportieren und der Geschäftsführung einen einseitigen Trend statt einer Anekdote geben. Danach beginnt der Zyklus von vorn – denn Personal wechselt und Angriffe ändern sich.

Vergleich

Drei Wege, wie KMU Awareness-Schulung machen

Die meisten Unternehmen landen bei einem davon. Nur einer verändert Verhalten und übersteht ein Audit zu einem Preis, den ein KMU rechtfertigen kann.

Kriterium	AutoPhish	Jährliches E-Learning-Video	Enterprise-Awareness-Suite
Zeit bis zur ersten Kampagne	Rund 10 Minuten, im Self-Service	Ein Nachmittag, einmal im Jahr	Onboarding-Call, dann tagelanges Einrichten
Wie oft getestet wird	Monatlich oder durchgehend, automatisch	Nie – es gibt keinen Test	Wenn jemand Zeit findet, eine Kampagne zu starten
Schulungsinhalt	Kurzmodul zu der Masche, die gerade bei dieser Person funktioniert hat	Dieselben 40 Minuten für alle 200 Mitarbeitenden	Große Bibliothek, die jemand kuratieren muss
Realismus der Simulation	KI-geschrieben je Branche, Sprache und Saison	Nicht vorhanden	Geteilte Vorlagen, die Mitarbeitende wiedererkennen
Administrationsaufwand pro Monat	Keiner, sobald konfiguriert	Keiner – aber auch kein Ergebnis	Eine benannte verantwortliche Person
Audit-Nachweise	Nachweise pro Person und Trendberichte, exportierbar	Eine Abschlussliste ohne Verhaltensdaten	Gut – sofern das Programm tatsächlich lief
Datenstandort	Nur EU – Server in Deutschland	Wo auch immer das LMS steht	Oft US-Hosting mit Transferklauseln
Einstiegshürde	Kostenloses Konto ohne Kreditkarte; 7 Tage Pro-Test, jederzeit kündbar	Platzlizenz für das ganze Jahr	Jahresvertrag mit Mindestabnahme

Zeit bis zur ersten Kampagne

AutoPhish: Rund 10 Minuten, im Self-Service

Jährliches E-Learning-Video: Ein Nachmittag, einmal im Jahr

Enterprise-Awareness-Suite: Onboarding-Call, dann tagelanges Einrichten

Wie oft getestet wird

AutoPhish: Monatlich oder durchgehend, automatisch

Jährliches E-Learning-Video: Nie – es gibt keinen Test

Enterprise-Awareness-Suite: Wenn jemand Zeit findet, eine Kampagne zu starten

Schulungsinhalt

AutoPhish: Kurzmodul zu der Masche, die gerade bei dieser Person funktioniert hat

Jährliches E-Learning-Video: Dieselben 40 Minuten für alle 200 Mitarbeitenden

Enterprise-Awareness-Suite: Große Bibliothek, die jemand kuratieren muss

Realismus der Simulation

AutoPhish: KI-geschrieben je Branche, Sprache und Saison

Jährliches E-Learning-Video: Nicht vorhanden

Enterprise-Awareness-Suite: Geteilte Vorlagen, die Mitarbeitende wiedererkennen

Administrationsaufwand pro Monat

AutoPhish: Keiner, sobald konfiguriert

Jährliches E-Learning-Video: Keiner – aber auch kein Ergebnis

Enterprise-Awareness-Suite: Eine benannte verantwortliche Person

Audit-Nachweise

AutoPhish: Nachweise pro Person und Trendberichte, exportierbar

Jährliches E-Learning-Video: Eine Abschlussliste ohne Verhaltensdaten

Enterprise-Awareness-Suite: Gut – sofern das Programm tatsächlich lief

Datenstandort

AutoPhish: Nur EU – Server in Deutschland

Jährliches E-Learning-Video: Wo auch immer das LMS steht

Enterprise-Awareness-Suite: Oft US-Hosting mit Transferklauseln

Einstiegshürde

AutoPhish: Kostenloses Konto ohne Kreditkarte; 7 Tage Pro-Test, jederzeit kündbar

Jährliches E-Learning-Video: Platzlizenz für das ganze Jahr

Enterprise-Awareness-Suite: Jahresvertrag mit Mindestabnahme

Kaufberatung

Was Cyber-Awareness-Schulung für KMU ist – und wie Sie sie auswählen

Cyber-Awareness-Schulung ist die laufende Praxis, Mitarbeitende im Erkennen und sicheren Umgang mit Cyberangriffen – allen voran Phishing – zu trainieren und zu messen, ob sich ihr Verhalten dadurch tatsächlich geändert hat. Für ein KMU zählt vor allem der Unterschied zwischen Awareness als Inhalt und Awareness als Programm. Inhalt ist eine Modulbibliothek, die jemand zuweisen, nachverfolgen und aktualisieren muss. Ein Programm testet Menschen laufend, schult im Moment des Fehlers und liefert einen Trend. Inhalte erzeugen Teilnahmebestätigungen, ein Programm erzeugt eine sinkende Klickrate – und nur eines davon ist ein Sicherheitsergebnis.

Wenn Sie Plattformen vergleichen, entscheiden sechs Dinge darüber, ob das Programm nächstes Jahr noch lebt. Sie verdienen mehr Aufmerksamkeit als die Anzahl der Module auf der Preisseite.

Läuft es ohne Sie?

Der stärkste Indikator dafür, ob ein KMU-Awareness-Programm zwölf Monate übersteht, ist die Frage, ob jede Runde von Hand gestartet werden muss. Achten Sie auf geplante, wiederkehrende Kampagnen mit automatischer Zielgruppenpflege und automatischer Schulungszuweisung – alles, was monatliches Klicken verlangt, endet im ersten stressigen Quartal.

Wie glaubwürdig sind die Simulationen?

Eine statische Vorlagenbibliothek altert schlecht. Wer dieselbe gefälschte Paketbenachrichtigung schon bei zwei früheren Arbeitgebern gesehen hat, besteht Ihren Test und fällt trotzdem auf einen echten, gut geschriebenen Angriff herein. Generierte, lokalisierte und an Branche und Kalender gebundene Vorwände halten die Messung ehrlich – und KI-geschriebene Angriffe sind das, womit Ihre Leute es heute zu tun haben.

Was passiert in den zehn Sekunden nach dem Klick?

Dieser Moment ist der gesamte Wert einer Simulation. Eine Lernmoment-Seite, die die konkret übersehenen Warnsignale benennt, gefolgt von einem kurzen Modul zu dieser Masche, verändert Verhalten so, wie es ein Quartalskurs nicht kann. Wenn die Plattform den Klick nur protokolliert, haben Sie Messung gekauft, keine Schulung.

Entstehen Nachweise, die Sie weitergeben können?

Prüfer und Großkunden fragen, wer wann worauf geschult wurde und mit welchem Ergebnis. Sauber exportierbare Nachweise pro Person und Kampagne machen aus einer Behauptung einen Beleg – und beantworten den Sicherheitsfragebogen, der Ihren nächsten großen Auftrag blockiert.

Wo liegen die Mitarbeiterdaten?

Simulationsergebnisse sind Leistungsdaten von Beschäftigten und damit DSGVO-sensibel und oft ein Thema für den Betriebsrat. EU-Hosting, ein unterzeichneter AVV und die Möglichkeit, Einzelergebnisse zu anonymisieren, bringen ein KMU-Programm meist ohne dreimonatige Debatte an Recht, HR und Arbeitnehmervertretung vorbei.

Was kostet es wirklich pro Mitarbeiter?

Vergleichen Sie die Gesamtkosten pro Jahr und Person, nicht den Monatspreis auf der Startseite – und rechnen Sie die Stunden dazu, die jemand für den Betrieb aufwendet. Eine günstigere Plattform, die pro Quartal zwei Tage Ihrer IT-Leitung frisst, ist nicht günstiger. Achten Sie auf Mindestabnahmen, Pflicht-Onboarding-Gebühren und separat lizenzierte Inhaltspakete.

Budget

Was sollte ein KMU für Security-Awareness-Schulung zahlen?

Platzpreise für Security-Awareness-Schulung liegen branchenüblich im niedrigen zweistelligen Euro-Bereich pro Mitarbeiter und Jahr, und Anbieter für größere Organisationen legen häufig Onboarding-Gebühren, Mindestabnahmen und separat lizenzierte Inhaltspakete obendrauf. Für ein 50-Personen-Unternehmen ist der Unterschied zwischen einer für KMU und einer für Konzerne kalkulierten Plattform oft größer als das gesamte übrige IT-Sicherheitsbudget.

Vergleichenswert sind die jährlichen Gesamtkosten pro Person inklusive Einrichtung – plus die internen Stunden, die das Programm verschlingt. Eine Plattform, bei der jemand jeden Monat Kampagnen starten muss, kostet weit mehr, als ihre Rechnung vermuten lässt. Genau diese Kosten lassen KMU-Awareness-Programme im vierten Monat still sterben.

AutoPhish ist für kleine und mittlere Unternehmen kalkuliert: keine Mindestabnahme, keine Onboarding-Gebühr, kein Pflicht-Jahresvertrag – und Phishing-Simulation, Schulung, Smishing sowie Domain-Überwachung im selben Abo statt als vier Positionen. Ein Konto anzulegen ist kostenlos und braucht keine Kreditkarte, und im 7-tägigen Pro-Test fahren Sie eine echte Ausgangssimulation in Ihrem Unternehmen, bevor Sie sich festlegen – kündigen Sie vor Ablauf, wird nichts verrechnet.

Preise ansehen

Compliance

Die Nachweise, nach denen Prüfer und Kunden fragen

Awareness-Schulung ist für europäische KMU still und leise von der Kür zur rechtlichen und vertraglichen Pflicht geworden. AutoPhish ist ein in Österreich gegründetes Unternehmen mit Servern in Deutschland, alle Daten werden innerhalb der EU verarbeitet, und AVV werden auf Anfrage unterzeichnet – das Programm, das die Anforderung erfüllt, schafft also kein neues Datentransferproblem.

NIS2

Artikel 20 verlangt Cybersicherheitsschulungen für Leitungsorgane und regelmäßig vergleichbare Schulungen für Beschäftigte. Wiederkehrende Simulationen plus Nachweise pro Person belegen „regelmäßig“ als Tatsache statt als Behauptung.

ISO 27001

Abschnitt 7.3 und Annex-A-Maßnahme 6.3 verlangen ein laufendes Awareness-Programm, keine einmalige Sitzung. Exportierbare Abschluss- und Klickratenhistorie ist genau das, was Prüfer stichprobenartig sehen wollen.

DSGVO

Artikel 32 erwartet angemessene organisatorische Maßnahmen. Geschulte Mitarbeitende sind eine der günstigsten, und Ergebnisse lassen sich anonymisieren, damit das Programm selbst verhältnismäßig bleibt.

Kundenfragebögen

Großkunden und Versicherer fragen zunehmend, ob Sie Phishing-Simulationen durchführen und wie oft. Ein einseitiger Export beantwortet das und macht den Abschluss frei.

Betriebsratsfreundlich

Einzelergebnisse lassen sich anonymisieren und nur auf Gruppenebene berichten – meist genau das, was aus einem Einwand des Betriebsrats eine Zustimmung macht.

EU-Hosting von Haus aus

Server in Deutschland, kein Transfer über den Atlantik, verständlich formulierte Datenschutzerklärung und AVV auf Anfrage.

Cyber-Awareness-Schulung für KMU: häufige Fragen

Was kleine und mittlere Unternehmen uns fragen, bevor sie starten.

Starten Sie Ihr Awareness-Programm noch diese Woche

30 Minuten Rundgang: Wir richten eine echte Ausgangssimulation für eine Testgruppe in Ihrem Unternehmen ein und zeigen Ihnen das Reporting, das ein Prüfer akzeptiert.

Demo buchen Oder ohne Gespräch 7 Tage Pro testen