Gefälschte Login-Seiten
Eine täuschend echte Anmeldeseite für E-Mail oder Cloud-Dienste genügt, um Passwort und Sitzung abzugreifen – mit Adversary-in-the-Middle-Techniken inzwischen auch trotz klassischer MFA.
Security Services
Security Awareness Training & Phishing-Simulation
Aus dem Risikofaktor Mensch wird ein Erfolgsfaktor
Keine Firewall stoppt den Anruf eines falschen IT-Supports. Mit Security-Awareness-Trainings und realistischen Phishing-Simulationen machen wir Ihre Mitarbeitenden zur aufmerksamen Verteidigungslinie – praxisnah, messbar und ohne Schuldzuweisungen.
- Festpreis nach Scoping
- Angebot in 24 h
- Anonymisierte Auswertung
Definition
Was ist Security Awareness?
Security Awareness bedeutet, dass Beschäftigte Angriffe erkennen, richtig reagieren und Verdachtsfälle schnell melden. Ein wirksames Awareness-Programm verbindet drei Elemente: Wissen aus Schulungen, Übung in realistischen Phishing-Simulationen und eine Kultur, in der Fehler offen angesprochen statt versteckt werden.
Social-Engineering-Angriffe zielen nicht auf technische Lücken, sondern auf menschliche Verhaltensmuster: Respekt vor Autorität, Hilfsbereitschaft, Neugier oder die Neigung, unter Zeitdruck vorschnell zu handeln. Gegen diese Hebel hilft kein Update – wohl aber ein Team, das die typischen Maschen kennt, im Zweifel nachfragt und lieber einmal zu viel meldet als einmal zu wenig. So wird der vermeintliche Risikofaktor Mensch zum Erfolgsfaktor Ihrer Informationssicherheit.
Warum Simulationen? Wissen allein ändert kein Verhalten. Erst die Übung unter realistischen Bedingungen macht die richtige Reaktion zur Routine – vergleichbar mit einer Brandschutzübung. Phishing-Simulationen zeigen, wo Ihr Team heute steht, und machen Fortschritte über die Zeit messbar.
Für viele Unternehmen sind Schulungen zudem Pflicht: NIS2 nennt sie ausdrücklich als Maßnahme des Risikomanagements und verpflichtet die Leitungsorgane, selbst daran teilzunehmen. ISO/IEC 27001:2022 fordert in Abschnitt 7.3 Bewusstsein für Informationssicherheit und sieht mit der Maßnahme A.6.3 Sensibilisierung, Ausbildung und Schulung vor. Die DSGVO zählt die Sensibilisierung der Beschäftigten zu den Aufgaben der Datenschutzbeauftragten (Art. 39), und DORA verlangt von Finanzunternehmen Programme zur Sensibilisierung für IKT-Sicherheit, die für alle Beschäftigten gelten.
Unser Vorgehen
So bauen wir Ihr Awareness-Programm auf
Am Anfang steht eine ehrliche Standortbestimmung: Eine erste Phishing-Simulation und ein Blick auf bisherige Vorfälle zeigen, welche Maschen bei Ihnen verfangen und wie zuverlässig Verdachtsfälle gemeldet werden. Darauf aufbauend stellen wir ein Programm aus Kampagnen, Schulungen und Kommunikationsmaßnahmen zusammen, das zu Ihren Risiken, Ihrer Branche und Ihrer Unternehmenskultur passt.
Unsere Inhalte stammen aus der Praxis: In Social-Engineering-Pentests erleben wir, welche Tricks tatsächlich funktionieren – genau diese zeigen wir in Schulungen und Simulationen. Statt Folienschlachten setzen wir auf Live-Demos, echte Beispiele aus dem Arbeitsalltag und kurze, wiederkehrende Lerneinheiten, die im Gedächtnis bleiben.
Typische Risiken
Wo fehlende Security Awareness teuer wird
Rechnungs- und CEO-Betrug
Gefälschte Zahlungsanweisungen der Geschäftsführung oder „geänderte Bankverbindungen“ von Lieferanten führen zu Überweisungen auf fremde Konten.
MFA-Fatigue
Push-Anfragen im Minutentakt, bis jemand genervt auf „Bestätigen“ tippt – oder ein Anrufer, der freundlich um den gerade angezeigten Code bittet.
Schadsoftware per Anhang
Vermeintliche Rechnungen, Bewerbungen oder Lieferscheine als Office-Dokument oder ZIP-Archiv bringen Ransomware ins Netz.
Schwache und wiederverwendete Passwörter
Wer ein privates Passwort auch beruflich nutzt, öffnet nach einem Datenleck bei einem Onlinedienst schnell auch das Firmenkonto.
Unsicheres mobiles Arbeiten
Öffentliche WLANs, mitgehörte Telefonate im Zug, entsperrte Laptops im Homeoffice oder private Geräte ohne Schutz.
Fehlende Meldekultur
Wer Konsequenzen fürchtet, verschweigt einen Fehlklick – und verschenkt die Minuten, in denen die IT einen Angriff noch stoppen könnte.
Datenschutzpannen im Alltag
Personenbezogene Daten im falschen Verteiler oder offen am Drucker können Meldepflichten gegenüber der Aufsichtsbehörde nach Art. 33 DSGVO auslösen.
Unsere Schulungsthemen
- Phishing, Spear-Phishing und CEO-Fraud erkennen
- Starke Passwörter, Passwortmanager und Multi-Faktor-Authentifizierung
- Social Engineering am Telefon, per SMS und vor Ort
- Sicheres Arbeiten im Homeoffice und unterwegs
- Datenschutz im Arbeitsalltag nach DSGVO
- Umgang mit USB-Sticks, QR-Codes und unbekannten Anhängen
- Ransomware und richtiges Verhalten im Ernstfall
- Clean Desk und physische Sicherheit im Büro
- KI-gestützte Betrugsmaschen wie Deepfakes und Stimmklone
- Meldewege: Was tun nach einem Fehlklick?
Varianten nach Bedarf
Der passende Einstieg für Ihr Unternehmen
Keine starren Pakete: Die folgenden Varianten zeigen typische Einstiege. Den Umfang stellen wir im Scoping passend zu Ihrer Organisation zusammen.
Einstieg
Standortbestimmung
Eine Phishing-Simulation mit Auswertung und Management-Briefing – ideal, um den Status quo zu kennen und Prioritäten zu setzen.
- Ausgangsmessung mit realistischem Szenario
- Anonymisierte Auswertung nach Bereichen
- Empfehlungen für die nächsten Schritte
Kontinuierlich
Awareness-Programm
Ein Jahresprogramm aus wiederkehrenden Simulationen, Schulungen und Kampagnen, das Fortschritt messbar macht.
- Mehrere Kampagnen mit steigendem Schwierigkeitsgrad
- Präsenz-, Online- und E-Learning-Formate
- Regelmäßiges Reporting an das Management
Vertiefung
Zielgruppen-Training
Spezialschulungen für Führungskräfte und besonders exponierte Rollen mit realen Angriffsmustern aus Ihrer Branche.
- Management-Briefing zu Verantwortung und NIS2
- Workshops für Buchhaltung, Personalabteilung und Service-Desk
- Optional mit gezielten Vishing-Übungen
Ablauf
So läuft Ihr Awareness-Programm ab
Nachhaltige Sensibilisierung braucht Planung, Wiederholung und eine Kultur, in der Fehler gemeldet statt versteckt werden – deshalb planen wir sie so strukturiert wie alle unsere Security Services.
-
01
Erstgespräch & Scoping
Wir klären Ziele, Zielgruppen, Standorte, Sprachen und bisherige Maßnahmen. Nach dem Scoping erhalten Sie innerhalb von 24 Stunden (werktags) ein Festpreisangebot.
-
02
Abstimmung & Freigabe
Szenarien, Zeitplan und Kommunikation legen wir gemeinsam fest. In Abstimmung mit Ihnen binden wir Betriebs- oder Personalrat und Datenschutzbeauftragte früh ein und liefern die nötigen Informationen. Für die Datenverarbeitung schließen wir standardmäßig einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Ihnen ab.
-
03
Ausgangsmessung
Eine erste Phishing-Kampagne zeigt den Ausgangspunkt – ohne konkrete Vorankündigung, aber mit transparenter Kommunikation im Anschluss.
-
04
Schulungen & Kampagnen
Präsenz-, Online- und E-Learning-Formate zu den Themen, die sich in der Simulation als dringlich gezeigt haben.
-
05
Folgekampagnen
Wiederkehrende Simulationen mit wechselnden Szenarien machen Fortschritte sichtbar – vor allem bei der Melderate.
-
06
Reporting & Nachsteuerung
Anonymisierte Auswertung, Management-Report und Anpassung des Programms an neue Betrugsmaschen.
Auswertung
Kennzahlen, die Fortschritt zeigen – nicht Schuldige
Nach jeder Kampagne erhalten Sie eine Auswertung, die Management, IT und Datenschutz gleichermaßen verstehen. Sie zeigt, welche Szenarien funktioniert haben, wie schnell Verdachtsfälle gemeldet wurden und welche Schulungsinhalte den größten Effekt versprechen. Ergebnisse fassen wir auf Ebene von Abteilungen oder Standorten zusammen; bei kleinen Gruppen aggregieren wir weiter, damit keine Rückschlüsse auf Einzelne möglich sind.
- Management Summary mit der Entwicklung über alle Kampagnen
- Klick-, Eingabe- und Melderaten je Szenario und Bereich
- Zeit bis zur ersten Meldung an IT oder Sicherheitsteam
- Analyse, welche Warnsignale übersehen wurden
- Konkrete Empfehlungen für Schulungen, Prozesse und Technik
- Dokumentation der Maßnahmen als Nachweis gegenüber Auditoren und Aufsicht, etwa für ISO/IEC 27001 oder NIS2
Stärken Sie den Faktor Mensch in Ihrem Unternehmen
Ob erste Phishing-Simulation oder kontinuierliches Awareness-Programm – wir beraten Sie unverbindlich und erstellen nach dem Scoping werktags innerhalb von 24 Stunden ein Festpreisangebot.
FAQ
Häufige Fragen zu Security Awareness und Phishing-Simulation
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Was unterscheidet eine Phishing-Simulation von einem Social-Engineering-Pentest?
Die Phishing-Simulation ist eine Trainingsmaßnahme: Sie misst und verbessert über wiederkehrende Kampagnen das Verhalten Ihrer Belegschaft. Der Social-Engineering-Pentest ist eine Sicherheitsprüfung, die zeigt, ob ein entschlossener Angreifer über Menschen, Prozesse und Zutritte tatsächlich ans Ziel käme – inklusive Telefon- und Vor-Ort-Szenarien. Beides ergänzt sich ideal.
Sind Phishing-Simulationen mit DSGVO und Betriebsrat vereinbar?
Ja, wenn sie richtig aufgesetzt sind. Standardmäßig verarbeiten wir nur die nötigen Daten, speichern keine eingegebenen Passwörter und werten anonymisiert oder aggregiert aus. Weil das Verhalten von Beschäftigten erfasst wird, kommen Mitbestimmungsrechte des Betriebsrats in Betracht; Betriebs- oder Personalrat und Datenschutzbeauftragte sollten daher von Anfang an eingebunden werden. Wir unterstützen Sie dabei mit allen nötigen Informationen – in der Praxis mündet das oft in eine Betriebs- oder Dienstvereinbarung.
Werden Mitarbeitende bloßgestellt, die auf eine Simulation hereinfallen?
Nein. Wer klickt, sieht direkt eine kurze Lernseite mit den Warnsignalen, die übersehen wurden. Individuelle Ergebnisse geben wir standardmäßig nicht an Vorgesetzte weiter. So bleibt die Simulation ein Lernangebot und wird nicht zum Kontrollinstrument.
Welche Kennzahl ist wichtiger: Klickrate oder Melderate?
Die Melderate. Eine Klickrate von null ist unrealistisch – irgendwann klickt jemand. Entscheidend ist, wie schnell Ihr Team einen Angriff erkennt und meldet, damit die IT reagieren kann. Wir messen deshalb beides und zeigen die Entwicklung über die Zeit.
Wie oft sollten Phishing-Simulationen stattfinden?
Bewährt haben sich mehrere Kampagnen pro Jahr, etwa quartalsweise, mit wechselnden Szenarien und Schwierigkeitsgraden. Einmalige Aktionen verpuffen schnell; Wiederholung macht die richtige Reaktion zur Gewohnheit. Neue Beschäftigte sollten zusätzlich schon im Onboarding geschult werden.
Bieten Sie Schulungen vor Ort oder online an?
Beides. Präsenzschulungen mit Live-Demos führen wir bei Ihnen vor Ort durch – in Deutschland und international. Online-Schulungen eignen sich für verteilte Teams und mehrere Standorte, kurze E-Learning-Einheiten halten das Wissen zwischen den Terminen frisch.
Müssen auch Geschäftsführung und Führungskräfte teilnehmen?
Unbedingt. Führungskräfte stehen im Fokus vieler Angriffe, beim CEO-Fraud wird ihre Identität missbraucht – und sie prägen die Sicherheitskultur maßgeblich. Die NIS2-Richtlinie verpflichtet die Leitungsorgane betroffener Einrichtungen zudem ausdrücklich zur Teilnahme an Schulungen. Dafür bieten wir kompakte Management-Briefings an.
Wovon hängt der Aufwand ab?
Vor allem von der Zahl der Beschäftigten und Standorte, der Anzahl der Kampagnen, den gewünschten Schulungsformaten und Sprachen sowie dem Grad der Individualisierung. Nach dem Scoping erhalten Sie ein Festpreisangebot – ohne versteckte Kosten für den vereinbarten Umfang.
Weiterführende Seiten
Sprechen Sie mit uns über Ihr Awareness-Programm
Schildern Sie uns kurz Ihre Ausgangslage – Zahl der Beschäftigten, Standorte und bisherige Maßnahmen. Wir melden uns mit einem Vorschlag für den passenden Einstieg.