Laut dem IBM-Bericht „Cost of a Data Breach Report 2025“ belaufen sich die durchschnittlichen Kosten eines Datenlecks weltweit mittlerweile auf 4.44 Millionen US-Dollar. Und in den meisten Fällen ist nicht die Firewall das schwächste Glied – sondern der Mensch. Der Verizon-Bericht „Data Breach Investigations Report 2024“ ergab, dass bei 68 % der Datenlecks menschliches Versagen eine Rolle spielt: ein Klick auf eine Phishing-Seite, ein weitergegebenes Passwort oder eine falsch konfigurierte Zugriffskontrolle.
Schulungen können hier Abhilfe schaffen. Doch die meisten Organisationen führen sie auf eine Weise durch, die nicht funktioniert.
Dieser Leitfaden behandelt die Gründe für das Scheitern traditioneller Cybersicherheitsschulungen, zeigt auf, was laut Forschungsergebnissen tatsächlich zu einer Verhaltensänderung führt und welche Tools dies ermöglichen – für Live-, Hybrid- und asynchrone Teams.
Warum die meisten Cybersicherheitstrainings scheitern
Fragen Sie sich ehrlich: Kann sich Ihr Team noch an die jährliche Sicherheitsschulung vom letzten Jahr erinnern?
Lautet die Antwort „wahrscheinlich nicht“, erklärt die Ebbinghaus-Vergessenskurve den Grund dafür. Studien zeigen, dass Menschen ohne Wiederholung etwa 70 % neuer Informationen innerhalb von 24 Stunden vergessen. Eine einstündige jährliche Schulung – egal wie gut sie konzipiert ist – kann die Funktionsweise des menschlichen Gedächtnisses nicht ersetzen.
Drei sich gegenseitig verstärkende Probleme verschlimmern die Situation:
- Kurze Aufmerksamkeitsspanne. Passive, inhaltsreiche Sitzungen verlieren innerhalb von Minuten die Aufmerksamkeit der Mitarbeiter. Sobald die Aufmerksamkeit nachlässt, werden wichtige Details – genau die Warnsignale, die eine Phishing-E-Mail von einer legitimen unterscheiden – herausgefiltert.
- Keine aktive Verarbeitung. Sich eine Präsentation anzusehen, ist nicht dasselbe wie Lernen. Wissen, das nach der Präsentation nicht angewendet, überprüft oder abgerufen wird, verblasst schnell.
- Keine Verstärkungsschleife. Die meisten Unternehmen führen einmal jährlich Cybersicherheitsschulungen durch, ohne anschließende Maßnahmen. Zwischen den Schulungen verfallen die Mitarbeiter wieder in unsichere Gewohnheiten – nicht etwa aus Gleichgültigkeit, sondern weil das Wissen nicht aktiv gehalten wird.
Das Ergebnis: Mitarbeiter, die zwar formal die Sicherheitsschulung „abgeschlossen“ haben, aber nach wie vor genauso angreifbar sind wie zuvor.
Was ändert tatsächlich das Sicherheitsverhalten?
Gestalten Sie Live-Sessions interaktiv
Die effektivste Veränderung im Live-Training besteht darin, von passiver Wissensvermittlung zu aktiver Teilnahme überzugehen. Anstatt zu erklären, wie Phishing aussieht, versetzen Sie die Mitarbeitenden in ein Szenario: „Sie haben gerade diese E-Mail erhalten. Was tun Sie?“ Lassen Sie sie abstimmen. Zeigen Sie die Ergebnisse in Echtzeit. Besprechen Sie, warum die falschen Antworten so verlockend sind.
Hierbei handelt es sich um aktives Abrufen von Wissen – also um das Abrufen von Wissen anstatt um das bloße Aufnehmen von Informationen – und dies verbessert die Merkfähigkeit im Vergleich zum bloßen Zuhören oder Wiederlesen erheblich.
Szenariobasierte Umfragen decken Wissenslücken auf, die in Selbsteinschätzungsbefragungen verborgen bleiben. Wenn die Hälfte Ihres Teams in Echtzeit die falsche Antwort wählt, wissen Sie genau, wo Ihr größtes Risiko liegt. Das ist weitaus aussagekräftiger als eine Zufriedenheitsbewertung nach einer Schulung.
Nutzen Sie die anonyme Frage- und Antwortfunktion.
Mitarbeiter wissen oft, wo sie Abstriche gemacht haben – geteilte Zugangsdaten, ungepatchte Geräte, schwache Passwörter. Sie geben dies jedoch selten öffentlich zu. Anonyme Fragen und Antworten bieten einen sicheren Kanal, um die tatsächlichen Gegebenheiten im Unternehmen offenzulegen und Schulungsleitern ein deutlich genaueres Bild der realen Risiken zu vermitteln.
Halten Sie Compliance-Checklisten dynamisch, nicht statisch.
Sicherheitschecklisten im PDF-Format werden oft abgelegt und geraten in Vergessenheit. Lässt man sie hingegen als Live-Umfrage durchführen – bei der Mitarbeitende zu jedem Punkt mit Ja, Nein oder Nicht zutreffend abstimmen –, wird aus einer Compliance-Übung ein echter Team-Diskussionsaustausch. Diese kostenlose Vorlage für eine Cybersicherheitscheckliste deckt die Bereiche physischer Zugang, Datenverarbeitung und Datenentsorgung ab und ist sofort einsatzbereit.
👉 Kostenlose Vorlage für eine Checkliste zur Cybersicherheit
Hybrides und asynchrones Training: Das Modell der verteilten Wiederholung
Live-Schulungen sind wirkungsvoll, können aber allein nicht den gesamten Verhaltensänderungsprozess bewirken. Das Vergessen setzt auch zwischen den Schulungstagen nicht aus.
Die verteilte Wiederholung – das Wiederholen von Lerninhalten in zunehmenden Abständen über einen längeren Zeitraum – ist eines der am besten belegten Prinzipien der Lernforschung. Eine groß angelegte Studie mit über 26,000 Fachkräften, die im „Journal of the American Board of Family Medicine“ veröffentlicht wurde, ergab, dass die verteilte Wiederholung zu deutlich höheren Behaltensleistungen führte als gar keine Wiederholung (58 % gegenüber 43 %).
Angewendet auf die Cybersicherheitsausbildung bedeutet dies, die jährliche Schulung durch kürzere, häufigere Schulungseinheiten zu ersetzen oder zu ergänzen:
- Woche 1: Live- oder Hybrid-Schulung, durchgeführt als interaktive Szenarien
- Woche 2: Ein asynchrones Quiz mit 5 Fragen zum gleichen Thema, zugänglich über einen Link oder QR-Code.
- Monat 2: Ein kurzes Modul zu einem neuen Thema – Passworthygiene, physische Sicherheit oder Reaktion auf Sicherheitsvorfälle
- Viertel 2: Eine Auffrischungsumfrage, die in ein Teammeeting integriert ist.
Für Remote- und Hybrid-Teams ist der zeitunabhängige Zugriff unerlässlich. Mitarbeiter können ein 5-minütiges Quiz flexibel nach ihrem Zeitplan absolvieren, anstatt einen ganzen Nachmittag dafür zu opfern. Der Clou: Jedes Modul endet mit einer Frage – nicht mit einer Zusammenfassungsfolie –, sodass das Wissen kontinuierlich geprüft und nicht nur wiederholt wird.
Die besten Tools für Cybersicherheitsschulungen
Kein einzelnes Werkzeug kann alles. Hier ein ehrlicher Blick darauf, wofür jedes einzelne Werkzeug tatsächlich gut ist – und wo seine Grenzen liegen.
Kahoot
Ideal für spielerische Quizze. Eignet sich gut als eigenständige Wissensabfrage oder Abschlussaktivität einer Schulung, ist aber nicht für eine vollständige Präsentation und Inhaltsvermittlung ausgelegt – Sie benötigen weiterhin eine separate Präsentation, um das eigentliche Training durchzuführen.
Vorteile: Ein unterhaltsames, wettbewerbsorientiertes Format, das zur Teilnahme anregt. Niedrige Einstiegshürde – die meisten Mitarbeiter kennen es bereits.
Nachteile: Beschränkt auf Quizze und Gamification. Kein Präsentationstool. Muss mit anderer Software kombiniert werden, um eine vollständige Schulung durchzuführen.
Lügner
Ein solides Tool für Live-Umfragen und Präsentationen. Gut geeignet, um statische Präsentationen mit Umfragen und Wortwolken interaktiver zu gestalten, aber das ist auch schon alles – keine Gamifizierung, keine Wettbewerbselemente, keine Quizwertung.
Vorteile: Übersichtliche Benutzeroberfläche, einfach für jede Zielgruppe. Gute Auswahl an Umfragetypen. Kein Teilnehmerkonto erforderlich.
Nachteile: Keine Gamifizierung oder Quizmechaniken. Asynchrone Funktionen und Tracking-Möglichkeiten sind eingeschränkt. Die Preise steigen stark mit der Teilnehmerzahl.
Quizlet
Der Fokus liegt ausschließlich auf selbstgesteuertem Lernen mithilfe von Karteikarten und Multiple-Choice-Tests. Nützlich zur individuellen Festigung des Gelernten zwischen den Lerneinheiten, aber in seinem Wirkungsbereich begrenzt.
Vorteile: Starke Mechanismen für verteiltes Lernen. Gut geeignet für asynchrones, individuelles Lernen. Umfangreiche Inhaltsbibliothek.
Nachteile: Ausschließlich Multiple-Choice-Tests – keine anderen Interaktionsformen. Nicht geeignet für Live-Team-Schulungen oder von Trainern geleitete Seminare.
Freundlich
Ein Tool zur Inhaltserstellung für interaktive Präsentationen und Microlearning-Module. Die Qualität hängt stark von der verwendeten Vorlage ab, und die Erstellung eines ansprechenden Inhalts von Grund auf erfordert Zeit und Mühe.
Vorteile: Visuell ansprechende Ausgabe. Gut geeignet für selbstgesteuerte, asynchrone Module, wenn sie gut eingerichtet sind.
Nachteile: Steile Lernkurve. Starke Abhängigkeit von Vorlagen für gute Ergebnisse. Keine Echtzeit-Publikumsbeteiligung.
AhaSlides
Während andere Lösungen jeweils nur einen Teil des Trainingsablaufs abdecken, deckt AhaSlides den gesamten Prozess ab – Live-Sitzungen, hybride Formate und asynchrone Nachbereitung – ohne dass ein Toolwechsel erforderlich ist. Jeder Interaktionstyp hat sein eigenes Folienformat: Quiz, Umfrage, Wortwolke, Frage-Antwort-Runde, Glücksrad, Bewertung, offene Fragen – einfach zu erstellen, keine Einarbeitungszeit. Berichte nach der Sitzung zeigen individuelle Ergebnisse und Wissenslücken pro Frage, sodass die Nachbereitung gezielt und nicht auf Vermutungen basiert. Native Integration mit Zoom, Teams, PowerPoint und weiteren Plattformen. Google Slides.
Vorteile: Alle Interaktionsarten in einem Tool, jeweils als einfache Folie. Keine Einarbeitungszeit – Trainer können sofort ohne Handbuch loslegen. Geeignet für Live-, Hybrid- und asynchrone Schulungen. Ideal für Trainings, Meetings, Onboarding und Events. Transparente Preisgestaltung mit stabiler Skalierung.
Nachteile: Geringere Markenbekanntheit als bei Kahoot oder Mentimeter. Weniger wettbewerbsorientiertes Gamification-Erlebnis als bei Kahoot.
Kostenlose, sofort einsatzbereite Vorlagen für Cybersicherheitsschulungen:
- Checkliste Cybersicherheit Teil 1
- Checkliste Cybersicherheit Teil 2
- Cybersicherheitstraining 1
- Cybersicherheitstraining 2
- Cybersicherheitstraining 3
Ein einfaches Grundgerüst für den Einstieg
Sie müssen nicht Ihr gesamtes Trainingsprogramm umstellen. Fangen Sie hier an:
- Ersetzen Sie einen Folienblock durch eine Live-Szenario-Umfrage. Wählen Sie ein echtes Phishing-Beispiel aus, das Ihr Team erhalten hat, und stellen Sie es als Multiple-Choice-Frage.
- Senden Sie innerhalb der Woche einen Folgefragebogen mit 5 Fragen. Warten Sie nicht einen Monat – die Vergessenskurve ist in den ersten 24 Stunden am steilsten.
- Die Themen sollten vierteljährlich gewechselt werden. Ein Quartal lang geht es um Phishing, im nächsten um physischen Zugriff, im übernächsten um Passworthygiene. Jede Sitzung frischt das Wissen der vorherigen auf und baut darauf auf.
- Verfolgen Sie, welche Fehler Ihr Team macht. Nutzen Sie diese Daten, um zu entscheiden, wo Sie mehr Zeit verbringen – nicht Ihre Intuition.
Die Phishing-Benchmarking-Studie von KnowBe4, die über 9.5 Millionen Nutzer in mehr als 30,000 Organisationen umfasste, ergab, dass ein konsequentes, strukturiertes Sicherheitsbewusstseinstraining die Anfälligkeit für Phishing um bis zu 75 % reduziert – wobei die größten Erfolge innerhalb der ersten 90 Tage eines neuen Programms erzielt werden.
Das ist keine geringfügige Verbesserung. Das ist eine strukturelle Veränderung des Risikoprofils Ihres Unternehmens.
Quellen
- IBM Kosten eines Datenschutzverletzungsberichts 2025
- Verizon 2024 Untersuchungsbericht zu Datenschutzverletzungen
- Ebbinghaus-Vergessenskurve — Hoxhunt
- KnowBe4 Phishing-Branchenvergleich — HIPAA Journal
- Keepnet Labs Sicherheitsbewusstseinsstatistik 2026
- Studie zur verteilten Wiederholung — Zeitschrift des amerikanischen Facharztgremiums für Allgemeinmedizin
