Letzte Überprüfung am 2. November 2026 anhand der in diesem Beitrag verlinkten Quellen.
Die vierteljährliche Risikoprüfung findet morgen statt, und im Register ist „Cyber“ immer noch als einzelner Eintrag mit der Bewertung „Gelb“ aufgeführt. Dann erwähnt ein Kollege aus der Finanzabteilung, dass ein Lieferant per E-Mail aufgefordert wurde, seine Bankverbindung zu ändern. Genau diese Lücke muss die Ausbildung von Risikomanagern schließen: Die relevanten Risiken sind in jedem Team vorhanden, und die Personen, die ihnen am nächsten stehen, sind keine Risikospezialisten. Der Global Risks Report 2026 des Weltwirtschaftsforums stuft die Risiken wie folgt ein: Fehlinformationen und Desinformationen Platz 2 und Cybersicherheit Platz 6 im Zweijahresausblick, laut einer Umfrage unter Risikoexperten.
Zertifizierungsprogramme vermitteln die Rahmenbedingungen. Diese Liste deckt die andere Hälfte ab: Was Ihre Risikomanager in jedem Team erkennen, eskalieren und verhindern müssen. Sie erhalten 12 fertige Kurse in 4 Gruppen, die jeweils die behandelten Probleme und deren Implementierung erläutern. Jede Gruppe schließt mit einer... Unsere WahlDie rechtlichen Ausführungen beschreiben US-amerikanische Bundes- und EU-Vorschriften; verwenden Sie dies daher als Leitfaden, nicht als Urteil.
Alle 12 Kurse im Überblick
| Kurse | Was es abdeckt | Länge | Das Gesetz dahinter? |
|---|---|---|---|
| Gefahrenidentifizierung und Risikobewertung für Teams | Gefahren erkennen, Risiken bewerten und Kontrollmaßnahmen auswählen | 40 Minuten | Nein |
| Sicherheitsrecht, Ausschüsse, Managementsysteme und Audits | Aufgaben, Sicherheitsausschüsse und interne Audits | 40 Minuten | Nein |
| Cyber-Risikomanagement für Manager und Vorstände | Die Fragen, die bei Cyberrisiken gestellt werden sollten und wie diese eskaliert werden können | 40 Minuten | Nein |
| Ransomware-Tischspiel für Manager | Einüben eines Ransomware-Entscheidungsprozesses | Noch nicht live | Nein |
| Wer trägt die Verantwortung? Rollen gemäß dem AI Act, Pflichten der Implementierer und die KI-Governance Ihrer Organisation. | KI-Rollen, Risikostufen und Aufnahme bis zur Genehmigung | 45 Minuten | Nein (Kontext des EU-KI-Gesetzes) |
| Phishing und Social Engineering | Warnsignale, Überprüfung und Meldung | 30 Minuten | Nein |
| Social Engineering, Betrug und Deepfakes | Zahlungs-, Telefon- und Identitätsdiebstahlbetrug | 35 Minuten | Nein |
| Grundlagen des Bankverhaltens, der Regulierung und des aufsichtsrechtlichen Risikos | Verhaltens-, operationelle, Markt- und Liquiditätsrisiken | 40 Minuten | Nein |
| Antikorruptionsgesetz (FCPA) | Geschenke, Zahlungen an Dritte und Vermittlungszahlungen | 40 Minuten | Ja (US-Bundesgesetz) |
| Code of Conduct | Ein Entscheidungstest, Grauzonen und die Notwendigkeit, sich zu äußern | 35 Minuten | Nein |
| Interessenkonflikte | Offenlegung und Beilegung von Interessenkonflikten | 25 Minuten | Nein |
| Datenklassifizierung und -verarbeitung | Klassifizierung und Umgang mit sensiblen Informationen | 25 Minuten | Nein |
Das Gesetz legt Regeln für das Verhalten von Organisationen fest. Nur der hier angebotene FCPA-Kurs basiert direkt auf einem US-Bundesgesetz und ist nicht verpflichtend.
Gefahren und Betriebsrisiko
Gefahrenidentifizierung und Risikobewertung für Teams
Dieser 40-minütige Kurs vermittelt Teams die Grundlagen jedes Risikomanagementprozesses: Gefahren von Risiken unterscheiden, einen Arbeitsgang Schritt für Schritt durchgehen, Risiken mithilfe einer Matrix bewerten und Kontrollmaßnahmen von der Beseitigung bis zur persönlichen Schutzausrüstung priorisieren. Verantwortliche benötigen diesen Kurs, da sie die erste Risikobewertung in ihrem Bereich durchführen. In der Bewertungsübung tragen die Teilnehmenden selbst eine Gefahr in die Matrix ein, was eine gute Grundlage für eine interaktive Runde bietet.
Sicherheitsrecht, Ausschüsse, Managementsysteme und Audits
Risikomanager überwachen häufig das Sicherheitssystem, ohne es selbst erstellt zu haben. Dieser 40-minütige Kurs behandelt die Pflichten von Arbeitgebern, Managern und Mitarbeitern, die Arbeitsweise eines gemeinsamen Sicherheitsausschusses, ein Managementsystem in fünf Schritten und interne Inspektionen. Abschließend wird die Zusammenarbeit mit der Aufsichtsbehörde thematisiert. In einem Ausschussszenario leiten die Teilnehmer eine Sitzung, identifizieren ein Problem und beheben es.
Unsere Empfehlung: Gefahrenidentifizierung und Risikobewertung für Teams. Jeder andere Risikobewertungsprozess beginnt damit, dass jemand eine Gefahr erkennt und bewertet. Daher ist dies die gemeinsame Sprache, die die Verantwortlichen als Erstes benötigen.
Cyber-, Betrugs- und KI-Risiken
Cyber-Risikomanagement für Manager und Vorstände
Dieser 40-minütige Kurs bietet Managern fünf Fragen zum Thema Cyberrisiken, inklusive hilfreicher Antworten, Risikobereitschaft und einem kurzen Dashboard. Er behandelt auch schwierige Entscheidungen wie Kostenübernahme, Meldung von Risiken und Abwägungen. Risikomanager nutzen ihn, um festzulegen, was wann eskaliert wird. Die Frage „Was würden Sie tun?“ in einer Krise ist der beste Zeitpunkt, um die Meinung aller Beteiligten einzuholen. Für die Perspektive des Vorstands empfehlen wir unseren Leitfaden. Schulung für Aufsichtsräte.
Ransomware-Tischspiel für Manager
Dieses Tabletop-Simulator für Führungskräfte simuliert einen Entscheidungsprozess im Zusammenhang mit Ransomware, damit Risikoverantwortliche ihre Rollen vor einem Vorfall kennen. Da es noch keine Live-Vorlage gibt, wird es hier ohne Link erwähnt. Bis dahin nutzen Sie bitte den oben genannten Kurs zur Cyber-Risikomanagement-Governance, der dieselben Entscheidungen bezüglich Zahlung, Meldung und Abwägung behandelt.
Wer trägt die Verantwortung? Rollen gemäß dem AI Act, Pflichten der Implementierer und die KI-Governance Ihrer Organisation.
KI speist nun das Risikoregister. Die Europäische Kommission beschreibt das KI-Gesetz als ein risikobasiertes Regelwerk für KI-Entwickler und -Anwender Dieser 45-minütige Kurs, der für die Europäische Union entwickelt wurde, behandelt spezifische Anwendungsfälle von KI. Er erläutert die verschiedenen Rollen (Anbieter, Implementierer, Sonstige), vier Risikostufen, die Pflichten des Implementierers sowie einen Governance-Prozess von der Aufnahme bis zur Genehmigung und Überwachung. In der anschließenden Übung ordnen die Teilnehmenden reale Anwendungsfälle der passenden Risikostufe zu.
Phishing und Social Engineering
Phishing ist ein bedeutendes operatives Risiko, dessen Reduzierung durch Experten unterstützt wird. Dieser 30-minütige Kurs analysiert einen Fall von E-Mail-Kompromittierung in einem Unternehmen, vermittelt Kenntnisse über Warnsignale in E-Mails, SMS, Sprachnachrichten, QR-Codes und KI-gestützten Deepfakes und schließt mit einem abschließenden Test mit 12 Fragen ab. Eine Runde zum Erkennen von Warnsignalen eignet sich hervorragend als Quiz mit Auswahlmöglichkeiten.
Social Engineering, Betrug und Deepfakes: Telefon-, Zahlungs- und Identitätsdiebstahlbetrug
Zahlungsbetrug und Identitätsdiebstahl durch Deepfakes gehören zu den häufigsten Risiken in der modernen Finanzwelt. Dieser 35-minütige Kurs behandelt die überzeugende Aufforderung zur Angabe neuer Bankdaten, die Überprüfung von Geldanforderungen anhand einer bekannten Telefonnummer sowie gefälschte Stimmen und Videos. Die Lektion zu Grauzonen geht der Frage nach, warum Menschen aufgrund von Dienstalter, Höflichkeit und Verschwiegenheit nachgeben – eine anschauliche Wortwolke veranschaulicht dies.
Unsere Empfehlung: Cyber-Risikomanagement für Manager und Vorstände. Es wandelt Cyberrisiken von einer technischen Unsicherheitszone in konkrete Entscheidungen um, die die Menschen benennen können – und genau das braucht eine Risikobewertung.
Finanzielle und regulatorische Risiken
Grundlagen des Bankverhaltens, der Regulierung und des aufsichtsrechtlichen Risikos
Dieser 40-minütige Kurs richtet sich an Compliance- und Risikomanagement-Beauftragte. Er behandelt die Zuständigkeiten, faire Behandlung anhand von fünf Verhaltensregeln, operationelle, Markt- und Liquiditätsrisiken in verständlicher Sprache sowie die Anwendung von Regelungen in Grauzonen. Der Kurs ist auch branchenübergreifend einsetzbar: Die Übung zur Kategorisierung operationeller Risikoereignisse ist in jedem Sektor anwendbar. Die Teilnehmenden ordnen Ereignisse Kategorien zu und vergleichen diese.
Antikorruptionsgesetz (FCPA)
Das Risiko der Bestechung Dritter stellt ein zentrales Compliance-Risiko dar, das bewertet und überwacht werden muss. Das US-Justizministerium weist darauf hin, dass die Anti-Bestechungsbestimmungen des FCPA (Foreign Corrupt Practices Act) von besonderer Bedeutung sind. Verbot, korrupt etwas von Wert anzubieten, zu zahlen oder zu versprechen Es geht darum, ausländische Amtsträger zu beeinflussen oder sich unlautere Vorteile bei der Akquise oder dem Erhalt von Geschäften zu verschaffen. Dieser 40-minütige Kurs behandelt die wichtigsten Regeln, einen Entscheidungsrahmen für Geschenke, Reisen und Bewirtung, Warnsignale im Zusammenhang mit Dritten sowie einen abschließenden Fragebogen mit zehn Fragen. Einen umfassenderen Überblick über das Programm finden Sie in unserem Leitfaden. Schulung zum Compliance-Beauftragten.
Unsere Wahl: Bankverhalten, Regulierung und aufsichtsrechtliche Risiken – Grundlagen. Es bietet Risikoteams eine leicht verständliche Übersicht über Verhaltens-, operationelle, Markt- und Liquiditätsrisiken, die weit über den Bankensektor hinaus nützlich ist.
Ethik und Umgang mit Informationen
Code of Conduct
Verhaltensrisikomanagement beginnt mit einem gemeinsamen Standard, auf den sich die Verantwortlichen berufen können. Dieser 35-minütige Kurs bietet Teams einen Entscheidungstest mit vier Fragen und behandelt Grauzonen zu gängigen Themen und zum Thema Meinungsäußerung. Er schließt mit einer abschließenden Prüfung mit zehn Fragen ab, bei der 80 % der Punkte zum Bestehen erforderlich sind. Probieren Sie eine Szenario-Runde aus, in der die Teilnehmenden abstimmen, bevor die Lösung der Richtlinie angezeigt wird.
Interessenkonflikte
Ungeklärte Konflikte stellen ein klassisches, verstecktes Risiko dar, dessen Aufdeckung durch Experten gefördert wird. Dieser 25-minütige Kurs definiert tatsächliche, potenzielle und vermeintliche Konflikte, vermittelt das Prinzip „Offenlegen und dann entscheiden“ und lässt die Teilnehmenden eine Konfliktoffenlegung erstellen und aktualisieren. Eine kurze Bewertungsskala erfasst, wie sicher sich die Teilnehmenden im Umgang mit Konflikten fühlen.
Datenklassifizierung und -verarbeitung
Das Informationsrisiko hängt von der korrekten Datenklassifizierung durch die Mitarbeitenden ab. Dieser 25-minütige Kurs behandelt Klassifizierungsstufen, die jeweiligen Regeln, Warnsignale und das Vorgehen bei Fehlklassifizierungen. In der anschließenden Fallstudie ordnen die Teilnehmenden Alltagsdokumente der richtigen Kategorie zu.
Unsere Wahl: Interessenkonflikte. Es ist der kürzeste Weg, ein Risiko aufzudecken, das niemals in einem Systemprotokoll auftaucht: das Risiko, das niemand gemeldet hat.
Wie man den Plan umsetzt
Ordnen Sie nach Exposition. Das Weltwirtschaftsforum ordnet es ein. Cybersicherheit #6 und Fehlinformationen #2 Angesichts der zweijährigen Prognose sollten Cybersicherheits- und Betrugspräventionskurse frühzeitig für alle angeboten werden, die mit Geld, Daten oder Lieferanten zu tun haben.
- Im ersten Monat: Gefahrenidentifizierung, Phishing, Betrug und Deepfakes sowie der Verhaltenskodex für alle Risikomanager.
- Innerhalb des ersten Quartals: Interessenkonflikte, Datenklassifizierung, Cyber-Risikomanagement und, falls Sie Drittparteien im Ausland haben, der FCPA-Kurs.
- Jedes Jahr: Ein Auffrischungsquiz zu jedem Kurs sowie der Kurs zur KI-Governance, wann immer ein Team ein neues KI-Tool einführt.
- Wenn Sie es brauchen: Sicherheitsgesetze und -prüfungen für diejenigen, die das Sicherheitssystem überwachen, Bankverhalten für Finanzdienstleistungsteams und der Ransomware-Planspieltisch, sobald er live geht.
Ergänzen Sie die Regelungen Ihres Bundeslandes oder Landes, in dem Ihre Teams tätig sind, und fragen Sie Ihren Anwalt oder die zuständige Aufsichtsbehörde, welche Bestimmungen gelten. Falls Ihre Führungskräfte auch Mitarbeiter leiten, finden Sie in unserem Leitfaden weitere Informationen. Führungskräftetraining für Vorgesetzte deckt diesen Teil der Rolle ab.
Möglichkeiten, diese Kurse durchzuführen auf AhaSlides
Sie können jeden dieser Kurse als Selbstlernkurs mit dem AhaSlides Der Kursentwickler kann die Präsentationen als Live-Frage-und-Antwort-Sitzung oder beides durchführen, ergänzt durch eine Umfrage nach Kursende und ein 30-Tage-Check-in, um festzustellen, welche Veränderungen stattgefunden haben.
- Antwort auswählen: Zeigen Sie fünf Gefahren auf und fragen Sie, wo jede einzelne auf der Risikomatrix einzuordnen ist, oder fragen Sie, welche von vier Nachrichten ein Phishing-Versuch ist.
- Wortwolke: Fragen Sie: „Warum sollte jemand eine dringende Rechnung bezahlen, ohne sie zu prüfen?“ Die wichtigsten Wörter zeigen, gegen welchen Druck man trainieren sollte.
- Bewertungsskala: Vorher und nachher fragen Sie: „Wie sicher sind Sie, dass Sie einen Interessenkonflikt erkennen würden?“ (Skala von 1 bis 5).
- Offenes Ende: Sammeln Sie anonyme Beinaheunfälle am Ende einer Live-Session, damit Risiken aufgedeckt werden, die es nie in die Kasse schaffen.
FAQ
Welche Schulungen benötigen Risikomanager?
Risikomanager benötigen neben Risikobewertungsmethoden auch Kenntnisse in den Bereichen Cybersicherheit, Betrugsbekämpfung, regulatorische Bestimmungen und Verhaltensregeln. Die oben genannten Kurse decken die zweite Gruppe ab, die in Zertifizierungsprogrammen möglicherweise nicht berücksichtigt wird.
Was ist ein Risikomanager?
Ein Risikobeauftragter ist ein Teammitglied, das die Risikomanagement-Aktivitäten in seinem Bereich vertritt und Risiken an die Vorgesetzten meldet. Da es sich nicht um Risikospezialisten handelt, vermittelt ein kurzer gemeinsamer Kurs allen Beteiligten das gleiche Vokabular.
Lohnt sich eine Zertifizierung zum Risikomanager?
Es kann die Karriere fördern, ersetzt aber keine rollenspezifische Compliance-Schulung. Praxisnahe Kurse zu Betrug, Cyberkriminalität und Verhaltensregeln sind für den Umgang mit Risiken genauso wichtig.
Wie häufig sollte ein Risikotraining durchgeführt werden?
Jährlich, mit Auffrischungsschulungen bei Änderungen des Risikoprofils. Ein neues KI-Tool, ein neuer Lieferant oder ein aktueller Betrugsfall in den Nachrichten sind gute Gründe für eine frühere, kurze Auffrischungsschulung.
Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für eine Entscheidung bezüglich Ihres Arbeitsplatzes wenden Sie sich bitte an einen qualifizierten Rechtsanwalt oder die zuständige Aufsichtsbehörde.
