Awareness-Programm einführen: Reihenfolge und 90-Tage-Plan

Wer ein Awareness-Programm einführen will, scheitert selten an fehlenden Inhalten. Kurse zu Passwörtern, Phishing oder Datenschutz sind schnell beschafft. Was fehlt, ist meistens die Reihenfolge: Womit fangen Sie an, was kommt danach, und wie verteilen Sie das über die ersten Wochen, ohne dass in den Fachabteilungen die Arbeit liegen bleibt?

Dieser Beitrag beantwortet genau diese Fragen. Sie erhalten eine begründete Themenreihenfolge, einen 90-Tage-Plan mit konkreten Aufgaben pro Zeitfenster und die Stellschrauben, mit denen der Rollout im Arbeitsalltag funktioniert. Der Plan ist für Unternehmen im Mittelstand gedacht, in denen eine einzelne Person oder ein kleines Team die Einführung nebenbei verantwortet.

Was ist ein Awareness-Programm – und was unterscheidet es von einer einzelnen Schulung?

Ein Awareness-Programm ist ein geplanter, wiederkehrender Zyklus aus Lerninhalten, Praxisübungen und Nachweisen, der alle Mitarbeitenden über das Jahr hinweg erreicht. Eine einzelne Schulung ist ein Ereignis, ein Programm ist ein Prozess.

Der Unterschied ist nicht akademisch, sondern entscheidet über die Wirkung. Eine Jahresschulung erzeugt kurzfristig Aufmerksamkeit, die messbar nachlässt. Ein Awareness-Programm arbeitet mit Wiederholung in kleinen Dosen, mit Anlässen aus dem Arbeitsalltag und mit einer festen Zuständigkeit.

Drei Bestandteile gehören immer dazu:

• Wissensvermittlung: kurze Lerneinheiten zu klar abgegrenzten Themen, für alle Mitarbeitenden verpflichtend.
• Praxis: Übungen, in denen das Gelernte angewendet wird – typischerweise über simulierte Angriffe und das Einüben des internen Meldewegs.
• Nachweis: Dokumentation, wer wann welchen Inhalt bearbeitet hat, inklusive Ergebnissen und Wiederholungen.

Für Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, ist dieser dritte Punkt keine Formalie. Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten; § 30 BSIG nennt Schulungen ausdrücklich als Teil der Risikomanagementmaßnahmen, § 38 Abs. 3 BSIG verpflichtet zusätzlich die Geschäftsleitung zur regelmäßigen eigenen Schulung. Der Gesetzestext dazu ist öffentlich einsehbar in § 38 BSIG beim Bundesministerium der Justiz. Ähnliche Erwartungen bestehen in ISO 27001 und TISAX. Ein dokumentiertes Awareness-Programm liefert hier einen Nachweisbeitrag.

Eine ausführliche Einordnung der Inhalte und Pflichten finden Sie im Beitrag zum Security Awareness Training.

In welcher Reihenfolge sollten Sie die Themen einführen?

Beginnen Sie mit Grundlagen und Kontosicherheit, gehen Sie dann zu Phishing und Social Engineering, danach zu Daten und Datenschutz, mobilem Arbeiten und schließlich zu rollenspezifischer Vertiefung. Die Reihenfolge folgt zwei Kriterien: Risiko und Verständlichkeit.

Die häufigste Fehlentscheidung ist der Start mit dem komplexesten Thema. Sinnvoll ist die umgekehrte Logik: Zuerst kommt das, was alle betrifft, schnell verständlich ist und sofort umsetzbare Handlungen enthält.

Stufe 1: Grundlagen der Informationssicherheit. Warum das Thema alle betrifft, welche Daten im Unternehmen besonders schutzbedürftig sind, welche Schäden typischerweise entstehen. Dauer: eine Lerneinheit. Ziel ist nicht Wissen, sondern Relevanz.

Stufe 2: Passwörter, Mehr-Faktor-Authentifizierung und Kontosicherheit. Das Thema mit dem besten Verhältnis von Aufwand zu Wirkung. Es enthält konkrete Handlungsanweisungen, die jede Person am selben Tag umsetzen kann.

Stufe 3: Phishing und Social Engineering. Der wichtigste Block, weil E-Mail und Messenger die häufigsten Einstiegspunkte sind. Hier gehören Schulung und Praxisübung zusammen: erst die Inhalte, dann die erste Simulation. Grundlagen dazu liefern die Beiträge zu den Phishing-Arten und zum Thema Phishing erkennen.

Stufe 4: Umgang mit Daten und Datenschutz. Datenklassifizierung, sichere Ablage, Weitergabe an Dritte, Umgang mit personenbezogenen Daten. Dieses Thema profitiert davon, dass Stufe 1 bis 3 den Rahmen schon gesetzt haben.

Stufe 5: Mobiles Arbeiten, Geräte und Cloud- sowie KI-Werkzeuge. Umgang mit privaten Geräten, öffentlichen Netzen, Cloud-Freigaben und der Eingabe von Unternehmensdaten in KI-Anwendungen. Der Bedarf ist hoch und wird oft zu spät adressiert.

Stufe 6: Rollenspezifische Vertiefung und Verhalten im Notfall. Führungskräfte, Finanz- und Einkaufsbereich, IT, Vertrieb und Personalbereich haben unterschiedliche Angriffsflächen. Dazu kommt der Ablauf im Verdachtsfall: melden, nicht selbst reparieren.

Wenn Sie nur begrenzt Zeit haben: Stufe 1 bis 3 sind das Pflichtprogramm der ersten 60 Tage. Stufe 4 bis 6 lassen sich über das restliche Jahr verteilen.

Wie sieht der 90-Tage-Plan im Überblick aus?

Der Plan teilt sich in drei Phasen: Tag 1 bis 30 für Vorbereitung und Grundlagen, Tag 31 bis 60 für Phishing und Praxis, Tag 61 bis 90 für rollenspezifische Inhalte und Dokumentation.

Zeitraum	Phase	Schwerpunkt	Ergebnis am Ende
Tag 1–14	Vorbereitung	Ziele, Zielgruppen, Rollen, Beteiligung von Datenschutz und Mitbestimmung, Plattform einrichten	Programmplan steht, Freigaben liegen vor
Tag 15–30	Grundlagen	Stufe 1 und 2 ausrollen, Kommunikation zum Start	Basisschulung für alle Mitarbeitenden verfügbar
Tag 31–45	Phishing-Wissen	Stufe 3 als Pflichtmodul, Meldeweg kommunizieren	alle wissen, worauf sie achten und wohin sie melden
Tag 46–60	Praxis	erste Simulationswelle, direkte Aufklärung im Klick-Moment	erste Standortbestimmung, gezielter Nachschulungsbedarf sichtbar
Tag 61–75	Vertiefung	rollenspezifische Module, Schulung der Geschäftsleitung	Risikogruppen abgedeckt
Tag 76–90	Verstetigung	Auswertung, Nachweise prüfen, Jahresrhythmus festlegen	Programm läuft ohne Projektmodus weiter

Wer ein Awareness-Programm einführen will, braucht dafür keine eigene Abteilung. Realistisch sind zwei bis vier Stunden pro Woche für die verantwortliche Person, wenn Inhalte eingekauft und über eine Plattform automatisiert zugewiesen werden.

Was passiert in Tag 1 bis 30: Fundament legen?

In den ersten 30 Tagen entstehen Programmplan, Zielgruppen, Zuständigkeiten und die technische Basis – und die ersten beiden Themenstufen gehen live.

Tag 1 bis 14: Vorbereitung

• Ziele festlegen: Was soll das Awareness-Programm erreichen? Typisch sind drei Ziele: Reduzierung erfolgreicher Angriffe, Erfüllung von Nachweispflichten, geringere Belastung der IT durch vermeidbare Vorfälle.
• Zielgruppen bilden: Beginnen Sie mit drei Gruppen – alle Mitarbeitenden, Führungskräfte, besonders exponierte Bereiche. Mehr Differenzierung erhöht den Pflegeaufwand ohne echten Nutzen.
• Beteiligungen klären: Datenschutz und Mitbestimmungsgremien früh einbinden, insbesondere bei Simulationen und bei der Frage, welche Auswertungen personenbezogen erfolgen. Diese Klärung dauert im Zweifel länger als die technische Einrichtung.
• Plattform einrichten: Nutzerverwaltung, Anmeldung über den bestehenden Verzeichnisdienst, Zuweisungsregeln, Erinnerungen, Zertifikate. Praktische Hinweise zum Aufsetzen der Lernumgebung finden Sie im Beitrag zum Thema LMS einführen.
• Kommunikation vorbereiten: eine Ankündigung der Geschäftsleitung, eine Kurzinfo für Führungskräfte, eine Erklärung des Meldewegs.

Tag 15 bis 30: Grundlagen ausrollen

• Stufe 1 und Stufe 2 als Pflichtmodule zuweisen, mit einer Frist von zwei bis drei Wochen.
• Bearbeitungszeit pro Modul unter zehn Minuten halten.
• Erinnerungen automatisieren statt manuell nachfassen.
• Nach zehn Tagen die Abschlussquote je Abteilung an die Führungskräfte spiegeln, ohne einzelne Personen zu nennen.

Am Ende von Tag 30 sollte die Basisschulung für alle verfügbar sein und der Meldeweg bekannt sein. Beides ist Voraussetzung für die zweite Phase.

Was passiert in Tag 31 bis 60: Phishing und Praxis?

In der zweiten Phase folgt das Kernthema Phishing – erst als Schulung, dann als Übung. Diese Reihenfolge ist der wichtigste Einzelfaktor für die Akzeptanz des Awareness-Programms.

Tag 31 bis 45: Wissen aufbauen

• Pflichtmodul zu Phishing und Social Engineering für alle Mitarbeitenden.
• Merkmale verdächtiger Nachrichten anhand generischer Beispiele erklären: angebliche Nachrichten aus der Geschäftsleitung, Benachrichtigungen von Paketdiensten, Hinweise von Behörden, Anfragen zu Zahlungsdaten.
• Den Meldeweg konkret machen: Wohin geht ein Verdacht, was passiert danach, und dass eine Fehlmeldung ausdrücklich erwünscht ist.
• Klarstellen, dass niemand für einen Klick sanktioniert wird. Ohne diese Zusage melden Mitarbeitende später nichts.

Tag 46 bis 60: erste Simulationswelle

• Eine erste Welle mit niedriger bis mittlerer Schwierigkeit an alle versenden.
• Wer klickt, landet auf einer Aufklärungsseite im Klick-Moment – kurz, sachlich, ohne Schuldzuweisung. Das ist der Moment mit der höchsten Lernwirkung.
• Ergebnisse aggregiert auswerten, nicht personenbezogen berichten.
• Gezielte Nachschulung für Bereiche mit auffälligen Werten, freiwillige Zusatzinhalte für Interessierte.

Wie Sie Wellen, Schwierigkeitsgrade und Auswertung sauber aufsetzen, beschreibt der Beitrag zur Phishing-Simulation im Detail.

Die Simulation ist kein Prüfungsinstrument. Sie liefert eine Standortbestimmung und einen Lernanlass – nicht mehr, aber auch nicht weniger.

Was passiert in Tag 61 bis 90: Rollen und Nachweise?

Die dritte Phase deckt die Bereiche mit erhöhtem Risiko ab und überführt das Awareness-Programm aus dem Projektmodus in den Regelbetrieb.

Tag 61 bis 75: rollenspezifische Vertiefung

• Führungskräfte: gezielte Angriffe auf Leitungsfunktionen, Freigabeprozesse, Vorbildwirkung.
• Finanz- und Einkaufsbereich: manipulierte Zahlungsanweisungen, geänderte Bankverbindungen, Vier-Augen-Prinzip.
• Personalbereich: Bewerbungsunterlagen mit Anhängen, Anfragen zu Personaldaten.
• IT: Rechtevergabe, Umgang mit Support-Anfragen, Reaktion auf Meldungen.
• Geschäftsleitung: eigene Schulung mit Blick auf die Pflicht aus § 38 Abs. 3 BSIG, sofern Ihr Unternehmen betroffen ist. Welche Kompetenzen erwartet werden und wie zu dokumentieren ist, beschreibt die Handreichung des BSI zur NIS-2-Geschäftsleitungsschulung.

Tag 76 bis 90: Verstetigung

• Nachweise prüfen: Liegen für alle Pflichtmodule Teilnahmen, Zeitpunkte, Ergebnisse und Inhaltsstände vor? Sind die Inhalte selbst nachvollziehbar dokumentiert?
• Kennzahlen auswerten und die wichtigsten drei Werte in einem einseitigen Bericht an die Geschäftsleitung geben.
• Jahresrhythmus festlegen: welche Module wann wiederholt werden, in welchem Abstand Simulationswellen laufen, wie neue Mitarbeitende automatisch eingesteuert werden.
• Onboarding verankern: Neueintritte erhalten die Basismodule automatisch in den ersten zwei Wochen. Ohne diesen Schritt verliert das Awareness-Programm jedes Jahr an Abdeckung.

Wie führen Sie das Awareness-Programm ein, ohne den Arbeitsalltag zu bremsen?

Die Antwort liegt in der Portionierung: kurze asynchrone Einheiten statt Sammelterminen, Lernen im Arbeitsfluss statt zusätzlicher Meetings, Automatisierung statt manuellem Nachfassen.

Sieben Stellschrauben haben sich bewährt:

1. Fünf bis zehn Minuten pro Einheit. Ein Modul, das in einer Kaffeepause zu bearbeiten ist, wird bearbeitet. Ein 45-Minuten-Kurs wird verschoben.
2. Asynchron und ohne festen Termin. Präsenz- oder Webinartermine für alle Mitarbeitenden kosten ein Vielfaches an Arbeitszeit und erzeugen Terminkonflikte.
3. Fristen mit Puffer. Zwei bis drei Wochen pro Pflichtmodul, gestaffelt statt gleichzeitig. Mehrere Fristen zum selben Datum erzeugen Widerstand.
4. Mobiler Zugriff. Beschäftigte ohne festen Bildschirmarbeitsplatz erreichen Sie nur, wenn die Inhalte auf dem Smartphone funktionieren.
5. Lernen im Moment des Bedarfs. Die kurze Aufklärung direkt nach einem Klick in der Simulation ersetzt eine ganze Lerneinheit an Erklärung.
6. Automatisierte Zuweisung und Erinnerung. Regeln nach Abteilung, Eintrittsdatum und Rolle. Manuelle Listenpflege ist der größte verdeckte Aufwandstreiber.
7. Eine Sprache pro Zielgruppe. In Betrieben mit mehrsprachigen Teams entscheidet die Sprachverfügbarkeit über die Abschlussquote, nicht die Didaktik.

Realistischer Zeitaufwand pro Person für die ersten 90 Tage: 40 bis 60 Minuten insgesamt, verteilt auf vier bis sechs Einheiten. Das ist der Rahmen, in dem Fachbereiche mitgehen.

Welche Rollen und Zuständigkeiten brauchen Sie?

Vier Zuständigkeiten reichen für den Start: eine programmverantwortliche Person, eine fachliche Zuständigkeit für Sicherheitsfragen, die Personalabteilung für Pflichtzuweisungen und die Geschäftsleitung als sichtbare Absenderin.

• Programmverantwortung: plant, weist zu, wertet aus, berichtet. Diese Rolle braucht keine tiefe IT-Expertise, aber verlässliche Zeitanteile.
• Fachliche Zuständigkeit: beantwortet inhaltliche Rückfragen, betreut den Meldeweg, priorisiert Themen nach der tatsächlichen Bedrohungslage.
• Personalabteilung: verankert Pflichtmodule in Onboarding und Jahresplanung.
• Geschäftsleitung: sendet die Startkommunikation und bearbeitet die eigenen Module sichtbar zuerst. Ein Awareness-Programm, das die Leitungsebene ausnimmt, verliert intern schnell an Verbindlichkeit.

Ergänzend sollten Datenschutz und Mitbestimmungsgremien vor der ersten Simulation eingebunden sein – nicht danach.

Woran messen Sie den Erfolg des Awareness-Programms?

Messen Sie Abdeckung, Verhalten und Nachweisfähigkeit. Drei bis fünf Kennzahlen genügen; mehr erzeugt Aufwand ohne Steuerungswirkung.

Kennzahl	Was sie zeigt	Sinnvoller Zielwert nach 90 Tagen
Abschlussquote der Pflichtmodule	Abdeckung der Belegschaft	über 90 Prozent
Bearbeitungsdauer pro Modul	Passung des Formats zum Arbeitsalltag	im geplanten Rahmen, ohne Abbrüche
Ergebnis der Wissensfragen	Verständnis der Kerninhalte	stabile Mehrheit korrekter Antworten
Entwicklung der Klickrate über Simulationswellen	Verhaltensänderung im Zeitverlauf	sinkende Tendenz über mehrere Wellen
Anteil wiederholter Klicks	verbleibender Nachschulungsbedarf	rückläufig, gezielt adressiert
Vollständigkeit der Dokumentation	Nachweisfähigkeit gegenüber Prüfstellen	lückenlos ab Programmstart

Wichtig ist die Betrachtung im Zeitverlauf. Ein einzelner Wert aus einer einzelnen Welle sagt wenig aus, weil Ergebnisse stark vom Szenario abhängen. Erst die Entwicklung über mehrere Wellen zeigt, ob das Awareness-Programm wirkt.

Berichten Sie aggregiert. Personenbezogene Auswertungen sind selten notwendig, oft mitbestimmungsrelevant und beschädigen zuverlässig die Meldebereitschaft.

Welche Fehler bremsen die Einführung am häufigsten?

Die typischen Fehler liegen nicht im Inhalt, sondern in Reihenfolge, Tonalität und Nachhaltigkeit.

• Mit der Simulation starten. Ohne vorherige Schulung wirkt die Übung wie eine verdeckte Kontrolle. Der Vertrauensverlust ist schwer zu reparieren.
• Alles gleichzeitig ausrollen. Vier Pflichtmodule mit derselben Frist führen zu Durchklicken statt Lernen.
• Namen nennen. Wer Klickende intern öffentlich macht, unterdrückt künftige Meldungen.
• Lange Formate wählen. Der 60-Minuten-Jahreskurs erfüllt eine Pflicht, verändert aber kaum Verhalten.
• Beteiligungen zu spät klären. Datenschutz- und Mitbestimmungsfragen kurz vor der ersten Welle verschieben den Start um Wochen.
• Nach 90 Tagen aufhören. Ohne Wiederholung und ohne Onboarding-Regel sinkt die Abdeckung mit jedem Personalwechsel.
• Nachweise nachträglich zusammensuchen. Was nicht ab Tag 1 dokumentiert ist, lässt sich später kaum belegen.

Wie geht es nach den ersten 90 Tagen weiter?

Nach 90 Tagen wechselt das Awareness-Programm in einen Jahreszyklus: wiederkehrende Pflichtmodule, regelmäßige Simulationswellen, anlassbezogene Kurzinhalte und ein festes Berichtsintervall.

Ein tragfähiger Jahresrhythmus sieht so aus:

• Quartalsweise eine Simulationswelle mit wechselnden Szenarien und steigender Schwierigkeit.
• Halbjährlich ein kurzes Auffrischungsmodul zu einem aktuellen Schwerpunkt.
• Jährlich die Wiederholung der Pflichtgrundlagen und die Schulung der Geschäftsleitung.
• Anlassbezogen kurze Hinweise, wenn eine Angriffswelle das Unternehmen oder die Branche tatsächlich betrifft.
• Fortlaufend automatische Zuweisung an neue Mitarbeitende innerhalb der ersten zwei Wochen.

Ab diesem Punkt ist Awareness kein Projekt mehr, sondern ein laufender Prozess mit überschaubarem Aufwand – vorausgesetzt, Zuweisung, Erinnerung und Dokumentation laufen automatisiert.

Fazit und nächste Schritte

Ein Awareness-Programm einführen heißt vor allem: eine Reihenfolge festlegen und sie durchhalten. Grundlagen und Kontosicherheit zuerst, dann Phishing mit Schulung vor Simulation, danach Daten, mobiles Arbeiten und rollenspezifische Vertiefung. Der 90-Tage-Plan gliedert das in drei Phasen von je 30 Tagen und lässt sich mit wenigen Stunden pro Woche umsetzen, wenn Zuweisung und Erinnerung automatisiert sind.

Entscheidend für die Akzeptanz sind kurze Formate, gestaffelte Fristen und eine Tonalität ohne Schuldzuweisung. Entscheidend für die Nachweisfähigkeit ist die Dokumentation ab dem ersten Tag.

Ihre nächsten drei Schritte:

1. Zielgruppen und Verantwortlichkeiten festlegen und die Beteiligung von Datenschutz und Mitbestimmung anstoßen.
2. Die Pflichtmodule für Stufe 1 und 2 auswählen und mit einer Frist von drei Wochen zuweisen.
3. Die erste Simulationswelle für Tag 46 bis 60 terminieren – nach dem Phishing-Modul, nicht davor.

Die reteach Lernplattform ist DSGVO-konform und deckt Zuweisung, Fristen, Erinnerungen und Nachweise ab. Für Grundlagen und Pflichtthemen stehen fertige Kurse bereit, die Sie um selbstproduzierte Kurse ergänzen können. reteach Phishing Awareness ist eine eigenständige Komplettlösung aus Lerninhalten und Simulationen mit einer Aufklärungsseite im Klick-Moment, datenschutzfreundlich gestaltet und auditfähig dokumentiert. Damit lassen sich die drei Phasen des 90-Tage-Plans in einer Umgebung abbilden.

Häufig gestellte Fragen