Wer im Unternehmen den Auftrag bekommt, die Brandschutzunterweisung zu organisieren, stößt schnell auf ein Problem: Es sind zwei Pflichten, nicht eine. Alle Beschäftigten müssen jährlich unterwiesen werden. Ein Teil von ihnen muss zusätzlich mit dem Feuerlöscher geübt haben. Beides hat unterschiedliche Adressaten, unterschiedliche Fristen und unterschiedliche Nachweise – und wer beides in einer Liste führt, deckt meist nur eines davon korrekt ab.

Dieser Beitrag beantwortet die Fragen in der Reihenfolge, in der sie in der Praxis auftauchen. Die Fundstellen stehen jeweils in Klammern, eine Übersicht zum Nachschlagen finden Sie in Abschnitt 10. Wie bei allen Rechtsthemen gilt: eine Orientierung, keine Rechtsberatung.

Wie oft muss die Brandschutzunterweisung stattfinden?

Vor Aufnahme der Tätigkeit und danach mindestens einmal jährlich, für alle Beschäftigten (§ 6 Abs. 4 ArbStättV, § 4 Abs. 1 DGUV Vorschrift 1). Bei Jugendlichen sind es mindestens halbjährliche Abstände (§ 29 Abs. 2 JArbSchG).

Zwischendurch wird eine Wiederholung fällig, wenn zwei Dinge zusammentreffen: Tätigkeiten, Arbeitsorganisation, Verfahren oder Einrichtungen verändern sich wesentlich – und mit der Veränderung sind zusätzliche Gefährdungen verbunden (§ 6 Abs. 4 ArbStättV). Eine Veränderung allein löst die Pflicht also nicht aus.

Typische Fälle, in denen beides zutrifft:

Ein Umbau verlegt Fluchtwege oder die Sammelstelle. Ein neues Verfahren bringt Brandgefährdung mit sich, etwa Schweißen, Trennschleifen oder Farbspritzen. Es kommen andere Löscheinrichtungen zum Einsatz. Die Brandschutzordnung wird geändert.

Ein Brandereignis im Betrieb ist im Verordnungstext nicht als Auslöser genannt – in der Praxis ist es trotzdem der naheliegendste Anlass, die Unterweisung vorzuziehen.

Welche Inhalte gehören hinein?

Für die Brandschutzunterweisung sind drei Themen vorgeschrieben: Brandverhütung, Verhalten im Brandfall und die Nutzung von Fluchtwegen und Notausgängen (§ 6 Abs. 3 ArbStättV). Alles Weitere ergibt sich aus Ihrer Gefährdungsbeurteilung.

Entscheidend ist der Zuschnitt auf den Arbeitsplatz. Ein Kurs, der Brandklassen erklärt, aber nicht sagt, wo im eigenen Gebäude der nächste Löscher hängt, erfüllt die Anforderung nicht.

Zur Handlungsfolge im Brandfall: Nehmen Sie die Reihenfolge, die in Ihrer Brandschutzordnung Teil A (DIN 14096:2014-05) oder im Flucht- und Rettungsplan (ASR A1.3) steht. Merksätze aus Schulungsunterlagen, die davon abweichen, sind eine vermeidbare Fehlerquelle – Aushang und Unterweisung müssen dasselbe sagen.

Der letzte Punkt der Tabelle wird oft übersehen und ist bei Begehungen eine naheliegende Frage: Wer bringt die Person im Rollstuhl aus dem zweiten Obergeschoss, wenn der Aufzug ausfällt?

Wer muss zusätzlich an die Feuerlöscheinrichtung – und wie viele?

Beschäftigte, die Aufgaben der Brandbekämpfung übernehmen, müssen zusätzlich in der Bedienung der Feuerlöscheinrichtungen unterwiesen werden (§ 6 Abs. 3 ArbStättV) – mit Unterweisung und Übung (ASR A2.2 Punkt 7.3). Benannt werden sie als Brandschutzhelfende auf Grundlage von § 10 Abs. 2 ArbSchG.

Wie viele? Das ergibt sich aus Ihrer Gefährdungsbeurteilung. Als Ausgangswert gelten fünf Prozent der Beschäftigten in der Regel als ausreichend (ASR A2.2 Punkt 7.3 Abs. 2). Vier Gründe können eine höhere Zahl erfordern:

Erhöhte Brandgefährdung. Eine größere Zahl anwesender Personen. Personen mit eingeschränkter Mobilität. Große räumliche Ausdehnung der Arbeitsstätte.

Die fünf Prozent hängen also nicht an der Nutzungsart – sie sind der Richtwert, von dem Ihre Beurteilung nach oben abweichen kann.

Zwei Faktoren gehören ausdrücklich in die Rechnung: Schichtbetrieb und Abwesenheiten durch Fortbildung, Urlaub und Krankheit (Punkt 7.3 Abs. 3). Praktisch heißt das, dass Sie einen Zuschlag brauchen. Bei fünfzig Beschäftigten in zwei Schichten reichen drei Brandschutzhelfende auf dem Papier – und keine, wenn zwei davon gleichzeitig im Urlaub sind und die dritte in der Frühschicht arbeitet.

Bei mehreren Betriebsstätten lässt sich eine Verteilung über die Standorte gut begründen, auch wenn die ASR das nicht ausdrücklich fordert; der Erhöhungsgrund der räumlichen Ausdehnung deckt das ab.

Wie oft muss die praktische Übung wiederholt werden?

Hier gibt es zwei Angaben mit unterschiedlichem Stand, was in der Praxis für Verwirrung sorgt:

Beide sind Orientierungswerte, kein Ablaufdatum. Das konkrete Intervall legen Sie selbst fest, und zwar auf Basis Ihrer Gefährdungsbeurteilung – so verlangt es die ASR ausdrücklich. Für die Planung ist der neuere ASR-Wert der sinnvollere Bezugspunkt.

Wichtig ist die Begründung: Ein Kalendereintrag ohne Herleitung ist bei einer Prüfung schwächer als ein Eintrag mit einem Satz dazu, warum drei Jahre für Ihren Betrieb passen.

Früher fällig wird die Übung bei wesentlichen betrieblichen Änderungen – neuen Löscheinrichtungen, veränderter Brandgefährdung, geänderter Brandschutzordnung, Umstrukturierungen mit neuen Zuständigkeiten.

Diese Intervalle betreffen nur die Übung. Die jährliche Brandschutzunterweisung aller Beschäftigten läuft davon unabhängig weiter – beide Fristen gehören getrennt geführt.

Wer darf unterweisen?

Die Brandschutzunterweisung darf durchführen, wer den Unterwiesenen gegenüber weisungsbefugt ist – in der Regel also Führungskräfte und Vorgesetzte. Verantwortlich bleibt in jedem Fall der Arbeitgeber.

Ein verbreiteter Irrtum betrifft die Fachkräfte für Arbeitssicherheit: Sie beraten und wirken mit, unterweisen aber nicht eigenverantwortlich. Dasselbe gilt für Betriebsärztinnen, Betriebsärzte und Sicherheitsbeauftragte (DGUV Regel 100-001 zu § 4).

Für die Übung an der Feuerlöscheinrichtung braucht es zusätzlich Fachkunde. Die holen sich die meisten Betriebe extern – über einen Dienstleister, die Berufsgenossenschaft oder die örtliche Feuerwehr.

Praktikabel ist deshalb eine Arbeitsteilung: Die Inhalte werden zentral erstellt und aktuell gehalten, die Durchführung und Bestätigung übernehmen die Führungskräfte im jeweiligen Bereich.

Was gilt für Leiharbeit und Fremdfirmen?

Zwei Fälle, zwei unterschiedliche Antworten – sie werden regelmäßig in einen Topf geworfen.

Leiharbeitnehmende unterweisen Sie selbst, weil Sie Arbeitsplatz und Gefährdungen kennen (§ 12 Abs. 2 ArbSchG). Die allgemeinen Arbeitsschutzpflichten des Verleihers bleiben davon unberührt, einschließlich der nicht arbeitsplatzbezogenen Unterweisung. Beide Seiten haben also Pflichten, nur verschiedene.

Beschäftigte von Fremdfirmen unterweisen Sie nicht. Das schuldet deren Arbeitgeber. Ihre Aufgabe ist die Abstimmung: Sie müssen die Maßnahmen koordinieren und gegenseitig über die Gefahren im jeweiligen Bereich informieren (§ 8 ArbSchG, § 6 DGUV Vorschrift 1). Ein Sicherheitsbriefing für Handwerksbetriebe auf Ihrem Gelände ist damit sinnvoll und richtig – eine Unterweisung im Rechtssinne ist es nicht.

Darf die Unterweisung digital stattfinden?

Ja, die Brandschutzunterweisung darf online stattfinden – unter drei Bedingungen (DGUV Regel 100-001 zu § 4):

Das Verständnis muss überprüft werden – reine Bereitstellung von Material zum Selbststudium genügt nicht. Rückfragen müssen möglich sein. Und die Inhalte müssen arbeitsplatzbezogen sein, also Ihr Gebäude beschreiben und nicht ein beliebiges.

Dazu kommt eine Anforderung, die in Präsenz oft schwerer zu erfüllen ist als digital: Die Unterweisung muss in verständlicher Form und Sprache erfolgen (§ 6 Abs. 4 ArbStättV, § 4 Abs. 2 DGUV Vorschrift 1). Bei einer Belegschaft mit mehreren Muttersprachen sind parallele Sprachversionen online einfacher zu stellen als mehrere Präsenztermine.

Nicht digital ersetzbar ist die Übung mit der Feuerlöscheinrichtung. Ein Video über die Handhabung ist keine Übung. Ebenso wenig ersetzbar sind Räumungsübungen (ASR A2.2 Punkt 7.1, ASR A2.3).

Wie dokumentieren Sie den Nachweis – und was droht bei Verstößen?

Jede Brandschutzunterweisung muss dokumentiert werden (§ 4 Abs. 1 DGUV Vorschrift 1). Die häufigste Frage dazu lautet, ob eine Unterschrift nötig ist – nein. Weder eine bestimmte Form noch eine Unterschrift der Unterwiesenen sind vorgeschrieben (DGUV Regel 100-001 zu § 4).

Nachvollziehbar sein sollten vier Angaben: Zeitpunkt, Inhalt, unterwiesene Personen und durchführende Person. Ein digitaler Nachweis mit Zeitstempel leistet das genauso wie eine Unterschriftenliste – nur schneller auffindbar.

Zu den Folgen: Wer nicht sicherstellt, dass vor Aufnahme der Tätigkeit unterwiesen wird, handelt ordnungswidrig (§ 9 ArbStättV). Weitere Bußgeldtatbestände enthalten § 25 ArbSchG und § 32 DGUV Vorschrift 1; bei Jugendlichen greift § 59 JArbSchG. Praktisch schwerer wiegt aber die Beweislage nach einem Schadensfall – gegenüber Berufsgenossenschaft, Versicherung und im Ernstfall vor Gericht.

Was steht in der Brandschutzordnung?

Die Brandschutzordnung besteht aus drei Teilen für drei Zielgruppen (DIN 14096:2014-05):

Teil A ist der Aushang für alle im Gebäude, auch für Besuchende. Teil B richtet sich an Beschäftigte ohne besondere Brandschutzaufgaben und ist inhaltlich der Kern Ihrer jährlichen Unterweisung. Teil C gilt für Personen mit besonderen Aufgaben, etwa Brandschutzhelfende oder die Haustechnik.

Ob Sie überhaupt eine Brandschutzordnung brauchen, ergibt sich in erster Linie aus dem Baurecht oder aus behördlichen Auflagen, nicht aus der Gefährdungsbeurteilung – die liefert dazu nur die fachliche Einschätzung.

Ähnlich beim Brandschutzbeauftragten: Eine allgemeine Pflicht gibt es nicht. Bei erhöhter Brandgefährdung kann die Benennung zweckmäßig sein, und eine Notwendigkeit kann sich aus landesrechtlichen Vorschriften ergeben (ASR A2.2 Punkt 7.1).

Welche Vorschriften gelten? Die Übersicht zum Nachschlagen

Die Normtexte finden Sie beim Bundesministerium der Justiz für die Arbeitsstättenverordnung, bei der BAuA für die ASR A2.2 und im Branchenwissen der BGN für die DGUV Information 205-023.

Wie setzen Sie beide Pflichten praktisch um?

Der organisatorische Kern der Brandschutzunterweisung ist banal und wird trotzdem selten gelöst: Sie brauchen zwei getrennte Fristen – eine jährliche für alle, eine mehrjährige für die Brandschutzhelfenden – und einen Nachweis, der bei einer Begehung in Minuten vorliegt.

Im reteach LMS übernimmt der Compliance-Workflow die jährliche Unterweisung: Fälligkeiten je Kurs, verpflichtende Teilnahme, automatische Erinnerungen und Zertifikate mit Gültigkeitsdatum. Den Stand exportieren Sie als Übersicht, statt Listen zusammenzusuchen.

Die Übung der Brandschutzhelfenden legen Sie als Präsenztermin mit Anwesenheitsverwaltung und eigenem Gültigkeitszeitraum an. Damit laufen beide Fristen getrennt – genau der Punkt, an dem es in Excel schiefgeht.

Fertige Brandschutzkurse finden Sie im reteach Kurskatalog. Ergänzen Sie sie um Ihre Löscherstandorte, Fluchtwege und Sammelstellen – dieser Zusatz ist es, der aus einem Standardkurs eine Unterweisung nach § 6 Abs. 3 ArbStättV macht.

Wie sich das in eine Gesamtübersicht aller Pflichtqualifikationen einfügt, zeigt der Beitrag zur Qualifikationsmatrix. Die Inhalte selbst leiten Sie aus der Gefährdungsbeurteilung ab, die allgemeine Umsetzung beschreiben wir unter digitale Unterweisungen.

Fazit: Zwei Fristen statt einer

Wenn Sie nach dem Lesen eine Sache prüfen wollen, dann diese: Führen Sie für die jährliche Brandschutzunterweisung und für die Übung der Brandschutzhelfenden getrennte Fristen? Stehen beide in derselben Zeile mit demselben Datum, ist mit hoher Wahrscheinlichkeit eine von beiden nicht korrekt abgedeckt.

Das Zweite, das sich in zehn Minuten erledigen lässt: Notieren Sie neben dem Übungsintervall einen Satz, warum es so gewählt ist. Die Zahl allein ist eine Behauptung, die Zahl mit Begründung ist ein Nachweis.

Häufig gestellte Fragen

In vielen mittelständischen Unternehmen liegt die Gefährdungsbeurteilung als Ordner im Regal, angelegt vor einigen Jahren und seither unberührt. Das fällt nicht auf, bis eine Begehung ansteht, ein Unfall passiert oder eine Zertifizierung Nachweise verlangt.

Dieser Beitrag beantwortet die Fragen in der Reihenfolge, in der sie in der Praxis auftauchen – Fundstellen jeweils in Klammern, eine Übersicht zum Nachschlagen in Abschnitt 11. Was hier steht, ist eine Orientierung und keine Rechtsberatung; bei bestimmten Tätigkeiten schreibt das Recht ohnehin fachkundige Beteiligung vor, dazu mehr in Abschnitt 7.

Wer muss eine Gefährdungsbeurteilung erstellen?

Jeder Arbeitgeber, ab dem ersten Beschäftigten (§ 5 Abs. 1 ArbSchG). Die Verantwortung liegt bei der Unternehmensleitung; fachlich lässt sie sich delegieren, aber nicht abgeben – und wenn Sie Pflichten übertragen, verlangt das Gesetz dafür die Schriftform (§ 13 Abs. 2 ArbSchG).

Zur Frage der Betriebsgröße hält sich ein Missverständnis. Bis 2013 war die Dokumentation erst ab elf Beschäftigten vorgeschrieben, seither gilt sie für alle. Erleichtert ist nicht das Ob, sondern der Umfang: Verlangt sind die „je nach Art der Tätigkeiten und der Zahl der Beschäftigten erforderlichen“ Unterlagen, und bei gleichartiger Gefährdungssituation genügen zusammengefasste Angaben (§ 6 Abs. 1 ArbSchG).

Beurteilt wird nach Tätigkeiten, nicht nach Personen. Bei gleichartigen Arbeitsbedingungen reicht die Beurteilung einer Tätigkeit oder eines Arbeitsplatzes (§ 5 Abs. 2 ArbSchG) – das spart in der Praxis den größten Teil der Arbeit.

Neben dem Arbeitsschutzgesetz greifen tätigkeitsabhängig weitere Verordnungen mit eigenen Anforderungen: Betriebssicherheitsverordnung, Gefahrstoffverordnung, Biostoffverordnung, Lastenhandhabungsverordnung, Arbeitsstättenverordnung. Sie ersetzen die Beurteilung nicht, sie verschärfen sie.

Welche Gefährdungen müssen Sie prüfen?

Das Gesetz benennt sechs Faktoren, aus denen sich eine Gefährdung ergeben kann (§ 5 Abs. 3 ArbSchG). Diese Liste ist der Prüfmaßstab – wer sie abarbeitet, hat die Struktur, die eine Behörde erwartet:

Nummer 5 verdient besondere Aufmerksamkeit, weil sie in kaum einer Beurteilung als eigener Punkt auftaucht: Fehlende oder veraltete Unterweisung ist selbst eine Gefährdung – nicht nur eine Maßnahme gegen andere Gefährdungen. Wer eine Maschine ohne Einweisung bedient, ist gefährdet, unabhängig davon, wie gut die Maschine geschützt ist.

Nummer 6 ist seit Oktober 2013 ausdrücklich im Gesetz und wird in der Praxis am häufigsten übersprungen. Eine Beurteilung ohne psychische Belastung ist unvollständig, und das ist bei einer Prüfung erkennbar.

Zusätzlich zu berücksichtigen sind besondere Personengruppen: Jugendliche, Menschen mit Behinderung, Beschäftigte ohne ausreichende Sprachkenntnisse, Leiharbeitnehmende.

Ein eigener Punkt ist der Mutterschutz. § 10 Abs. 1 MuSchG verlangt, im Rahmen der Beurteilung nach § 5 ArbSchG für jede Tätigkeit zu prüfen, ob Schutzmaßnahmen für schwangere oder stillende Frauen erforderlich wären – anlassunabhängig, also auch dann, wenn aktuell keine Frauen im Betrieb tätig sind. Das Unterlassen ist eine Ordnungswidrigkeit (§ 32 Abs. 1 Nr. 6 MuSchG). Diese Pflicht wird häufiger übersehen als jede andere.

Wie gehen Sie vor? Die sieben Schritte

Vorab eine Klarstellung, weil das oft anders dargestellt wird: Die Siebenteilung ist eine Handlungshilfe, keine Vorschrift. Gesetzlich verlangt sind vier Dinge – beurteilen (§ 5 ArbSchG), Maßnahmen treffen (§ 3 Abs. 1 S. 1), Wirksamkeit prüfen und anpassen (§ 3 Abs. 1 S. 2) und dokumentieren (§ 6). Die sieben Schritte sortieren das nur praktikabel.

1. Tätigkeiten und Bereiche festlegen. Zehn bis zwanzig Tätigkeiten sind für einen mittelständischen Betrieb meist ausreichend. Gleichartiges zusammenfassen ist ausdrücklich erlaubt.

2. Gefährdungen ermitteln. Drei Quellen kombinieren: Begehung, Gespräche mit den Beschäftigten, die die Tätigkeit ausführen, und Auswertung von Unfällen und Beinahe-Unfällen. Die zweite Quelle wird am häufigsten übersprungen und liefert die brauchbarsten Hinweise.

3. Gefährdungen beurteilen. Eintrittswahrscheinlichkeit und mögliche Schwere. Eine dreistufige Skala genügt; feinere Risikomatrizen erzeugen Scheingenauigkeit.

4. Maßnahmen festlegen. Nach der Rangfolge aus Abschnitt 4, jeweils mit verantwortlicher Person und Frist.

5. Maßnahmen umsetzen.

6. Wirksamkeit prüfen. Vorgeschrieben (§ 3 Abs. 1 S. 2 ArbSchG) und in den meisten vorgelegten Unterlagen nicht enthalten.

7. Fortschreiben und dokumentieren. Dazu Abschnitt 5 und 6.

Muster und Handlungshilfen finden Sie in der Datenbank der BAuA, unter anderem das Merkblatt „Sieben Schritte zum Ziel“ der BG RCI. Die BAuA weist selbst darauf hin, dass solche Muster die betriebsspezifische Beurteilung nicht ersetzen – sie decken häufige Gefährdungen ab, nicht Ihre.

Welche Maßnahme kommt zuerst?

Die Rangfolge steht nicht im Belieben. Als Merkhilfe hat sich STOP eingebürgert; die Buchstaben fassen die Grundsätze des § 4 ArbSchG zusammen, ohne selbst dort so zu stehen:

Belegbar sind im Gesetz: Gefährdung möglichst vermeiden (§ 4 Nr. 1), Gefahren an der Quelle bekämpfen (§ 4 Nr. 2) und der Nachrang individueller Schutzmaßnahmen (§ 4 Nr. 5). Die eigentliche Substitutionspflicht steht in der Gefahrstoffverordnung, nicht im ArbSchG.

Praktisch heißt das: Wer eine Gefährdung mit persönlicher Schutzausrüstung beantwortet, obwohl eine technische Lösung möglich wäre, hat die Rangfolge verletzt. Das ist ein häufiger Befund, weil Schutzausrüstung billiger aussieht – sie verlagert aber die Verantwortung auf die einzelne Person und wirkt nur, wenn sie getragen wird.

Was muss dokumentiert werden?

Drei Angaben müssen aus den Unterlagen hervorgehen (§ 6 Abs. 1 ArbSchG): das Ergebnis der Beurteilung, die festgelegten Maßnahmen und das Ergebnis der Wirksamkeitsprüfung. Eine bestimmte Form schreibt das ArbSchG nicht vor – die Unterlagen müssen aber aussagefähig und plausibel sein, ein Kreuz in einer Checkliste erfüllt das nicht.

Wichtig: Die Formfreiheit gilt nur für das Arbeitsschutzgesetz. Bei Tätigkeiten mit Biostoffen ist die Beurteilung unabhängig von der Beschäftigtenzahl vor Aufnahme der Tätigkeit zu dokumentieren, mit festgelegten Pflichtangaben und einem Biostoffverzeichnis (§ 7 BioStoffV). Bei Gefahrstoffen kommt ein Gefahrstoffverzeichnis hinzu.

Diese Struktur deckt die Anforderungen ab und lässt sich als Tabelle führen:

Die letzten drei Zeilen sind der Unterschied zwischen einer Dokumentation, die trägt, und einer Liste guter Vorsätze. Ohne sie können Sie bei einer Begehung nicht belegen, dass der Kreislauf geschlossen wurde.

Im selben Paragrafen steckt eine zweite Pflicht, die oft untergeht: Unfälle mit mehr als drei Tagen Arbeitsunfähigkeit sind zu erfassen (§ 6 Abs. 2 ArbSchG).

Wie oft müssen Sie die Gefährdungsbeurteilung aktualisieren?

Das Arbeitsschutzgesetz nennt keine Frist – einzelne Verordnungen sehr wohl. Diese Unterscheidung ist wichtig, weil viele Darstellungen nur die erste Hälfte wiedergeben.

Bei Biostoffen gilt eine Besonderheit, die gern übersehen wird: Auch wenn die Überprüfung ergibt, dass keine Aktualisierung nötig ist, muss das mit Datum in der Dokumentation vermerkt werden. Ein Verstoß ist bußgeldbewehrt.

Unabhängig von Fristen ist anlassbezogen fortzuschreiben, wenn sich etwas ändert: neue oder veränderte Arbeitsmittel, Verfahren oder Stoffe; Umbauten; neu erkannte Gefährdungen; Unfälle, Beinahe-Unfälle und arbeitsbedingte Erkrankungen; geänderte Vorschriften; eine Wirksamkeitsprüfung, die zeigt, dass eine Maßnahme nicht greift.

Für Betriebe ohne Bio- oder Gefahrstoffbezug hat sich zusätzlich eine turnusmäßige Durchsicht im Abstand von einem bis drei Jahren bewährt. Das ist eine Praxisempfehlung, keine gesetzliche Pflicht – aber die einfachste Absicherung dagegen, dass eine Änderung durchrutscht.

Wer darf sie erstellen – und wer muss mitreden?

Verantwortlich ist der Arbeitgeber. Für die Durchführung gilt Folgendes:

Fachkunde kann vorgeschrieben sein. Bei Tätigkeiten mit Biostoffen ist die Beurteilung fachkundig durchzuführen; verfügt der Arbeitgeber nicht selbst über die Kenntnisse, muss er sich fachkundig beraten lassen (§ 4 Abs. 1 BioStoffV). Ähnliche Anforderungen enthalten andere Verordnungen. Ein reines Selbstbau-Vorgehen ist damit nicht überall zulässig.

Betriebsärztin und Fachkraft für Arbeitssicherheit unterstützen Sie. Ihre Bestellung folgt aus dem Arbeitssicherheitsgesetz. Umfang und Form der Betreuung richten sich allerdings nach der DGUV Vorschrift 2 – neben der Regelbetreuung gibt es die alternative bedarfsorientierte Betreuung und für Kleinbetriebe das Unternehmermodell. „Sie brauchen eine Sicherheitsfachkraft im Haus“ ist deshalb zu grob.

Der Betriebsrat hat ein Mitbestimmungsrecht. Wo ein Betriebsrat besteht, greift § 87 Abs. 1 Nr. 7 BetrVG bei Regelungen über den Gesundheitsschutz. Die Gefährdungsbeurteilung ohne Beteiligung zu erstellen, ist deshalb nicht nur unklug, sondern angreifbar.

Die Beschäftigten sind einzubeziehen. Nicht nur, weil sie die Gefährdungen kennen, sondern weil Prüfende sie befragen. Wenn ihre Schilderung nicht zum Papier passt, ist das ein Befund.

Welche Fehler fallen bei Begehungen auf?

Die Beurteilung von der Stange. Vorlage aus dem Internet, Firmenname eingesetzt. Erkennbar daran, dass Gefährdungen aufgeführt sind, die es im Betrieb nicht gibt – und die relevanten fehlen.

Keine Wirksamkeitsprüfung. Maßnahmen sind festgelegt, teils umgesetzt, aber niemand hat geprüft, ob sie wirken. Der häufigste formale Mangel.

Psychische Belastung ausgelassen. Seit 2013 im Gesetz, in der Praxis oft nicht bearbeitet.

Qualifikation und Unterweisung fehlen als Gefährdungsfaktor. Nummer 5 der gesetzlichen Liste kommt in vielen Beurteilungen nicht vor.

Veraltete Fassung. Datum von vor mehreren Jahren, während in der Halle zwei neue Maschinen stehen.

Mutterschutz nicht berücksichtigt. Weil im Betrieb gerade keine Frauen arbeiten – was die Pflicht nicht entfallen lässt.

Was droht bei Verstößen?

Die Aufsichtsbehörden haben Auskunfts- und Vorlagerechte und können Anordnungen treffen (§ 22 ArbSchG). Verstöße gegen solche Anordnungen sind bußgeldbewehrt (§ 25 ArbSchG); wer dadurch vorsätzlich Leben oder Gesundheit gefährdet, macht sich strafbar (§ 26 ArbSchG). Für einzelne Verordnungen gelten eigene Bußgeldtatbestände, etwa § 20 BioStoffV oder § 32 Abs. 1 Nr. 6 MuSchG.

Praktisch schwerer wiegt aber die Beweislage nach einem Schadensfall. Ohne dokumentierte Beurteilung ist die Position gegenüber Berufsgenossenschaft, Versicherung und im Ernstfall vor Gericht deutlich schlechter – unabhängig davon, ob je ein Bußgeld verhängt wurde.

Wie leiten Sie daraus Ihre Unterweisungen ab?

Hier liegt die Verbindung, die in der Praxis am häufigsten fehlt – und sie ist gesetzlich verankert, nicht nur sinnvoll. Die Unterweisung muss auf den Arbeitsplatz und die Tätigkeit ausgerichtete Anweisungen und Erläuterungen umfassen (§ 12 Abs. 1 S. 2 ArbSchG), und die Arbeitsstättenverordnung knüpft die Information der Beschäftigten ausdrücklich an die Gefährdungsbeurteilung (§ 6 Abs. 1 ArbStättV).

Wer stattdessen einen Standardkatalog abarbeitet, unterweist an der eigenen Gefährdungslage vorbei und kann bei einer Prüfung nicht begründen, warum genau diese Themen geschult werden. Dazu kommt der Punkt aus Abschnitt 2: Unzureichende Unterweisung ist selbst ein gesetzlich benannter Gefährdungsfaktor.

Praktisch bedeutet das drei Schritte: Jede Gefährdung mit organisatorischer Maßnahme erzeugt einen Unterweisungsinhalt. Jeder Inhalt wird einer Tätigkeit zugeordnet, nicht einer Person. Jede Zuordnung braucht ein Intervall und einen Nachweis.

Für diese drei Schritte ist eine Lernplattform das passende Werkzeug. Im reteach LMS weisen Sie Unterweisungen über Gruppen den betroffenen Tätigkeiten zu, der Compliance-Workflow übernimmt Fristen, verpflichtende Teilnahme, Erinnerungen und Zertifikate mit Ablaufdatum, und für eine Begehung exportieren Sie den Stand als Übersicht. Fertige Kurse zu Arbeitsschutzthemen stehen im reteach Kurskatalog – ergänzen Sie sie um die betriebsspezifischen Inhalte aus Ihrer Beurteilung, denn genau dieser Zusatz macht aus einem Standardkurs eine arbeitsplatzbezogene Unterweisung.

Wie der Nachweis systematisch geführt wird, beschreiben die Beiträge zu digitalen Unterweisungen und zur Qualifikationsmatrix. Ein Beispiel für eine Unterweisung, deren Inhalt sich direkt aus der Beurteilung ergibt, ist die Brandschutzunterweisung.

Welche Vorschriften gelten? Die Übersicht zum Nachschlagen

Die Normtexte finden Sie beim Bundesministerium der Justiz, Handlungshilfen und das Handbuch zur Gefährdungsbeurteilung bei der BAuA.

Fazit: Drei Spalten entscheiden

Die Gefährdungsbeurteilung ist kein Dokument, das man erstellt und abhakt, sondern ein Kreislauf – und er bricht in den meisten Betrieben nach der Umsetzung ab, weil niemand prüft, ob die Maßnahme gewirkt hat.

Wenn Sie an einer Stelle anfangen wollen: Nehmen Sie Ihre bestehende Beurteilung und ergänzen Sie drei Spalten – umgesetzt am, Wirksamkeit geprüft, nächste Überprüfung. Das ist keine neue Beurteilung, sondern eine Tabellenerweiterung, und es schließt den Punkt, der bei Begehungen zuerst auffällt.

Der zweite Schritt kostet ebenso wenig: Prüfen Sie, ob Nummer 5 und Nummer 6 der gesetzlichen Liste in Ihren Unterlagen überhaupt vorkommen – unzureichende Unterweisung und psychische Belastung. Fehlt eines davon, ist die Beurteilung unvollständig, egal wie sorgfältig der Rest ist.

Häufig gestellte Fragen

Barrierefreies E-Learning ist seit dem 28. Juni 2025 ein Thema, das Personalabteilungen aus zwei Richtungen erreicht. Seit diesem Datum gilt das Barrierefreiheitsstärkungsgesetz, und seither lautet die Frage überall gleich: Müssen unsere Onlinekurse jetzt barrierefrei sein? Die Antwort, die in vielen Ratgebern steht, lautet ja. Sie ist für die meisten mittelständischen Unternehmen falsch.

Dieser Beitrag klärt zuerst die Geltungsfrage, weil davon alles Weitere abhängt – und beantwortet danach die Frage, die tatsächlich zählt: Was macht barrierefreies E-Learning aus, damit Kurse ohne Maus, ohne Ton und ohne scharfes Sehen funktionieren? Der Hinweis vorab, den Sie in einem Beitrag zu einem Gesetz erwarten dürfen: Das hier ist eine Orientierung, keine Rechtsberatung. Bei Mischformen und in Zweifelsfällen ist juristischer Rat die richtige Adresse.

Gilt das BFSG für Ihre E-Learnings?

Ob barrierefreies E-Learning für Sie eine Pflicht ist oder eine Entscheidung, klären vier Fragen in wenigen Minuten.

Erstens: Verkaufen Sie Kurse an Privatpersonen? Wenn Ihre Akademie einen Shop hat, in dem Verbraucherinnen und Verbraucher einen Kurs buchen und bezahlen können, ist das elektronischer Geschäftsverkehr im Sinne des Gesetzes. Dann gilt das BFSG – für den Buchungsprozess und für die Dienstleistung selbst. Das ist der Fall, der am häufigsten übersehen wird, weil Unternehmen ihre Akademie als internes Werkzeug sehen und den offenen Kursverkauf nebenbei betreiben.

Zweitens: Schulen Sie ausschließlich eigene Beschäftigte oder Geschäftskunden? Dann greift das BFSG nicht. Die Bundesfachstelle Barrierefreiheit hält in ihren FAQ fest, dass Dienstleistungen, die ausschließlich im B2B-Bereich angeboten werden, nicht vom BFSG betroffen sein sollten. Systeme für rein interne Prozesse ohne Kontakt zu Endverbrauchern fallen ebenfalls heraus. Ein Lernmanagementsystem, auf dem Ihre Belegschaft Pflichtunterweisungen absolviert, ist damit kein Anwendungsfall des Gesetzes.

Drittens: Sind Sie eine öffentliche Stelle? Kommunen, Behörden, Hochschulen und viele Eigenbetriebe und Anstalten des öffentlichen Rechts unterliegen nicht dem BFSG, sondern dem Behindertengleichstellungsgesetz und der BITV 2.0. Diese Pflicht besteht seit Jahren und ist strenger als das, was das BFSG verlangt. Sie erstreckt sich auf digitale Lernangebote.

Viertens: Liefern Sie an öffentliche Auftraggeber? Dann kommt die Anforderung nicht aus dem Gesetz, sondern aus der Ausschreibung. In Vergabeverfahren wird Barrierefreiheit regelmäßig als Kriterium abgefragt, und wer sie nicht nachweisen kann, scheidet aus – unabhängig davon, ob eine gesetzliche Pflicht besteht.

Für den typischen Mittelständler mit interner Akademie lautet das Ergebnis: Barrierefreies E-Learning ist keine BFSG-Pflicht. Das ist allerdings nicht dasselbe wie „keine Pflicht“, und darum geht es in Abschnitt 3.

Was regelt das Barrierefreiheitsstärkungsgesetz genau?

Das BFSG setzt die europäische Richtlinie über die Barrierefreiheitsanforderungen für Produkte und Dienstleistungen in deutsches Recht um, bekannt als European Accessibility Act. Es verpflichtet Wirtschaftsakteure, bestimmte Produkte und Dienstleistungen barrierefrei anzubieten – dazu zählen Geräte mit digitaler Bedienung wie Geldautomaten oder E-Book-Lesegeräte ebenso wie digitale Dienstleistungen: Online-Banking, Telekommunikation, Personenbeförderung, E-Books und der elektronische Geschäftsverkehr.

Zwei Begriffe entscheiden über die Anwendung. Verbraucher im Sinne von § 13 BGB sind natürliche Personen, die zu privaten Zwecken handeln. Elektronischer Geschäftsverkehr meint Dienste, die über Websites oder Apps auf individuelle Anfrage einer solchen Person im Hinblick auf einen Verbrauchervertrag erbracht werden. Fehlt eines von beidem, fehlt der Anwendungsfall.

Ausgenommen sind außerdem Kleinstunternehmen – weniger als zehn Beschäftigte und höchstens zwei Millionen Euro Jahresumsatz beziehungsweise Bilanzsumme –, allerdings nur bei Dienstleistungen, nicht bei Produkten. Und wer sich auf die B2B-Ausnahme beruft, sollte darauf achten, dass sie erkennbar ist: Das Angebot muss sich klar und eindeutig an Unternehmen richten. Ein Shop, in dem faktisch jede Privatperson bestellen kann, ist kein B2B-Angebot, nur weil das jemand so gemeint hat.

Welche Pflichten greifen, wenn das BFSG nicht gilt?

Hier liegt der Teil, der in der BFSG-Diskussion regelmäßig untergeht. Barrierefreies E-Learning kann auch ohne das Gesetz verlangt sein: Wer Beschäftigte schult, ist an mehrere Normen gebunden, die schon lange vor 2025 galten.

Den unmittelbarsten Bezug hat § 164 SGB IX. Absatz 4 gibt schwerbehinderten Menschen gegenüber ihrem Arbeitgeber einen Anspruch auf bevorzugte Berücksichtigung bei innerbetrieblichen Maßnahmen der beruflichen Bildung und auf eine behinderungsgerechte Gestaltung des Arbeitsumfelds und der Arbeitsorganisation. Eine Pflichtschulung, die eine blinde Mitarbeiterin nicht absolvieren kann, ist damit keine technische Unschönheit, sondern eine Frage, die arbeitsrechtlich beantwortet werden muss. Der Anspruch endet dort, wo die Erfüllung unzumutbar oder mit unverhältnismäßigen Aufwendungen verbunden wäre – bei Untertiteln für ein Schulungsvideo dürfte diese Grenze selten erreicht sein.

Daneben steht das Benachteiligungsverbot aus § 164 Abs. 2 SGB IX in Verbindung mit dem Allgemeinen Gleichbehandlungsgesetz. Wenn der Zugang zu Weiterbildung faktisch von einer Behinderung abhängt, ist das angreifbar – und zwar besonders dann, wenn an der Teilnahme Konsequenzen hängen, etwa eine Berechtigung oder ein Qualifikationsnachweis.

Für öffentliche Stellen gelten das Behindertengleichstellungsgesetz und die BITV 2.0. Sie verlangt, dass Angebote, Anwendungen und Dienste der Informationstechnik wahrnehmbar, bedienbar, verständlich und robust sind, verweist auf die europäische Norm EN 301 549 und fordert zusätzlich Inhalte in Leichter Sprache und in Deutscher Gebärdensprache sowie eine veröffentlichte Erklärung zur Barrierefreiheit. Was das für kommunale Lernangebote bedeutet, greifen wir bei den Schulungen für Kommunen auf.

Was bedeutet barrierefreies E-Learning technisch?

Technisch ist barrierefreies E-Learning klarer definiert, als die Debatte vermuten lässt, und die Normenkette ist kürzer, als sie aussieht. BITV 2.0 verweist auf EN 301 549, die europäische Norm für Barrierefreiheitsanforderungen an IKT-Produkte und -Dienstleistungen. Diese wiederum übernimmt die WCAG 2.1 des W3C, die zugleich als ISO-Norm 40500 vorliegt. Wer nach WCAG 2.1 auf Stufe AA arbeitet, erfüllt damit den Kern dessen, was alle genannten Regelwerke verlangen.

Die WCAG ordnen sich nach vier Prinzipien. Für barrierefreies E-Learning sind diese vier nützlicher als jede Kriterienliste:

Wahrnehmbar. Jede Information muss über mehr als einen Sinneskanal zugänglich sein. Ton braucht Text, Bild braucht Beschreibung, Farbe darf nie allein bedeuten.

Bedienbar. Alles muss ohne Maus funktionieren und ohne Zeitdruck. Das betrifft in Kursen vor allem Navigation, Videoplayer und Quizze.

Verständlich. Sprache, Struktur und Verhalten müssen vorhersehbar sein. Fehlermeldungen müssen erklären, was zu tun ist.

Robust. Der Inhalt muss mit assistiven Technologien wie Screenreadern funktionieren – was in der Praxis heißt: sauberes HTML statt Bild vom Text.

Wie gestalten Sie Kursinhalte barrierefrei?

Der größte Teil der Arbeit für barrierefreies E-Learning steckt nicht in der Plattform, sondern im Material. Nach Medientyp sortiert:

Wenn Sie priorisieren müssen, beginnen Sie bei Video. Untertitel und Transkript lösen den größten Teil der Probleme, helfen zusätzlich allen, die im Großraum ohne Kopfhörer lernen oder die Inhaltssprache nicht als Muttersprache haben – und sie verbessern nebenbei die Auffindbarkeit der Inhalte.

Der zweite Hebel für barrierefreies E-Learning ist die Sprache selbst. Kurze Sätze, erklärte Fachbegriffe und eine klare Struktur helfen niemandem mehr als Menschen mit Lese- oder Konzentrationsschwierigkeiten, und sie kosten in der Produktion nichts. Bei öffentlichen Stellen kommt Leichte Sprache als eigene Anforderung hinzu; im Unternehmensumfeld ist verständliches Standarddeutsch der realistische Anspruch.len kommt Leichte Sprache als eigene Anforderung hinzu; im Unternehmensumfeld ist verständliches Standarddeutsch der realistische Anspruch.

Woran scheitern Onlinekurse in der Praxis am häufigsten?

Fünf Muster verhindern barrierefreies E-Learning bei fast jeder Prüfung, und alle fünf entstehen aus Bequemlichkeit, nicht aus Unwissen.

Text als Bild. Eine abfotografierte Betriebsanweisung, ein Screenshot einer Folie, eine Infografik mit eingebranntem Text – für einen Screenreader ist das eine leere Fläche. Der schnellste Fix ist gleichzeitig der beste: den Text als Text einpflegen.

Untertitel aus der Maschine, ungeprüft. Automatisch erzeugte Untertitel sind ein guter Anfang und bei Fachbegriffen, Eigennamen und Zahlen unzuverlässig. Gerade in Unterweisungen, wo es auf Grenzwerte und Bezeichnungen ankommt, ist die Korrektur nicht optional.

Alternativtexte, die nichts sagen. „Bild1.png“ oder „Grafik“ erfüllen die Form und nicht den Zweck. Der Alternativtext soll transportieren, was das Bild aussagt – bei rein dekorativen Bildern ist er leer, damit der Screenreader sie überspringt.

Navigation nur mit Maus. Selbst gebaute Interaktionen, Drag-and-drop-Übungen und eingebettete Inhalte aus Drittwerkzeugen sind häufig nicht per Tastatur bedienbar. Bei eingebetteten Inhalten liegt das Problem außerhalb der eigenen Plattform und wird oft erst bemerkt, wenn jemand es meldet.

PDF als Standardanhang. Das Merkblatt, die Betriebsanweisung, die Checkliste – meistens aus einem Textprogramm exportiert, ohne Tags, ohne Lesereihenfolge. Wo es möglich ist, ist eine HTML-Seite im Kurs die bessere Lösung als ein PDF.

Wie prüfen Sie einen Kurs vor der Veröffentlichung?

Ob ein Kurs barrierefreies E-Learning tatsächlich einlöst, zeigt sich erst in der Prüfung. Ein vollständiger BITV-Test gehört dabei in fachkundige Hände. Für die laufende Produktion reicht eine kurze Routine, die jede Person nach kurzer Einweisung durchführen kann:

Tastatur: Legen Sie die Maus weg und bedienen Sie den Kurs vollständig mit der Tabulatortaste. Kommen Sie überall hin, ist erkennbar, wo der Fokus steht, und bleiben Sie nirgends hängen?

Ton aus: Sehen Sie das Video ohne Ton an – verstehen Sie den Inhalt?

Bild aus: Hören Sie nur zu – fehlt Ihnen etwas?

Zoom: Vergrößern Sie den Browser auf 200 Prozent und prüfen Sie, ob noch alles lesbar und bedienbar ist.

Alternativtexte: Lesen Sie sie ohne die zugehörigen Bilder und fragen Sie sich, ob Sie dieselbe Information hätten.

Wer es genauer braucht: Die Bundesfachstelle Barrierefreiheit verweist auf den BITV-Test und weitere Prüfverfahren, darunter Schnelltests für einen ersten Eindruck. Automatische Prüfwerkzeuge finden etwa ein Drittel der typischen Probleme – nützlich als Vorfilter, kein Ersatz für die manuelle Prüfung.

Halten Sie das Ergebnis fest. Wenn Sie an öffentliche Auftraggeber liefern oder eine Erklärung zur Barrierefreiheit veröffentlichen müssen, brauchen Sie ohnehin eine dokumentierte Selbsteinschätzung; und wenn eine beschäftigte Person eine Barriere meldet, ist eine vorhandene Prüfhistorie das bessere Gesprächsangebot als eine Schrecksekunde.

Worauf achten Sie bei der Auswahl einer Lernplattform?

Barrierefreies E-Learning entsteht in zwei Schichten. Die Inhalte verantworten Sie selbst, die Grundlage liefert das System – und wenn die Grundlage nicht stimmt, hilft der beste Kurs nichts.

Für die Auswahl sind fünf Fragen praktikabel:

Tastaturbedienung: Lässt sich die Plattform vollständig per Tastatur bedienen, einschließlich Login, Kursnavigation und Quiz?

Untertitelspuren: Unterstützt der Videoplayer sie, und lassen sie sich abschalten?

Alternativtexte: Können Sie zu jedem Bild einen hinterlegen?

Überschriftenhierarchie: Erlaubt der Editor echte Ebenen statt nur größerer Schrift?

Nachweis: Liefert die Anbieterseite eine Aussage zum Stand der Barrierefreiheit, im besten Fall mit Prüfbericht?

Diese fünf Fragen gehören in jede Anbieterauswahl, unabhängig davon, ob barrierefreies E-Learning bei Ihnen gesetzlich verlangt ist. Bei einer Ausschreibung im öffentlichen Bereich sind sie ohnehin Teil der Anforderungen.

Im reteach LMS lassen sich die inhaltsseitigen Voraussetzungen umsetzen: Kursinhalte werden als strukturierter Text angelegt statt als Bild, zu jedem Bild ist ein Alternativtext hinterlegbar, Videos lassen sich mit Untertiteln und begleitendem Transkript bereitstellen, und die Akademie ist für unterschiedliche Endgeräte und Bildschirmgrößen ausgelegt. Wenn Sie Pflichtschulungen fahren, die alle erreichen müssen, hilft zusätzlich der Compliance-Workflow, weil er sichtbar macht, wer eine Schulung nicht abgeschlossen hat – und genau dort fallen Zugänglichkeitsprobleme zuerst auf. Wie sich der Nachweis über abgeschlossene Pflichtthemen systematisch führen lässt, beschreibt der Beitrag zu digitalen Unterweisungen.

Fazit: Die Pflichtfrage ist nicht die wichtigste Frage

Für die meisten mittelständischen Unternehmen ist die rechtliche Antwort auf die BFSG-Frage entlastend: Wer ausschließlich eigene Beschäftigte und Geschäftskunden schult, ist nicht betroffen. Wer Kurse an Privatpersonen verkauft, ist es – und sollte zuerst den Buchungsprozess ansehen, nicht die Kursinhalte.

Die interessantere Frage ist eine andere. Eine Pflichtunterweisung, die ein Teil der Belegschaft nicht absolvieren kann, ist unabhängig von jeder Norm ein Problem: für die betroffene Person, für die Nachweisführung und für die Führungskraft, die den Abschluss verantwortet. Barrierefreies E-Learning kostet in der Produktion wenig – Untertitel, Alternativtexte und Tastaturbedienbarkeit – und wirkt auf alle – auch auf die, die im Zug lernen oder deren Deutsch noch nicht sicher ist. Das ist der bessere Grund als der Paragraf.

Häufig gestellte Fragen

ISO 27001 umsetzen heißt nicht, Technik einzukaufen, sondern ein Managementsystem aufzubauen, das im Audit trägt. Kundenanforderungen, Ausschreibungen, Lieferkettenaudits: Immer mehr Unternehmen im Mittelstand brauchen ein nachweisbares Informationssicherheitsmanagementsystem – schriftlich festgelegt, im Alltag gelebt und jederzeit prüfbar. Die ISO/IEC 27001 ist dafür der internationale Maßstab. Sie beschreibt allerdings nur, was ein solches System leisten muss – nicht, wie Sie es in Ihrer Organisation aufbauen.

Diese Lücke kostet in der Praxis Monate. Projekte beginnen bei den technischen Maßnahmen statt beim Anwendungsbereich, sammeln Richtlinien, die nicht zueinander passen, und stellen kurz vor dem Audittermin fest, dass die Risikobeurteilung die halbe Dokumentation nicht stützt. Nacharbeit unter Zeitdruck ist die Folge – und in einigen Fällen ein verschobener Zertifizierungstermin.

Dieser Beitrag schließt die Lücke mit einer belastbaren Arbeitsreihenfolge. Sie erfahren, welche Klauseln die Norm verpflichtend fordert, in welchen neun Schritten Sie ein ISMS aufbauen, wie eine Risikobeurteilung aussieht, die im Audit hält, welche Dokumente eine Zertifizierungsstelle sehen möchte, wie Sie mit den 93 Controls aus Anhang A umgehen, wie das zweistufige Zertifizierungsaudit abläuft, mit welchem Aufwand Sie rechnen müssen – und welche fünf Fehler Projekte am häufigsten verzögern. Wer die ISO 27001 umsetzen will, ohne zweimal anzufangen, findet hier die Reihenfolge dafür.

Was ist ein ISMS nach ISO 27001?

Ein Informationssicherheitsmanagementsystem (ISMS) ist ein dokumentierter Satz aus Regeln, Prozessen und Verantwortlichkeiten, mit dem eine Organisation Risiken für die Vertraulichkeit, Integrität und Verfügbarkeit ihrer Informationen systematisch steuert.

Entscheidend ist das Wort Managementsystem. Die ISO/IEC 27001 beschreibt keinen technischen Sollzustand, sondern einen Steuerungskreis: Sie legen fest, welche Informationen schützenswert sind, bewerten die Risiken, wählen Maßnahmen, prüfen deren Wirksamkeit und verbessern nach. Dieser Zyklus – Plan, Do, Check, Act – muss belegbar laufen, nicht nur beschrieben sein. Unternehmen, die die ISO 27001 umsetzen, führen deshalb kein Projekt mit Enddatum ein, sondern einen dauerhaften Regelbetrieb.

Daraus folgt eine Erkenntnis, die viele Projekte zu spät erreicht: Ein ISMS lässt sich nicht einkaufen. Werkzeuge, Vorlagen und Beratung beschleunigen die Einführung, aber die Verantwortung für Bewertung und Entscheidung bleibt in der Organisation. Die oberste Leitung ist nach Klausel 5 ausdrücklich in der Pflicht und kann diese Rolle nicht vollständig delegieren.

Abzugrenzen ist die ISO 27001 vom IT-Grundschutz des BSI, der einen deutlich konkreteren Maßnahmenkatalog vorgibt und sich als Basis für eine ISO-27001-Zertifizierung nutzen lässt. Wer international liefert oder von Kundenseite nach dem ISO-Zertifikat gefragt wird, fährt in der Regel mit der Norm selbst besser.

Welche Anforderungen stellt die ISO 27001:2022?

Die verpflichtenden Anforderungen stehen in den Klauseln 4 bis 10 des Normtextes. Anhang A ergänzt sie um einen Referenzkatalog von Maßnahmen, die je nach Risikolage ausgewählt werden. Wer die ISO 27001 umsetzen möchte, arbeitet diese sieben Klauseln vollständig ab – keine davon ist optional.

Zwei Änderungen der Fassung 2022 sind praktisch relevant. Erstens wurde Anhang A neu strukturiert: aus 114 Maßnahmen in 14 Kapiteln wurden 93 Maßnahmen in vier Themenbereichen, ergänzt um elf neue Controls, unter anderem zu Cloud-Diensten, Threat Intelligence, Konfigurationsmanagement und Datenlecks. Zweitens ergänzte das Amendment 1:2024 die Klauseln 4.1 und 4.2 um den Aspekt Klimawandel: Sie müssen bestimmen und dokumentieren, ob dieses Thema für Ihr ISMS relevant ist.

Die Übergangsfrist von der Fassung 2013 endete am 31. Oktober 2025. Zertifikate nach der alten Version sind seither ungültig – prüfen Sie bei Lieferanten und Partnern, auf welche Normfassung ein vorgelegtes Zertifikat verweist.

In welchen Schritten sollten Sie die ISO 27001 umsetzen?

Der Aufbau folgt einer Reihenfolge, in der jeder Schritt auf den vorherigen aufbaut. Wer die Maßnahmenauswahl vor die Risikobeurteilung stellt, produziert Dokumente, die im Audit nicht zusammenpassen.

Schritt 1: Anwendungsbereich festlegen. Definieren Sie, welche Standorte, Prozesse, Systeme und Organisationseinheiten das ISMS umfasst. Ein enger, klar begründeter Scope ist einfacher zertifizierbar als ein pauschales „gesamtes Unternehmen“, das Sie anschließend nicht belegen können.

Schritt 2: Leitung einbinden und Rollen besetzen. Benennen Sie eine verantwortliche Rolle für Informationssicherheit mit ausreichender Zeit und Mandat, verabschieden Sie die Informationssicherheitspolitik und legen Sie Berichtswege zur Leitung fest.

Schritt 3: Werte und Informationen erfassen. Erstellen Sie ein Verzeichnis der Informationswerte: Systeme, Anwendungen, Datenbestände, Dienstleistende, Papierakten. Ohne diese Inventur bleibt jede Risikobeurteilung Spekulation.

Schritt 4: Risiken beurteilen. Bewerten Sie systematisch, welche Bedrohungen auf welche Werte wirken und wie hoch Eintrittswahrscheinlichkeit und Auswirkung sind.

Schritt 5: Risiken behandeln und Maßnahmen auswählen. Entscheiden Sie je Risiko über Vermeiden, Vermindern, Übertragen oder Akzeptieren, wählen Sie dazu passende Controls und dokumentieren Sie das Ergebnis in der Erklärung zur Anwendbarkeit.

Schritt 6: Prozesse und Richtlinien ausrollen. Setzen Sie die ausgewählten Maßnahmen in verbindliche Regelungen um: Zugriffsrechte, Umgang mit mobilen Geräten, Meldung von Sicherheitsvorfällen, Lieferantensteuerung, Notfallvorsorge.

Schritt 7: Kompetenz und Bewusstsein aufbauen. Schulen Sie alle Beschäftigten zu den für sie relevanten Regelungen und dokumentieren Sie die Teilnahme.

Schritt 8: Wirksamkeit prüfen. Führen Sie ein internes Audit über alle Klauseln und relevanten Controls durch, erheben Sie Kennzahlen und protokollieren Sie die Managementbewertung.

Schritt 9: Zertifizierungsaudit durchlaufen. Beauftragen Sie eine akkreditierte Zertifizierungsstelle und beheben Sie festgestellte Abweichungen fristgerecht.

Die Reihenfolge ist kein Vorschlag, sondern der eigentliche Hebel: Teams, die die ISO 27001 umsetzen und mit Schritt 1 bis 4 beginnen, sparen den größten Teil der späteren Nacharbeit ein.

Wie führen Sie die Risikobeurteilung praktisch durch?

Die Norm schreibt keine Methode vor, verlangt aber eine dokumentierte und wiederholbar anwendbare Vorgehensweise mit definierten Kriterien für Risikoakzeptanz und Risikobewertung.

In der Praxis bewährt sich ein einfaches Raster mit Skalen von 1 bis 4 für Eintrittswahrscheinlichkeit und Auswirkung. Wichtiger als die Feinheit der Skala ist, dass Sie dieselben Kriterien über alle Risiken hinweg konsistent anwenden und die Bewertung nachvollziehbar begründen.

Diese Tabelle können Sie unmittelbar als Grundlage Ihres Risikoregisters übernehmen. Drei Punkte werden im Audit regelmäßig geprüft: Erstens muss jedes Risiko einen Verantwortlichen haben. Zweitens brauchen akzeptierte Restrisiken eine dokumentierte Genehmigung durch die zuständige Ebene. Drittens muss die Beurteilung in geplanten Abständen und bei wesentlichen Änderungen wiederholt werden – einmal jährlich ist der übliche Turnus.

Welche Dokumente verlangt die Norm verpflichtend?

Die ISO 27001 fordert an mehreren Stellen ausdrücklich „dokumentierte Informationen“. Diese Liste bildet das Minimum, das eine Zertifizierungsstelle sehen möchte – und damit die Checkliste für alle, die die ISO 27001 umsetzen.

Zusätzlich verlangen viele der ausgewählten Controls eigene Regelungen, etwa zur Zugriffssteuerung, zum Umgang mit Sicherheitsvorfällen oder zur Auslagerung an Dienstleistende. Halten Sie die Dokumentenlandschaft bewusst schlank: Fünfzig gelebte Seiten überzeugen im Audit mehr als fünfhundert Seiten, die niemand kennt.

Wie setzen Sie die 93 Controls aus Anhang A um?

Anhang A ist ein Referenzkatalog, keine Pflichtliste. Sie prüfen jedes der 93 Controls auf Anwendbarkeit, setzen die relevanten um und begründen jede Nichtanwendung in der Erklärung zur Anwendbarkeit.

Jedes Control trägt in der Fassung 2022 fünf Attribute, unter anderem Maßnahmenart, betroffene Sicherheitseigenschaft und operative Fähigkeit. Diese Attribute sind kein Selbstzweck: Sie erlauben es, den Katalog nach Ihren eigenen Kriterien zu filtern und etwa alle präventiven Maßnahmen zum Thema Identitätsmanagement gemeinsam zu bearbeiten.

Die häufigste Fehleinschätzung betrifft die Verteilung: Nur 34 der 93 Controls sind technologischer Natur. Die Mehrheit ist organisatorisch und personenbezogen – also abhängig davon, ob Menschen Regeln kennen und anwenden. Genau daran scheitert es häufiger als an fehlender Technik.

Welche Rolle spielen Schulung und Awareness im ISMS?

Schulung ist keine freiwillige Ergänzung, sondern eine prüfbare Anforderung an drei Stellen der Norm: Klausel 7.2 zur Kompetenz, Klausel 7.3 zum Bewusstsein und Control A.6.3 zu Bewusstsein, Ausbildung und Schulung im Bereich Informationssicherheit.

Konkret erwartet ein Auditor Antworten auf vier Fragen: Wer wurde geschult? Zu welchen Inhalten? Wann? Und wie stellen Sie fest, dass die Inhalte verstanden wurden? Eine Präsenzveranstaltung mit Anwesenheitsliste erfüllt die erste und dritte Frage, lässt die zweite und vierte aber offen. Deshalb setzen Organisationen, die die ISO 27001 umsetzen, überwiegend auf E-Learning mit Lernerfolgskontrolle und automatischer Dokumentation der Abschlüsse.

Inhaltlich decken Sie mindestens ab: Bedeutung der Informationssicherheitspolitik, individuelle Beiträge zur Wirksamkeit des ISMS, Konsequenzen von Regelverstößen, Erkennen und Melden von Sicherheitsvorfällen sowie Umgang mit Phishing und Social Engineering. Rollen mit erhöhtem Risiko – Administration, Personalwesen, Buchhaltung, Führungskräfte – brauchen darüber hinaus vertiefende Inhalte.

Wichtig ist die Wiederholung. Ein einmaliges Onboarding genügt nicht, weil das Bewusstsein nachweislich abnimmt und sich Bedrohungen verändern. Ein Jahresrhythmus mit ergänzenden Phishing-Simulationen ist der praktische Standard.

Wenn Sie die Schulungsseite dieses Themas vertiefen möchten – Inhalte, Zielgruppen, Turnus und Formatwahl –, finden Sie das im Beitrag zu Informationssicherheit-Schulungen. Dieser Beitrag hier bleibt bei der Normperspektive.

Wie läuft die Zertifizierung ab und was kostet sie?

Die Zertifizierung erfolgt durch eine akkreditierte Zertifizierungsstelle in einem zweistufigen Erstaudit, gefolgt von jährlichen Überwachungsaudits und einer Re-Zertifizierung nach drei Jahren.

Im Stage-1-Audit prüft die Zertifizierungsstelle die Dokumentation und die grundsätzliche Auditreife. Hier zeigt sich, ob Anwendungsbereich, Risikobeurteilung und Erklärung zur Anwendbarkeit schlüssig zusammenpassen. Im Stage-2-Audit wird die tatsächliche Umsetzung vor Ort und in Interviews geprüft. Festgestellte Abweichungen werden nach Schweregrad klassifiziert; schwerwiegende Abweichungen müssen vor der Zertifikatserteilung behoben sein.

Achten Sie darauf, dass die Zertifizierungsstelle für die ISO 27001 akkreditiert ist – in Deutschland durch die DAkkS. Nicht akkreditierte Zertifikate werden von Kundenseite und in Ausschreibungen häufig zurückgewiesen.

Zum Aufwand einige Orientierungswerte für Organisationen zwischen 50 und 250 Beschäftigten, die die ISO 27001 umsetzen:

Die Zahl der Audittage richtet sich nach der Beschäftigtenzahl im Anwendungsbereich und der Komplexität; die Zertifizierungsstellen kalkulieren sie nach international vorgegebenen Regeln. Verlässliche Angaben erhalten Sie nur über ein konkretes Angebot – vergleichen Sie mindestens zwei Stellen.

Welche Fehler verzögern die Zertifizierung am häufigsten?

Fünf Muster tauchen bei Projekten, die die ISO 27001 umsetzen, immer wieder auf.

Zu weiter Anwendungsbereich. Wer alles einschließt, muss alles belegen. Beginnen Sie mit dem Bereich, für den ein Nachweis geschäftlich gefordert ist, und erweitern Sie später.

Vorlagen ohne Anpassung. Übernommene Musterrichtlinien beschreiben Prozesse, die es in Ihrer Organisation nicht gibt. Diese Diskrepanz fällt im Interview sofort auf, weil Beschäftigte die Regelungen nicht kennen.

Risikobeurteilung als Einmalübung. Ohne dokumentierte Wiederholung und ohne Verknüpfung mit realen Veränderungen – neuen Systemen, neuen Dienstleistenden – verliert das Register seine Gültigkeit.

Fehlende Nachweise über Kompetenz. Klausel 7.2 gehört zu den häufigsten Abweichungen, weil Schulungen stattfinden, aber nicht revisionssicher dokumentiert sind. Eine Plattform, die Teilnahme, Ergebnis und Datum automatisch protokolliert, entschärft diesen Punkt vollständig.

Internes Audit zu spät oder zu oberflächlich. Das interne Audit ist Ihre Gelegenheit, Abweichungen vor der Zertifizierungsstelle zu finden. Planen Sie es mindestens zwei Monate vor dem Stage-2-Audit ein und lassen Sie es von einer Person durchführen, die den geprüften Bereich nicht selbst verantwortet.

Wie unterstützt reteach Ihr ISMS?

reteach deckt die personenbezogenen Anforderungen ab, wenn Sie die ISO 27001 umsetzen – also die Klauseln 7.2 und 7.3 sowie die Controls des Themenbereichs A.6.

Das reteach LMS verteilt Pflichtschulungen automatisiert an Zielgruppen, erinnert an Fristen und dokumentiert Abschlüsse, Ergebnisse und Zeitpunkte auf Personenebene. Genau diese Auswertung legen Sie im Audit als Nachweis über Kompetenz und Bewusstsein vor. Das LMS ist DSGVO-konform und lässt sich an bestehende Personalsysteme anbinden.

Über reteach Kurse stehen mehr als 500 selbstproduzierte Kurse bereit, darunter Inhalte zu Informationssicherheit, Datenschutz, IT-Compliance und sicherem Umgang mit E-Mail und Cloud-Diensten. Sie können diese Kurse direkt zuweisen oder mit eigenen Inhalten zu Ihren spezifischen Richtlinien kombinieren.

reteach Phishing Awareness ergänzt die Wissensvermittlung um wiederkehrende Simulationen. Die Lösung ist datenschutzfreundlich gestaltet, liefert einen auditfähigen Nachweisbeitrag und zeigt im Klick-Moment eine Aufklärungsseite. Als eigenständige Komplettlösung lässt sie sich auch unabhängig vom LMS einsetzen.

Der praktische Effekt: Der Punkt, an dem ISMS-Projekte im Audit am häufigsten Abweichungen sammeln, wird zu einem Bericht, den Sie auf Knopfdruck erzeugen.

Fazit: Nächste Schritte für Ihren ISMS-Aufbau

Die ISO 27001 umsetzen heißt, Informationssicherheit von einem IT-Thema zu einer Managementaufgabe zu machen. Der Normtext gibt dafür einen Rahmen, aber keine Reihenfolge – die müssen Sie selbst setzen. Wer mit Anwendungsbereich, Werteverzeichnis und Risikobeurteilung beginnt, statt zuerst Maßnahmen zu sammeln, kommt mit deutlich weniger Nacharbeit ins Zertifizierungsaudit.

Drei Schritte für die kommenden Wochen:

1. Legen Sie den Anwendungsbereich schriftlich fest und lassen Sie ihn von der Leitung bestätigen.
2. Erstellen Sie ein erstes Werteverzeichnis und bewerten Sie die zehn kritischsten Risiken mit dem Raster aus diesem Beitrag.
3. Prüfen Sie, wie Sie Schulungsnachweise nach Klausel 7.2 heute belegen könnten – und schließen Sie diese Lücke früh, weil sie sich mit vergleichsweise geringem Aufwand vollständig lösen lässt.

Wenn Sie den Schulungsteil Ihres ISMS aufsetzen möchten, sehen Sie sich das reteach LMS in einer Demo an oder testen Sie es 14 Tage kostenfrei.

Häufig gestellte Fragen

Ob Sie KI-Bilder kennzeichnen müssen, entscheiden seit dem 2. August 2026 vier Kriterien der EU-KI-Verordnung. In vielen Marketing-Teams läuft seither die Prüfung der Texte – das größere Thema sind aber die Bilder. Denn die Leitlinien der EU-Kommission vom 20. Juli 2026 fassen den Deepfake-Begriff weiter als von vielen erwartet: Das klassische Symbolbild vom Beratungsgespräch, das früher aus der Bilddatenbank kam und heute aus dem Bildgenerator, kann kennzeichnungspflichtig sein.

Gleichzeitig gibt es mehr Entlastung als vielfach angenommen. Bei Bildern zählt allein das Erzeugungsdatum: Vor dem Stichtag erstellte Motive bleiben unberührt. Die Aufgabe reduziert sich damit auf das laufende und künftige Geschäft. Und auch dort muss nicht plötzlich jeder zweite Beitrag einen Hinweis tragen – die Prüfung ist allerdings feingliedriger, als das Bauchgefühl vermuten lässt.

Eine Vorbemerkung zur Rolle: Marketing-Teams und Agenturen sind fast immer Betreiber, nicht Anbieter. Wasserzeichen und Metadaten sind damit Sache der Tool-Hersteller, in eigene Dateien muss nichts eingebettet werden. Was bleibt, ist die sichtbare Kennzeichnung am Inhalt: KI-Bilder kennzeichnen heißt für Betreiber, einen für Menschen wahrnehmbaren Hinweis am Motiv zu setzen. Die Systematik dahinter – Rollen, die vier Pflichtenkreise, Bußgelder und Fristen – behandelt der Beitrag zur KI-Kennzeichnungspflicht.

Wann müssen Sie KI-Bilder kennzeichnen?

Kennzeichnungspflichtig sind KI-Bilder, die als Deepfake gelten. Der Begriff klingt nach gefälschten Politikervideos, ist in Artikel 50 der KI-Verordnung aber deutlich breiter angelegt. Die Leitlinien der EU-Kommission zerlegen die Definition in vier Kriterien, die alle zusammen erfüllt sein müssen.

1. Ähnlichkeit – der Inhalt ähnelt einem Motiv deutlich erkennbar. Identisch muss er nicht sein; es kommt darauf an, ob charakteristische Merkmale wiedergegeben werden.
2. Existenz – das Gezeigte existiert, kann plausibel existieren oder hätte plausibel existieren können.
3. Personen, Gegenstände, Orte, Einrichtungen oder Ereignisse – wobei „Personen“ ausdrücklich auch realistische KI-generierte Avatare und Personas umfasst.
4. Falscher Echtheitseindruck – der Inhalt könnte jemanden über seine Authentizität oder Wahrhaftigkeit täuschen.

Zwei dieser Kriterien verdienen eine genauere Betrachtung, weil sie in der Praxis das Ergebnis bestimmen.

Kriterium 2 ist kein Filter, sondern ein Scheunentor

Es braucht keinen Prominenten und kein Wahrzeichen. Ein fotorealistisch generiertes Gesicht, das keinem realen Menschen entspricht, erfüllt das Existenzkriterium bereits – denn ein solcher Mensch könnte existieren. Draußen bleibt nur das physisch Unmögliche. Die Leitlinien nennen als Beispiele Menschen, die ohne Hilfsmittel fliegen, Drachen und autofahrende Elefanten; als konkrete Nicht-Deepfakes eine Sphinx über dem Eiffelturm und Mäuse, die in menschlicher Sprache über Käsesorten streiten.

Kriterium 4 ist die eigentliche Prüfung

Ein hoher Fotorealismus macht einen Deepfake wahrscheinlicher, ist aber für sich allein nicht ausschlaggebend. Zu prüfen bleibt, ob der Inhalt im konkreten Einsatzkontext geeignet ist, über die Echtheit zu täuschen.

Auf eine Täuschungsabsicht kommt es dabei nicht an – wer nicht täuschen wollte, ist nicht entlastet. Maßgeblich ist auch nicht ein gedachter Durchschnittsbetrachter, sondern die tatsächliche Zusammensetzung des vernünftigerweise vorhersehbaren Publikums, ausdrücklich einschließlich Kindern, älteren Menschen und Personen mit geringerer KI-Kompetenz. Wenn der Inhalt diesem Teil des Publikums als echt erscheinen könnte, genügt das. Umgekehrt muss eine Weiterverbreitung durch Dritte, die außerhalb der vorhersehbaren Reichweite liegt, nicht einkalkuliert werden.

Das ist die eigentliche Verschiebung gegenüber dem Bauchgefühl: Dass eine Person frei erfunden ist, entlastet nicht. Entlastend wirkt allein, dass niemand getäuscht wird.

Welche Marketing-Motive sind betroffen?

Die Leitlinien enthalten Beispiele, die sich direkt auf Marketing-Situationen übertragen lassen.

Der Standardfall: KI-Bilder statt Stockfotos

Der mit Abstand häufigste Anwendungsfall im Marketing taucht in den Leitlinien nicht als eigenes Beispiel auf: das lächelnde Team im Großraumbüro, der Handschlag, die freundliche Person mit Headset. Bislang kamen diese Motive aus der Bilddatenbank, zunehmend kommen sie aus dem Bildgenerator.

Ob Sie diese KI-Bilder kennzeichnen müssen, folgt aus den vier Kriterien, und ein Detail der Definition entscheidet sie: Die Leitlinien fassen unter „Ereignisse“ ausdrücklich auch realistische Szenen und Situationen – und nennen als Beispiel die Darstellung beruflicher oder verbrauchernaher Dienstleistungen. Genau das ist das klassische Symbolbild: Beratungsgespräch, Wartung, Kundenservice, Teammeeting. Dazu kommt, dass „Personen“ laut Leitlinien realistische KI-generierte Avatare und Personas einschließt.

Der Grund für die Strenge in den oberen Zeilen liegt im vierten Kriterium: Authentizität meint nach den Leitlinien auch, ob tatsächlich reale Menschen beteiligt waren und ob eine Dienstleistung so erbracht wird, wie dargestellt. Ein Bild, das aussieht wie eine Aufnahme des eigenen Teams, gibt genau darüber ein falsches Signal – unabhängig davon, ob jemand täuschen wollte.

Umgekehrt liegt darin auch der Ausweg. Wer den Fotorealismus verlässt, verlässt den Anwendungsbereich. Ein durchgängiger Illustrationsstil, Flat Design oder ein erkennbar künstliches Rendering lösen keine Kennzeichnungspflicht aus – und ersparen die Diskussion im Einzelfall. Für viele Marken ist die Umstellung der Bildsprache der pragmatischere Weg als eine Kennzeichnung auf jedem zweiten Motiv.

Faustregel für das Bildbriefing

Zwei Fragen genügen für den Alltag:

1. Könnte das, was zu sehen ist, in der Realität existieren?
2. Könnte jemand aus dem angesprochenen Publikum den Inhalt für eine echte Aufnahme halten und sich dadurch über Personen, Produkt oder Sachverhalt täuschen?

Nur wenn Sie beide Fragen mit Ja beantworten, müssen Sie KI-Bilder kennzeichnen.

KI-Bilder kennzeichnen: Wie muss der Hinweis aussehen?

Pflichtformulierungen und Gestaltungsvorgaben gibt es nicht. Maßgeblich ist der Rechtsstandard aus Artikel 50: Der Hinweis muss klar, unterscheidbar und spätestens beim ersten Kontakt wahrnehmbar sein. Wer KI-Bilder kennzeichnen will, kann daraus vier praktikable Regeln ableiten.

Was funktioniert

• Badge im Bild, dezent in einer Ecke, mit ausreichendem Kontrast. Die robusteste Variante, weil sie beim Teilen, Zuschneiden und in Social-Vorschauen erhalten bleibt.
• Bildunterschrift direkt unter dem Motiv, sichtbar auf dieselbe Abbildung bezogen. Gut geeignet bei Blogbeiträgen und redaktionellen Strecken.
• Kurze, gleichbleibende Formulierung: „KI-generiert“, „Bild: KI-generiert“ oder „Mit KI erstellt“. Länger muss es nicht sein.
• Einheitliches Icon, einmal festgelegt und in allen Templates hinterlegt. Wiedererkennbarkeit senkt den Aufwand auf beiden Seiten.

Was nicht genügt

• ein pauschaler Hinweis im Footer oder in den Nutzungsbedingungen nach dem Muster „Auf dieser Website kommt KI zum Einsatz“
• ein Vermerk ausschließlich in den Bildrechten, im Impressum oder auf einer Sammelseite
• Wasserzeichen und Metadaten des Generators allein – die Leitlinien stellen ausdrücklich klar, dass Betreiber sich nicht auf die maschinenlesbare Markierung des Anbieters berufen können, weil diese für Menschen nicht wahrnehmbar ist
• ein Hinweis, der erst nach Klick, Hover oder Aufklappen sichtbar wird

Zwei oft übersehene Punkte

Erstens die Barrierefreiheit: Der Hinweis muss den geltenden Zugänglichkeitsanforderungen entsprechen. Ein rein visuelles Badge erreicht Screenreader nicht – der Hinweis gehört deshalb zusätzlich in den Alternativtext. Umgekehrt reicht der Alternativtext allein nicht, weil sehende Nutzende ihn nicht wahrnehmen.

Zweitens die Mehrfachverwendung: Die Pflicht knüpft an jede Ausspielung an. Dasselbe Motiv braucht den Hinweis auf der Landingpage, im Social Post und in der Anzeige gleichermaßen. Wer das Badge fest ins Bild einbrennt, löst das Problem an der Quelle statt in jedem einzelnen Kanal.

Die offiziellen EU-Icons

Zum Code of Practice on Transparency of AI-generated Content, der seit dem 10. Juni 2026 final vorliegt, hat die EU-Kommission einen Satz offizieller Kennzeichnungs-Icons bereitgestellt. Deren Verwendung ist freiwillig; die Kennzeichnungsanforderungen aus Artikel 50 bleiben in jedem Fall verpflichtend. Für Teams, die eine Entscheidung treffen müssen, sprechen zwei Punkte für die offiziellen Symbole: Sie sind über Unternehmensgrenzen hinweg wiedererkennbar, und ihre Verwendung lässt sich gegenüber Marktüberwachungsbehörden leichter begründen als eine Eigenkreation.

Was gilt für Plattformen wie LinkedIn und Instagram?

Unabhängig von der KI-Verordnung verlangen viele Plattformen ohnehin eine Kennzeichnung realistisch wirkender KI-Inhalte, teils mit eigenen Upload-Abfragen und automatisch gesetzten Labels. Bei Instagram, LinkedIn und TikTok ist das Plattform-Label deshalb mitzudenken.

Praktisch heißt das: Wer KI-Bilder kennzeichnen muss, sollte sich nicht auf das Plattform-Label verlassen. Es ersetzt die eigene Kennzeichnung nicht zuverlässig, weil Sie nicht kontrollieren, ob und wie es angezeigt wird. Es kommt zusätzlich hinzu. Wer das Badge fest ins Motiv einbrennt, ist auf beiden Ebenen abgedeckt.

Müssen Sie bereits erstellte KI-Bilder kennzeichnen?

Nein. Bei Bild, Video und Audio zählt allein das Erzeugungsdatum. Motive, die vor dem 2. August 2026 erzeugt oder manipuliert wurden, müssen nicht nachträglich gekennzeichnet werden – auch dann nicht, wenn sie weiterhin online stehen, und nach dem Wortlaut auch nicht, wenn sie später erneut ausgespielt werden.

Zwei Einschränkungen sollten Sie kennen. Wer ein Altbild nach dem Stichtag erneut wesentlich mit KI bearbeitet, erzeugt ein neues Manipulationsdatum – dann greift der Bestandsschutz nicht mehr. Und das Erzeugungsdatum wird zur Beweisfrage: Wer sich darauf beruft, sollte belegen können, wann ein Bild entstanden ist. Ein entsprechendes Feld in der Mediendatenbank kostet wenig und erspart später Diskussionen. Wie der Bestandsschutz bei Texten abweicht, erläutert der Beitrag zur KI-Kennzeichnungspflicht.

Was ist mit KI-Texten im Marketing?

Bei Texten ist der Anwendungsbereich deutlich schmaler. Die Pflicht greift nur, wenn ein Text veröffentlicht ist, die Öffentlichkeit informiert und ein Thema von öffentlichem Interesse betrifft. Landingpages, Werbetexte, Produktbeschreibungen und Case Studies fallen in der Regel heraus – Blogbeiträge zu Regulierungs-, Gesundheits- oder Nachhaltigkeitsthemen dagegen hinein.

Für diese Fälle gibt es eine Ausnahme, die in der Praxis fast alles löst: Bei belegbarer redaktioneller Prüfung und öffentlich benannter Verantwortung entfällt die Kennzeichnung. Die Stolperfalle liegt im Workflow – wird der Text nach der Freigabe noch einmal substanziell mit KI bearbeitet, etwa durch ein SEO-Tool, entfällt die Entlastung wieder. Die vier Bedingungen im Einzelnen und die Liste der nicht ausreichenden Prüfungen stehen im Beitrag zur KI-Kennzeichnungspflicht.

Der wichtigste Merksatz für Bildverantwortliche: Diese Ausnahme gilt ausschließlich für Texte. Wer KI-Bilder kennzeichnen muss, kann sich nicht darauf berufen: Bei Bild, Video und Audio hilft die Ausnahme nicht. Ein Deepfake bleibt kennzeichnungspflichtig, egal wie gründlich ihn jemand freigegeben hat.

Welche Risiken bleiben trotz Kennzeichnung?

Auch wer KI-Bilder kennzeichnen lässt, ist nicht in allen Punkten abgesichert. Zwei Risiken gelten unabhängig von Artikel 50 und werden durch einen Hinweis nicht geheilt.

• Wettbewerbsrecht: Ein KI-Bild, das über Produkt oder Leistung in die Irre führt, bleibt angreifbar, auch mit Hinweis. Der Hinweis sagt, dass ein Bild künstlich ist – er macht eine irreführende Aussage nicht zulässig.
• Persönlichkeitsrechte: Ähnelt ein generiertes Gesicht einer realen Person erkennbar, kommen Persönlichkeits- und gegebenenfalls Markenrechte ins Spiel. Auch hier ändert die Kennzeichnung nichts.

Eine abgeschwächte – nicht entfallende – Pflicht gibt es für Deepfakes in offensichtlich künstlerischen, kreativen, satirischen oder fiktionalen Werken: Der Hinweis darf dann so angebracht werden, dass er Darstellung und Genuss des Werks nicht beeinträchtigt. Für Werbung ist das selten ein Ausweg. Die Leitlinien legen die Kategorien eng aus und stellen klar: Vermischen sich informativer und kreativer Charakter, setzt sich der informative durch.

Nächste Schritte: Bildsprache einmal entscheiden

Der Aufwand fällt überwiegend einmalig an. Fünf Festlegungen genügen, damit Sie nicht bei jedem Motiv neu entscheiden müssen, ob Sie KI-Bilder kennzeichnen.

1. Grundsatzentscheidung zur Bildsprache: fotorealistisch arbeiten und konsequent kennzeichnen – oder auf einen erkennbar illustrativen Stil umstellen und die Einzelfallprüfung vermeiden.
2. Erzeugungsdatum als Feld in der Mediendatenbank anlegen. Es entscheidet über den Bestandsschutz.
3. Formulierung und Icon festlegen und in allen CMS-, Anzeigen- und Social-Templates hinterlegen, inklusive Alternativtext-Baustein.
4. Briefing-Frage in den Freigabeprozess aufnehmen: Könnte das Motiv für eine echte Aufnahme gehalten werden?
5. Team sensibilisieren. Die KI-Kompetenzpflicht aus Artikel 4 der KI-Verordnung gilt parallel und unabhängig von der Kennzeichnung.

Für die organisatorische Verankerung bündelt eine KI-Nutzungsrichtlinie diese Vorgaben an einer Stelle. Für den Kompetenzaufbau im Team finden Sie passende Formate unter KI-Schulungen.

Dieser Beitrag gibt den Stand vom August 2026 wieder und ersetzt keine Rechtsberatung. Grundlage sind Artikel 50 der Verordnung (EU) 2024/1689 sowie die Leitlinien der Europäischen Kommission zur Umsetzung der Transparenzpflichten, C(2026) 5054 final vom 20. Juli 2026. Die Leitlinien sind ausdrücklich nicht bindend; eine verbindliche Auslegung kann letztlich nur der Europäische Gerichtshof geben.

Häufig gestellte Fragen

Die Frage klingt einfach: Bringt eine Phishing-Simulation mehr als eine klassische Awareness-Schulung? In Anbieterpräsentationen fällt die Antwort eindeutig aus, in der Forschung nicht. Mehrere große Feldstudien mit zusammen mehr als 34.000 Beschäftigten kommen zu einem unbequemen Ergebnis: Beide Formate verändern das Klickverhalten deutlich weniger, als die Branche annimmt – und eines von beiden kann in der üblichen Umsetzung sogar nach hinten losgehen.

Dieser Beitrag fasst die Studienlage zusammen, ordnet ein, was daraus für die Praxis folgt, und benennt die Kennzahlen, mit denen sich die Wirksamkeit einer Awareness-Schulung überhaupt seriös beurteilen lässt.

Was sagt die Studienlage zur Wirksamkeit von Awareness-Schulungen?

Die belastbarsten Erkenntnisse kommen aus Feldstudien in echten Organisationen über viele Monate – nicht aus Laborexperimenten mit Studierenden und nicht aus Anbieterstatistiken. Sechs Arbeiten zur Wirksamkeit von Awareness-Schulungen prägen die aktuelle Diskussion:

Auffällig ist die Richtung der Zeitachse: Die frühen Arbeiten fanden Effekte, die großen aktuellen Feldstudien finden kaum welche. Eine Reproduktionsstudie in einem Fintech-Unternehmen kam 2026 erneut zu begrenztem Nutzen interaktiver Übungen und nutzte dafür die NIST Phish Scale, um Schwierigkeitsgrade vergleichbar zu machen.

Wirkt eine klassische Jahresschulung?

Für den Aufbau von Wissen ja, für die Veränderung des Klickverhaltens kaum. Das ist der klarste Befund der jüngeren Forschung.

Die Studie von Ho und Kollegen an einer großen Gesundheitsorganisation prüfte genau diese Frage in einem randomisierten Design über acht Monate: Personen, die die verpflichtende Jahresschulung kürzlich absolviert hatten, fielen in den Simulationen nicht signifikant seltener auf Phishing herein als andere. Eine Nebenauswertung zeigt eine Nuance: Wer zugewiesene Trainings tatsächlich abschloss, schnitt später besser ab als Personen, die sie begonnen und nicht beendet hatten. Der Abschluss selbst ist also nicht wertlos – der große Schutzeffekt bleibt aber aus.

Warum das plausibel ist: Eine 45-minütige Einheit einmal im Jahr kämpft gegen zwei Effekte. Erstens verfällt Wissen, wie der Abschnitt zur Haltbarkeit zeigt. Zweitens ist Phishing-Erkennung keine Frage des in einer Awareness-Schulung vermittelten Wissens, sondern eine Aufmerksamkeitsfrage im Arbeitsfluss – und Aufmerksamkeit lässt sich nicht auf Vorrat schulen.

Für Nachweispflichten nach NIS2, ISO 27001 oder TISAX bleibt die dokumentierte Awareness-Schulung dennoch relevant. Sie erfüllt einen anderen Zweck als Verhaltensänderung, und diese beiden Zwecke sollten nicht miteinander verrechnet werden.

Wirken Phishing-Simulationen mit eingebetteter Aufklärung?

Hier ist die Studienlage am unbequemsten. Die 15-Monats-Studie der ETH Zürich mit über 14.000 Beschäftigten fand, dass eingebettetes Training in der branchenüblichen Form die Belegschaft nicht widerstandsfähiger machte – und Nebenwirkungen hatte, die Beschäftigte anfälliger machen können. Über die Laufzeit stieg zudem der Anteil der Personen, die mindestens einmal geklickt hatten: Wer lange genug beschossen wird, klickt irgendwann.

Die Untersuchung an der Gesundheitsorganisation kam unabhängig davon zu einem ähnlich nüchternen Bild: Der absolute Unterschied in den Fehlerraten zwischen Personen mit und ohne eingebettetes Training war sehr klein, über verschiedene Trainingsinhalte hinweg. Und die meisten Beschäftigten verbrachten nur minimale Zeit mit dem Material, das nach dem Klick erschien.

Zwei weitere Befunde aus der ETH-Studie verdienen Aufmerksamkeit, weil sie die Zielgruppenauswahl betreffen: Besonders anfällig waren Personen, die täglich mit spezialisierter Software repetitive Aufgaben erledigen – nicht die Gruppe, die man intuitiv zuerst schult. Und Warnhinweise direkt an der E-Mail gehörten zu den Maßnahmen mit klar belegter Wirkung.

Das ist kein Argument gegen Simulationen. Es ist ein Argument gegen die Erwartung, dass eine Simulation mit anschließender Erklärseite von sich aus Verhalten ändert.

Wodurch wirkt eine Simulation dann überhaupt?

Durch die Erinnerung, nicht durch die Belehrung. Genau das hat die 2024 auf der ACM CCS ausgezeichnete Arbeit von Lain und Kollegen herausgearbeitet: Die Wirkung eingebetteter Aufklärung entsteht aus dem Nudging-Effekt – der wiederkehrenden Erinnerung daran, dass die Bedrohung existiert. Der eigentliche Inhalt der Aufklärungsseite wird selten konsumiert, weil Beschäftigte keine Zeit haben und den Nutzen als gering einschätzen.

Für die Praxis folgt daraus etwas sehr Konkretes:

• Frequenz schlägt Tiefe. Vier kurze Kontakte im Jahr wirken als Erinnerung besser als ein ausführlicher Kurs.
• Die Aufklärungsseite muss kurz sein. Drei Sätze, die den entscheidenden Hinweis nennen, werden gelesen. Zwei Bildschirmseiten Didaktik nicht.
• Sanktionsfreiheit ist Bedingung. Wer eine Simulation als Test inszeniert, kauft sich Misstrauen ein, ohne den Erinnerungseffekt zu verstärken.
• Der Nutzen liegt auch im Prozess. Eine Welle übt den Meldeweg und zeigt der IT, wie schnell Hinweise eintreffen. Die ETH-Studie belegt, dass Hinweise aus der Belegschaft neue Kampagnen schnell sichtbar machen und der organisatorische Aufwand dafür tragbar bleibt.

Wie lange hält der Effekt einer Awareness-Schulung an?

Der Effekt einer Awareness-Schulung hält etwa vier bis sechs Monate – danach ist er nicht mehr messbar. Diese Zahl ist die praktisch nützlichste der ganzen Studienlage.

Reinheimer und Kollegen begleiteten eine deutsche Behörde mit 409 Teilnehmenden über ein halbes Jahr. Direkt nach der Awareness-Schulung und nach vier Monaten erkannten die Beschäftigten Phishing- und legitime E-Mails signifikant besser als vorher. Nach sechs Monaten war dieser Vorteil verschwunden. Eine Anschlussuntersuchung präzisierte das Intervall: Nach fünf Monaten war die Leistung noch signifikant besser, die Auffrischung sollte also näher an sechs Monaten liegen als an vier.

Ebenso wichtig ist der zweite Teil dieser Studie: Nicht jede Auffrischung wirkt gleich gut. Maßnahmen mit Videos und interaktiven Beispielen hielten mindestens weitere sechs Monate. Reine Textmaterialien schnitten schlechter ab.

Damit ergibt sich ein Rhythmus, der sich aus der Forschung ableiten lässt und nicht aus Gewohnheit: eine substanzielle Einheit, danach halbjährlich eine kurze, möglichst interaktive Auffrischung – und zwischendurch Simulationswellen als Erinnerung.

Simulation oder klassische Schulung: Was ist wann sinnvoll?

Die Formate konkurrieren nicht, sie leisten Unterschiedliches:

Die praktische Reihenfolge ist damit vorgegeben: technische Maßnahmen zuerst, dann kurze Grundlagen für alle, dann halbjährliche Auffrischung, dann Simulationswellen als Erinnerung. Wer diese Reihenfolge umdreht und die Awareness-Schulung hinter die Simulation stellt, investiert in die Maßnahme mit der schwächsten Einzelevidenz.

Wie sich das über die ersten Monate verteilen lässt, beschreibt der Beitrag zum Awareness-Programm einführen. Aufbau und Auswertung von Wellen behandelt der Beitrag zur Phishing-Simulation.

Welche Kennzahlen sind belastbar?

Die meisten Zahlen, die in Awareness-Berichten auftauchen, sind Momentaufnahmen und lassen sich durch die Wahl des Szenarios beliebig verschieben. Belastbar wird eine Kennzahl erst durch Zeitreihe und vergleichbare Schwierigkeit.

Drei Regeln machen den Unterschied zwischen Reporting und Selbsttäuschung. Erstens: Schwierigkeitsgrad dokumentieren – ein leichtes Szenario senkt die Klickrate, ohne dass sich etwas verbessert hat. Die NIST Phish Scale ist dafür ein etablierter Rahmen. Zweitens: aggregiert berichten – personenbezogene Auswertungen sind selten notwendig und beschädigen das Vertrauen. Drittens: Wissen und Verhalten getrennt ausweisen, weil die Studienlage zeigt, dass das eine das andere nicht mitbringt.

Welche Grenzen hat die Studienlage?

Wer die Befunde nutzt, sollte auch ihre Reichweite kennen:

• Einzelne Organisationen. Die großen Feldstudien stammen aus jeweils einem Unternehmen, einer Klinik oder einer Behörde. Branche, Kultur und technische Ausstattung beeinflussen die Ergebnisse.
• Unterschiedliche Trainingsqualität. „Eingebettetes Training“ bezeichnet in den Studien das, was im jeweiligen Unternehmen eingesetzt wurde – nicht ein didaktisches Optimum.
• Klickrate als Ersatzgröße. Gemessen wird das Verhalten in Simulationen, nicht der tatsächliche Schaden durch echte Angriffe.
• Freiwilligkeit. In mehreren Studien war die Teilnahme an der Untersuchung optional, was zu Selbstselektion führen kann.
• Zeitliche Tiefe. Sechs Monate Beobachtung sagen wenig über den Aufbau einer Sicherheitskultur über mehrere Jahre.

Die vorsichtige Formulierung lautet deshalb: Die Erwartung, dass Schulung und Simulation die Klickrate deutlich senken, ist empirisch nicht gedeckt. Das heißt nicht, dass Awareness-Schulungen wirkungslos sind – es heißt, dass ihre Wirkung anders zustande kommt als in der Vermarktung behauptet.

Was folgt daraus für die Praxis?

Sechs Konsequenzen, die sich direkt aus den Befunden ableiten:

1. Technische Maßnahmen zuerst. Warnbanner, Filter und Mehr-Faktor-Authentifizierung wirken unabhängig von Tagesform. Awareness ergänzt sie, ersetzt sie nicht.
2. Formate kürzen, Frequenz erhöhen. Statt einer jährlichen Awareness-Schulung eine kurze Grundlage plus halbjährliche Auffrischung mit Video oder interaktivem Beispiel.
3. Simulation als Erinnerung planen, nicht als Prüfung. Mehrere Wellen pro Jahr, kurze Aufklärung im Klick-Moment, keine Sanktionen, keine Namen.
4. Auf Meldewege und Prozesse setzen. Der belegte organisatorische Nutzen liegt darin, dass Hinweise aus der Belegschaft laufende Kampagnen schnell sichtbar machen.
5. Zielgruppen nach Risiko wählen, nicht nach Vermutung. Rollen mit repetitiver Arbeit an spezialisierter Software gehören dazu – ebenso Bereiche mit Zahlungsfreigaben.
6. Wissen und Verhalten getrennt messen und Kennzahlen immer über mehrere Wellen mit dokumentiertem Schwierigkeitsgrad betrachten.

Fazit und nächste Schritte

Die ehrliche Antwort auf die Ausgangsfrage: Keines der beiden Formate senkt die Klickrate so, wie es Anbieterunterlagen nahelegen. Die klassische Awareness-Schulung baut Wissen auf, das nach etwa einem halben Jahr verfällt. Die Simulation wirkt vor allem als wiederkehrende Erinnerung – und diese Wirkung stammt aus der Regelmäßigkeit, nicht aus dem Text auf der Aufklärungsseite.

Wer das akzeptiert, kommt zu einem anderen Programmdesign: kurze Einheiten in kurzen Abständen, Simulationen als Taktgeber, technische Maßnahmen als Fundament und Kennzahlen, die über mehrere Wellen hinweg gelesen werden.

Ihre nächsten drei Schritte:

1. Prüfen, wann die letzte Auffrischung der Awareness-Schulung stattgefunden hat – liegt sie mehr als sechs Monate zurück, ist der messbare Effekt vermutlich weg.
2. Den Jahreskurs in eine kurze Grundlage plus halbjährliche Auffrischung aufteilen, statt ihn zu verlängern.
3. Für die nächste Simulationswelle den Schwierigkeitsgrad dokumentieren, damit die Klickrate mit der vorherigen Welle vergleichbar ist.

Die reteach Lernplattform ist DSGVO-konform und unterstützt genau diesen Rhythmus: kurze Module, automatische Zuweisung nach Zielgruppen, hinterlegte Wiederholungsintervalle und auswertbare Nachweise. reteach Phishing Awareness ist eine eigenständige Komplettlösung aus Lerninhalten und Simulationen mit einer kurzen Aufklärungsseite im Klick-Moment, datenschutzfreundlich gestaltet und auditfähig dokumentiert – als Nachweisbeitrag für NIS2, ISO 27001 und TISAX.

Häufig gestellte Fragen