Phishing ist die häufigste Einstiegsmethode für Cyberangriffe – und längst nicht mehr nur die klassische Betrugsmail von der „Bank“. Angreifer nutzen heute personalisierte Nachrichten, gefälschte Chef-Anweisungen, Anrufe, SMS und sogar QR-Codes. Wer die wichtigsten Phishing-Arten kennt, erkennt Angriffe früher und schützt sein Unternehmen besser. Dieser Beitrag gibt Ihnen den vollständigen Überblick.

Was ist Phishing – und was hat es mit Social Engineering zu tun?

Phishing ist der Versuch, über gefälschte Nachrichten an vertrauliche Daten zu gelangen oder Empfangende zu einer schädlichen Handlung zu bewegen – etwa zur Preisgabe von Passwörtern oder zu einer Überweisung. Der Angreifer gibt sich dabei als vertrauenswürdiger Absender aus, zum Beispiel als Bank, Lieferdienst, Kollege oder Vorgesetzte.

Phishing ist eine Form des Social Engineering. Darunter versteht man die gezielte Manipulation von Menschen, um Sicherheitsmechanismen zu umgehen. Nicht die Technik ist das Ziel, sondern der Mensch mit seinen Emotionen: Zeitdruck, Angst, Hilfsbereitschaft oder Autoritätshörigkeit. Genau diese Hebel nutzen alle Phishing-Arten – sie unterscheiden sich vor allem im Kanal und in der Zielgruppe.

Wie ernst die Lage ist, zeigt das Bundesamt für Sicherheit in der Informationstechnik in seinem jährlichen Lagebericht zur IT-Sicherheit in Deutschland: Die Bedrohung bleibt hoch, und gerade kleine und mittlere Unternehmen geraten zunehmend ins Visier.

Welche Phishing-Arten gibt es im Überblick?

Die folgende Übersicht zeigt die wichtigsten Phishing-Arten auf einen Blick – anschließend erklären wir jede einzeln:

Was ist Spear-Phishing?

Spear-Phishing ist ein gezielter Phishing-Angriff auf eine bestimmte Person oder ein bestimmtes Unternehmen. Anders als beim breiten Massenversand recherchieren die Angreifer ihr Ziel vorab – etwa über soziale Netzwerke oder die Unternehmenswebsite – und schneiden die Nachricht individuell zu.

Beispiel: Eine Mitarbeitende der Personalabteilung erhält eine täuschend echte Mail, die sich auf eine reale, kürzlich veröffentlichte Stellenanzeige bezieht und einen infizierten „Lebenslauf“ im Anhang trägt.

So erkennen Sie es: Die Nachricht wirkt ungewöhnlich gut informiert, erzeugt aber dennoch Druck oder bittet um eine untypische Handlung. Im Zweifel den Absender über einen bekannten, separaten Kanal verifizieren.

Was ist Whaling?

Whaling ist eine Sonderform des Spear-Phishings, die sich gezielt gegen die „großen Fische“ richtet: Geschäftsführung, Vorstand oder andere Führungskräfte. Weil diese Personen weitreichende Befugnisse haben, ist der potenzielle Schaden besonders hoch.

Beispiel: Eine Führungskraft erhält eine vermeintliche Nachricht einer Aufsichtsbehörde oder Anwaltskanzlei mit der dringenden Bitte, vertrauliche Unternehmensdaten in einem verlinkten Portal zu bestätigen.

So erkennen Sie es: Angebliche Vertraulichkeit, hoher Zeitdruck und die Aufforderung, gewohnte Prozesse zu umgehen, sind typische Warnzeichen.

Was ist CEO Fraud?

Beim CEO Fraud (auch „Chef-Masche“ oder Business E-Mail Compromise) geben sich Angreifer als Geschäftsführung aus und weisen Beschäftigte – meist in der Buchhaltung – zu einer dringenden Überweisung oder zur Herausgabe sensibler Daten an. Der Trick lebt von Autorität und Zeitdruck.

Beispiel: Die vermeintliche Geschäftsführung bittet per Mail um eine sofortige, streng vertrauliche Überweisung für eine „Firmenübernahme“ – bloß nicht mit anderen besprechen. Durch KI werden solche Angriffe immer überzeugender: In einem bekannten Fall überwies eine Beschäftigte nach einem Videocall mit Deepfake-Teilnehmenden rund 25 Millionen US-Dollar.

So erkennen Sie es: Ungewöhnliche Dringlichkeit, die Bitte um Geheimhaltung und ein von etablierten Prozessen abweichender Zahlungsweg. Feste Vier-Augen-Prinzipien für Überweisungen schützen wirksam.

Was ist Vishing?

Vishing (Voice Phishing) ist Phishing per Telefonanruf. Angreifer geben sich zum Beispiel als IT-Support, Bank oder Behörde aus und versuchen, am Telefon an Zugangsdaten zu gelangen oder zu einer Aktion zu drängen. Auch hier ermöglicht KI inzwischen täuschend echte Stimmimitationen.

Beispiel: Ein angeblicher IT-Mitarbeiter ruft an, meldet ein „dringendes Sicherheitsproblem“ und bittet um das Passwort oder die Installation einer Fernwartungssoftware.

So erkennen Sie es: Seriöse Stellen fragen nie telefonisch nach Passwörtern. Im Zweifel auflegen und über eine offiziell bekannte Nummer zurückrufen.

Was ist Smishing?

Smishing ist Phishing per SMS oder Messenger-Nachricht. Die Kurznachricht enthält meist einen Link zu einer gefälschten Website oder fordert zu einem Rückruf auf.

Beispiel: Eine SMS im Namen eines Paketdienstes meldet ein „Zollproblem“ und verlinkt auf eine Seite, die Zahlungsdaten abfragt.

So erkennen Sie es: Unerwartete Nachrichten mit Links, verkürzte URLs und die Aufforderung, schnell zu handeln. Links aus SMS grundsätzlich nicht anklicken, sondern offizielle Apps oder Websites direkt aufrufen.

Was ist Quishing?

Quishing ist Phishing über QR-Codes. Der QR-Code führt beim Scannen auf eine gefälschte Website oder löst einen schädlichen Download aus. Weil QR-Codes im Alltag als harmlos gelten, ist die Hemmschwelle niedrig.

Beispiel: Ein aufgeklebter QR-Code auf einem echten Parkautomaten oder in einer gefälschten Rechnung leitet auf eine täuschend echte Bezahlseite.

So erkennen Sie es: Vorsicht bei QR-Codes aus unerwarteten Quellen, überklebten Codes und Zielseiten, die sofort Zahlungs- oder Zugangsdaten verlangen. Die angezeigte URL vor dem Öffnen prüfen.

Wie erkennt man Phishing-Angriffe?

Trotz aller Unterschiede teilen die meisten Phishing-Arten dieselben Warnsignale. Das BSI nennt in seiner Übersicht Wie erkenne ich Phishing in E-Mails und auf Webseiten? mehrere typische Merkmale. Werden Sie misstrauisch, wenn eine Nachricht:

• dringenden Handlungsbedarf vorgibt („nur noch heute“, „sofort bestätigen“),
• mit Konsequenzen droht, etwa einer Kontosperre,
• zur Eingabe vertraulicher Daten wie Passwörtern oder Zahlungsdaten auffordert,
• Links oder Formulare enthält, die zur Dateneingabe drängen,
• scheinbar von einer bekannten Person oder Organisation stammt, das Anliegen aber ungewöhnlich wirkt.

Gerade im Unternehmenskontext gilt: Ein einziges dieser Merkmale genügt, um innezuhalten und die Nachricht über einen zweiten, bekannten Kanal zu prüfen.

Wie schützen sich Unternehmen vor Phishing?

Technische Filter fangen viele, aber längst nicht alle Angriffe ab – die entscheidende Verteidigungslinie sind gut informierte Mitarbeitende. Wirksamer Schutz ruht auf drei Säulen:

Klare Prozesse: feste Regeln für Zahlungen (Vier-Augen-Prinzip), definierte Meldewege und ein umfassendes Security Awareness Training als Rahmen.

Kontinuierliche Sensibilisierung: regelmäßige, alltagsnahe Schulungen statt einer jährlichen Pflichteinheit. Wie das gelingt, zeigt unser Beitrag zur Phishing-Schulung für Mitarbeitende.

Realistisches Training: Phishing-Simulationen machen sicheres Verhalten unter echten Bedingungen erlebbar und messbar.

Fazit: Wer die Arten kennt, erkennt den Angriff

Phishing ist kein einzelnes Phänomen, sondern eine ganze Familie von Angriffsarten – vom breit gestreuten E-Mail-Betrug über gezieltes Spear-Phishing bis zu Quishing per QR-Code. So unterschiedlich die Kanäle sind, so ähnlich sind die Muster dahinter: Druck, Täuschung und der Appell an menschliche Reflexe. Wer diese Muster kennt, ist Angreifern einen entscheidenden Schritt voraus.

Den nachhaltigsten Schutz bietet eine Kombination aus Wissen und Übung. Mit reteach Phishing Awareness verbinden Sie beides: kurze Lerneinheiten und realistische Phishing-Simulationen mit sofortiger Aufklärungsseite – datenschutzfreundlich gestaltet, mit auditfähigem Nachweisbeitrag und als eigenständige Komplettlösung mit und ohne reteach LMS nutzbar.

👉 reteach Phishing Awareness kennenlernen oder direkt eine Live-Demo vereinbaren.

Häufig gestellte Fragen

Die überzeugendste Schulung nützt wenig, wenn im Ernstfall trotzdem geklickt wird. Genau hier setzt die Phishing-Simulation an: Sie testet das Verhalten Ihrer Mitarbeitenden unter realistischen Bedingungen – und macht aus jedem Fehlklick einen Lernmoment, ganz ohne echtes Risiko. Dieser Beitrag erklärt, wie eine Phishing-Simulation funktioniert, was Sie rechtlich beachten müssen und wie Sie sie Schritt für Schritt einführen.

Was ist eine Phishing-Simulation?

Eine Phishing-Simulation ist ein kontrollierter, absichtlich verschickter Phishing-Versuch, mit dem Unternehmen testen, wie ihre Mitarbeitenden auf betrügerische Nachrichten reagieren – und sie zugleich gezielt schulen. Statt auf einen echten Angriff zu warten, wird eine realistische, aber ungefährliche Phishing-Mail an definierte Empfangende gesendet.

Klickt jemand auf den enthaltenen Link, landet die Person nicht bei Kriminellen, sondern auf einer Aufklärungsseite, die den Vorfall erklärt und direkt zum Lernen anleitet. Es passiert also kein Schaden – im Gegenteil.

Phishing-Simulationen sind damit Test und Training in einem: Sie zeigen, wo Risiken bestehen, und verwandeln jeden Fehlklick in einen Lernmoment. Sie sind ein zentraler Baustein eines umfassenden Security Awareness Trainings.

Wie funktioniert eine Phishing-Simulation?

Eine Phishing-Simulation läuft in mehreren, klar definierten Schritten ab:

1. Vorbereitung: Eine realistische Vorlage wird ausgewählt oder erstellt – idealerweise passend zu aktuellen Betrugsmaschen und zur jeweiligen Zielgruppe.
2. Versand: Die simulierte Nachricht geht an die festgelegten Empfangenden, ohne dass diese den genauen Zeitpunkt kennen.
3. Messung: Erfasst wird, wie reagiert wird – etwa Öffnen, Klicken, Eingeben von Daten oder das Melden der Nachricht.
4. Aufklärung: Wer klickt, wird sofort auf eine Aufklärungsseite geleitet, die erklärt, woran der Angriff zu erkennen gewesen wäre.
5. Auswertung: Ein aggregiertes Reporting zeigt den Stand des gesamten Teams – nicht den Einzelner am Pranger.
6. Wiederholung: Weitere Simulationen mit steigendem Schwierigkeitsgrad festigen das Gelernte dauerhaft.

Entscheidend ist die Haltung dahinter: Es geht nicht darum, Mitarbeitende zu erwischen, sondern darum, sie sicherer zu machen.

Warum sind Phishing-Simulationen sinnvoll?

Phishing-Simulationen sind sinnvoll, weil sie das einzige Format sind, das sicheres Verhalten unter realen Bedingungen testet und trainiert. Theoretisches Wissen aus einer Schulung ist wichtig – aber ob es im hektischen Arbeitsalltag auch angewendet wird, zeigt sich erst an einer echten, verdächtigen Nachricht.

Hinzu kommt die sogenannte Vergessenskurve: Einmal vermitteltes Wissen verblasst schnell. Regelmäßige Simulationen halten die Aufmerksamkeit hoch und bauen Reflexe auf – so, wie ein Feueralarm regelmäßig geübt wird.

Die Bedrohungslage macht das dringlicher denn je. Das BSI stuft die IT-Sicherheitslage in seinem jährlichen Lagebericht zur IT-Sicherheit in Deutschland als angespannt ein und weist ausdrücklich darauf hin, dass gerade kleine und mittlere Unternehmen ein lohnendes Ziel sind – oft, ohne es zu wissen. Durch KI werden Angriffe zudem überzeugender und schwerer zu erkennen. Umso wertvoller ist es, das eigene Team an realistischen Beispielen zu trainieren.

Was ist rechtlich zu beachten – Datenschutz und Betriebsrat?

Phishing-Simulationen sind zulässig, müssen aber rechtssicher gestaltet werden. Zwei Punkte sind zentral:

Datenschutz (DSGVO): Bei einer Simulation werden personenbezogene Daten verarbeitet – etwa die Information, wer geklickt hat. Nach Art. 32 DSGVO sind dabei geeignete technische und organisatorische Maßnahmen erforderlich. In der Praxis heißt das: möglichst datensparsam vorgehen, Ergebnisse aggregiert und anonymisiert auswerten und eine klare Rechtsgrundlage schaffen.

Mitbestimmung des Betriebsrats: Weil bei einer Simulation Verhalten der Beschäftigten erfasst werden kann, unterliegt ihre Einführung häufig der Mitbestimmung nach § 87 BetrVG. Der Betriebsrat sollte daher frühzeitig eingebunden werden – idealerweise über eine Betriebsvereinbarung, die Zweck, Umfang und Grenzen der Simulation festhält.

Ganz wichtig ist die Grundhaltung: Eine Phishing-Simulation ist kein Instrument zur Leistungs- oder Verhaltenskontrolle Einzelner. Es gibt keine namentliche Bloßstellung und keine arbeitsrechtlichen Konsequenzen aus einem Fehlklick. Wer transparent und datenschutzfreundlich vorgeht, schafft Vertrauen – die Grundlage jeder wirksamen Sicherheitskultur.

Wie führt man eine Phishing-Simulation durch?

Die Einführung gelingt am besten in klaren Schritten – auch ohne eigene Security-Abteilung:

1. Ziele und Kennzahlen festlegen: Was soll erreicht werden, und woran messen Sie den Erfolg?
2. Betriebsrat und Datenschutz einbinden: Rahmen und Regeln vorab klären und transparent kommunizieren – ohne konkrete Termine oder Vorlagen zu verraten.
3. Ausgangsmessung durchführen: Eine erste Simulation liefert die Baseline.
4. Zielgruppen und Schwierigkeitsgrad wählen: Buchhaltung, Führung und IT erhalten passende, rollenspezifische Szenarien.
5. Realistische Vorlagen einsetzen: aktuelle Maschen statt offensichtlicher Fälschungen.
6. Sofort aufklären: Beim Klick erscheint direkt die Aufklärungsseite mit Lerninhalt.
7. Aggregiert auswerten: Ergebnisse auf Team-, nicht auf Einzelebene betrachten.
8. Regelmäßig wiederholen: in Wellen, mit steigendem Anspruch.

Was macht eine gute Phishing-Simulation aus?

Eine gute Phishing-Simulation erkennt man nicht an der Häufigkeit der Klicks, sondern an der Wirkung. Diese Kriterien sind entscheidend:

• Realistisch: Sie bildet aktuelle Angriffsarten ab – von CEO Fraud über Quishing (QR-Codes) bis Smishing (SMS).
• Kontinuierlich: regelmäßige Wellen statt einer einmaligen Aktion.
• Lernen statt bestrafen: eine sofortige, wertschätzende Aufklärungsseite statt Bloßstellung.
• Rollen- und risikospezifisch: passgenaue Szenarien je nach Aufgabe.
• Datenschutzfreundlich und mitbestimmungskonform: transparent, aggregiert, ohne Einzelkontrolle.
• Messbar und auditfähig: klare Kennzahlen und ein belastbarer Nachweisbeitrag.
• Aufwandsarm: idealerweise direkt in ein LMS integriert, sodass Schulung, Simulation und Nachweis an einem Ort zusammenlaufen.

Weiterführende Tipps zur inhaltlichen Vorbereitung Ihres Teams finden Sie im Beitrag Phishing-Schulung: Mitarbeitende sensibilisieren.

Welche Kennzahlen zeigen den Erfolg?

Der Erfolg einer Phishing-Simulation lässt sich an konkreten Kennzahlen ablesen:

• Klickrate: Wie viele klicken auf die simulierte Mail? Ein sinkender Wert zeigt Fortschritt.
• Meldequote: Wie viele erkennen und melden den Versuch? Diese Kennzahl ist oft aussagekräftiger als die Klickrate, denn Melden schützt das ganze Unternehmen.
• Zeit bis zur Meldung: Wie schnell wird reagiert?
• Dateneingabe-Rate: Wie viele geben auf einer gefälschten Seite tatsächlich Daten ein?
• Wiederholungsfehler: Fallen dieselben Muster mehrfach auf?

Aus diesen Werten entsteht ein auditfähiger Nachweisbeitrag, der den Fortschritt dokumentiert und zugleich als Nachweis für NIS2, DSGVO und ISO/IEC 27001 dient.

Wie findet man die passende Phishing-Simulation?

Welche Lösung passt, hängt vor allem von Integration, Realismus, Datenschutz, Reporting und Aufwand ab. Für den Einstieg eignen sich einzelne Testsimulationen; für nachhaltige Wirkung ist eine kontinuierliche Lösung sinnvoll, die Simulationen, Lerninhalte und Nachweise verbindet.

Eine strukturierte Gegenüberstellung gängiger Lösungen finden Sie in unserem Anbietervergleich für Phishing-Simulationen.

Fazit: Aus Fehlklicks werden Lernmomente

Eine Phishing-Simulation ist der wirksamste Weg, aus Theoriewissen echtes, sicheres Verhalten zu machen – vorausgesetzt, sie ist realistisch, kontinuierlich, rechtssicher und auf Lernen statt Bestrafen ausgerichtet. Richtig aufgesetzt senkt sie messbar das Risiko und liefert zugleich den Nachweis, den NIS2, DSGVO und ISO 27001 verlangen.

Mit reteach Phishing Awareness setzen Sie genau das um: realistische Phishing-Simulationen mit sofortiger Aufklärungsseite, kurze Lerneinheiten und ein auditfähiger Nachweisbeitrag – datenschutzfreundlich gestaltet und als eigenständige Komplettlösung mit und ohne reteach LMS nutzbar.st sich auch in kleinen Teams schnell einführen.

👉 reteach Phishing Awareness kennenlernen oder direkt eine Live-Demo vereinbaren.

Häufig gestellte Fragen

Cyberangriffe treffen längst nicht mehr nur die IT-Abteilung. Sie treffen die Buchhaltung, den Vertrieb, die Geschäftsführung – und damit jeden Menschen im Unternehmen. Security Awareness Training setzt genau dort an: Es macht Mitarbeitende zur stärksten Verteidigungslinie, statt sie als größte Schwachstelle zu behandeln. Dieser Beitrag erklärt, was dazugehört, welche Pflichten gelten und wie Sie ein wirksames Programm im Mittelstand aufbauen.

Was ist Security Awareness Training?

Security Awareness Training ist die systematische Schulung von Mitarbeitenden mit dem Ziel, Sicherheitsrisiken im Arbeitsalltag zu erkennen, richtig einzuordnen und angemessen darauf zu reagieren. Im Kern geht es darum, das Sicherheitsbewusstsein – englisch „Security Awareness“ – im gesamten Unternehmen zu verankern, von der Buchhaltung über den Vertrieb bis zur Geschäftsführung.

Während technische Schutzmaßnahmen wie Firewalls und Virenscanner die Infrastruktur absichern, setzt Security Awareness Training beim Faktor Mensch an. Denn die meisten erfolgreichen Cyberangriffe zielen nicht auf technische Lücken, sondern auf menschliches Verhalten: einen unbedachten Klick, ein zu einfaches Passwort, eine vermeintlich dringende Zahlungsaufforderung.

Phishing ist dabei das bekannteste, aber längst nicht das einzige Thema. Ein gutes Security Awareness Training vermittelt nicht nur Wissen, sondern verändert Verhalten – nachhaltig und über einzelne Angriffsarten hinweg.

Warum ist Security Awareness Training für Unternehmen wichtig?

Security Awareness Training ist deshalb so wichtig, weil der Mensch das am häufigsten ausgenutzte Einfallstor ist. Ein Großteil aller erfolgreichen Sicherheitsvorfälle geht auf menschliches Verhalten zurück – auf eine geöffnete Anhangsdatei, eine beantwortete Betrugsmail oder ein weitergegebenes Passwort.

Künstliche Intelligenz verschärft die Lage zusätzlich. Angriffe werden überzeugender, personalisierter und schwerer zu erkennen. Ein prominentes Beispiel: 2024 überwies eine Beschäftigte eines Konzerns in Hongkong nach einem gefälschten Videocall rund 25 Millionen US-Dollar – sämtliche Teilnehmenden des Calls waren KI-generierte Deepfakes. Solche Fälle zeigen, dass technische Abwehr allein nicht mehr ausreicht.

Auch das BSI weist in seinem jährlichen Lagebericht zur IT-Sicherheit in Deutschland darauf hin, dass gerade kleine und mittlere Unternehmen ein lohnendes Ziel sind – oft, ohne es zu wissen.

Für den Mittelstand ist das also besonders relevant. Kleinere und mittlere Unternehmen verfügen oft über weniger spezialisierte IT-Ressourcen, sind aber genauso im Visier. Ein einziger erfolgreicher Angriff kann zu Produktionsausfällen, Datenverlust, Bußgeldern und Reputationsschäden führen. Wer Mitarbeitende befähigt, Angriffe frühzeitig zu erkennen und zu melden, senkt dieses Risiko spürbar.

Wie ein solches Programm speziell für Phishing aussieht, lesen Sie in unserem Beitrag Phishing-Schulung: Mitarbeitende sensibilisieren.

Welche Themen gehören in ein Security Awareness Training?

Ein gutes Security Awareness Training deckt deutlich mehr ab als Phishing. Es bildet die realen Risiken des Arbeitsalltags ab und verbindet sie mit konkretem, richtigem Verhalten. Zu den zentralen Themen gehören:

• Phishing und Social Engineering – inklusive Spear-Phishing, CEO Fraud, Smishing (SMS) und Quishing (QR-Codes)
• Sichere Passwörter und Multi-Faktor-Authentifizierung
• Sicherer Umgang mit E-Mails, Links und Anhängen
• Datenschutz und der verantwortungsvolle Umgang mit personenbezogenen Daten (DSGVO)
• Mobiles Arbeiten und Homeoffice – sichere Netzwerke, Geräte und Umgebungen
• Umgang mit mobilen Geräten und Wechseldatenträgern
• Sicheres Verhalten im Internet und in sozialen Netzwerken
• Meldewege im Verdachtsfall – wer im Ernstfall wie zu informieren ist

Entscheidend ist, diese Themen nicht als trockene Regelsammlung, sondern als alltagsnahe Situationen zu vermitteln. Mitarbeitende lernen am besten an realistischen Beispielen aus ihrem eigenen Arbeitsumfeld.

Welche gesetzlichen Pflichten gelten für Security Awareness Training?

Mehrere Regelwerke verlangen von Unternehmen eine nachweisbare Sensibilisierung ihrer Beschäftigten. Security Awareness Training ist damit für viele Organisationen keine Kür, sondern Pflicht:

• NIS2: Die EU-Richtlinie verpflichtet betroffene Unternehmen dazu, Cyberhygiene und regelmäßige Schulungen sicherzustellen. Die Geschäftsführung haftet ausdrücklich für die Umsetzung. Die nationale Umsetzung in Deutschland konkretisiert die Anforderungen schrittweise.
• DSGVO (Art. 32): Zu den geforderten technischen und organisatorischen Maßnahmen zählt ausdrücklich, dass die zum Datenzugriff Berechtigten geschult und sensibilisiert werden.
• ISO/IEC 27001: Für eine Zertifizierung müssen Unternehmen nachweisen, dass Mitarbeitende ein angemessenes Sicherheitsbewusstsein besitzen.
• KI-Verordnung (EU AI Act): Sie verlangt eine ausreichende KI-Kompetenz der Mitarbeitenden – ein Thema, das eng mit Security Awareness verzahnt ist. Mehr dazu in unserem Beitrag zur KI-Schulungspflicht.

Wichtig in allen Fällen: Die Schulung muss dokumentiert und nachweisbar sein. Ein auditfähiger Nachweisbeitrag – wer wann was absolviert hat – ist im Ernstfall entscheidend.

Wie läuft ein Security Awareness Training ab?

Modernes Security Awareness Training ist kein einmaliges Event, sondern ein kontinuierlicher Prozess. Der Grund ist einfach: Wissen, das einmal jährlich in 90 Minuten vermittelt wird, ist nach wenigen Wochen größtenteils vergessen. Wirksame Programme setzen daher auf regelmäßige, kurze Impulse. Ein typischer Ablauf umfasst folgende Bausteine:

1. Ausgangsanalyse: Eine erste, unangekündigte Phishing-Simulation zeigt, wo das Team aktuell steht.
2. Wissensaufbau: Kurze Microlearning-Einheiten vermitteln die zentralen Themen alltagstauglich.
3. Praxistest: Realistische Phishing-Simulationen mit sofortigem Feedback machen Fehler zum Lernmoment – nicht zum Pranger.
4. Rollenspezifische Vertiefung: Buchhaltung, Führung und IT erhalten passgenaue Lernpfade.
5. Auffrischung: Wiederkehrende Einheiten halten das Sicherheitsbewusstsein dauerhaft hoch.
6. Reporting: Auswertungen liefern den Nachweis über Fortschritt und Teilnahme.

Wie sich Simulationen sinnvoll einsetzen und welche Anbieter es gibt, zeigt unser Anbietervergleich für Phishing-Simulationen.

Was macht ein gutes Security Awareness Training aus?

Ein gutes Security Awareness Training erkennt man nicht am Umfang, sondern an der Wirkung im Arbeitsalltag. Diese Kriterien sind entscheidend:

• Kontinuierlich statt einmalig: regelmäßige Impulse statt jährlicher Pflichttermin
• Kurz und alltagstauglich: Microlearning-Formate, die sich in den Arbeitstag einfügen
• Rollen- und risikospezifisch: passgenaue Inhalte statt Gießkanne
• Realistisch und wertschätzend: Simulationen mit sofortigem Feedback, das aufklärt statt bloßstellt
• Messbar und auditfähig: klare Kennzahlen und ein belastbarer Nachweisbeitrag
• Datenschutzfreundlich gestaltet: kein Werkzeug zur Mitarbeitendenüberwachung, sondern eine DSGVO-konforme Aufklärungsseite
• Niedrigschwellig einführbar: geringer Aufwand gerade für kleinere Teams ohne eigene Security-Abteilung

Der letzte Punkt entscheidet in der Praxis oft über Erfolg oder Misserfolg: Ein Training, das das Team überfordert oder als Kontrolle empfunden wird, verfehlt sein Ziel.

Wie lässt sich der Erfolg von Security Awareness Training messen?

Der Erfolg von Security Awareness Training lässt sich über konkrete Kennzahlen belegen. Die wichtigsten sind:

• Klickrate bei Phishing-Simulationen: Wie viele Mitarbeitende klicken auf simulierte Angriffe? Ein sinkender Wert zeigt echten Fortschritt.
• Meldequote: Wie viele erkennen und melden einen Angriffsversuch? Diese Kennzahl ist oft aussagekräftiger als die reine Klickrate – denn Melden schützt das ganze Unternehmen.
• Abschlussquoten der Lerneinheiten
• Zeit bis zur Meldung eines verdächtigen Vorfalls
• Wiederholungsfehler: Fallen dieselben Personen mehrfach auf ähnliche Muster herein?

Aus diesen Werten entsteht ein auditfähiger Nachweisbeitrag, der nicht nur den Lernfortschritt dokumentiert, sondern auch gegenüber Prüfstellen für NIS2, DSGVO oder ISO 27001 als Nachweis dient.

Wie führen Unternehmen Security Awareness Training ein?

Die Einführung gelingt am besten in klaren, überschaubaren Schritten – auch ohne eigene Security-Abteilung:

1. Ist-Stand ermitteln: Eine Baseline-Simulation zeigt das aktuelle Risikoniveau.
2. Ziele und Kennzahlen festlegen: Was soll bis wann erreicht werden?
3. Zielgruppen definieren: Welche Rollen brauchen welche Inhalte?
4. Format wählen: ein LMS mit Microlearning-Einheiten und integrierten Simulationen bündelt Schulung und Nachweis an einem Ort.
5. Datenschutz und Mitbestimmung einbeziehen: Betriebsrat frühzeitig einbinden, Transparenz schaffen, datenschutzfreundlich gestalten.
6. Pilot und Rollout: klein starten, Erfahrungen sammeln, dann ausrollen.
7. Messen und nachschulen: Ergebnisse auswerten, gezielt auffrischen, den Prozess wiederholen.

Fazit: Der Mensch als stärkste Verteidigungslinie

Cybersicherheit ist keine reine Technikfrage. Solange Angriffe auf menschliches Verhalten zielen, entscheidet das Sicherheitsbewusstsein Ihrer Mitarbeitenden über den Schutz des gesamten Unternehmens. Security Awareness Training ist der Weg, dieses Bewusstsein aufzubauen – kontinuierlich, alltagsnah und messbar. Und es ist zugleich die Antwort auf wachsende gesetzliche Pflichten wie NIS2, DSGVO und ISO 27001.

Der wirksamste Einstieg gelingt fast immer über das häufigste Angriffsthema: Phishing. Mit reteach Phishing Awareness machen Sie Sensibilisierung vom einmaligen Pflichttermin zum kontinuierlichen Prozess – mit kurzen Lerneinheiten, realistischen Phishing-Simulationen und einem auditfähigen Nachweisbeitrag. Die Lösung ist datenschutzfreundlich gestaltet, funktioniert als eigenständige Komplettlösung mit und ohne reteach LMS und lässt sich auch in kleinen Teams schnell einführen.

👉 reteach Phishing Awareness kennenlernen oder direkt eine Live-Demo vereinbaren.

Häufig gestellte Fragen

Phishing ist nach wie vor das häufigste Einfallstor für Cyberangriffe – und Technik allein hält es nicht auf. Wirksam wird Schutz erst, wenn Mitarbeitende einen Angriff im Arbeitsalltag erkennen. Genau hier setzen Phishing-Simulationen an: Sie versenden kontrollierte, ungefährliche Test-Mails und machen sichtbar, wer wirklich klickt.

Der Markt für Phishing-Simulation-Anbieter ist dabei unübersichtlich geworden – von hochspezialisierten Security-Plattformen bis zu Lernplattformen, die Awareness als ein Modul unter vielen mitbringen. Wer den passenden Phishing-Simulation-Anbieter sucht, muss vor allem wissen, aus welcher Richtung ein Produkt gedacht ist.

Dieser Vergleich stellt acht relevante Phishing-Simulation-Anbieter für den deutschsprachigen Raum gegenüber: reteach, Hugo Learn, CyberXperts (skillsforwork), Phished.io, SoSafe, Hornetsecurity, G DATA und KnowBe4. Das Ziel ist keine Rangliste, sondern eine ehrliche Zuordnung, welcher Anbietertyp zu welcher Ausgangslage passt.

Die 8 Phishing-Simulation-Anbieter auf einen Blick

Security-Awareness-Spezialist oder Lernplattform mit Phishing-Modul – wo liegt der Unterschied?

Die wichtigste Weichenstellung vor dem Vergleich der Phishing-Simulation-Anbieter ist die Frage, aus welcher Richtung ein Produkt gedacht ist.

Security-first-Spezialisten wie SoSafe, Hornetsecurity, G DATA, KnowBe4 und Phished.io kommen von der IT-Sicherheit. Ihr Kern ist die Simulations-Engine: möglichst realistische, KI-personalisierte Angriffe über mehrere Kanäle, große Vorlagenbibliotheken, ein Melde-Button im Postfach und tiefes Reporting für Security-Teams. Käuferin ist hier typischerweise die IT-Leitung, die IT-Sicherheit oder ein CISO.

Lernplattformen mit integrierter Phishing-Simulation wie reteach, Hugo Learn und CyberXperts denken vom Lernen her. Die Phishing-Simulation ist ein Baustein neben einem Schulungskatalog, der von Datenschutz über Arbeitsschutz bis Compliance und Soft Skills reicht. Alles läuft in einem Login, das Reporting ist auf Nachweispflichten ausgelegt, und die Käuferin sitzt oft in HR, L&D oder direkt in der Geschäftsführung.

Beide Ansätze haben ihre Berechtigung. Wer eine hochentwickelte, mehrkanalige Angriffssimulation mit maximaler Tiefe sucht, ist bei den Spezialisten gut aufgehoben. Wer Awareness als Teil eines übergreifenden Schulungsprogramms betreiben und dabei nur ein System pflegen will, findet bei den Lernplattformen den geringeren Aufwand.

Welche Kriterien entscheiden bei der Auswahl?

Sechs Kriterien trennen bei Phishing-Simulation-Anbietern in der Praxis die Spreu vom Weizen:

Simulationstiefe. Reicht regelmäßiges E-Mail-Phishing, oder braucht es Spear-Phishing, Smishing (SMS) und Vishing (Anruf), KI-generierte Szenarien und individuelle Schwierigkeitsanpassung? Für die meisten Mittelständler ist wiederkehrendes, realistisches E-Mail-Phishing der relevante Standard.

Kurskatalog und Lernumgebung. Ist die Simulation an eine breite Schulungsbibliothek gekoppelt, oder ist sie ein reines Punktwerkzeug? Wer ohnehin Datenschutz-, Arbeitsschutz- und Compliance-Schulungen ausrollt, spart mit einer Plattform Zeit und Systempflege.

Einführungszeit und Aufwand. Wie schnell läuft die erste Kampagne, und wie viel manuelle Steuerung verlangt der Betrieb? Automatisierte Frequenzen und automatische Nutzer-Synchronisation entlasten kleine IT-Teams spürbar.

Datenstandort und Datenschutz. Wo werden personenbezogene Daten verarbeitet? EU- oder Deutschland-Hosting erspart im DACH-Raum eine ganze Reihe zusätzlicher Prüf- und Dokumentationsschritte.

Nachweis und Reporting. Liefert das Tool einen belastbaren, personenbezogenen und datierten Nachweis für Audits – oder nur eine grobe Klickraten-Statistik? Für NIS2, ISO 27001 und TISAX zählt die auditfähige Dokumentation.

Mitbestimmung. Lässt sich das Reporting auf Abteilungsebene aggregieren, damit die Phishing-Simulation auch mit einem Betriebsrat rechtssicher betrieben werden kann?

Lernplattformen mit integrierter Phishing-Simulation: reteach, Hugo Learn und skillsforwork CyberXperts

Diese drei Anbieter kommen dem Modell am nächsten, das Awareness in ein übergreifendes Lernprogramm einbettet.

reteach Phishing Awareness

reteach aus Berlin ist eine Lernplattform für den Mittelstand, die E-Learning, über 500 fertige Kurse und die Phishing Awareness in einem System vereint. Die Simulation versendet automatisch realistische Test-Mails in konfigurierbarer Frequenz (alle 14 oder 30 Tage), ganz ohne manuelle Planung pro Kampagne. Wer klickt, landet auf einer personalisierten Aufklärungsseite mit kampagnenspezifischem Lerninhalt – inklusive einer persönlichen Nachricht der IT-Leitung. Im Dashboard sehen Admins Klickraten-Trends, Kampagnenhistorie, Risk Scores pro Person und Abteilung; die Risikobewertung aktualisiert sich nach jeder Welle automatisch.

Ein Alleinstellungsmerkmal sind die zwei Reporting-Modi: Modus A mit voller Einzelsicht und Modus B mit rein aggregierter Auswertung auf Abteilungsebene – für Organisationen mit Betriebsrats- oder Mitbestimmungsvereinbarungen. reteach ist datenschutzfreundlich gestaltet, in Deutschland gehostet und liefert eine auditfähige Dokumentation als Nachweisbeitrag für NIS2, ISO 27001 und TISAX.

Wofür gemacht: Mittelständische Unternehmen, die Awareness nicht isoliert, sondern als Teil eines breiten Schulungsprogramms betreiben und dabei nur ein System pflegen wollen – mit HR/L&D und IT-Admins als gemeinsamen Nutzenden.

Wofür weniger geeignet: Reine Security-Teams, die eine engine-first-Plattform mit mehrkanaliger Simulation (Smishing, Vishing) und maximaler KI-Personalisierung suchen.

Hugo Learn

Hugo Learn von frag.hugo aus Hamburg ist eine Datenschutz- und Awareness-Plattform, die stark aus der DSGVO- und NIS2-Perspektive gedacht ist und in die Datenschutzbeauftragten-Plattform Hugo DSB eingebettet ist. Die Phishing-Simulation arbeitet mit drei Eskalationsstufen – vom Massen-Phishing über gezielte Branchen-Mails bis zum CEO-Fraud-Szenario.

Wer klickt, erhält sofort ein Mini-Lernmodul; nach vier Wochen folgt ein Re-Test. Hosting erfolgt zu 100 Prozent in Deutschland (Hetzner), jedes Modul ist auf Deutsch geschrieben und von einem TÜV-zertifizierten Datenschutzberater geprüft. Der Einstieg beginnt bei 14,90 € pro Mitarbeitendem und Jahr.

Wofür gemacht: Kleinere Unternehmen ohne eigene IT-Abteilung, die Datenschutz-Schulung, Phishing-Simulation und persönliche Beratung aus einer Hand mit deutschem Rechtsfokus wollen.

Wofür weniger geeignet: Organisationen, die einen breiten, themenübergreifenden Kurskatalog (etwa Soft Skills, Fachschulungen) über die Datenschutz- und IT-Sicherheitswelt hinaus suchen.

CyberXperts (skillsforwork)

CyberXperts ist das Security-Awareness-Modul der Lernplattform skillsforwork aus Bonn und strukturell der nächste Verwandte zu reteach: eine modulare Plattform, die neben Security Awareness auch Arbeitsschutz, Datenschutz, Compliance, Soft Skills, Pflege und Kita abdeckt. Das Herzstück ist ein 2-Stufen-Konzept – jeden Monat ein neues E-Learning plus jeden Monat eine neue Phishing-Simulation, mit Klickraten-Auswertung im Admin-Bereich.

Entwicklung und Hosting finden in Deutschland statt, die Dokumentation ist auf rechtssichere Nachweise ausgelegt. Das Angebot ist auf Capterra gelistet und mehrfach ausgezeichnet (u. a. eLearning Award 2024, Comenius EduMedia 2024).

Wofür gemacht: Mittelständler, die kontinuierliche, monatliche Awareness-Routine mit einem breiten Modulkatalog kombinieren und dabei auf einen deutschen Anbieter setzen möchten.

Wofür weniger geeignet: Teams, die granulare, individuell adaptierende Simulationstiefe je Person und Kanal erwarten, wie sie die Security-Spezialisten bieten.

Awareness-Spezialist mit Fokus auf Simulation: Phished.io

Phished.io aus dem belgischen Leuven ist ein reiner Awareness-Spezialist ohne breite Lernplattform – auf Produktebene aber ein ernstzunehmender Gegenspieler beim Phishing-Modul selbst. Die Plattform ist stark automatisiert und KI-getrieben: Simulationen werden pro Person nach Verhalten, Rolle, Sprache und Risikoprofil angepasst, ein Prompt genügt, um eine Kampagne zu starten.

Der Behavioural Risk Score misst die Anfälligkeit je Person, Abteilung und Gesamtorganisation. Phished bietet über 4.500 Vorlagen, mehr als 300 Absender-Domains und über 25 Sprachen, ist ISO-27001-zertifiziert und DSGVO-konform aufgestellt. Für Managed Service Provider gibt es eine mandantenfähige Variante.

Wofür gemacht: IT-Security-Verantwortliche und MSPs, die eine hochautomatisierte, KI-gestützte Simulations-Engine mit tiefem Reporting suchen – ohne Anspruch auf einen breiten Schulungskatalog.

Wofür weniger geeignet: Unternehmen, die eine All-in-One-Lernplattform mit umfassendem Kurskatalog wollen. Bei Phished kauft man ein spezialisiertes Punktwerkzeug, keine übergreifende Lernumgebung. Als belgischer Anbieter fehlt zudem der spezifisch deutsche Rechts- und Content-Fokus.

Security-first-Plattformen: SoSafe, Hornetsecurity, G DATA und KnowBe4

Diese vier Anbieter kommen aus der IT-Sicherheit und adressieren primär Security-Verantwortliche.

SoSafe

SoSafe aus Köln ist einer der bekanntesten europäischen Anbieter und nach eigenen Angaben bei mehreren tausend Kunden im Einsatz. Die Plattform kombiniert KI-gestützte Phishing-Simulationen (E-Mail, Smishing, Vishing) mit über 30 verhaltenswissenschaftlich fundierten Micro-Learning-Modulen, Gamification und einem KI-Assistenten für Teams und Slack. Ein zentrales Dashboard zeigt den Awareness-Reifegrad in Echtzeit. SoSafe betont EU-Datenhaltung, Privacy-by-Design und ISO-27001-Zertifizierung – im deutschsprachigen Raum ein starker Referenzpunkt.

Wofür gemacht: Mittelständler bis Konzerne mit eigener IT-Sicherheit, die eine ausgereifte, verhaltensbasierte Awareness-Plattform mit hoher Simulationstiefe wollen.

Wofür weniger geeignet: Kleine Teams, die eine schlanke, HR-nahe Lösung mit breitem allgemeinem Schulungskatalog suchen, statt einer reinen Security-Awareness-Plattform.

Hornetsecurity

Hornetsecurity aus Hannover bietet den Security Awareness Service als Teil seines E-Mail-Security-Portfolios. Kern ist die patentierte, KI-gestützte Spear-Phishing-Engine kombiniert mit einer Awareness-Engine, die jedem Nutzenden bedarfsgerecht so viel Training zuweist wie nötig.
Der patentierte Employee Security Index (ESI®) macht Sicherheitsverhalten messbar und vergleichbar. Die Lösung ist tief in Microsoft 365 verankert – das Melden von Test-Mails läuft über ein Outlook-Add-in, und ein E-Mail-Whitelisting ist Voraussetzung.

Wofür gemacht: Unternehmen, die stark auf Microsoft 365 setzen und Awareness idealerweise gleich mit dem E-Mail-Security-Stack aus einer Hand beziehen wollen.

Wofür weniger geeignet: Organisationen ohne Microsoft-365-Fokus oder solche, die eine eigenständige Lernplattform mit breitem Kurskatalog jenseits der IT-Sicherheit brauchen.

G DATA

G DATA aus Bochum bringt sein Cyber-Defense-Erbe in die G DATA academy ein. Awareness-Trainings folgen einer dreistufigen Lernreise mit Storytelling und Gamification; die Phishing-Simulation läuft klassisch über eine vierwöchige Kampagne mit einer Test-Mail pro Woche und Kopf, gesteuert über das Tool „Awareness Manager“. Optional lässt sich eine eigene Auflösungsseite für Phishing-Links hinterlegen, und der Report unterstützt die ISO-27001-Zertifizierung. Die Inhalte fließen aus der täglichen Bedrohungsanalyse des Herstellers ein.

Wofür gemacht: KMU, die einem etablierten deutschen Security-Hersteller vertrauen und eine solide, überschaubare Kampagnenmechanik mit Made-in-Germany-Anspruch wollen.

Wofür weniger geeignet: Teams, die eine durchgehend automatisierte, individuell pro Person adaptierende Simulation oder eine breite Lernplattform erwarten.

KnowBe4

KnowBe4 aus Clearwater (Florida) ist der mit Abstand größte Anbieter weltweit – nach eigenen Angaben bei über 65.000 Organisationen im Einsatz. Die Stärke liegt in der schieren Breite: tausende Phishing-Vorlagen, über 1.000 Schulungsmodule inklusive der aufwendig produzierten Serie „The Inside Man“, der Phish-Alert-Button zum Melden, ein Virtual Risk Officer für Risiko-Scores und umfangreiche Reporting-APIs. Für global aufgestellte Konzerne mit vielen Sprachen ist das Angebot kaum zu schlagen.

Wofür gemacht: Große, international agierende Organisationen mit eigenem Security-Team, die maximale Vorlagen- und Content-Breite sowie ausgereifte Automatisierung suchen.

Wofür weniger geeignet: DACH-Mittelständler mit hohen Datenschutzanforderungen. Als US-Anbieter mit US-Datenhaltung erfordert KnowBe4 zusätzliche rechtliche Schritte (siehe nächster Abschnitt) und bringt keinen spezifisch deutschen Rechts- und Content-Fokus mit.

Wie datenschutzkonform sind US-Anbieter im DACH-Raum?

Bei Phishing-Simulationen werden personenbezogene Daten verarbeitet – wer wann auf welche Test-Mail geklickt hat. Damit wird der Datenstandort zum harten Auswahlkriterium.

Von den acht verglichenen Phishing-Simulation-Anbietern sind sieben in der EU beheimatet, sechs davon in Deutschland (reteach, Hugo Learn, CyberXperts, SoSafe, Hornetsecurity, G DATA), einer in Belgien (Phished.io). KnowBe4 ist der einzige Anbieter mit Hauptsitz und Datenhaltung in den USA. Nach der Schrems-II-Rechtsprechung des Europäischen Gerichtshofs erfordert die Nutzung eines US-Dienstleisters im Regelfall zusätzliche Schritte: eine Datenschutz-Folgenabschätzung, ein Transfer Impact Assessment und Standardvertragsklauseln. Dieser Mehraufwand entfällt bei Anbietern mit reiner EU- oder Deutschland-Verarbeitung.

Für den deutschen Mittelstand ist das mehr als eine Formalie. Ein Anbieter, der von Anfang an auf Deutschland-Hosting, deutsche Vertragsgestaltung und deutsche Inhalte setzt, senkt den Prüf- und Dokumentationsaufwand erheblich. reteach ist hier klar positioniert: in Deutschland gehostet, datenschutzfreundlich gestaltet und mit einer auditfähigen Dokumentation, die als Nachweisbeitrag für NIS2, ISO 27001 und TISAX dient. Die Verantwortung für die Compliance verbleibt dabei stets beim Unternehmen – kein seriöser Anbieter kann sie abnehmen.

Weiterführend: Das BSI nennt Security Awareness ausdrücklich als Bestandteil eines angemessenen Risikomanagements, und der ENISA Threat Landscape dokumentiert Jahr für Jahr, dass Phishing zu den häufigsten initialen Angriffsvektoren zählt.

Was bedeutet die Mitbestimmung des Betriebsrats für Phishing-Simulationen?

Ein Punkt, der in Vergleichslisten oft fehlt, im deutschen Mittelstand aber regelmäßig zum Show-Stopper wird: die Mitbestimmung des Betriebsrats. Eine Phishing-Simulation kann personenbezogenes Klickverhalten auswerten und gilt damit als technische Einrichtung, die geeignet ist, Verhalten zu überwachen. In Unternehmen mit Betriebsrat greift dann § 87 Abs. 1 Nr. 6 BetrVG – eine Betriebsvereinbarung ist erforderlich.

Praktisch heißt das: Das Tool muss so konfigurierbar sein, dass Auswertungen auf Abteilungsebene aggregiert werden und nicht jede einzelne Person zentral nachverfolgt wird. Anbieter gehen damit unterschiedlich um. Hugo Learn etwa liefert eine Muster-Betriebsvereinbarung mit und aggregiert Klickraten auf Abteilungsebene.

reteach bildet diese Anforderung direkt im Produkt ab – über zwei Reporting-Modi:

• Mode A (individuell): volle Sicht je Person, mit Namen, Klickhistorie und Risikostufe.
• Mode B (aggregiert): Daten ausschließlich auf Abteilungsebene, ohne Einzeltracking – gedacht für Organisationen, in denen Betriebsrats- oder rechtliche Vereinbarungen ein individuelles Monitoring ausschließen.

Damit lässt sich dasselbe Awareness-Programm sowohl in Unternehmen ohne Betriebsrat als auch in mitbestimmten Organisationen betreiben, ohne den Anbieter wechseln zu müssen.

Fazit: Welcher Phishing-Simulation-Anbieter passt zu wem?

Es gibt nicht den einen besten Phishing-Simulation-Anbieter, sondern den passenden für die jeweilige Ausgangslage.

Wer eine hochspezialisierte Simulations-Engine mit maximaler Tiefe, mehreren Angriffskanälen und großer Vorlagenbibliothek sucht und ein eigenes Security-Team hat, ist bei SoSafe, Phished.io oder – für internationale Konzerne – KnowBe4 gut aufgehoben. Wer stark auf Microsoft 365 setzt, sollte Hornetsecurity prüfen; wer einem etablierten deutschen Security-Hersteller vertraut, G DATA.

Für den DACH-Mittelstand, der Awareness nicht isoliert betreibt, sondern als Teil eines übergreifenden Schulungsprogramms – mit Datenschutz-, Arbeitsschutz- und Compliance-Themen in einem einzigen System – sind die Lernplattformen mit integrierter Simulation die naheliegende Wahl.

Innerhalb dieser Gruppe punktet reteach mit der Kombination aus über 500 fertigen Kursen, automatisierter Phishing-Simulation, personalisierter Aufklärungsseite, Deutschland-Hosting und – als klares Alleinstellungsmerkmal – den zwei Reporting-Modi für den Betrieb mit und ohne Betriebsrat. Hugo Learn ist die schlanke Wahl für kleinere Unternehmen mit starkem Datenschutz- und Beratungsfokus, CyberXperts die Alternative für alle, die Wert auf eine feste monatliche Awareness-Routine legen.

Ehrlich bleibt: Wer die tiefste, individuell adaptierende Angriffssimulation über alle Kanäle braucht, wird bei den Security-Spezialisten fündig. Für die meisten mittelständischen HR- und IT-Teams zählt jedoch die Summe aus einfacher Einführung, breitem Katalog, deutschem Datenschutz und einem auditfähigen Nachweis in einem System – und genau dort spielt reteach Phishing Awareness seine Stärke aus.

Mehr zum Modul: reteach Phishing Awareness · Weitere Plattformvergleiche im LMS-Vergleich.

Häufig gestellte Fragen

Die Corporate Sustainability Due Diligence Directive (CSDDD) sollte 2024 die europäische Antwort auf nationale Lieferkettengesetze wie das deutsche LkSG werden — branchenübergreifend, mit gestaffelter Anwendung und einer EU-weit einheitlichen Haftungsgrundlage. Mit dem Omnibus-I-Paket hat die EU im Frühjahr 2026 jedoch erheblich nachjustiert: Der Anwendungsbereich ist deutlich kleiner, die Fristen sind nach hinten verschoben und einige der weitreichendsten Pflichten wurden gestrichen.

Was aktuell gilt, wer betroffen ist, wie sich die CSDDD vom LkSG unterscheidet und wie Unternehmen sich sinnvoll vorbereiten — dieser Beitrag fasst den Stand 2026 zusammen.

Was ist die CSDDD?

Die CSDDD (Corporate Sustainability Due Diligence Directive, Richtlinie EU 2024/1760) ist die EU-Lieferkettenrichtlinie. Sie verpflichtet große Unternehmen dazu, in ihrer eigenen Geschäftstätigkeit sowie entlang ihrer Aktivitätskette systematisch Risiken für Menschenrechte und Umwelt zu identifizieren, zu vermeiden und zu beheben.

Ursprünglich wurde die Richtlinie 2024 verabschiedet und sollte ab Juli 2027 schrittweise in Kraft treten. Bereits im Februar 2025 legte die EU-Kommission das Omnibus-I-Paket vor, das den Anwendungsbereich, die Fristen und die Pflichtentiefe deutlich reduzierte. Nach der Einigung im Trilog (Dezember 2025) und der Verabschiedung im Rat (Februar 2026) wurde die geänderte Fassung als Richtlinie EU 2026/470 im Amtsblatt veröffentlicht und ist seit dem 18. März 2026 in Kraft.

Im Kern verfolgt die CSDDD zwei Ziele: einheitliche Standards für nachhaltige Lieferketten in der EU zu schaffen und die Wettbewerbsfähigkeit europäischer Unternehmen durch Harmonisierung — statt durch einen Flickenteppich nationaler Gesetze wie LkSG, französisches Loi de vigilance oder das niederländische Wet zorgplicht — zu sichern.

Wie hat Omnibus I die CSDDD verändert?

Das Omnibus-I-Paket ist die wichtigste Änderung an der CSDDD seit ihrer ursprünglichen Verabschiedung. Die wesentlichen Punkte:

Neue Schwellenwerte. Statt einer gestaffelten Einführung ab 1.000 Beschäftigten und 450 Mio. EUR Umsatz gilt jetzt eine einheitliche Schwelle: Nur Unternehmen mit mehr als 5.000 Beschäftigten und einem Nettoumsatz von mehr als 1,5 Mrd. EUR fallen direkt in den Anwendungsbereich. Das reduziert den Kreis der unmittelbar verpflichteten Unternehmen erheblich.

Einheitlicher Anwendungszeitpunkt. Die ursprünglich vorgesehenen drei Wellen (2027, 2028, 2029) entfallen. Alle direkt betroffenen Unternehmen müssen die CSDDD-Pflichten ab dem 26. Juli 2029 erfüllen. Mitgliedstaaten haben für die Umsetzung in nationales Recht bis zum 26. Juli 2028 Zeit.

Klimatransitionsplan gestrichen. Die ursprünglich vorgesehene Pflicht zur Erstellung und Umsetzung eines Klimatransitionsplans (Art. 22 CSDDD) entfällt vollständig. Nationale Gesetzgeber können diese Pflicht eigenständig vorschreiben; für CSRD-berichtspflichtige Unternehmen bleibt der ESRS-E1-Standard relevant.

Kein einheitliches EU-Haftungsregime. Die ursprünglich vorgesehene EU-weit harmonisierte zivilrechtliche Haftungsgrundlage wurde gestrichen. Die CSDDD verweist nun auf nationales Recht — mit der Folge eines Flickenteppichs unterschiedlicher Haftungsregime.

Begrenzung der Geldbußen. Sanktionen werden auf maximal 3 Prozent des weltweiten Umsatzes gedeckelt.

Ausgeweitete Vollharmonisierung. In den Kernbereichen Risikoanalyse, Präventions- und Abhilfemaßnahmen, Beschwerdeverfahren, Überwachung und Berichtswesen sind die Anforderungen jetzt vollharmonisiert. Das heißt: Mitgliedstaaten dürfen hier weder strengere noch mildere Regelungen vorsehen.

Welche Pflichten bringt die CSDDD?

Auch in der abgeschwächten Fassung bleibt die CSDDD ein anspruchsvoller Rahmen. Die zentralen Pflichten für direkt betroffene Unternehmen:

Risikoanalyse (Art. 8–9). Unternehmen müssen die eigene Geschäftstätigkeit und die Aktivitätskette systematisch auf menschenrechtliche und umweltbezogene Risiken untersuchen. Bei Anhaltspunkten ist vertiefend zu prüfen.

Präventions- und Abhilfemaßnahmen (Art. 10–11). Identifizierte Risiken müssen durch geeignete Maßnahmen verhindert, gemindert oder behoben werden — von Verhaltenskodizes über vertragliche Zusicherungen bis hin zur Unterstützung von Geschäftspartnern.

Beschwerdeverfahren (Art. 14). Betroffene müssen Verstöße melden können. Unternehmen müssen ein Beschwerdeverfahren bereitstellen, das Vertraulichkeit, Schutz vor Repressalien und nachvollziehbare Bearbeitung gewährleistet.

Überwachung (Art. 15). Die Wirksamkeit der eigenen Sorgfaltsmaßnahmen muss regelmäßig überprüft werden — mit klaren Indikatoren und dokumentierten Ergebnissen.

Berichtswesen. Über die Sorgfaltspflichten und ihre Umsetzung muss öffentlich berichtet werden. Die Detailtiefe der Berichtsanforderungen wurde durch Omnibus I gegenüber dem Ursprungsentwurf reduziert.

Verantwortliche und Schulungen. Wer keine klar benannten Verantwortlichen, dokumentierte Prozesse und geschulte Mitarbeitende hat, wird die CSDDD-Pflichten in der Praxis kaum erfüllen können.

Wie unterscheidet sich die CSDDD vom LkSG?

Das deutsche Lieferkettensorgfaltspflichtengesetz (LkSG) ist seit 2023 in Kraft und gilt aktuell für Unternehmen ab 1.000 Beschäftigten. Die CSDDD geht in mehreren Punkten über das LkSG hinaus — wird durch Omnibus I in anderen Punkten aber milder.

Anwendungsbereich. Das LkSG erfasst alle Unternehmen mit mindestens 1.000 Beschäftigten in Deutschland. Die CSDDD setzt die Schwelle nach Omnibus I deutlich höher an (>5.000 MA und >1,5 Mrd. EUR Umsatz), erfasst dafür aber das gesamte konzernweite Umsatzvolumen.

Aktivitätskette statt Lieferkette. Während das LkSG primär die vorgelagerte Lieferkette betrachtet (eigener Geschäftsbereich, direkte Zulieferer, indirekte Zulieferer bei substantiierter Kenntnis), erweitert die CSDDD den Blick auf die gesamte Aktivitätskette: also auch auf nachgelagerte Bereiche wie Vertrieb, Transport und Lagerung der Produkte durch direkte Geschäftspartner.

Haftung. Das LkSG sieht keine zivilrechtliche Haftungsgrundlage vor. Die CSDDD verweist auf nationales Recht — wie Deutschland das umsetzt, ist noch offen.

Berichtspflicht. Beim LkSG sind die Berichtspflichten faktisch ausgesetzt (siehe nächster Abschnitt). Die CSDDD-Berichtspflichten sind durch Omnibus I gegenüber dem Ursprungsentwurf reduziert, bleiben aber bestehen.

Wann gilt die CSDDD in Deutschland?

Für die deutsche Umsetzung sind drei parallele Entwicklungen wichtig:

LkSG in der Übergangsphase. Im Koalitionsvertrag zwischen CDU/CSU und SPD vom April 2025 wurde die Abschaffung des LkSG in seiner heutigen Form angekündigt. Am 3. September 2025 hat das Bundeskabinett einen Gesetzentwurf zur Änderung des LkSG beschlossen, der die Berichtspflichten nach § 10 Abs. 2 LkSG rückwirkend ab 01.01.2023 streicht. Seit September 2025 verfolgt das BAFA auf Weisung des BMWK nur noch „schwere“ Verstöße; seit November 2025 ist die digitale Berichtsmaske deaktiviert. Der Bundestag hat den Entwurf am 16. Januar 2026 in erster Lesung beraten.

CSDDD-Umsetzung über ein neues Gesetz. Das LkSG soll nach den Plänen der Bundesregierung durch ein Gesetz über die internationale Unternehmensverantwortung abgelöst werden, das die CSDDD in deutsches Recht überführt. Der konkrete Entwurf liegt noch nicht vor — die EU-Umsetzungsfrist endet am 26. Juli 2028.

Anwendung für Unternehmen. Direkt betroffene Unternehmen müssen die CSDDD-Pflichten ab dem 26. Juli 2029 erfüllen. Bis dahin gilt das LkSG in seiner reduzierten Form weiter.

Wie können sich Unternehmen jetzt vorbereiten?

Auch wenn die direkten Pflichten erst ab 2029 greifen und nur einen kleineren Kreis betreffen, bleibt Vorbereitung sinnvoll — vor allem wegen der Ausstrahlwirkung über Vertragsketten. Unternehmen unter den CSDDD-Schwellenwerten werden über ihre großen Auftraggeber, Banken und Versicherungen weiter mit Sorgfaltspflichten konfrontiert.

Risiko-Mapping der Aktivitätskette. Welche Teile der eigenen Geschäftstätigkeit und welche Geschäftspartner bergen besondere menschenrechtliche oder umweltbezogene Risiken? Eine strukturierte Bestandsaufnahme bildet die Basis für alles Weitere.

Code of Conduct für Lieferanten. Ein klarer Verhaltenskodex mit konkreten Anforderungen an Geschäftspartner ist sowohl unter LkSG als auch unter CSDDD ein zentrales Steuerungsinstrument — und ein häufig gefordertes Nachweisdokument.

Beschwerdeverfahren etablieren. Wer noch keinen funktionierenden Hinweisgeberkanal hat, sollte einen aufsetzen. Die Pflicht besteht ohnehin nach Hinweisgeberschutzgesetz und LkSG; sie ergänzt die CSDDD-Anforderungen nahtlos.

Dateninventar aufbauen. Konsistente Daten zu Lieferanten, Standorten, Produktströmen und ESG-Kennzahlen sind die Grundlage für alle künftigen Berichts- und Auskunftspflichten — auch gegenüber Kunden, Banken und Investorinnen.

Verantwortlichkeiten klären. Wer ist im Unternehmen für Sorgfaltspflichten zuständig? Welche Schnittstellen gibt es zwischen Einkauf, Compliance, HR und Nachhaltigkeit? Klare Rollen sind die Voraussetzung dafür, dass Prozesse später nicht an Zuständigkeitslücken scheitern.

Mitarbeitende sensibilisieren. Sorgfaltspflichten greifen nur, wenn alle Beteiligten — vom Einkauf über das Qualitätsmanagement bis zur Geschäftsführung — wissen, worauf sie achten müssen.

Welche Schulungen unterstützen die CSDDD-Compliance?

Wirksame Sorgfaltspflichten sind ohne kontinuierliche Schulungen kaum umsetzbar. Mitarbeitende müssen Risiken erkennen, Eskalationswege kennen und in ihrer täglichen Arbeit nachhaltigkeitsrelevante Entscheidungen treffen können. Über reteach lassen sich relevante Lerninhalte zentral steuern und revisionssicher dokumentieren.

Für CSDDD-Compliance besonders relevante Themenbereiche:

• Lieferkettensorgfaltspflichten — Grundlagen, Risikoanalyse, Beschwerdeverfahren
• Menschenrechte in der Lieferkette — internationale Standards, Risikoindikatoren
• Compliance im Einkauf — Lieferantenmanagement, Auditierung, Vertragsgestaltung
• Hinweisgeberschutz — Umgang mit Meldungen, Vertraulichkeit, Repressalienschutz
• Umweltschutz und Nachhaltigkeit — Umweltrisiken erkennen, ESG-Daten erfassen
• Antikorruption und Compliance-Kultur — als flankierender Baustein eines belastbaren Compliance-Systems

reteach bietet vorkonfigurierte Compliance-Kurse zu diesen Themen, die sich nach Bedarf um eigene Inhalte ergänzen lassen.

Fazit

Die CSDDD bleibt nach Omnibus I ein zentraler Baustein der europäischen Nachhaltigkeitsregulierung — wenn auch in deutlich abgespeckter Form. Für die meisten Unternehmen verschiebt sich der unmittelbare Handlungsdruck nach hinten: Die Anwendung beginnt erst 2029, die Schwellenwerte filtern den direkten Pflichtenkreis stark.

Gleichzeitig wäre es ein Fehler, die CSDDD als „erledigt“ abzuhaken. Die Erwartungen von Kunden, Banken und Investorinnen an nachvollziehbare ESG-Daten und gelebte Sorgfaltspflichten wachsen unabhängig vom direkten Anwendungsbereich. Wer die Jahre bis 2029 nutzt, um saubere Strukturen, klare Verantwortlichkeiten und geschulte Mitarbeitende aufzubauen, hat es später deutlich leichter — und kann schon kurzfristig souveräner auf Auskunftsanfragen reagieren.

In Deutschland bleibt die Lage in den nächsten Monaten dynamisch: Das LkSG ist faktisch in einer Übergangsphase, das neue Gesetz über die internationale Unternehmensverantwortung muss bis Juli 2028 stehen. Wir aktualisieren diesen Beitrag, sobald der deutsche Referentenentwurf vorliegt.

Häufig gestellte Fragen

Korruptionsprävention im Unternehmen ist 2026 wichtiger denn je – und betrifft jede Branche, vom Mittelstand bis zum Konzern. Geschenke an Geschäftspartner, Provisionszahlungen im Einkauf, verdeckte Vorteile im Vertrieb: Die Übergänge zwischen üblicher Geschäftspflege und strafbarem Verhalten sind oft fließend. Mit dem Hinweisgeberschutzgesetz, verschärften Sanktionen und der für 2026 erwarteten EU-Antikorruptionsrichtlinie steigen die Anforderungen an Unternehmen deutlich.

Dieser Leitfaden zeigt, was Korruptionsprävention im Unternehmen rechtlich umfasst, welche Maßnahmen wirken und wie Sie Mitarbeitende praxisnah sensibilisieren.

Was bedeutet Korruptionsprävention im Unternehmen?

Korruptionsprävention im Unternehmen umfasst alle organisatorischen, kulturellen und schulungsbezogenen Maßnahmen, mit denen ein Unternehmen Bestechung, Bestechlichkeit und vergleichbare Integritätsverstöße verhindert. Sie ist ein zentraler Bestandteil eines Compliance-Management-Systems (CMS).

Das Bundeskriminalamt definiert Korruption als Missbrauch einer Funktion in Wirtschaft, Verwaltung oder Politik zur Erlangung eines unrechtmäßigen Vorteils – für sich selbst oder einen Dritten, zulasten der Allgemeinheit oder eines Unternehmens. Typische Erscheinungsformen sind:

• Bestechung und Bestechlichkeit im geschäftlichen Verkehr (§ 299 StGB)
• Vorteilsgewährung und -annahme gegenüber Amtsträgern (§§ 331–335 StGB)
• Verdeckte Provisionen und Kick-back-Zahlungen
• Interessenkonflikte durch Nebentätigkeiten, persönliche Beziehungen oder Beteiligungen
• Unzulässige Geschenke und Einladungen an Entscheidende auf Kunden- oder Lieferantenseite

Wichtig: Korruption ist kein reines Risiko großer Konzerne. Gerade im Mittelstand führen unklare Geschenkerichtlinien, fehlende Vier-Augen-Prinzipien und mangelnde Schulungen häufig zu Grauzonen, in denen Mitarbeitende ohne klare Orientierung handeln.

Warum ist Korruptionsprävention für Unternehmen so wichtig?

Die unmittelbaren Folgen eines Korruptionsfalls reichen weit über die strafrechtliche Verantwortung der einzelnen handelnden Person hinaus. Unternehmen drohen:

• Geldbußen und Gewinnabschöpfung nach dem Ordnungswidrigkeitenrecht
• Ausschluss von öffentlichen Vergabeverfahren über mehrere Jahre
• Reputationsschäden mit unmittelbaren Auswirkungen auf Kundenbeziehungen und Mitarbeitendengewinnung
• Zivilrechtliche Schadenersatzforderungen durch Geschäftspartner oder Wettbewerber
• Verlust von Zertifizierungen und Audits (z. B. ISO 37001, Lieferantenfreigaben)

Laut dem aktuellen Bundeslagebild Korruption 2024 des BKA wurden 2.926 Korruptionsstraftaten registriert – das sind 23,8 Prozent weniger als im Vorjahr, aber bei stark anzunehmendem Dunkelfeld. Das Dienstleistungs- und Baugewerbe gehören zu den am stärksten betroffenen Wirtschaftsbranchen. Auffällig: Knapp 62 Prozent der „Gebenden“ waren Privatpersonen – ein Hinweis darauf, dass Korruption oft an der Schnittstelle zwischen Unternehmen und ihren externen Kontakten entsteht.

Hinzu kommt: Belegt ein Unternehmen den Aufbau und die ernsthafte Anwendung eines Compliance-Systems, kann dies im Falle einer Tat straf- oder bußgeldmindernd berücksichtigt werden. Korruptionsprävention ist damit nicht nur Pflicht, sondern auch ein konkreter Risikopuffer..

Welche gesetzlichen Anforderungen gelten für Unternehmen?

Die rechtliche Grundlage für Korruptionsprävention setzt sich aus mehreren Bausteinen zusammen:

Strafgesetzbuch (StGB)

Zentrale Tatbestände sind § 299 StGB (Bestechlichkeit und Bestechung im geschäftlichen Verkehr), §§ 331–335 StGB (Vorteilsannahme und Bestechung von Amtsträgern) sowie § 335a StGB für ausländische Amtsträger. Strafbar ist bereits das Anbieten oder Versprechen eines Vorteils – nicht erst die Annahme.

Hinweisgeberschutzgesetz (HinSchG)

Seit Dezember 2023 müssen Unternehmen ab 50 Mitarbeitenden eine interne Meldestelle betreiben, die anonyme und vertrauliche Hinweise auf Rechtsverstöße – einschließlich Korruption – ermöglicht. Geschützt sind nicht nur Beschäftigte, sondern auch Lieferanten, Dienstleister und Freelancer. Der Gesetzestext ist über gesetze-im-internet.de einsehbar.

EU-Antikorruptionsrichtlinie (geplant für 2026)

Die EU arbeitet an einer harmonisierten Antikorruptionsrichtlinie, die für 2026 erwartet wird. Sie sieht erhöhte Mindesthöchststrafen, erweiterte Haftung von Unternehmen (auch bei Aufsichtspflichtverletzungen) und neue Strafbarkeitstatbestände wie die Einflussnahme über Mittelspersonen vor. Unternehmen sollten ihr Compliance-Management-System frühzeitig auf die neuen Anforderungen ausrichten.

Internationale Vorgaben

Für Unternehmen mit internationalem Geschäft sind besonders der UK Bribery Act 2010 (extraterritoriale Reichweite) und der US-amerikanische Foreign Corrupt Practices Act (FCPA) relevant. Beide gelten auch für deutsche Unternehmen mit entsprechendem Auslandsbezug.

ISO 37001

Die internationale Norm DIN ISO 37001 definiert Anforderungen an ein Anti-Korruptions-Management-System. Eine Zertifizierung ist freiwillig, kann aber bei Ausschreibungen und gegenüber Geschäftspartnern als Nachweis dienen.

Welche Bereiche sind besonders korruptionsgefährdet?

Nicht jeder Unternehmensbereich trägt das gleiche Risiko. Eine Risikoanalyse sollte am Anfang jeder Präventionsstrategie stehen und besonders folgende Funktionen in den Blick nehmen:

• Einkauf und Beschaffung: Auswahl von Lieferanten, Auftragsvergaben, Verhandlung von Konditionen
• Vertrieb und Key Account Management: Provisionsmodelle, Geschenke an Kunden, Bewirtungen
• Geschäftsführung und Management: Entscheidungen über Investitionen, Beteiligungen, Sponsoring
• Personalbereich: Einstellungen, Beförderungen, Vergabe von Aufträgen an Bekannte
• Außendienst und Vertretungen in Ländern mit erhöhtem Korruptionsrisiko
• Zoll- und Genehmigungsprozesse im internationalen Geschäft

Klassische Risikomerkmale sind: Ermessensspielräume bei Entscheidungen, fehlende Vier-Augen-Kontrolle, lange Verweildauer auf besonders sensiblen Posten sowie persönliche Nähe zu Geschäftspartnern.esonders exponierte Bereiche sinnvoll — etwa für HR, Marketing, IT, das Gesundheitswesen oder den öffentlichen Sektor.

Welche Maßnahmen gehören in ein wirksames Compliance-Programm?

Wirksame Korruptionsprävention im Unternehmen steht auf vier Säulen:

1. Risikoanalyse und Code of Conduct

Identifizieren Sie korruptionsgefährdete Bereiche systematisch und legen Sie verbindliche Verhaltensregeln in einem Code of Conduct fest. Besonders wichtig sind klare Regelungen zu Geschenken, Einladungen, Sponsoring und Interessenkonflikten – inklusive konkreter Wertgrenzen und Genehmigungsprozesse.

2. Strukturelle Schutzmechanismen

Dazu gehören das Vier-Augen-Prinzip bei sensiblen Entscheidungen, Rotation auf besonders gefährdeten Positionen, klare Zuständigkeiten und Trennung von Verfahrensschritten (z. B. Planung, Vergabe, Abrechnung). Auch die Prüfung von Geschäftspartnern (Third Party Due Diligence) ist Standard – insbesondere bei internationalen Aktivitäten.

3. Hinweisgebersystem und Speak-up-Kultur

Eine interne Meldestelle ist seit dem HinSchG für Unternehmen ab 50 Mitarbeitenden Pflicht. Wirksam wird sie aber erst, wenn die Belegschaft sie kennt, ihr vertraut und sich vor Repressalien geschützt fühlt. Ergänzend können externe Ombudspersonen oder digitale Hinweisgeberplattformen sinnvoll sein.

4. Regelmäßige Schulungen

Ohne systematische Schulung bleibt jeder Code of Conduct Theorie. Mitarbeitende in Risikobereichen brauchen mindestens einmal jährlich eine Auffrischung – mit Praxisbeispielen, klaren Handlungsanweisungen und nachvollziehbarer Nachweisdokumentation. Organisationen wie Transparency International Deutschland und das UN Global Compact Netzwerk stellen kostenfreie Leitfäden und Checklisten zur Verfügung, die als Orientierung dienen können.

Wie schulen Sie Mitarbeitende effektiv zur Korruptionsprävention?

Klassische Präsenzschulungen zur Korruptionsprävention im Unternehmen stoßen in der Praxis schnell an Grenzen: Termine kollidieren mit Außendienst, Schichten oder internationalen Standorten. Inhalte veralten zwischen den Jahresterminen. Nachweise landen in Excel-Listen oder gar Aktenordnern.

Digitale Compliance-Schulungen über eine Lernplattform lösen diese Probleme. Sie ermöglichen:

• Konsistente Inhalte für alle Standorte und Sprachen
• Flexibles Lernen im individuellen Tempo
• Automatische Nachweisdokumentation für Audits und Behörden
• Schnelle Updates bei Gesetzesänderungen (z. B. neue EU-Richtlinie)
• Erinnerungs- und Wiedervorlagefunktionen für jährliche Auffrischungen

Ein erprobtes Schulungs-Setup zur Korruptionsprävention umfasst typischerweise:

• Eine Grundlagenschulung für alle Mitarbeitenden (Bewusstsein für Korruptionsrisiken, Meldewege, Kultur der Integrität)
• Vertiefende Module für Risikogruppen wie Einkauf, Vertrieb und Management
• Spezifische Trainings zu Geschenken und Einladungen, Geschäftspartnerprüfung und Geldwäscheprävention
• Eine Einführung in den Hinweisgeberschutz mit klarer Erklärung der internen Meldewege

Mehr zur Umsetzung digitaler Compliance-Programme – inklusive konkreter Kosten- und Aufwandsvergleiche – finden Sie in unserem Leitfaden zur digitalen Compliance-Schulung. Einen Überblick über das gesamte Themenspektrum gibt unsere Übersicht zu Compliance- und Datenschutz-Schulungen für Mitarbeitende.

Fazit: Korruptionsprävention ist Führungsaufgabe – und Schulungsthema

Die Korruptionsprävention ist mehr als ein juristisches Pflichtprogramm. Sie ist ein Kulturthema und beginnt bei der Geschäftsführung („tone from the top“). Mit dem Hinweisgeberschutzgesetz, schärferen Sanktionen und der für 2026 erwarteten EU-Antikorruptionsrichtlinie steigen die Anforderungen weiter – an Strukturen, an Dokumentation und an die Schulung der Mitarbeitenden.

Wer Korruptionsprävention systematisch aufsetzt, schützt nicht nur sein Unternehmen vor Bußgeldern und Reputationsschäden, sondern stärkt auch das Vertrauen von Kundinnen, Geschäftspartnern und der eigenen Belegschaft.

Nächste Schritte für Ihr Unternehmen

1. Risiken kartieren: Identifizieren Sie korruptionsgefährdete Bereiche und Funktionen in Ihrem Unternehmen.
2. Regelwerk schaffen: Aktualisieren Sie Ihren Code of Conduct mit klaren Regeln zu Geschenken, Einladungen und Interessenkonflikten.
3. Meldestelle prüfen: Stellen Sie sicher, dass Ihr Hinweisgebersystem den HinSchG-Anforderungen entspricht und bei der Belegschaft bekannt ist.
4. Schulungsplan aufsetzen: Definieren Sie Schulungsintervalle und Zielgruppen – mindestens jährlich für Risikobereiche.
5. Auf 2026 vorbereiten: Beobachten Sie die finale Fassung der EU-Antikorruptionsrichtlinie und passen Sie Ihr Compliance-Management-System frühzeitig an.

Häufig gestellte Fragen