Cyberkriminelle interessieren sich heute weniger für Firewalls als für Menschen. Eine einzige Phishing-Mail, ein gefälschter Anruf vom vermeintlichen Chef oder ein präparierter QR-Code reichen aus, um sechsstellige Schäden auszulösen. Deshalb gehört eine wirksame Phishing-Schulung 2026 zu den wichtigsten Schutzmaßnahmen für Unternehmen.

Laut dem Cybersicherheitsmonitor 2026 von BSI und ProPK war im vergangenen Jahr jeder neunte Internetnutzer in Deutschland von Cyberkriminalität betroffen, und 88 Prozent der Betroffenen erlitten dabei einen konkreten Schaden. Phishing zählt zu den häufigsten Vorfällen.

Dieser Beitrag zeigt, was Mitarbeitende über Phishing, Social Engineering, CEO-Betrug und Deepfakes wissen müssen, welche organisatorischen Regeln Angriffe tatsächlich stoppen und wie sich aus einmaliger Sensibilisierung ein laufendes Programm machen lässt.

Was bedeuten Phishing, Social Engineering und CEO Fraud?

Die Begriffe werden oft synonym verwendet, beschreiben aber unterschiedliche Dinge.

Social Engineering ist der Oberbegriff. Gemeint ist jede Form der psychologischen Manipulation, mit der Kriminelle Menschen dazu bringen, vertrauliche Informationen preiszugeben, Überweisungen auszulösen oder Schadsoftware zu installieren. Der Mensch ist hier die Schwachstelle, nicht die Technik.

Phishing ist die bekannteste Variante. Über gefälschte E-Mails, SMS, QR-Codes oder Webseiten versuchen Angreifer, an Zugangsdaten, Zahlungsinformationen oder andere sensible Daten zu gelangen. Die wichtigsten Spielarten:

CEO-Betrug, im Deutschen auch Chefmasche und international als CEO Fraud oder Business Email Compromise bezeichnet, ist eine besonders gefährliche Sonderform. Dabei geben sich Angreifer als Geschäftsführung, Finanzvorstand oder andere Vorgesetzte aus und fordern Mitarbeitende zu dringenden Überweisungen oder zur Herausgabe vertraulicher Daten auf.

Eine wirksame Phishing-Schulung muss deshalb alle drei Themen gemeinsam vermitteln, nicht nur die E-Mail-Variante.

CEO Fraud (auch „Chefmasche“ oder „Business Email Compromise“) ist eine besonders gefährliche Sonderform. Dabei geben sich Angreifer als Geschäftsführung, Finanzvorstand oder andere Vorgesetzte aus und fordern Mitarbeitende per E-Mail, Anruf oder Videocall zu dringenden Überweisungen oder zur Herausgabe vertraulicher Daten auf.

Eine wirksame Phishing-Schulung muss deshalb alle drei Themen – Phishing, Social Engineering und CEO Fraud – gemeinsam vermitteln.

Wie bedrohlich ist die Lage 2026 wirklich?

Die aktuellsten Zahlen für Deutschland stammen aus der Bitkom-Studie Wirtschaftsschutz 2026, vorgestellt Ende August 2026 gemeinsam mit dem Bundesamt für Verfassungsschutz. Drei Befunde sind für die Schulungspraxis relevant:

Erstens: KI verändert das Angriffsgeschehen messbar. 82 Prozent der befragten Unternehmen gehen von verstärktem KI-Einsatz durch Angreifer aus. Festgemacht wird das an der automatisierten Anpassung von Angriffsversuchen (53 Prozent), an der hohen Qualität gefälschter Audio- und Videoaufnahmen (48 Prozent), an der Qualität von Textnachrichten und Mails (38 Prozent) sowie an stark personalisierten Inhalten (28 Prozent).

Zweitens: Deepfakes und Robo-Calls wachsen am schnellsten. Der Anteil der Unternehmen, die Schäden durch Deepfakes meldeten, stieg von 4 auf 8 Prozent, bei Robo-Calls von 3 auf 14 Prozent. Beides sind genau die Angriffsformen, gegen die klassische E-Mail-Filter nichts ausrichten.

Drittens: Das Problem ist die Erkennung. 59 Prozent der geschädigten Unternehmen nannten unzureichende Erkennung von Sicherheitsvorfällen als wichtigsten Schadensgrund, noch vor technischen Schwachstellen. Insgesamt berichteten 58 Prozent der Unternehmen von einem Schaden in den vergangenen zwölf Monaten.

Beim finanziellen Schaden durch CEO-Betrug zeigt die Schadensstatistik von Allianz Trade ein charakteristisches Muster: Die Fallzahlen beim Fake-President-Betrug gingen zuletzt leicht zurück, die Schäden je Fall stiegen aber deutlich. Jeder einzelne Angriff wird also gezielter und teurer. Für die Schulung heißt das: Es geht weniger um Masse als um die wenigen Fälle, die richtig wehtun.

Wer denkt, das treffe nur Großkonzerne, liegt falsch. Das BSI stuft kleine und mittlere Unternehmen im aktuellen Lagebericht ausdrücklich als besonders gefährdet ein, weil ihnen häufig Ressourcen, Fachwissen und klare Zuständigkeiten fehlen.

CEO-Betrug: wie die Chefmasche funktioniert

CEO-Betrug verdient eigene Aufmerksamkeit in der Schulung, weil er anders funktioniert als klassisches Phishing. Es geht nicht um einen Link, den jemand anklickt, sondern um eine Handlung, die jemand freiwillig ausführt, weil sie plausibel und dringend wirkt.

Der typische Ablauf:

1. Recherche. Angreifer sammeln öffentlich verfügbare Informationen: Wer ist Geschäftsführung, wer arbeitet in der Buchhaltung, wann ist die Leitung auf Reisen, welche Projekte laufen. Website, LinkedIn und Handelsregister reichen dafür meist aus.
2. Kontaktaufnahme. Eine Mail von einer täuschend ähnlichen Adresse, ein Anruf mit geklonter Stimme oder ein Videocall. Häufig außerhalb der regulären Arbeitszeit oder kurz vor Feierabend.
3. Autorität und Dringlichkeit. Es geht angeblich um eine vertrauliche Transaktion, eine Übernahme, eine Behördenangelegenheit. Rückfragen im Team werden ausdrücklich untersagt.
4. Eskalation. Wird gezögert, erhöht sich der Druck, oft mit Verweis auf Konsequenzen oder auf angeblich bereits erteilte Freigaben.
5. Zahlung. Die Überweisung geht an ein Konto, das kurz darauf geleert wird.

Die Warnsignale, die Mitarbeitende lernen sollten, sind erfreulich konstant:

• Ungewöhnlicher Kommunikationsweg für eine Zahlungsanweisung
• Vertraulichkeit wird ausdrücklich eingefordert, Rückfragen sind unerwünscht
• Zeitdruck ohne nachvollziehbaren Grund
• Abweichung vom Standardprozess, etwa eine neue Bankverbindung oder ein anderer Freigabeweg
• Emotionaler Druck, Andeutungen von Konsequenzen oder betonte Wertschätzung

Der wichtigste Satz für jede CEO-Betrug-Schulung lautet: Eine echte Führungskraft wird niemals verlangen, dass Sie einen Sicherheitsprozess umgehen. Wer das verinnerlicht hat, braucht die Details der Masche gar nicht zu kennen.

Besonders exponiert sind Buchhaltung, Assistenz, Empfang und alle Rollen mit Zahlungsfreigabe. Für sie lohnt ein eigenes Aufbaumodul.

Deepfake und Voice Cloning in der Schulung

Vor wenigen Jahren waren Phishing-Mails oft an Rechtschreibfehlern und plumpen Anreden zu erkennen. Diese Zeiten sind vorbei. Generative KI produziert Texte, die in Tonfall, Stil und Kontext exakt zur angegriffenen Person passen. Drei Entwicklungen sind besonders kritisch.

Voice Cloning. Mit wenigen Sekunden Audiomaterial, etwa aus einem Podcast, einem LinkedIn-Video oder einem Webinar, lässt sich die Stimme einer Führungskraft kopieren. Im Telefonat ist die Fälschung kaum vom Original zu unterscheiden.

Deepfake-Videocalls. Im Februar 2024 überwies ein Finanzangestellter in Hongkong rund 25 Millionen Dollar, nachdem er in einer Videokonferenz mit seinem vermeintlichen CFO und weiteren Kollegen gesprochen hatte. Sämtliche Teilnehmenden waren KI-generiert. Inzwischen sind solche Echtzeit-Fälschungen technisch breit verfügbar.

Hybride Angriffe. Eine gut gemachte Mail, gefolgt von einem bestätigenden Anruf mit geklonter Stimme. Diese Kombination unterläuft viele klassische Sicherheitsroutinen, weil die zweite Bestätigung genau das Vertrauen erzeugt, das der Prozess eigentlich absichern sollte.

Woran Mitarbeitende einen Deepfake erkennen können

Eine Deepfake-Schulung sollte nicht suggerieren, dass sich Fälschungen zuverlässig am Bild erkennen lassen. Die Qualität steigt schneller, als sich Erkennungsmerkmale vermitteln lassen. Trotzdem gibt es Hinweise, die im Videocall auffallen können:

• unnatürliche Übergänge an Haaransatz, Brillenrand oder Kinn
• Mimik, die nicht zur Stimmlage passt, insbesondere beim Lachen
• verzögerte oder ausbleibende Reaktion auf spontane Zwischenfragen
• gleichbleibende Kopfhaltung, wenig seitliche Bewegung
• schlechte Verbindungsqualität, die auffällig oft als Erklärung dient

Deutlich verlässlicher als optische Merkmale ist ein Verhaltenstest: Bitten Sie die Person, etwas Unvorhergesehenes zu tun. Eine Hand vors Gesicht halten, sich zur Seite drehen, auf eine Frage antworten, die nur die echte Person beantworten kann. Echtzeit-Deepfakes kommen bei solchen Anforderungen bis heute regelmäßig an ihre Grenzen.

Und der wirksamste Schutz ist ohnehin kein Erkennungsmerkmal, sondern ein Prozess: Rückruf über eine bekannte Nummer, bevor gehandelt wird. Details dazu im nächsten Abschnitt.

Welche Schutzmaßnahmen funktionieren in der Praxis?

Technische Filter allein reichen nicht aus, wenn Angriffe immer perfekter werden. Wirksamer Schutz entsteht aus dem Zusammenspiel von Technik, Organisation und Sensibilisierung.

Organisatorische Maßnahmen sind dabei oft die wirksamsten und zugleich die günstigsten:

• Vier-Augen-Prinzip bei allen Zahlungen ab einem definierten Schwellenwert, ohne Ausnahme, auch nicht bei vermeintlichen Anweisungen von oben
• Out-of-Band-Verifikation: Ungewöhnliche Anweisungen werden über einen zweiten, vorher festgelegten Kanal bestätigt, also per Rückruf auf eine bekannte Nummer, nie auf die Nummer aus dem Anruf oder der Mail
• Code-Wort für kritische Anweisungen, das in jeder dringenden Zahlungsfreigabe genannt werden muss
• Fester Prozess für Bankverbindungsänderungen, mit schriftlicher Bestätigung über einen bekannten Kanal
• Reduktion öffentlich verfügbaren Materials: Jede Minute Video- oder Audioaufnahme von Führungskräften ist potenzielles Trainingsmaterial für Angreifer

Ein Punkt wird dabei fast immer übersehen: Diese Regeln funktionieren nur, wenn die Führungsebene sie selbst einhält und ausdrücklich kommuniziert, dass Rückfragen erwünscht sind. Wo Nachfragen als Misstrauen gilt, nützt der beste Prozess nichts.

Sensibilisierung ist die zweite Säule, und hier zeigen sich klare Erfolgsmuster. Branchenauswertungen von Anbietern von Phishing-Simulationen, unter anderem der jährliche Benchmarking-Report von KnowBe4, zeigen übereinstimmend: Die Anfälligkeit von Belegschaften liegt ohne Training bei rund einem Drittel und sinkt bei kontinuierlichem Training über zwölf Monate auf einen einstelligen Prozentwert.

Entscheidend ist das Wort kontinuierlich. Eine einmalige Pflichtschulung pro Jahr bringt wenig. Wirksam wird das Training erst durch:

• regelmäßige, kurze Lerneinheiten im Microlearning-Format
• realistische Phishing-Simulationen, bei denen Mitarbeitende fingierte Angriffe im Arbeitsalltag erleben
• eine Aufklärungsseite im Klick-Moment, die den Vorfall unmittelbar einordnet
• rollenspezifische Inhalte, weil die Buchhaltung andere Beispiele braucht als der Vertrieb
• Auffrischungen, sobald neue Bedrohungen auftauchen, etwa nach einer realen Angriffswelle in der eigenen Branche

Ein Hinweis zur Kultur: Simulationen wirken nur, wenn sie nicht als Fallenstellen wahrgenommen werden. Wer bei einem Klick eine Rüge erwartet, meldet einen echten Vorfall später nicht. Kommunizieren Sie vorab, dass simuliert wird, und behandeln Sie Klickraten als Kennzahl des Programms, nicht als Bewertung einzelner Personen.

Warum ein LMS für kontinuierliche Phishing-Schulung?

Ein Learning Management System ist die Infrastruktur, die kontinuierliche, skalierbare und nachweisbare Schulungen erst möglich macht.

1. Skalierbarkeit über die gesamte Belegschaft. Ob 50 oder 5.000 Personen: Pflichtkurse lassen sich einer Zielgruppe in wenigen Klicks zuweisen, inklusive automatischer Erinnerungen und Eskalationsstufen.

2. Microlearning statt Frontalunterricht. Statt einer 90-Minuten-Schulung pro Jahr verteilen sich kurze Einheiten von fünf bis zehn Minuten über das Jahr. Dieses Format wirkt nachweislich am besten gegen schnelles Vergessen.

3. Rollenspezifische Lernpfade. Buchhaltung, Geschäftsführung, IT, Vertrieb und Empfang sind unterschiedlich exponiert. Das System spielt die passenden Inhalte automatisch aus.

4. Simulationen mit direkter Aufklärung. Wer auf eine fingierte Mail klickt, landet auf einer Aufklärungsseite, die den Vorfall einordnet und das richtige Verhalten zeigt.

5. Nachweis und Reporting. NIS2, ISO 27001 und TISAX verlangen dokumentierte Schulungsmaßnahmen. Teilnahmequoten, Abschlüsse und Wissensstände lassen sich jederzeit auditfähig exportieren und liefern damit einen Nachweisbeitrag für Prüfungen.

6. Mehrsprachigkeit und Ortsunabhängigkeit. Internationale Teams, Außendienst, Schichtarbeit, Homeoffice: Alle lernen in ihrer Sprache, zu ihrem Zeitpunkt, auf ihrem Endgerät.

7. Schnelle Reaktion auf neue Bedrohungen. Taucht eine neue Angriffswelle mit Bezug zur eigenen Branche auf, lässt sich binnen Stunden ein kurzes Awareness-Modul zuweisen.

Speziell für Simulationen und Security-Awareness-Trainings gibt es reteach Phishing Awareness als eigenständige Komplettlösung: realistische Phishing-Mails im Versandrhythmus 14-tägig oder monatlich, eine Aufklärungsseite im Klick-Moment und Auswertungen nach Abteilung. Die Lösung ist datenschutzfreundlich gestaltet und lässt sich in der reteach-Plattform oder unabhängig davon nutzen.

Wie sich Schulungen datenschutzkonform aufsetzen lassen, behandeln die Beiträge zur datenschutzkonformen Weiterbildung und zu LMS und DSGVO.

Welche Inhalte gehören in eine Phishing-Schulung?

Bewährt hat sich eine modulare Struktur aus Basis, Vertiefung und aktuellen Themen.

Basismodule für alle Mitarbeitenden

• Grundlagen: Was sind Phishing, Social Engineering und CEO-Betrug?
• Typische Warnsignale in E-Mails, SMS und Anrufen
• Sicherer Umgang mit Passwörtern und Zwei-Faktor-Authentifizierung
• Verhalten bei einem vermuteten Angriff: Wer wird informiert, welche Schritte folgen?

Aufbaumodule für besonders gefährdete Rollen

• Buchhaltung und Finance: CEO-Betrug, gefälschte Lieferantenrechnungen, Vier-Augen-Prinzip in der Praxis, Umgang mit Bankverbindungsänderungen
• Assistenz und Empfang: Pretexting am Telefon, Umgang mit Druck und Dringlichkeit
• Führungskräfte: Schutz der eigenen Identität, bewusster Umgang mit öffentlich verfügbaren Audio- und Videoaufnahmen
• IT-Teams: Erkennung technischer Angriffsmuster und Reaktion im Ernstfall

Aktuelle Themen 2026

• Deepfake- und Vishing-Erkennung: Wie unterscheide ich einen echten Videocall oder Anruf von einem gefälschten, und welcher Prozess ersetzt das Erkennen?
• KI-generierte Phishing-Mails: Warum sprachliche Perfektion kein Echtheitsbeweis mehr ist
• Quishing: Sicherer Umgang mit QR-Codes im Arbeitsalltag

Hinzu kommen wiederkehrende Phishing-Simulationen, die das theoretische Wissen unter realen Bedingungen testen und zugleich zeigen, wo noch Sensibilisierungsbedarf besteht.

Fazit und nächste Schritte

Phishing, Social Engineering und CEO-Betrug sind keine vorübergehende Erscheinung. Sie sind die zentrale Angriffsfläche moderner Unternehmen, und mit KI und Deepfakes hat sich ihr Gefahrenpotenzial vervielfacht.

Wer die Belegschaft einmal jährlich für 30 Minuten durchschult, erfüllt vielleicht eine Compliance-Anforderung, schafft aber kein Sicherheitsbewusstsein. Wirksamer Schutz entsteht durch kontinuierliches, kurzes und rollenspezifisches Lernen, kombiniert mit klaren organisatorischen Regeln.

Fünf Schritte für die Umsetzung:

1. Rollen identifizieren, die am stärksten gefährdet sind, allen voran Zahlungsfreigabe und Assistenz.
2. Organisatorische Regeln festlegen: Vier-Augen-Prinzip, Rückruf über bekannte Nummern, Code-Wort, Prozess für Bankverbindungsänderungen.
3. Modular schulen: Basis für alle, Vertiefung für Risikogruppen.
4. Auf kontinuierliches Microlearning umstellen statt auf den Jahrestermin.
5. Simulationen ergänzen und die Klickrate als Programmkennzahl führen, nicht als Personalbewertung.

Ein konkreter erster Schritt, der nichts kostet: Prüfen Sie, ob in Ihrem Unternehmen heute jemand allein eine größere Zahlung freigeben kann. Wenn ja, ist das die dringlichste Baustelle, noch vor jeder Schulung.

Wie das Zusammenspiel aus Training und Simulation praktisch aussieht, zeigt reteach Phishing Awareness, wahlweise direkt in einer Live-Demo.ahlweise in Ihrer reteach-Plattform oder eigenständig. Mehr über reteach Phishing Awareness erfahren oder direkt eine Live-Demo buchen.

Häufig gestellte Fragen

Eine regelmäßige DSGVO-Schulung gehört für Unternehmen längst zum Pflichtprogramm und ist zugleich die wirksamste Einzelmaßnahme gegen Datenpannen. Denn die entstehen selten aus böser Absicht, sondern fast immer durch fehlendes Wissen: Der Verizon Data Breach Investigations Report führt seit Jahren einen Großteil aller Sicherheitsvorfälle auf den Faktor Mensch zurück, also auf Fehlbedienung, Fehlversand oder Social Engineering. Wer die Anforderungen der Datenschutz-Grundverordnung ernst nimmt, muss seine Mitarbeitenden deshalb regelmäßig und nachweisbar schulen.

Doch was genau ist Pflicht? Wie oft muss geschult werden, welche Inhalte gehören hinein, und welche Formate funktionieren in der Praxis? Dieser Leitfaden gibt einen branchenübergreifenden Überblick, liefert eine Checkliste für die eigenen Schulungsmaterialien und zeigt, was sich 2026 durch NIS2 und die KI-Verordnung geändert hat.

Was ist eine DSGVO-Schulung?

Eine DSGVO-Schulung ist eine strukturierte Sensibilisierung von Beschäftigten zu den Anforderungen der Datenschutz-Grundverordnung und des Bundesdatenschutzgesetzes (BDSG). Ziel ist, dass alle Mitarbeitenden, die im Arbeitsalltag mit personenbezogenen Daten in Kontakt kommen, diese rechtssicher und verantwortungsvoll verarbeiten.

Die Schulung deckt die rechtlichen Grundlagen ebenso ab wie konkrete Verhaltensregeln im Umgang mit Kundendaten, Personalinformationen, E-Mails, mobilen Geräten oder Cloud-Diensten. Sie ist damit ein zentraler Baustein eines funktionierenden Datenschutzmanagementsystems (DSMS) und Voraussetzung dafür, der Rechenschaftspflicht nachzukommen.

DSGVO-Schulung, Datenschutzschulung oder Datenschutzunterweisung?

In Ausschreibungen, Auditberichten und Schulungsplänen tauchen drei Begriffe nebeneinander auf. Gemeint ist meist dasselbe, die Nuancen unterscheiden sich aber:

Rechtlich macht die Bezeichnung keinen Unterschied. Entscheidend ist, dass die Maßnahme inhaltlich angemessen, auf die Rolle zugeschnitten und dokumentiert ist. Wer intern von „Unterweisung“ spricht, signalisiert allerdings deutlicher, dass die Teilnahme nicht freiwillig ist. Wie sich Datenschutz in ein Gesamtkonzept aus wiederkehrenden Unterweisungen einfügt, lesen Sie in unserer Übersicht dazu.

Ist eine DSGVO-Schulung Pflicht?

Die kurze Antwort: Ja — wenn auch nicht ausdrücklich. Die DSGVO formuliert keine eigene Vorschrift wie „Alle Mitarbeitenden sind einmal jährlich zu schulen“. Die Pflicht ergibt sich jedoch indirekt aus mehreren Artikeln:

• Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht): Verantwortliche müssen nachweisen können, dass sie die Grundsätze der Datenverarbeitung einhalten. Ohne geschultes Personal ist dieser Nachweis kaum zu erbringen.
• Art. 32 Abs. 1 DSGVO (Technische und organisatorische Maßnahmen): Unternehmen müssen geeignete Maßnahmen zur Datensicherheit treffen. Schulungen zählen zu den zentralen organisatorischen Maßnahmen.
• Art. 39 Abs. 1 lit. b DSGVO (Aufgaben des Datenschutzbeauftragten): Datenschutzbeauftragte müssen die Sensibilisierung und Schulung der beteiligten Mitarbeitenden überwachen. Die Verordnung setzt Schulungen damit als selbstverständlich voraus.

In der Praxis heißt das: Fehlt der Nachweis regelmäßiger Schulungen, fällt das ins Gewicht, sobald eine Aufsichtsbehörde prüft. Behörden wie das Bayerische Landesamt für Datenschutzaufsicht fragen Schulungsmaßnahmen in ihren Prüffragebögen routinemäßig ab. Eine DSGVO-Schulung ist damit faktisch Pflicht.

Für Geschäftsführungen kommt eine eigene Ebene hinzu: Sie tragen die Organisations- und Kontrollverantwortung dafür, dass Schulungen überhaupt stattfinden. Was daraus konkret folgt, beschreiben wir im Beitrag zu den Pflichten der Geschäftsführung bei Compliance-Schulungen.

Wer muss an einer DSGVO-Schulung teilnehmen?

Geschult werden müssen alle Beschäftigten, die im Rahmen ihrer Tätigkeit personenbezogene Daten verarbeiten. Das sind in den meisten Unternehmen praktisch alle. Konkret zählen dazu:

• Mitarbeitende in HR und Personalwesen, die mit Bewerbungsunterlagen, Verträgen und Gehaltsdaten arbeiten
• Vertriebs- und Marketingteams, die Kundendaten erfassen, CRM-Systeme nutzen oder Newsletter versenden
• IT- und Administrationsteams mit Zugriff auf Systeme und Datenbanken
• Kundendienst und Support, die Anfragen Betroffener entgegennehmen
• Führungskräfte, die Verantwortung für datenschutzkonforme Prozesse in ihren Teams tragen
• Gewerbliche Mitarbeitende in Logistik, Fertigung oder Außendienst, die mit Kundendaten oder Lieferdokumenten umgehen

Auch Auszubildende, Werkstudierende und befristet Beschäftigte gehören dazu. Externe Auftragsverarbeitende sollten zusätzlich vertraglich zur Schulung verpflichtet werden.

Wichtig ist der Zeitpunkt: Eine Erstunterweisung sollte bereits im digitalen Onboarding stattfinden, also bevor neue Beschäftigte erstmals mit personenbezogenen Daten arbeiten. Wer erst nach Monaten schult, riskiert genau in der heikelsten Phase einen Vorfall.

Welche Inhalte gehören in eine DSGVO-Schulung?

Die DSGVO macht keine konkreten Vorgaben zu Schulungsinhalten. Aus der gängigen Praxis und den Empfehlungen der Aufsichtsbehörden ergeben sich aber klare Pflichtinhalte für eine Grundschulung.

1. Rechtlicher Rahmen und Grundbegriffe

• Zweck und Geltungsbereich von DSGVO und BDSG
• Was sind personenbezogene Daten, was besondere Kategorien nach Art. 9 DSGVO?
• Grundprinzipien: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität

2. Rechtsgrundlagen der Datenverarbeitung

• Einwilligung, Vertragserfüllung, berechtigtes Interesse, gesetzliche Pflicht
• Anforderungen an eine wirksame Einwilligung und deren Widerruf

3. Rechte der Betroffenen

• Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch
• Wie reagiere ich, wenn ein Auskunftsersuchen nach Art. 15 DSGVO eingeht?

4. Sicherer Umgang mit Daten im Arbeitsalltag

• Passwortrichtlinien und Zwei-Faktor-Authentifizierung
• Versand von E-Mails: BCC, Verschlüsselung, Anhänge
• Umgang mit mobilen Geräten, USB-Sticks und Cloud-Diensten
• Datenschutz im Homeoffice und auf Reisen

5. Erkennen von Risiken

• Phishing-E-Mails und Social Engineering
• Schadsoftware und Ransomware
• Unbefugter Zugriff und Shoulder Surfing

6. Verhalten im Fall einer Datenpanne

• Wie erkenne ich eine Datenpanne überhaupt?
• Meldewege im Unternehmen
• 72-Stunden-Meldepflicht an die Aufsichtsbehörde nach Art. 33 DSGVO

7. Sanktionen und Konsequenzen

• Bußgeldrahmen der DSGVO und Haftungsfragen
• Reputationsschäden und arbeitsrechtliche Folgen

8. Aktuelle Themen 2026

• Datenschutz bei KI-Tools wie ChatGPT, Microsoft Copilot oder Gemini
• Schnittstellen zur KI-Verordnung und zu NIS2
• Internationale Datentransfers nach dem EU-US Data Privacy Framework

Über die Grundschulung hinaus sind vertiefende Module für exponierte Bereiche sinnvoll, etwa für HR, Marketing, IT, das Gesundheitswesen oder den öffentlichen Sektor. Für die Phishing-Komponente eignet sich eine fortlaufende Simulation besser als ein einmaliges Kapitel, wie sie reteach Phishing Awareness bereitstellt.

Welche Schulungsmaterialien brauchen Sie?

Wer eine Datenschutzschulung selbst aufsetzt, braucht mehr als einen Foliensatz. Die folgende Checkliste deckt ab, was im Prüfungsfall vorliegen sollte.

Checkliste: Materialien für eine DSGVO-Schulung

• Schulungskonzept mit Zielgruppen, Turnus und Lernzielen, abgelegt im Datenschutzmanagementsystem
• Curriculum mit Modulübersicht und Zeitangaben
• Lerninhalte als Video, Foliensatz oder interaktives Modul, auf aktuellem Rechtsstand
• Praxisbeispiele aus dem eigenen Unternehmen, nicht nur allgemeine Fälle
• Lernerfolgskontrolle mit definierter Bestehensgrenze
• Teilnahmenachweis oder Zertifikat mit Datum und Schulungsumfang
• Kurzreferenz für den Arbeitsplatz, etwa ein einseitiger Verhaltensleitfaden
• Meldeformular für Datenschutzvorfälle inklusive Eskalationsweg
• Nachweisliste der Teilnehmenden mit Funktion und Abschlussdatum
• Änderungshistorie, die dokumentiert, wann Inhalte zuletzt aktualisiert wurden

Beispiel-Curriculum für eine jährliche Grundschulung

Als Faustregel gilt: Eine Grundunterweisung von 60 bis 90 Minuten deckt den allgemeinen Bedarf ab. Rollen mit erhöhtem Risiko benötigen zusätzliche Vertiefungsmodule.

Wer die Inhalte nicht selbst produzieren möchte, kann fertige, juristisch geprüfte Module einsetzen. Diese lassen sich entweder in einem eigenen Lernsystem nutzen oder als Kurse für Ihr LMS in eine bestehende Plattform einbinden.

Wie oft sollte eine DSGVO-Schulung stattfinden?

Die DSGVO macht zur Häufigkeit keine konkreten Vorgaben. Aufsichtsbehörden, Datenschutzbeauftragte und Branchenverbände empfehlen aber übereinstimmend einen jährlichen Turnus als Best Practice.

Zusätzliche anlassbezogene Schulungen sind sinnvoll bei:

• Neueinstellungen: Erstunterweisung im Rahmen des Onboardings
• Gesetzesänderungen oder neuen Urteilen: etwa zur KI-Verordnung oder zu internationalen Datentransfers
• Einführung neuer Tools oder Prozesse: beim Rollout eines neuen CRM, ERP oder KI-Assistenten
• Nach einer Datenpanne: als Korrektur- und Sensibilisierungsmaßnahme
• Bei Funktionswechseln: wenn Mitarbeitende in datenschutzkritischere Rollen wechseln

Auch zwischen den großen Terminen lohnen sich kurze Refresher, etwa Mikro-Lerneinheiten zu Phishing oder Passwortsicherheit. Sie halten das Thema präsent, ohne den Arbeitsalltag stark zu unterbrechen.

Welche Formate eignen sich für eine DSGVO-Schulung?

Auch zur Form macht die DSGVO keine Vorgaben. Entscheidend ist, dass die Schulung inhaltlich angemessen, nachweisbar und wirksam ist. In der Praxis haben sich drei Formate etabliert.

Für Nachweiszwecke hat E-Learning einen strukturellen Vorteil: Teilnahme, Testergebnis und Zertifikat entstehen automatisch und sind auf Knopfdruck auswertbar. Bei einer Präsenzschulung hängt der Nachweis an einer Unterschriftenliste, die im Prüfungsfall vollständig und auffindbar sein muss. Dieselbe Logik gilt für Nachweispflichten außerhalb der DSGVO, etwa im Rahmen von NIS2.

Für die meisten Unternehmen ist ein Blended-Learning-Ansatz sinnvoll: E-Learning für die regelmäßige Grundunterweisung, ergänzt um Präsenz- oder Live-Formate für Vertiefungen und Diskussionen mit dem Datenschutzbeauftragten.

Wer darf eine DSGVO-Schulung durchführen?

Die DSGVO macht hierzu keine Qualifikationsvorgaben. In der Praxis sollte die Schulung von fachlich qualifizierten Personen verantwortet werden, typischerweise:

• dem internen oder externen Datenschutzbeauftragten, sofern bestellt
• spezialisierten Fachanwältinnen und Fachanwälten für IT-Recht und Datenschutz
• erfahrenen Datenschutzberatungen
• professionellen E-Learning-Anbietern mit juristisch geprüften Inhalten

Ein Hinweis aus der Praxis: Der interne Datenschutzbeauftragte ist häufig ein nebenbei weitergebildetes Teammitglied und nicht zwingend auch ein guter Trainer. In dem Fall lohnt sich die Auslagerung der jährlichen Grundunterweisung an spezialisierte Anbieter, während die Vertiefung intern bleibt.

Wie dokumentiere ich die DSGVO-Schulung rechtssicher?

Die Dokumentation ist der eigentliche Hebel im Audit- oder Bußgeldfall. Folgende Nachweise sollten Sie zu jeder Schulung aufbewahren:

• Teilnehmendenliste mit Namen, Datum und Funktion
• Schulungsinhalte und vermittelte Themen, also Curriculum, Folien und Modulinhalte
• Lernerfolgskontrolle, etwa durch einen Abschlusstest
• Teilnahmezertifikate mit Datum und Schulungsumfang
• Schulungskonzept als Teil des Datenschutzmanagementsystems

Bei E-Learning über ein Learning Management System (LMS) entstehen diese Nachweise automatisch. Teilnahmen, Quiz-Ergebnisse und Zertifikate werden zentral gespeichert und sind jederzeit auswertbar, was den Nachweis gegenüber Aufsichtsbehörden erheblich vereinfacht.

Worauf Sie bei der Auswahl eines datenschutzkonformen Systems achten sollten, lesen Sie im Beitrag zu LMS und DSGVO. Wie Sie Ihre Trainingsprozesse insgesamt datenschutzkonform aufsetzen, behandelt der Beitrag zur datenschutzkonformen Weiterbildung.

Welche Bußgelder drohen ohne DSGVO-Schulung?

Eine fehlende Schulung ist für sich genommen kein eigener Bußgeldtatbestand. Sie wird relevant, sobald etwas passiert. Der Bußgeldrahmen der DSGVO liegt bei bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes, bei schweren Verstößen bei bis zu 20 Millionen Euro oder 4 Prozent.

Entscheidend ist Art. 83 Abs. 2 DSGVO: Bei der Bemessung berücksichtigen die Aufsichtsbehörden unter anderem den Grad der Verantwortung und die getroffenen technischen und organisatorischen Maßnahmen. Nachweisbare, regelmäßige Schulungen zählen genau dort hinein und können ein Bußgeld spürbar senken. Umgekehrt gilt: Wer nach einem Vorfall keine Schulungshistorie vorlegen kann, argumentiert aus einer deutlich schwächeren Position.

Hinzu kommen zwei Risiken, die oft übersehen werden:

• Schadensersatzansprüche Betroffener nach Art. 82 DSGVO, die unabhängig vom behördlichen Bußgeld geltend gemacht werden können
• Wettbewerbsrechtliche Abmahnungen: Der Europäische Gerichtshof hat entschieden, dass Mitbewerber Verstöße gegen die DSGVO unter bestimmten Voraussetzungen wettbewerbsrechtlich verfolgen können, was das Abmahnrisiko erweitert

Was ist 2026 neu bei DSGVO-Schulungen?

Drei Entwicklungen prägen das Schulungsjahr 2026.

1. NIS2 ist in Deutschland geltendes Recht

Das NIS2-Umsetzungsgesetz wurde am 13. November 2025 vom Bundestag verabschiedet, am 20. November 2025 vom Bundesrat bestätigt und trat am 6. Dezember 2025 in Kraft, und zwar ohne Übergangsfrist. Das Registrierungsportal des BSI ging am 6. Januar 2026 an den Start, die Frist zur Erstregistrierung endete am 6. März 2026. Betroffen sind rund 30.000 Einrichtungen in 18 Sektoren, in der Regel ab 50 Beschäftigten oder 10 Millionen Euro Jahresumsatz. Damit rutscht ein erheblicher Teil des Mittelstands erstmals in eine Cybersicherheitsregulierung, die Schulungen und die Verantwortung der Geschäftsleitung ausdrücklich adressiert. Datenschutz- und Informationssicherheitsschulungen sollten deshalb gemeinsam geplant werden.

2. Die KI-Verordnung ist weitgehend anwendbar

Seit dem 2. Februar 2025 gilt die KI-Kompetenzpflicht nach Art. 4 KI-VO: Wer KI-Systeme einsetzt, muss die eigenen Beschäftigten entsprechend qualifizieren. Seit dem 2. August 2026 sind zudem die meisten übrigen Vorschriften der Verordnung anwendbar. Für die Fristen rund um Hochrisiko-KI-Systeme sind über den Digital Omnibus Verschiebungen beschlossen worden, die laufend zu beobachten sind. Viele Unternehmen kombinieren DSGVO- und KI-Schulung, um Synergien zu nutzen. Was dabei zu beachten ist, beschreiben wir im Beitrag zur KI-Schulungspflicht.

3. Der Digital Omnibus stellt Teile der DSGVO zur Diskussion

Die EU-Kommission hat mit dem Digital Omnibus ein Vereinfachungspaket vorgelegt, das unter anderem Änderungen an der DSGVO vorsieht, etwa bei der Definition personenbezogener Daten und bei Informationspflichten. Für die KI-Verordnung gibt es seit dem 7. Mai 2026 eine politische Einigung, der Datenschutzteil des Pakets wird davon getrennt weiterverhandelt. Für die Praxis heißt das: Der heutige Rechtsstand gilt unverändert, Schulungsinhalte sollten aber so aufgebaut sein, dass sich einzelne Module ohne Neuproduktion austauschen lassen.

DSGVO-Schulung mit reteach

Wer die Schulung nicht selbst produzieren will, findet bei reteach fertige Inhalte, die sich direkt einsetzen oder an das eigene Unternehmen anpassen lassen.

Die vollständige Übersicht finden Sie in den Compliance- und Datenschutz-Schulungen.

Fazit und nächste Schritte

Eine DSGVO-Schulung ist auch 2026 keine Kür, sondern faktisch Pflicht, und zugleich eine der wirksamsten Maßnahmen gegen Datenpannen, Bußgelder und Reputationsschäden. Wer einmal jährlich strukturiert schult, anlassbezogen nachsteuert und die Teilnahme sauber dokumentiert, ist auf der sicheren Seite.

Neu ist, dass der Datenschutz nicht mehr allein steht: NIS2 und die KI-Verordnung erweitern den Kreis der Schulungspflichten erheblich, und beide verlangen dieselben Nachweise. Wer die drei Themen in einem System plant, spart doppelte Arbeit.

Für die Umsetzung gilt: praxisnah, interaktiv und nachweisbar sind die drei wichtigsten Erfolgskriterien. Ein konkreter nächster Schritt ist der Abgleich der eigenen Materialien mit der Checkliste in Abschnitt 6, gefolgt von der Festlegung eines verbindlichen Turnus für das kommende Jahr.

Häufig gestellte Fragen

Mit dem EU AI Act, auf Deutsch KI-Verordnung, hat die Europäische Union das weltweit erste umfassende Gesetz zur Künstlichen Intelligenz geschaffen. Es ist seit dem 1. August 2024 in Kraft und betrifft praktisch jedes Unternehmen, das KI-Systeme einsetzt oder anbietet. Im Juli 2026 hat der Digital Omnibus wichtige Fristen und Pflichten geändert.

Dieser Leitfaden fasst den Stand nach dem Omnibus zusammen: Risikoklassen, Stichtage, Bußgelder, zuständige Behörden und die Schritte, die Unternehmen jetzt angehen sollten.

1. Was ist der EU AI Act?

Der EU AI Act ist die Verordnung (EU) 2024/1689 und seit dem 1. August 2024 in Kraft. Er teilt KI-Systeme in vier Risikoklassen ein und knüpft daran gestaffelte Pflichten. Der EU AI Act ist die Verordnung (EU) 2024/1689 und seit dem 1. August 2024 in Kraft. Er teilt KI-Systeme in vier Risikoklassen ein und knüpft daran gestaffelte Pflichten. Die Verbote nach Art. 5 und die Pflicht zur KI-Kompetenz nach Art. 4 gelten seit dem 2. Februar 2025. Die vollen Hochrisiko-Pflichten greifen nach der Änderung durch den Digital Omnibus erst am 2. Dezember 2027 beziehungsweise am 2. August 2028.

Auch bekannt als KI-Verordnung oder AI Act, ist er das weltweit erste umfassende Gesetz seiner Art und verfolgt drei zentrale Ziele:

• Schutz der Grundrechte, Gesundheit und Sicherheit der Menschen in der EU
• Förderung vertrauenswürdiger und transparenter KI
• Sicherstellung eines funktionierenden Binnenmarkts für KI-Anwendungen

Der EU AI Act folgt einem risikobasierten Ansatz: Je höher das Risiko, das von einer KI-Anwendung ausgeht, desto strenger sind die Anforderungen. Damit unterscheidet er sich grundlegend von technologieneutralen Regulierungen wie der DSGVO.

Wichtig zu wissen: Der EU AI Act gilt extraterritorial. Auch Unternehmen außerhalb der EU müssen ihn einhalten, wenn ihre KI-Systeme in der EU genutzt werden oder ihre Ausgaben dort verwendet werden.

2. Wer ist vom EU AI Act betroffen?

Der EU AI Act unterscheidet vier Rollen, die jeweils eigene Pflichten haben:

• Anbieter (Provider): Unternehmen, die KI-Systeme entwickeln oder unter eigenem Namen in Verkehr bringen
• Betreiber (Deployer): Unternehmen, die KI-Systeme in ihrer beruflichen Tätigkeit einsetzen
• Importeure und Händler: Unternehmen, die KI-Systeme aus Drittländern in die EU bringen oder weitergeben

In der Praxis sind die meisten Unternehmen Betreiber, etwa wenn sie ChatGPT, Microsoft Copilot oder andere KI-Tools im Arbeitsalltag nutzen. Achtung: Wer ein bestehendes KI-System wesentlich verändert oder für einen neuen Zweck einsetzt, kann zum Anbieter werden und übernimmt dann deutlich umfangreichere Pflichten (Art. 25 Abs. 1).

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Der EU AI Act sieht keine generelle Ausnahme für KMU oder Startups vor. Art. 62 enthält aber Erleichterungen, etwa bevorzugten Zugang zu KI-Reallaboren, und Art. 99 Abs. 6 begrenzt die Bußgelder auf den jeweils niedrigeren Betrag. Der Digital Omnibus hat einen Teil dieser Erleichterungen, zum Beispiel die vereinfachte technische Dokumentation, auf kleine Midcaps ausgeweitet.

3. Welche Risikoklassen unterscheidet der EU AI Act?

Das Herzstück des EU AI Act ist die vierstufige Risikoklassifizierung. Je höher das Risiko, desto strenger die Anforderungen:

Verbotene KI-Praktiken (Art. 5)

Diese KI-Anwendungen sind seit dem 2. Februar 2025 EU-weit untersagt (Art. 5 Abs. 1). Dazu zählen:

• Social Scoring durch öffentliche oder private Stellen
• Manipulative KI, die das Verhalten von Menschen ohne deren Wissen beeinflusst
• Biometrische Echtzeit-Fernidentifizierung im öffentlichen Raum (mit engen Ausnahmen)
• Emotionserkennung am Arbeitsplatz und in Bildungseinrichtungen
• Ungezieltes Auslesen von Gesichtsbildern zum Aufbau von Gesichtsdatenbanken
• KI-Systeme zur Erzeugung nicht einvernehmlicher intimer Darstellungen oder von Darstellungen sexuellen Kindesmissbrauchs (durch den Digital Omnibus ergänzt, gilt ab dem 2. Dezember 2026)

Hochrisiko-KI-Systeme

Diese Systeme sind grundsätzlich zulässig, unterliegen aber einem umfangreichen Pflichtenkatalog: Konformitätsbewertung, technische Dokumentation, menschliche Aufsicht und Datenqualitätsstandards. Sie sind in zwei Anhängen geregelt:

Anhang III (eigenständige Hochrisiko-Systeme):

• Biometrie und Emotionserkennung
• Kritische Infrastruktur (Energie, Wasser, Verkehr)
• Bildung und Berufsausbildung
• Personalwesen (Bewerberauswahl, Leistungsbeurteilung, Beförderung)
• Kreditvergabe und Versicherungen
• Strafverfolgung, Migration und Justiz

Anhang I (KI als Sicherheitskomponente in regulierten Produkten):

• Medizinprodukte
• Aufzüge, Spielzeug
• Maschinen und Fahrzeuge
• Sonstige Produkte mit EU-Konformitätsbewertung

Im HR-Bereich sind viele KI-Anwendungen hochrisiko-relevant. Eine Vertiefung mit konkreten Schulungsanforderungen liefert unser Artikel zur KI-Schulungspflicht nach Art. 4 EU AI Act.

Begrenztes Risiko (Art. 50)

Diese Kategorie umfasst KI-Systeme mit Transparenzpflichten. Sie gelten seit dem 2. August 2026 EU-weit:

• Chatbots müssen offenlegen, dass es sich um KI handelt
• KI-generierte Inhalte (Text, Bild, Audio, Video) müssen gekennzeichnet werden
• Deepfakes sind verpflichtend als solche zu markieren

Für generative KI-Systeme, die schon vor dem 2. August 2026 auf dem Markt waren, gilt bei der maschinenlesbaren Kennzeichnung (Art. 50 Abs. 2) eine Übergangsfrist bis zum 2. Dezember 2026.

Minimales Risiko

Spam-Filter, KI-gestützte Empfehlungssysteme oder einfache Automatisierungen fallen in diese Klasse. Hier gelten keine spezifischen Pflichten, lediglich freiwillige Verhaltenskodizes. Die Pflicht zur KI-Kompetenz nach Art. 4 betrifft aber auch Unternehmen, die nur solche Systeme einsetzen.

4. Welche Pflichten gelten ab wann?

Der EU AI Act wird stufenweise anwendbar. Der EU AI Act wird stufenweise anwendbar. So sieht der Zeitplan nach dem Digital Omnibus aus, der am 27. Juli 2026 in Kraft getreten ist:

Was hat der Digital Omnibus geändert?

Die EU-Kommission hat den Digital Omnibus im November 2025 vorgeschlagen, Parlament und Rat haben sich am 7. Mai 2026 politisch geeinigt. Die Verordnung (EU) 2026/1744 wurde am 8. Juli 2026 verabschiedet und gilt seit dem 27. Juli 2026. Hintergrund der Verschiebung: Harmonisierte Normen und Verfahren für die Konformitätsbewertung lagen noch nicht ausreichend vor.

Für die Praxis heißt das: Die Schulungspflicht ist nicht weggefallen. Sie verlangt kein festes Kompetenzniveau mehr, aber nachvollziehbare Maßnahmen. Wer schult und das dokumentiert, ist weiterhin auf der sicheren Seite.

5. Der EU AI Act sieht abgestufte Sanktionen je nach Pflichtverletzung vor:

• Verbotene KI-Praktiken: bis zu 35 Mio. Euro oder 7 % des weltweiten Jahresumsatzes (Art. 99 Abs. 3)
• Verstöße gegen andere Pflichten, etwa Hochrisiko- oder Transparenzanforderungen: bis zu 15 Mio. Euro oder 3 % (Art. 99 Abs. 4)
• Falsche Angaben gegenüber Behörden: bis zu 7,5 Mio. Euro oder 1 % (Art. 99 Abs. 5)

Maßgeblich ist jeweils der höhere Betrag. Für KMU und Startups gilt der niedrigere (Art. 99 Abs. 6).

KI-MIG: Das deutsche Durchführungsgesetz

Deutschland setzt den EU AI Act mit dem Gesetz zur Marktüberwachung und Innovationsförderung von künstlicher Intelligenz (KI-MIG) um. Das Bundeskabinett hat den Entwurf im Februar 2026 beschlossen, der Bundestag hat ihn am 11. Juni 2026 verabschiedet und der Bundesrat am 10. Juli 2026 gebilligt. Das Gesetz gilt seit dem 2. August 2026. Es regelt die nationale Marktüberwachung, die Bußgeldverfahren und die Einrichtung von KI-Reallaboren.

Bundesnetzagentur als zentrale KI-Aufsicht

In Deutschland ist die Bundesnetzagentur zentrale Marktüberwachungsbehörde für KI-Systeme, soweit keine Fachbehörde zuständig ist. Für KI im Finanzsektor bleibt zum Beispiel die BaFin zuständig. Bei der Bundesnetzagentur entsteht außerdem eine unabhängige KI-Marktüberwachungskammer für sensible Bereiche wie Strafverfolgung und Justiz. Seit dem 2. August 2026 kann die Aufsicht aktiv prüfen, die vollständige Hochrisiko-Aufsicht folgt mit den Stichtagen 2027 und 2028.

Zivilrechtliche Risiken

Neben Bußgeldern drohen zivilrechtliche Haftungsrisiken. Die neue EU-Produkthaftungsrichtlinie (EU) 2024/2853 erfasst Software und KI-Systeme ausdrücklich als Produkte, die Mitgliedstaaten müssen sie bis zum 9. Dezember 2026 umsetzen. Für die Geschäftsführung gilt außerdem: Wer KI-Pflichten im Unternehmen nicht organisiert, riskiert eine Verletzung der Sorgfaltspflichten und damit persönliche Haftung, etwa nach § 43 Abs. 2 GmbHG oder § 93 Abs. 2 AktG. Mehr dazu im Beitrag zu den Pflichten der Geschäftsführung bei Compliance-Schulungen.ührung bedeutet das: Verstöße gegen den EU AI Act können als Verletzung der Sorgfaltspflichten der Geschäftsleitung zur persönlichen Haftung führen.

6. Was müssen Unternehmen jetzt tun?

Auch wenn die Hochrisiko-Pflichten erst Ende 2027 greifen, sollten die Vorbereitungen jetzt starten. Eine Konformitätsbewertung dauert erfahrungsgemäß mehrere Monate. Wer erst Mitte 2027 beginnt, schafft die Frist kaum.

Ein praxistauglicher Umsetzungsplan in fünf Schritten:

1) KI-Inventar erstellen

Welche KI-Systeme sind im Unternehmen im Einsatz, offiziell und inoffiziell? Wer ist verantwortlich? Welche Daten werden verarbeitet? Dieses Inventar bildet die Grundlage für alle weiteren Schritte und sollte innerhalb weniger Wochen stehen.

2) Risikoklassifizierung

Jedes System wird gegen Anhang III geprüft. Wichtig: Auch wenn das Ergebnis „kein Hochrisiko“ lautet, muss die Bewertung dokumentiert (Art. 6 Abs. 4) und das System in der EU-Datenbank registriert werden (Art. 49 Abs. 2).

3) KI-Kompetenz aufbauen (Art. 4)

Art. 4 verpflichtet alle Anbieter und Betreiber, Maßnahmen zur KI-Kompetenz ihres Personals zu ergreifen. Die Pflicht gilt seit dem 2. Februar 2025. Seit dem Digital Omnibus muss kein bestimmtes Kompetenzniveau mehr sichergestellt werden, gefordert sind aber nachvollziehbare Maßnahmen. Die Pflicht greift unabhängig von Branche und Unternehmensgröße, sobald Beschäftigte KI-Werkzeuge beruflich nutzen. Welche Rollen betroffen sind, welche Inhalte sinnvoll sind und wie sich der Nachweis führen lässt, steht ausführlich unter KI-Schulungspflicht.

4) Governance-Strukturen aufbauen

Risikomanagementsystem, Verantwortlichkeiten, Dokumentationsrahmen: Für Hochrisiko-KI-Systeme müssen diese Strukturen bis zum 2. Dezember 2027 stehen, für Systeme nach Anhang I bis zum 2. August 2028. Weil Aufbau und Abstimmung Zeit brauchen, lohnt es sich, schon 2026 damit zu beginnen.

5) Dokumentation aufsetzen

Standardisierte Informationsblätter für jedes KI-System, technische Dokumentation, Schulungsnachweise: Audit-Sicherheit entsteht durch konsequente Dokumentation. Eine Lernplattform mit revisionssicherer Dokumentation deckt den Schulungs- und Nachweis-Teil zentral ab.

Parallel: Weitere EU-Compliance-Anforderungen

Der EU AI Act ist nicht die einzige neue Regulierung, die HR- und Compliance-Verantwortliche 2026 fordert. Parallel greifen weitere Vorgaben wie die EU-Entgelttransparenzrichtlinie und die NIS2-Schulungspflicht für IT-Sicherheit. Eine integrierte Compliance-Strategie macht die Umsetzung deutlich effizienter.

7. Wie unterstützt ein LMS bei der EU AI Act-Umsetzung?

Ein Learning Management System (LMS) wie reteach unterstützt Unternehmen an mehreren Stellen der EU AI Act-Compliance:

• KI-Kompetenz nach Art. 4: Kurse für alle Mitarbeitenden, automatisch nach Rolle und Abteilung zugewiesen
• Fertige Kursinhalte: ein Kurskatalog mit über 500 anpassbaren Kursen, unter anderem zu KI-Kompetenz, Datenschutz und IT-Sicherheit
• Vertiefte Schulungen für Hochrisiko-Bereiche: Spezialkurse für HR, Recruiting, Compliance und Geschäftsführung
• Revisionssichere Dokumentation: Kursabschlüsse, Zertifikate und Wiederholungsfristen zentral belegt, genau das, worauf es nach der Neufassung von Art. 4 ankommt
• Automatisierte Wiederholungen: Zertifikate mit Ablaufdatum, Erinnerungen, Eskalationen

So lassen sich KI-Kompetenz, digitale Compliance-Schulungen und andere Pflichtschulungen mit deutlich weniger Aufwand für HR und Compliance steuern.

8. Fazit & Nächste Schritte

Der EU AI Act ist die umfangreichste KI-Regulierung weltweit. Für Unternehmen in der EU ist er keine Frage des Ob, sondern des Wann. Der Digital Omnibus hat die Hochrisiko-Pflichten auf 2027 und 2028 verschoben und Art. 4 neu gefasst. Unverändert gilt: KI-Kompetenz ist seit Februar 2025 Pflicht, die Transparenzpflichten greifen seit August 2026, und die Bundesnetzagentur hat ihre Aufsicht aufgenommen.

Wer jetzt mit dem KI-Inventar, der Risikoklassifizierung und der Schulung der Mitarbeitenden beginnt, schafft die Grundlage für eine strukturierte Compliance bis zu den nächsten Stichtagen und stärkt zugleich die digitale Kompetenz im Unternehmen.

Sie möchten konkret in die Umsetzung starten? Sichern Sie sich unser kostenloses Whitepaper zur KI-Schulungspflicht mit Risikoklassen-Übersicht, Umsetzungsplan und weiterführenden Informationen.

Häufig gestellte Fragen

Pflichtschulungen im öffentlichen Sektor sind ein zentraler Bestandteil der rechtssicheren Organisation von Verwaltungen und öffentlichen Einrichtungen. Organisationen im öffentlichen Sektor tragen als öffentliche Arbeitgeber eine besondere Verantwortung. Sie beschäftigen Mitarbeitende in sehr unterschiedlichen Bereichen – von der Verwaltung im Rathaus über Bauhöfe und Kitas bis zu Schulen oder kommunalen Unternehmen. Gleichzeitig unterliegen sie zahlreichen gesetzlichen Anforderungen, die auch die Schulung und Unterweisung der Beschäftigten betreffen.

Vorschriften aus Arbeitsschutzgesetz, DSGVO, AGG oder weiteren Regelwerken verpflichten den öffentlichen Sektor dazu, ihre Mitarbeitenden regelmäßig zu bestimmten Themen zu schulen. Dazu gehören unter anderem Arbeitsschutz, Datenschutz, IT-Sicherheit oder Gleichbehandlung. Diese Schulungen sind ein wichtiger Bestandteil der rechtssicheren Organisation einer Verwaltung und müssen im Zweifel auch gegenüber Prüfstellen oder Aufsichtsbehörden nachgewiesen werden.

Warum Pflichtschulungen für den öffentlichen Sektor so wichtig sind

Schulungen im öffentlichen Sektor erfüllen weit mehr als eine Weiterbildungsfunktion. Sie sind ein zentraler Bestandteil von Compliance, Risikomanagement und Organisationsverantwortung.

Drei Risiken stehen dabei im Mittelpunkt.

Haftungsrisiko

Kommt es zu einem Arbeitsunfall oder Datenschutzverstoß, muss die Organisation nachweisen können, dass Beschäftigte korrekt unterwiesen wurden. Ohne diesen Nachweis kann die Haftung beim Arbeitgeber liegen.

Prüfungsrisiko

Kommunen unterliegen regelmäßiger Kontrolle durch verschiedene Stellen:

• Rechnungsprüfung
• Kommunalaufsicht
• Unfallkassen
• Landesdatenschutzbehörden

Fehlende Schulungsnachweise führen häufig zu Beanstandungen in Prüfberichten.

Reputationsrisiko

Vor allem Datenschutzverstöße, Korruptionsfälle oder Diskriminierungsvorfälle können das Vertrauen der Bürger in eine Verwaltung stark beschädigen.

Schulungen helfen daher nicht nur bei der Einhaltung gesetzlicher Vorschriften, sondern auch beim Schutz der Organisation und ihrer Beschäftigten.

Die wichtigsten Pflichtschulungen im öffentlichen Sektor

Die Schulungspflichten im öffentlichen Sektor ergeben sich aus verschiedenen Gesetzen und Richtlinien. In der Praxis lassen sie sich auf einige zentrale Bereiche reduzieren.

1. Arbeitsschutzunterweisungen

Eine der wichtigsten Schulungspflichten ergibt sich aus dem Arbeitsschutzgesetz (§12 ArbSchG). Arbeitgeber müssen ihre Beschäftigten regelmäßig über Sicherheit und Gesundheitsschutz am Arbeitsplatz unterweisen.

Diese Pflicht gilt für Arbeitgeber im gesamten öffentlichen Sektor und umfasst grundsätzlich alle Beschäftigten.

Typische Themen sind:

• Brandschutz und Notfallverhalten
• Ergonomie und Bildschirmarbeit
• Umgang mit Arbeitsmitteln
• Gefährdungen am Arbeitsplatz

Wichtig ist dabei der Arbeitsplatzbezug. Die Gefährdungen unterscheiden sich stark zwischen verschiedenen Bereichen einer Kommune:

• Kita → Infektionsschutz, Heben und Tragen
• Verwaltung → Bildschirmarbeit, Ergonomie
• Bauhof → Maschinen, Verkehr, Witterung

2. Datenschutzschulungen (DSGVO)

Organisationen im öffentlichen Sektor verarbeiten täglich große Mengen personenbezogener Daten, etwa in Verwaltungen, Bildungseinrichtungen oder öffentlichen Betrieben.

Die DSGVO verlangt organisatorische Maßnahmen zum Schutz dieser Daten. Dazu gehört auch die Sensibilisierung der Beschäftigten.

Auch wenn die DSGVO keine explizite Schulungspflicht nennt, ergibt sich aus mehreren Artikeln eine faktische Pflicht zur Datenschutzschulung:

• Art. 39 DSGVO: Schulung als Aufgabe des Datenschutzbeauftragten
• Art. 32 DSGVO: organisatorische Sicherheitsmaßnahmen
• Art. 5 Abs. 2 DSGVO: Rechenschaftspflicht

Fehlt bei einer Datenpanne ein Schulungsnachweis, wird dies von Aufsichtsbehörden häufig kritisch bewertet.

3. Gleichbehandlung und AGG

Das Allgemeine Gleichbehandlungsgesetz (AGG) gilt ausdrücklich auch für den öffentlichen Sektor.

§24 AGG stellt klar, dass Beamte und Beschäftigte im öffentlichen Dienst denselben Schutz genießen wie Arbeitnehmer in der Privatwirtschaft.

Besonders relevant ist dabei die sogenannte „Enthaftung durch Schulung“.

Wenn eine Kommune nachweisen kann, dass ihre Beschäftigten zum Thema Diskriminierung und Gleichbehandlung geschult wurden, gilt dies als Erfüllung der Arbeitgeberpflichten.

Ohne Schulung kann die Kommune im Diskriminierungsfall voll haften.

4. IT-Sicherheit und Cybersecurity

Cyberangriffe betreffen zunehmend Organisationen im öffentlichen Sektor – von Kommunalverwaltungen bis zu öffentlichen Einrichtungen und Betrieben. Besonders problematisch ist, dass viele Angriffe durch menschliche Fehler beginnen, zum Beispiel durch:

• Klick auf Phishing-Links
• Verwendung unsicherer Passwörter
• Weitergabe sensibler Informationen

Daher spielen IT-Sicherheitsschulungen eine wichtige Rolle.

Eine zusätzliche Bedeutung bekommt das Thema durch die NIS2-Richtlinie der EU. Diese betrifft insbesondere kommunale Unternehmen, etwa:

• Stadtwerke
• Wasserversorger
• Abwasserbetriebe
• kommunale IT-Dienstleister

Für betroffene Organisationen sind Schulungen der Geschäftsleitung zu IT-Sicherheit verpflichtend.

5. Korruptionsprävention

Korruptionsprävention gehört zu den wichtigsten Compliance-Themen im öffentlichen Dienst.

Beschäftigte in Kommunen treffen Entscheidungen über:

• Genehmigungen
• Vergaben
• Fördermittel
• Bauvorhaben

Dadurch entstehen potenzielle Risiken für Interessenkonflikte oder Vorteilsannahme.

Eine systematische Organisation von Pflichtschulungen im öffentlichen Sektor hilft dabei, gesetzliche Anforderungen zuverlässig zu erfüllen und Schulungsstände jederzeit nachvollziehen zu können.

Schulungen helfen dabei, rechtliche Risiken zu vermeiden, Beschäftigte zu sensibilisieren und klare Verhaltensregeln zu vermitteln.

Dokumentation: Der entscheidende Faktor bei Pflichtschulungen

Die Dokumentation ist ein zentraler Bestandteil der Pflichtschulungen im öffentlichen Sektor, da Organisationen im Zweifel nachweisen müssen, dass ihre Beschäftigten ordnungsgemäß geschult wurden.
Die Durchführung einer Schulung allein reicht nicht aus.

Eine rechtssichere Dokumentation sollte mindestens enthalten:

• Name des Beschäftigten
• Datum der Schulung
• Schulungsthema
• Schulungsinhalt
• Ergebnis der Verständnissicherung

Ein reiner Teilnahmenachweis reicht oft nicht aus. Prüfer erwarten häufig auch eine Verständnissicherung, etwa durch Wissenstests. Eine Schulung ohne Dokumentation gilt im Zweifel als nicht durchgeführt.

Praxistipps: So organisieren Sie Pflichtschulungen effizient

Viele Verwaltungen kämpfen mit organisatorischen Herausforderungen. Mit einigen Maßnahmen lässt sich das Schulungsmanagement deutlich verbessern.

1. Schulungspflichten systematisch erfassen

Erstellen Sie zunächst eine Übersicht aller Pflichtschulungen, die für Ihre Organisation relevant sind.

2. Verantwortlichkeiten klar definieren

Typischerweise sind beteiligt:

• Bürgermeister (Gesamtverantwortung)
• Personalamt (Organisation)
• Datenschutzbeauftragter
• Fachkraft für Arbeitssicherheit

3. Schulungsplan erstellen

Ein jährlicher Schulungsplan schafft Übersicht und verhindert vergessene Unterweisungen.

4. Dokumentation zentralisieren

Die größte Herausforderung ist häufig die Nachweisführung bei Prüfungen.

Viele Organisationen nutzen noch:

• Papierordner
• Excel-Listen
• manuelle Erinnerungen

Diese Systeme sind fehleranfällig und schwer zu überblicken.

Digitale Schulungen mit einem LMS umsetzen

Digitale Lernplattformen können das Schulungsmanagement von Pflichtschulungen im öffentlichen Sektor deutlich vereinfachen.

Ein Learning Management System (LMS) ermöglicht beispielsweise:

• zentrale Bereitstellung von Schulungen
• automatische Zuweisung an Beschäftigte
• integrierte Wissenstests
• revisionssichere Dokumentation

Führungskräfte erhalten außerdem einen Überblick über den Schulungsstand ihrer Teams.

Damit lassen sich gesetzliche Anforderungen nicht nur erfüllen, sondern auch administrative Aufwände deutlich reduzieren.

Fazit 

Pflichtschulungen im öffentlichen Sektor sind kein Randthema. Sie gehören zu den zentralen Aufgaben einer modernen Verwaltung.

Kommunen müssen zahlreiche Anforderungen erfüllen – von Arbeitsschutz über Datenschutz bis zur IT-Sicherheit. Gleichzeitig wird die Dokumentation dieser Schulungen immer wichtiger, da Prüfer und Aufsichtsbehörden entsprechende Nachweise verlangen.

Ein strukturiertes Schulungsmanagement hilft, Risiken zu reduzieren und Prozesse effizienter zu gestalten. Digitale Lösungen können dabei eine wichtige Unterstützung sein.

Genau solche Pflichtthemen können Sie mit dem reteach Kurskatalog ganz bequem digital schulen, z. B. mit unseren Schulungen für Kommunen.

Häufig gestellte Fragen