Kurz gefasst
Jede wichtige Cybersicherheitsverordnung schreibt Mitarbeiterschulungen vor. Die meisten Unternehmen führen diese durch und protokollieren den Abschluss. Dennoch kommt es bei regulierten, auditierten und zertifizierten Unternehmen immer wieder zu Schlagzeilen machenden Sicherheitsverletzungen – und zwar genau über die Kanäle, die durch die Schulungen eigentlich geschlossen werden sollten. Das Problem ist nicht, dass Unternehmen auf Schulungen verzichten. Das Problem ist, dass sich die Vorschriften in Richtung eines Effektivitätsstandards entwickelt haben, während die meisten Programme immer noch auf einem Abschlussstandard basieren. Dieser Beitrag zeigt auf, was die einzelnen Rahmenwerke tatsächlich fordern, wo die Lücke klafft und wie ein rechtssicheres Programm heute aussehen muss.
Die Frage, die weder das Audit noch das Zertifikat beantwortet
Im September 2023 kompromittierten Angreifer MGM Resorts durch einen Telefonanruf. Ein 10-minütiges Gespräch mit dem IT-Helpdesk – klassisches Social Engineering – gab der Gruppe Scattered Spider alles, was sie für einen Ransomware-Angriff benötigte, der das Unternehmen über 100 Millionen Dollar kostete und den Betrieb in den verschiedenen Einrichtungen tagelang lahmlegte. (Quelle: Specops Software, 2023)
MGM ist ein nach PCI DSS reguliertes Unternehmen. Die Compliance für Zahlungskarten erfordert ausdrücklich Sicherheitsschulungen für das gesamte Personal.
Im Februar 2024 erlitt Change Healthcare die größte Gesundheitsdatenpanne in der Geschichte der USA, von der schätzungsweise 190 Millionen Menschen betroffen waren. (Quelle: HHS OCR, hhs.gov) Change Healthcare verfügte zum Zeitpunkt des Vorfalls über eine HITRUST-Zertifizierung und unterlag HIPAA – einem Rahmenwerk mit expliziten, dokumentierten Anforderungen an Sicherheitsschulungen.
Die entscheidende Frage bei beiden Vorfällen ist nicht, ob die Schulungen absolviert wurden. Das wurden sie mit an Sicherheit grenzender Wahrscheinlichkeit; beide Unternehmen unterlagen Rahmenwerken, die dies obligatorisch und prüfbar machten. Die Frage ist, was die Schulung tatsächlich messen sollte – und ob diese Messung mit dem übereinstimmt, was die Regulierungsbehörden zunehmend fordern.
Diese Lücke ist das Thema dieses Beitrags.
Was Regulierungsbehörden tatsächlich messen – und es ist nicht der Abschluss
Die vorherrschende Annahme in den meisten Compliance-Programmen ist, dass Schulungsanforderungen die Durchführung von Schulungen bedeuten. Modul zuweisen. Abschluss protokollieren. Audit bestehen.
Diese Annahme ist zunehmend falsch. Die regulatorische Sprache in NIS2, DORA, ISO 27001:2022 sowie die aktualisierten Durchsetzungsrichtlinien von HIPAA und NYDFS haben sich in eine bestimmte Richtung entwickelt: von der Teilnahme zur Effektivität, vom Abschluss zur Kompetenz, von der Dokumentation der Aktivität zum Nachweis einer Verhaltensänderung.
Hier erfahren Sie, was die einzelnen Rahmenwerke tatsächlich fordern.
NIS2: Von der Sensibilisierung zur Effektivität, mit Managementverantwortung
Die NIS2-Richtlinie, die 2024 in den EU-Mitgliedstaaten in Kraft getreten ist, enthält zwei separate Schulungsverpflichtungen, die in den meisten Compliance-Programmen als eine einzige behandelt werden.
Artikel 21 Abs. 2 Buchst. g verpflichtet wesentliche und wichtige Einrichtungen dazu, im Rahmen ihrer Risikomanagementmaßnahmen „Cyber-Hygienepraktiken und Cybersicherheitsschulungen“ umzusetzen. Dies ist die Klausel, auf die sich die meisten Programme berufen, wenn sie Nachweise über den Abschluss von Modulen vorlegen.
Artikel 20 wird dabei oft übersehen. Er verpflichtet Mitglieder der Leitungsorgane – den Vorstand, die Geschäftsführung, die Führungsebene – explizit zur Teilnahme an Cybersicherheitsschulungen. Dabei geht es nicht um ein allgemeines Sensibilisierungsmodul für die gesamte Belegschaft, sondern um ein spezifisches, auf die Führungsebene zugeschnittenes Programm, das die Cybersicherheitsrisiken und -praktiken behandelt, die für die Steuerung des Unternehmens relevant sind.
Der Leitfaden von ENISA zur technischen Umsetzung der NIS2-Richtlinie definiert den erwarteten Standard als Schulung, die ihre Wirksamkeit unter Beweis stellt, anstatt nur die bloße Durchführung zu dokumentieren. Eine spezifische Häufigkeit ist nicht vorgeschrieben, doch die ENISA-Leitlinien empfehlen mindestens eine jährliche Schulung, ergänzt durch Phishing-Simulationen und Inhalte, die kontinuierlich an neue Bedrohungsmuster angepasst werden. (Quelle: ENISA NIS2 Technical Implementation Guidance, enisa.europa.eu)
Ein Unternehmen, das zwar eine 100-prozentige Abschlussquote bei einem jährlichen Modul vorweisen kann, aber keine spezifischen Schulungsnachweise für das Management, keine Simulationsdaten und keine Belege für inhaltliche Aktualisierungen auf Basis von Bedrohungsinformationen besitzt, erfüllt nicht den vollen Umfang der NIS2-Anforderungen.
DORA: Angemessenheit als rechtlicher Standard, nicht als Zielvorgabe
Der Digital Operational Resilience Act (DORA) ist am 17. Januar 2025 in Kraft getreten. Er gilt für Finanzunternehmen: Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister sowie deren kritische IKT-Drittanbieter, die in der EU tätig sind.
DORA verpflichtet Unternehmen dazu, Schulungs- und Sensibilisierungsprogramme für IKT-Risikomanagement für alle Mitarbeiter und Führungskräfte anzubieten. Die spezifische Anforderung lautet, dass die Schulung „angemessen“ sein muss – es reicht nicht aus, sie lediglich zu absolvieren.
Angemessenheit ist ein rechtlicher Standard mit weitreichenden Folgen. Das bedeutet, dass die Schulung in einem angemessenen Verhältnis zur tatsächlichen IKT-Risikoexposition der jeweiligen Rolle stehen muss. Ein Kundenbetreuer, der Überweisungen abwickelt, ist anderen Social-Engineering-Risiken ausgesetzt als ein Analyst im Backoffice; das Schulungsprogramm muss dies widerspiegeln. Allgemeine jährliche Module, die einheitlich im gesamten Unternehmen verteilt werden, sind im Sinne von DORA nicht angemessen. Sie mögen bei einer engen, wörtlichen Auslegung konform erscheinen, halten jedoch einer behördlichen Untersuchung nicht stand.
Wenn die zuständigen DORA-Aufsichtsbehörden nach einem IKT-Vorfall ein Finanzunternehmen prüfen, ist eine unzureichende Schulung explizit einer der Faktoren, die als Beleg für ein mangelhaftes Risikomanagement angeführt werden können – mit entsprechenden Konsequenzen für Durchsetzung und Haftung.
ISO 27001:2022: Kompetenz ist kein Zertifikat
Anhang A.6.3 der ISO 27001:2022 befasst sich mit dem Bewusstsein, der Ausbildung und der Schulung zur Informationssicherheit. Die Norm schreibt keine jährlichen Schulungen vor. Sie verlangt, dass Unternehmen die erforderliche Kompetenz der Personen bestimmen, deren Arbeit die Informationssicherheit beeinflusst – und anschließend Maßnahmen ergreifen, um diese Kompetenz zu erwerben oder aufrechtzuerhalten.
Das entscheidende Wort ist Kompetenz. Nicht Abschluss, nicht Bewusstsein, nicht Anwesenheit. Kompetenz bedeutet die nachgewiesene Fähigkeit, Wissen und Fertigkeiten anzuwenden, um eine Aufgabe korrekt auszuführen.
Ein ISO 27001-Auditor, der Fragen zu Anhang A.6.3 stellt, sucht nicht nach einer Liste mit Namen und Daten. Er sucht nach dem Nachweis eines Prozesses: Wie ermittelt das Unternehmen, welche Kompetenz erforderlich ist, wie bewertet es den aktuellen Kompetenzstand, wie schließt es Lücken und wie verifiziert es, dass diese Lücken erfolgreich geschlossen wurden?
Ein Abschlussbericht beantwortet keine dieser Fragen.
NYDFS 23 NYCRR 500: Schulungen, die mit Bedrohungen Schritt halten
Die Cybersicherheitsverordnung des New York Department of Financial Services (23 NYCRR 500) schreibt jährliche Cybersicherheitsschulungen für das gesamte Personal vor. Dies klingt nach dem traditionellsten aller Rahmenwerke – ein Schulungszyklus pro Jahr, dokumentiert. Doch Abschnitt 500.14(b) enthält eine spezifische Anforderung, an der die meisten Programme stillschweigend scheitern: Die Schulung muss das Thema Social Engineering abdecken und auf Basis der Ergebnisse von Risikobewertungen aktualisiert werden.
Genau an dieser zweiten Klausel scheitern Compliance-Programme. Ein statisches Modul, das vor drei Jahren gekauft und jährlich neu zugewiesen wird, erfüllt nicht die Anforderung, Schulungen auf Basis aktueller Risikoerkenntnisse zu aktualisieren. Wenn eine Risikobewertung ergibt, dass Credential-Phishing via Sprachanrufen eine aufkommende Bedrohung für das Unternehmen darstellt – was für Finanzinstitute nachweislich der Fall ist –, muss das Schulungsprogramm darauf reagieren.
HIPAA: Laufend ist nicht gleichbedeutend mit jährlich
Die HIPAA-Sicherheitsrichtlinie schreibt vor, dass betroffene Unternehmen ein Programm zur Sensibilisierung und Schulung für alle Mitarbeiter implementieren müssen. Im Gegensatz zu anderen Rahmenwerken legt HIPAA keine feste Häufigkeit fest. Was jedoch gefordert wird, ist ein kontinuierlicher Prozess: Schulungen müssen aktualisiert und vertieft werden, wenn sich Arbeitsabläufe oder Technologien ändern, wenn eine Risikobewertung Lücken aufdeckt oder wenn das HHS neue Leitlinien herausgibt.
In der Praxis bedeutet dies, dass ein HIPAA-konformes Schulungsprogramm Schulungen als fortlaufenden operativen Prozess und nicht als einmaliges Ereignis im Kalender betrachtet. Ein Unternehmen, das Schulungen nur jährlich zuweist, keine Simulationen durchführt und die Inhalte bei Änderungen der technologischen Umgebung nicht anpasst, erfüllt den HIPAA-Standard nicht – selbst wenn jeder Mitarbeiter das Modul abgeschlossen hat.
SOC 2: Der Auditor sucht nach Nachweisen, nicht nach Zertifikaten
Der Abschnitt CC1.4 der SOC 2-Kriterien verlangt von Unternehmen den Nachweis, dass das Personal über die Kompetenz zur Erfüllung seiner Aufgaben verfügt, einschließlich derer im Bereich der Informationssicherheit. SOC 2-Auditoren prüfen bei der Begutachtung von Schulungsprogrammen Aufzeichnungen: Wer wurde worüber wann geschult und deckte die Schulung das spezifische Kontrollumfeld ab? Sie suchen zudem nach Belegen für Folgemaßnahmen, wenn Risiken identifiziert wurden.
Ein Abschlussprotokoll, das eine Schulungsquote von 100 % ausweist, ist ein Ausgangspunkt, kein Endergebnis.
Zusammenfassung: Was die einzelnen Rahmenwerke tatsächlich messen
Warum Abschlussquoten Auditoren zufriedenstellen, aber nicht die Aufsichtsbehörden
Es gibt einen Unterschied zwischen dem Bestehen eines Audits und der Verteidigungsfähigkeit nach einem Vorfall.
Audits werden in der Regel prospektiv durchgeführt – bevor etwas schiefgeht. Auditoren prüfen die Dokumentation, bestätigen die Existenz der Prozesse und geben eine Einschätzung ab, ob die Kontrollen vorhanden sind. Ein gepflegtes Abschlussprotokoll, eine unterzeichnete Richtlinienbestätigung und ein Schulungskalender genügen den meisten Audit-Verfahren.
Behördliche Untersuchungen laufen anders ab. Sie werden durch Vorfälle ausgelöst. Sie werden retrospektiv durchgeführt – nachdem bereits etwas schiefgegangen ist. Und sie stellen eine andere Frage: War das Schulungsprogramm des Unternehmens angesichts der Tatsache, dass dieser Verstoß durch menschliches Verhalten verursacht wurde, angemessen, um ihn zu verhindern?
Diese Frage deckt die Lücke auf. „Angemessen“ bedeutet im regulatorischen Sinne, dass die Schulung bekannte Risiken adressierte, als Reaktion auf neue Bedrohungen aktualisiert wurde, auf die jeweiligen Rollen zugeschnitten war und Nachweise für eine Verhaltensänderung lieferte – nicht nur für die Teilnahme.
Menschliches Verhalten bleibt ein zentraler Faktor bei der Entstehung der meisten Vorfälle. Der Verizon Data Breach Investigations Report 2024 ergab, dass 68 % der Sicherheitsverletzungen auf den Faktor Mensch zurückzuführen sind – durch Fehler, Social Engineering oder den Missbrauch von Zugangsdaten. (Quelle: Verizon DBIR 2024, verizon.com) Dieser Wert ist über mehrere Berichtsjahre hinweg nahezu konstant geblieben. Jährliche Schulungsabschlussquoten haben daran nichts geändert.
Die Rahmenwerke, die nun Begriffe wie Effektivität verwenden – NIS2, DORA, ISO 27001 –, sind eine direkte regulatorische Reaktion auf dieses Muster. Die politischen Entscheidungsträger haben festgestellt, dass obligatorische Schulungen, die nur an der Abschlussquote gemessen werden, nicht die beabsichtigten Verhaltensänderungen bewirkt haben. Die regulatorische Sprache passt sich dementsprechend an.
Die fünf Dokumentationsanforderungen, die die meisten Programme vernachlässigen
Wenn nach einem Vorfall eine behördliche Untersuchung stattfindet oder ein gründliches ISO 27001-Audit durchgeführt wird, treten fünf Dokumentationslücken besonders häufig auf. Dabei handelt es sich nicht um Einzelfälle. Es sind die Lücken zwischen einem Programm, das nur dazu dient, Kästchen abzuhaken, und einem Programm, das einer genauen Prüfung standhält.
1. Ein risikobasiertes Protokoll für Inhaltsaktualisierungen
Jeder Rahmen mit einem Standard für Effektivität oder Angemessenheit – DORA, NYDFS, HIPAA, NIS2 – setzt voraus, dass Schulungsinhalte auf bekannte und sich entwickelnde Risiken reagieren und nicht nur auf den Kalender. Dies erfordert einen dokumentierten Prozess: Welcher Input aus der Risikobewertung hat eine Inhaltsaktualisierung ausgelöst, wann wurde sie aktualisiert und was hat sich geändert?
Ohne dieses Protokoll kann das Programm keine Risikoreaktionsfähigkeit nachweisen. Es kann lediglich belegen, dass eine Schulung zugewiesen wurde.
2. Rollenspezifische Schulungsnachweise
Artikel 20 der NIS2-Richtlinie schreibt Schulungen für die Geschäftsleitung als eigenständige Verpflichtung vor. ISO 27001:2022 erfordert, dass die Kompetenz rollenbezogen bestimmt wird. DORA verlangt eine Angemessenheit in Bezug auf das IKT-Risikoexpositionsniveau.
Alle drei verlangen, dass das Unternehmen Schulungen auf Rollenebene nachverfolgt und nicht nur als Gesamtwert. Ein einzelnes Protokoll, das zeigt, dass „alle Mitarbeiter das jährliche Modul absolviert haben“, belegt nicht, dass der CFO eine Cybersicherheits-Schulung auf Managementebene erhalten hat, dass der Systemadministrator eine Schulung für erweiterte Zugriffsrechte erhalten hat oder dass das Helpdesk-Team eine Schulung zur Simulation von Social Engineering erhalten hat, die ihrer Gefährdung entspricht.
3. Phishing- und Simulationsdaten verknüpft mit individuellen Risikobewertungen
Simulationsprogramme generieren die Verhaltensdaten, nach denen effektivitätsorientierte Regulierungsbehörden suchen. Eine Phishing-Simulation, die aggregierte Klickraten anzeigt, ist ein erster Hinweis. Ein Programm, das individuelles Verhalten im Zeitverlauf nachverfolgt, hartnäckige Risikomuster pro Person oder Team identifiziert und diese Daten in adaptive Schulungsentscheidungen einfließen lässt, liefert alles, was ein Auditor sehen möchte.
Aggregierte Simulationsdaten reichten vor fünf Jahren noch für ein Audit aus. Der neue Standard verlangt eine langfristige Verhaltensmessung auf individueller oder Rollenebene.
4. Ein dokumentierter Abhilfeprozess bei wiederholter Gefährdung
Regulatorische Rahmenbedingungen fordern nicht nur Schulungen; sie verlangen vom Unternehmen, auf identifizierte Lücken zu reagieren. Ein Mitarbeiter, der bei jeder Phishing-Simulation klickt und das zugewiesene Nachhilfemodul ohne Verhaltensänderung abschließt, stellt ein dokumentiertes Risiko dar. Das Programm muss aufzeigen, welche weiteren Schritte das Unternehmen unternimmt – sei es durch gezielte Intervention, Aufgabenänderung oder Eskalation an die Führungskraft.
Ohne eine dokumentierte Logik für Abhilfemaßnahmen kann das Programm nicht nachweisen, dass es die Lücke zwischen identifiziertem Risiko und organisatorischer Reaktion schließt.
5. Schulungsnachweise für das Management mit inhaltlicher Spezifität
Für Artikel 20 der NIS2-Richtlinie sowie die entsprechenden Vorgaben in DORA und ISO 27001 müssen Schulungsnachweise für das Management aufzeigen, was behandelt wurde – nicht nur, dass eine Sitzung stattgefunden hat. Die Schulungspflicht für das Management besteht, weil Vorstände und Führungskräfte Entscheidungen treffen, die die Sicherheitslage des Unternehmens beeinflussen. Regulierungsbehörden verlangen den Nachweis, dass die Führungsebene die für diese Entscheidungen relevanten Cybersicherheitsrisiken versteht.
Ein Kalendereintrag mit dem Titel „Cybersicherheits-Awareness-Sitzung, Q4“ reicht hierfür nicht aus. Ein Nachweis, der Teilnehmer, Themen, behandelte Risikoszenarien auf Governance-Ebene und Folgemaßnahmen dokumentiert, hingegen schon.
Wie ein belastbares Schulungsprogramm im Jahr 2026 aussieht
Ein belastbares Schulungsprogramm ist eines, das Nachweise für Verhaltensänderungen liefert, nicht nur Nachweise für die Durchführung.
Dies erfordert vier strukturelle Veränderungen gegenüber der Art und Weise, wie die meisten Programme heute aufgebaut sind.
Kontinuierliche Messung ersetzt Kalenderereignisse. Ein Programm, das jährliche Schulungen und vierteljährliche Phishing-Simulationen durchführt, ist besser als eines, das nur jährliche Schulungen anbietet. Ein Programm, das Verhaltenssignale kontinuierlich misst – Simulationsleistung, Melderaten bei Vorfällen, wiederkehrende Fehlermuster, rollenbasierte Risikobewertungen –, kann eine fortlaufende Effektivität nachweisen, anstatt nur eine punktuelle Compliance. Dies ist die Richtung, die Regulierungsbehörden vorgeben, und sie ist bereits explizit im „Angemessenheits“-Standard von DORA und im „Kompetenz“-Standard der ISO 27001 verankert.
Verhaltensbaselines machen Veränderungen sichtbar. Ein Compliance-Programm, das nicht aufzeigen kann, wo das Verhalten eines Mitarbeiters begann und wo es heute steht, kann nicht belegen, dass Schulungen eine Wirkung erzielt haben. Die Etablierung von Verhaltens-Baselines nach Rollen, Teams und unternehmensweit macht aus einer Schulung von einer reinen Input-Kennzahl eine Ergebnis-Kennzahl. Wenn ein Prüfer oder Ermittler fragt, ob die Schulung effektiv war, gibt es eine klare Antwort: Hier lag der Risikowert, hier liegt er jetzt, und das hat sich verändert.
Risikointegration hält Inhalte relevant. Schulungsinhalte, die nicht auf die tatsächliche Bedrohungslage des Unternehmens reagieren, können die Anforderungen an „Angemessenheit“ oder „risikobasierte Aktualisierung“ gemäß NIS2, DORA, HIPAA und NYDFS nicht erfüllen. Die Dokumentationspflicht – welches Risikosignal hat welche Inhaltsaktualisierung ausgelöst – erfordert eine direkte Verbindung zwischen der Bedrohungsanalyse und dem Schulungsprogramm. In der Praxis bedeutet dies, dass das Sicherheitsteam und die Verantwortlichen für das Lernprogramm regelmäßig Daten austauschen müssen, anstatt nur einmal jährlich bei der Lehrplanüberprüfung miteinander zu kommunizieren.
Die Verantwortlichkeit des Managements wird separat dokumentiert. Die Verpflichtung gemäß Artikel 20 der NIS2-Richtlinie ist eine formale Governance-Anforderung und kein Zusatz zum allgemeinen Sicherheitstraining. Wer sie als solchen behandelt, riskiert im Falle eines Vorfalls eine dokumentierte Haftungslücke. Das Management-Training sollte eigene Aufzeichnungen und einen eigenen Lehrplan haben – fokussiert auf Governance-Entscheidungen, Risikoüberwachung und regulatorische Rechenschaftspflicht – sowie einen eigenen Aktualisierungszyklus.
Dies sind keine Wunschvorstellungen für ein hochreifes Programm. Es sind die Merkmale, die ein reguliertes Unternehmen nachweisen muss, wenn eine Aufsichtsbehörde nach einem Vorfall das Schulungsprogramm überprüft.
Der Abschluss war nie das Ziel
Die Rahmenwerke, die heute die Cybersicherheitsschulungen regeln – NIS2, DORA, ISO 27001:2022, HIPAA, NYDFS –, wurden nicht geschrieben, um zu prüfen, ob Module zugewiesen und abgeschlossen wurden. Sie wurden geschrieben, um Unternehmen dazu zu verpflichten, menschliches Verhalten als Sicherheitskontrolle zu steuern.
Das bedeutet, Kompetenz zu etablieren, statt nur die Anwesenheit zu protokollieren. Es bedeutet, Programme als Reaktion auf reale Risiken zu aktualisieren, nicht nach dem Kalender. Es bedeutet, individuelles Verhalten im Zeitverlauf zu dokumentieren, statt nur aggregierte Abschlussquoten zu erfassen.
Die meisten Unternehmen betreiben Programme, die die falsche Frage beantworten. Audits werden bestanden, weil Prüfer die Prozessdokumentation und nicht die verhaltensbezogenen Ergebnisse bewerten. Sicherheitsvorfälle geschehen, weil die menschliche Gefährdung – die Lücke zwischen dem Wissen der Mitarbeiter und ihrem Verhalten unter Druck – nie wirklich geschlossen wurde.
Diese Lücke zu schließen, ist das, was die Regulierung heute fordert. Es ist auch das, was für die Sicherheit entscheidend ist. Diese beiden Aspekte waren noch nie so eng miteinander verknüpft, und doch waren die meisten Programme noch nie so weit davon entfernt, eine dieser Anforderungen zu erfüllen.
Zepo Intelligence entwickelt eine Closed-Loop-Architektur, die Verhaltenssignale in Echtzeit und auf individueller Ebene mit adaptivem Lernen verbindet. Wenn Ihr Schulungsprogramm von Abschlussnachweisen zu verhaltensbasierten Belegen übergehen muss, lassen Sie uns besprechen, wie Zepo das misst, was Regulierungsbehörden zunehmend fordern.
.png)
