Phishing und Social Engineering: So sensibilisieren Sie Mitarbeitende wirksam (Leitfaden 2026)

Viele Cyberangriffe beginnen mit einem Klick, einem Anruf oder einer überzeugend formulierten Bitte. Genau das ist Social Engineering: Angreifer manipulieren Vertrauen, Hilfsbereitschaft oder Zeitdruck, um an Zugangsdaten, Geld oder Informationen zu kommen. Phishing ist die bekannteste Form davon.

Die Lage bleibt ernst. Angriffe erreichen Unternehmen per E-Mail, Messenger, über soziale Netzwerke und am Telefon. Die Polizeiliche Kriminalprävention warnt vor KI-gestützten Betrugsmaschen: Persönlich zugeschnittene Nachrichten, geklonte Stimmen und manipulierte Videos können täuschend echt wirken. Fehlerfreie Sprache und ein vertrauter Ton sind deshalb kein zuverlässiges Echtheitsmerkmal.

Technische Filter fangen viel ab, aber nicht alles. Gut vorbereitete Mitarbeitende und klare Abläufe ergänzen den technischen Schutz. In diesem Leitfaden erfahren Sie, welche Maschen 2026 verbreitet sind, wie Sie Schulungsformate praxisnah gestalten, Phishing-Simulationen datenschutzgerecht planen und wie ein Meldeweg aussieht, der im Ernstfall funktioniert.

Die häufigsten Angriffszenarien 2026

Schulungen wirken nur, wenn sie die Maschen zeigen, die tatsächlich im Umlauf sind. Diese sieben Szenarien sollten Ihre Mitarbeitenden kennen:

Die gemeinsame Formel hinter fast allen Maschen: Autorität, Dringlichkeit und ein ungewohnter Kanal. Wer diese drei Merkmale erkennt, erkennt auch neue Varianten, die heute noch niemand kennt. Das ist wichtiger als jede Liste von Absenderadressen.

Rechtlicher Rahmen für Schulung und Sensibilisierung

DSGVO: Schulung als organisatorische Maßnahme

Art. 32 DSGVO verlangt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Nach Art. 32 Abs. 4 DSGVO muss der Verantwortliche zudem sicherstellen, dass ihm unterstellte Personen Daten nur auf Anweisung verarbeiten. Welche Schulungen erforderlich sind, richtet sich nach den Aufgaben und Risiken. Sensibilisierung gegen Phishing ist ein wichtiger Baustein Ihrer technischen und organisatorischen Maßnahmen (TOMs). Zu den Aufgaben des Datenschutzbeauftragten gehört ausdrücklich die Sensibilisierung und Schulung der Beschäftigten (Art. 39 Abs. 1 lit. b DSGVO).

Praktisch wichtig: Nach dem EuGH-Urteil C-340/21 trägt das Unternehmen im Schadensersatzprozess die Beweislast dafür, dass seine Sicherheitsmaßnahmen angemessen waren. Dokumentierte Schulungen und Teilnahmenachweise sind Teil dieses Nachweises.

Geschäftsführerhaftung bei CEO-Fraud

Geschäftsführer einer GmbH oder UG schulden die Sorgfalt eines ordentlichen Geschäftsmanns (§ 43 GmbHG). Wer keine Freigabeprozesse für Zahlungen einrichtet und keine Sensibilisierung organisiert, setzt sich bei einem Betrugsschaden einem Haftungsrisiko aus. Hinzu kommt: Viele Cyberversicherungen verlangen Awareness-Maßnahmen als Obliegenheit. Fehlen sie, kann der Versicherungsschutz gekürzt werden. Prüfen Sie dazu Ihre Versicherungsbedingungen.

Schulungsformate im Vergleich: Was wirkt und was nicht

Ein jährlicher Foliensatz allein zeigt noch nicht, ob Beschäftigte im Alltag sicher handeln. Entscheidend sind nachvollziehbare Lernziele und praktische Übungen. Wirksame Sensibilisierung ist kurz, regelmäßig, praxisnah und ohne Schuldzuweisung. Die Formate ergänzen sich:

Drei Grundsätze, die den Unterschied machen

1. Melden belohnen statt Klicken bestrafen. Wer für einen Fehlklick gerügt wird, meldet beim nächsten Mal nicht mehr. Ein schnell gemeldeter Klick ist für die IT wertvoller als ein verschwiegener.
2. Echte Beispiele aus dem eigenen Betrieb verwenden. Anonymisierte Phishing-Mails, die tatsächlich im Unternehmen eingegangen sind, überzeugen mehr als jedes Lehrbuchbeispiel.
3. Prozesse statt Persönlichkeit schulen. Ziel ist nicht, dass jeder jede Fälschung erkennt. Ziel ist, dass bei Geld, Zugangsdaten und Datenfreigaben immer ein zweiter Kanal zur Prüfung genutzt wird, etwa ein Rückruf unter der bekannten Nummer.

Phishing-Simulationen datenschutzgerecht einsetzen

Simulierte Phishing-Mails können das Erkennen und Melden verdächtiger Nachrichten praktisch trainieren. Sie verarbeiten aber Beschäftigtendaten, nämlich wer welche Mail geöffnet, angeklickt oder gemeldet hat. Deshalb sind Datenschutz- und Arbeitsrecht zu beachten.

Rechtsgrundlage

Die Rechtsgrundlage muss vor Beginn anhand der konkreten Ausgestaltung geprüft werden. Im Beschäftigungskontext sind insbesondere § 26 BDSG und die Voraussetzungen der DSGVO zu betrachten. Das EuGH-Urteil C-34/21 unterstreicht, dass nationale Beschäftigtendatenschutzregeln die Anforderungen des Art. 88 DSGVO erfüllen müssen. Je nach Fall kann Art. 6 Abs. 1 lit. f DSGVO eine Grundlage sein; dafür sind Erforderlichkeit und Interessenabwägung nachvollziehbar zu dokumentieren. Gesetzliche IT-Sicherheitspflichten können ebenfalls relevant sein, erlauben aber nicht pauschal jedes personenbezogene Klick-Tracking. Bei einer Einwilligung ist insbesondere die Freiwilligkeit im Arbeitsverhältnis zu prüfen. Erheben Sie nur die für den festgelegten Lernzweck erforderlichen Daten.

Betriebsrat

Gibt es einen Betriebsrat, hat er nach § 87 Abs. 1 Nr. 6 BetrVG in aller Regel mitzubestimmen. Nach ständiger Rechtsprechung des BAG genügt es, dass eine technische Einrichtung objektiv geeignet ist, Verhalten oder Leistung zu überwachen. Klick-Tracking erfüllt das. Je nach Ausgestaltung kommen weitere Beteiligungsrechte hinzu, etwa bei betrieblichen Bildungsmaßnahmen nach §§ 96 ff. BetrVG. Empfehlenswert ist eine Betriebsvereinbarung zu Zweck, Ablauf, Datenverarbeitung, Löschfristen und dem Ausschluss arbeitsrechtlicher Konsequenzen.

Gestaltung in der Praxis

• Beschäftigte vor der Datenerhebung über Zweck, Rechtsgrundlage, Datenumfang, Empfänger, Speicherdauer und Rechte informieren; Art. 13 und gegebenenfalls Art. 14 DSGVO beachten. Den konkreten Testzeitpunkt müssen Sie dabei nicht vorwegnehmen.
• Ergebnisse möglichst auf Teamebene auswerten; wo Einzelbezüge erforderlich sind, Zugriffe und Speicherdauer eng begrenzen. Pseudonymisierte Daten bleiben personenbezogen. Keine Ranglisten oder routinemäßigen Namenslisten für Führungskräfte.
• Nach einem Klick eine kurze Lernseite zeigen und keine echten Passwörter oder vertraulichen Inhalte erfassen.
• Keine Inhalte verwenden, die Angst auslösen oder emotional verletzen, etwa angebliche Kündigungen, Gehaltskürzungen oder Gesundheitsthemen
• Dienstleister für die Simulation per AV-Vertrag nach Art. 28 DSGVO einbinden
• Planung, Zweck, Datenkategorien und Löschfristen dokumentieren und den Datenschutzbeauftragten frühzeitig beteiligen
• Nach Abschluss Lernziele und Ergebnisse verständlich nachbesprechen; die erforderliche Datenschutzinformation muss bereits fristgerecht erfolgt sein.

Bewerten Sie neben der Klickrate insbesondere die Melderate, die Zeit bis zur Meldung und die Qualität der Reaktion. Einzelne Kennzahlen sind nur im Zusammenhang mit dem Szenario aussagekräftig. Das Ziel ist ein Team, das Verdachtsfälle früh erkennt und zuverlässig meldet.

Meldewege: Der Ernstfall entscheidet sich in den ersten Minuten

Die beste Schulung nützt wenig, wenn niemand weiß, wohin er sich nach einem verdächtigen Klick wenden soll. Ein guter Meldeweg ist einfach, schnell und angstfrei.

So richten Sie den Meldeweg ein

• Ein Kanal für alles: ein Melde-Button im E-Mail-Programm (die meisten Mailsysteme bieten das an) oder eine feste Adresse wie sicherheit@ihre-firma.de, dazu eine Telefonnummer für Anrufe und Messenger-Vorfälle.
• Klare Zuständigkeit: Wer nimmt Meldungen an, auch außerhalb der Bürozeiten? In kleinen Unternehmen oft der IT-Dienstleister mit einer Vertretung in der Geschäftsführung.
• Rückmeldung an die meldende Person: Ein kurzes „Danke, war Phishing“ oder „Danke, war harmlos“ stärkt die Meldekultur spürbar.

Ablauf nach einem Klick oder einer Dateneingabe

1. Sofort melden. Nicht abwarten, nicht selbst „aufräumen“, keine Beweise löschen.
2. Gerät vom Netz trennen, wenn ein Anhang geöffnet oder Software installiert wurde: WLAN aus, Netzwerkkabel ziehen, Gerät aber nicht ausschalten.
3. Passwort ändern und Sitzungen beenden, wenn Zugangsdaten eingegeben wurden, und zwar von einem anderen, sauberen Gerät aus. MFA-Geräte prüfen.
4. Bank sofort kontaktieren, wenn eine Überweisung ausgelöst wurde. Die Bank muss sofort prüfen, ob sich die Zahlung noch stoppen oder zurückrufen lässt.
5. Vorfall bewerten: Wurden personenbezogene Daten offengelegt oder kompromittiert? Den Datenschutzbeauftragten einbinden.
6. Fristen beachten: Eine meldepflichtige Datenschutzverletzung ist nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden ab Kenntnis an die Aufsichtsbehörde zu melden. Bei voraussichtlich hohem Risiko sind betroffene Personen unverzüglich zu benachrichtigen (Art. 34 DSGVO). Für nach dem BSIG meldepflichtige Einrichtungen sieht § 32 BSIG bei erheblichen Sicherheitsvorfällen eine frühe Erstmeldung unverzüglich, spätestens binnen 24 Stunden, und eine weitere Meldung spätestens binnen 72 Stunden vor; Sonderregelungen sind zu beachten.
7. Dokumentieren und auswerten: Jede Datenschutzverletzung ist intern zu dokumentieren, auch wenn sie nicht meldepflichtig ist (Art. 33 Abs. 5 DSGVO). Die Erkenntnisse fließen in die nächste Schulung ein.
8. Strafanzeige prüfen: Die Zentralen Ansprechstellen Cybercrime (ZAC) der Landeskriminalämter beraten Unternehmen vertraulich.

Tipp: Drucken Sie die Schritte 1 bis 4 als Aushang aus. Im Ernstfall liest niemand eine zwölfseitige Richtlinie.

Fahrplan: Security Awareness in kleinen Unternehmen in 6 Schritten

1. Risiken bestimmen. Welche Rollen haben Zugriff auf Geld, Personaldaten oder Kundendaten? Dort setzen Sie zuerst an.
2. Technische Basis schaffen. Mehr-Faktor-Authentifizierung mit Nummernabgleich statt einfacher Push-Bestätigung, E-Mail-Filter, Warnhinweis bei externen Absendern sowie SPF, DKIM und DMARC für die eigene Domain. Schulung ersetzt Technik nicht, sondern ergänzt sie.
3. Prozesse festlegen. Vier-Augen-Prinzip und Rückruf unter bekannter Nummer bei Zahlungen und Änderungen von Bankverbindungen; ein Codewort für ungewöhnliche Anweisungen der Geschäftsführung.
4. Meldeweg einrichten und bekannt machen. Ein Kanal, klare Zuständigkeit, Aushang am Arbeitsplatz.
5. Schulungsprogramm starten. Basisschulung für alle, rollenspezifische Module für Buchhaltung und Geschäftsleitung, danach regelmäßige Kurzimpulse und, sofern die Voraussetzungen erfüllt sind, Phishing-Simulationen.
6. Messen, dokumentieren, anpassen. Teilnahmen, Melderate und echte Vorfälle festhalten. Die Dokumentation ist zugleich Ihr Nachweis gegenüber Aufsichtsbehörde, Versicherung und Gericht.

Aufwand einplanen: Starten Sie mit den besonders gefährdeten Rollen, einem verlässlichen Meldeweg und klaren Zahlungsfreigaben. Zeitbedarf und Schulungsumfang hängen von den vorhandenen Systemen, Prozessen und Risiken ab.

Fazit: Sicherheitskultur schlägt Pflichtfolie

Phishing und Social Engineering lassen sich nicht vollständig verhindern, KI macht die Angriffe glaubwürdiger denn je. Wirksam ist eine Kombination aus technischer Basis, klaren Freigabeprozessen, regelmäßigen kurzen Schulungen und einem Meldeweg, den alle kennen und ohne Angst nutzen. Gut dokumentiert ist diese Sensibilisierung zugleich Teil Ihrer TOMs nach Art. 32 DSGVO und, für NIS-2-Einrichtungen, eine gesetzliche Pflicht.

Sie möchten Ihr Team wirksam sensibilisieren? TriLex Digital Solutions entwickelt Awareness-Programme für kleine und mittlere Unternehmen: von der Basisschulung über datenschutzgerecht geplante Phishing-Simulationen bis zum Meldeprozess, auf Wunsch eingebettet in die Betreuung als externer Datenschutzbeauftragter. Jetzt unverbindliches Erstgespräch vereinbaren

Hinweis: Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall. Stand: Oktober 2026.

Weiterlesen: TOMs für kleine Unternehmen – der praxisnahe Leitfaden 2026 ↗