Stell dir vor: Es ist ein ganz normaler Dienstagmorgen. Der Kaffee dampft auf dem Schreibtisch und das E-Mail-Postfach füllt sich. Eine scheinbar interne Nachricht vom IT-Support fordert dazu auf, das Microsoft-365-Passwort über einen beigefügten Link zu aktualisieren. Ein unbedachter Klick eines Mitarbeitenden, eine schnelle Passworteingabe und das Unheil nimmt seinen Lauf.

Szenarien wie dieses passieren täglich. Die bittere Realität der heutigen IT-Sicherheit lautet: Die fortschrittlichste Technik, die modernsten Firewalls und die besten Spam-Filter laufen ins Leere, wenn der Mensch vor dem Bildschirm manipuliert wird. Genau hier setzt das Security Awareness Training (SAT) an.

In diesem ersten Teil unserer Serie erklären wir, warum die Mitarbeitersensibilisierung gerade für kleine und mittlere Unternehmen (KMU) unerlässlich geworden ist und wie sich der Ansatz von starren Schulungen hin zum Aufbau einer „Human Firewall“ entwickelt hat.

Die harte Realität in Zahlen

IT-Sicherheit wird oft als rein technisches Problem abgetan. Die Statistiken sprechen jedoch eine völlig andere Sprache:

  • Der Faktor Mensch: Laut dem Verizon Data Breach Investigations Report 2025 sind bei rund 60 % aller erfolgreichen Cyberangriffe menschliche Interaktionen – wie das Klicken auf Phishing-Links, Social Engineering oder einfache Fehler – im Spiel.
  • Fokus auf Risikogruppen: Noch erstaunlicher ist eine weitere Erkenntnis aus demselben Bericht: Lediglich 8 % der Belegschaft verursachen rund 80 % der Sicherheitsvorfälle. Ein Giesskannen-Prinzip bei der Schulung reicht also nicht aus, es braucht gezielte Massnahmen.
  • Explodierende Fallzahlen in der Schweiz: Auch hierzulande spitzt sich die Lage zu. Das Bundesamt für Cybersicherheit (BACS) verzeichnete im Jahr 2024 rund 63.000 gemeldete Vorfälle – eine fast 100-prozentige Zunahme gegenüber dem Vorjahr.

Warum Cyberkriminelle gezielt KMUs ins Visier nehmen

Oft herrscht in kleineren Unternehmen der gefährliche Irrglaube: „Wir sind zu klein, für Hacker sind wir völlig uninteressant.“ Das Gegenteil ist der Fall. Cyberkriminalität ist ein hochautomatisiertes Massengeschäft geworden. Hacker greifen KMUs aus drei zentralen Gründen bevorzugt an:

  • Automatisierte Angriffsvektoren: Schadsoftware und Phishing-Kampagnen werden nicht mehr manuell auf einzelne Ziele zugeschnitten. Sie werden millionenfach gestreut. Es trifft schlichtweg die Systeme, die am leichtesten nachgeben.
  • Lukrative Daten: Auch KMUs verfügen über wertvolle Kundeninformationen, Finanzdaten und Patente. Zudem dienen sie Hackern oft als Einfallstor („Supply Chain Attack“), um über das schwächere KMU an lukrative Grosskunden zu gelangen.
  • Oft geringere Schutzbudgets: Im Gegensatz zu Grosskonzernen verfügen KMUs seltener über dedizierte IT-Security-Abteilungen (Security Operations Center). Das wissen auch die Angreifer.

Was ist Security Awareness Training (SAT) eigentlich?

Wer bei dem Begriff an stundenlange PowerPoint-Präsentationen in Konferenzräumen denkt, liegt falsch. Ein modernes Security Awareness Training ist ein kontinuierlicher, interaktiver Lernprozess, der direkt in den Arbeitsalltag der Belegschaft integriert wird.

Das Ziel ist es nicht, IT-Experten auszubilden, sondern das Bewusstsein (Awareness) für digitale Bedrohungen messbar und nachhaltig zu schärfen. Ein effektives SAT stützt sich in der Regel auf mehrere Säulen:

  • Simulierte Phishing-Kampagnen: Mitarbeitende erhalten in unregelmässigen Abständen ungefährliche, aber täuschend echt wirkende Phishing-E-Mails. Klickt jemand auf den Link, entsteht kein Schaden, sondern ein sofortiger Lerneffekt („Teachable Moment“).
  • Micro-Learnings: Statt jährlicher Blockschulungen werden kurze, 2- bis 5-minütige Lerneinheiten (Videos oder interaktive Quizze) angeboten. Themen sind unter anderem Passwortsicherheit, Social Engineering, CEO-Fraud oder der sichere Umgang mit USB-Sticks.

Vom Sicherheitsrisiko zur „Human Firewall“

In der traditionellen IT wird der Mensch oft als das „schwächste Glied in der Sicherheitskette“ bezeichnet. Dieser Ansatz ist nicht nur demotivierend, sondern auch veraltet.

Mithilfe eines professionellen Security Awareness Trainings transformiert sich die Belegschaft zu einer aktiven Abwehrschicht – der sogenannten Human Firewall. Wenn raffinierte Spear-Phishing-Attacken (hochgradig personalisierte Betrugsmails) die technischen Filter durchdringen, entscheidet das geschulte Auge des Mitarbeitenden darüber, ob der Angriff abgewehrt wird oder ob eine teure Ransomware-Infektion das Unternehmensnetzwerk lahmlegt.

Mitarbeitende, die Gefahren selbstbewusst erkennen und melden, statt aus Unsicherheit zu schweigen, sind heute ein ebenso kritischer Sicherheitsfaktor wie ein aktuelles Antiviren-Programm oder eine Managed Detection and Response (MDR) Lösung.

Ausblick auf Teil 2: Wie man SAT im KMU-Alltag erfolgreich umsetzt

Zu wissen, dass man sein Team schulen muss, ist der erste Schritt. Die weitaus grösste Herausforderung für KMUs besteht jedoch in der Umsetzung: Wie trainiert man die Belegschaft, ohne wertvolle Arbeitszeit zu verschwenden? Wie verhindert man, dass sich Mitarbeitende „überwacht“ fühlen?

Genau diese Fragen beantworten wir im zweiten Teil unserer Blog-Serie. Wir zeigen dir, worauf es bei der Auswahl einer SAT-Lösung ankommt und wie wir bei rockIT diese Themen völlig unkompliziert für unsere Kunden lösen.

Hast du bereits jetzt Fragen zur IT-Sicherheit in deinem Unternehmen? Unsere IT-Spezialisten beraten dich gerne unverbindlich. Kontaktiere uns jetzt!

Jetzt Kontakt aufnehmen