Beschäftigte für Betrug sensibilisieren: Inhalte, Formate und Pflichten

Betrug gegen Unternehmen zielt oft auf einzelne Menschen: die Person in der Buchhaltung, die eine Überweisung freigibt, den Mitarbeiter am Empfang, der einen Anrufer durchstellt, die Assistenz der Geschäftsführung. Technik fängt viel ab, aber nicht den Anruf eines angeblichen Chefs oder die Rechnung mit der neuen Bankverbindung.

Warum Schulungen gegen Betrug wirken

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt Social Engineering als Methode, Informationen oder Zugang durch "Aushorchen" von Mitarbeitenden zu erlangen, meist über Telefon, E-Mail oder soziale Netzwerke ^[1]. Sind Beschäftigte dafür nicht ausreichend sensibilisiert, können sie so manipuliert werden, dass sie interne Informationen weitergeben oder sogar Geld an angebliche Geschäftspartner überweisen ^[1]. Als Beispiel nennt das BSI den CEO-Fraud, bei dem Mitarbeitenden mit Zahlungsbefugnis ein dringender und vertraulicher Auftrag der Leitung vorgegaukelt wird ^[1].

Zahlen zur Wirkung liefert die Studie "Occupational Fraud 2026" der Association of Certified Fraud Examiners, die Betrug durch Beschäftigte untersucht. In Organisationen, die sowohl Mitarbeitende als auch Führungskräfte zu Betrug schulten, lag der mittlere Schaden (Median) bei 84.000 US-Dollar, ohne beide Schulungen bei 150.000 US-Dollar ^[11]. Das zählt, weil 43 Prozent der Fälle durch Hinweise aufgedeckt wurden und mehr als die Hälfte dieser Hinweise von Beschäftigten kam ^[12]. Die Studie zeigt einen Zusammenhang; ob die Schulung allein den Unterschied macht, lässt sich daraus nicht ablesen.

Was Gesetz und Standards verlangen

Seit dem 06.12.2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz; das BSI beaufsichtigt damit rund 29.500 Einrichtungen ^[6]. Besonders wichtige und wichtige Einrichtungen müssen nach § 30 BSIG Risikomanagementmaßnahmen ergreifen, dazu gehören ausdrücklich "grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik" ^[4]. Die Geschäftsleitungen dieser Einrichtungen müssen nach § 38 Abs. 3 BSIG zusätzlich selbst regelmäßig an Schulungen teilnehmen ^[5]. Das BSI betont, dass die Pflicht alle internen und externen Nutzenden von Systemen und Anwendungen betrifft und dass die Dokumentation der Maßnahmen notwendig ist, um die Anforderung zu erfüllen ^[3].

Auch außerhalb von NIS-2 gibt es Bezüge. Zu den Aufgaben eines Datenschutzbeauftragten gehört nach Art. 39 DSGVO die Sensibilisierung und Schulung der an Verarbeitungsvorgängen beteiligten Mitarbeiter ^[7]. Im IT-Grundschutz des BSI regelt der Baustein ORP.3 Sensibilisierung und Schulung; er verweist auf Kapitel 7.2 der Norm ISO/IEC 27001:2013, das Vorgaben für die Sensibilisierung von Beschäftigten enthält ^[1].

Inhalte, die alle Beschäftigten kennen sollten

Eine Checkliste des BSI zu grundlegenden Schulungen vom 19.12.2025 zählt auf, wofür Nutzende sensibilisiert werden sollten ^[2]. Für den Schutz vor Betrug sind vor allem diese Punkte wichtig:

• gefälschte E-Mails erkennen sowie Links und Anhänge in Spam nicht öffnen ^[2]
• Social-Engineering-Anrufe erkennen und Gesprächspartner prüfen, bevor Informationen weitergegeben werden ^[2]
• Passwörter nicht wiederverwenden und persönliche Zugangsmittel nicht weitergeben ^[2]
• sicherheitsrelevante Ereignisse melden ^[2]

Für die Maschen mit Geldbezug nennt das BKA typische Anzeichen: unaufgeforderte E-Mails oder Anrufe, Druck und Dringlichkeit, direkter Kontakt einer hochrangigen Person, eine Anfrage im Widerspruch zu internen Verfahren, die Bitte um absolute Vertraulichkeit sowie Drohungen oder ungewöhnliche Schmeicheleien ^[9]. Vertiefende Seiten dazu sind Phishing-Mails erkennen, Social Engineering und Betrug mit KI-Stimmen und Deepfakes.

Was Beschäftigte über das Unternehmen preisgeben

Täter bereiten Betrug mit öffentlich zugänglichem Wissen vor. Die Polizei nennt als Quellen die Homepage, das Handelsregister und soziale Netzwerke und rät Unternehmen, auf veröffentlichte Informationen zu achten sowie klare Abwesenheitsregelungen und interne Kontrollmechanismen einzuführen ^[14]. Die NIS-2-Checkliste des BSI sieht vor, Nutzende gegen die Ausgabe vertraulicher Daten durch Abwesenheitsnotizen zu sensibilisieren ^[2]. Das BKA rät Beschäftigten, keine Informationen über Hierarchie, Sicherheit oder Verfahren der Firma zu teilen, mit sozialen Medien vorsichtig umzugehen und besonders aufzupassen, wenn sie private E-Mails auf dem Geschäftsrechner abrufen ^[9].

Vertiefung für Risikogruppen

Die Grundlage gilt für alle: Nach dem IT-Grundschutz müssen alle Mitarbeitenden und externen Benutzenden in den sicheren Umgang mit der IT eingewiesen werden, soweit das für ihre Arbeit relevant ist, und dafür müssen verbindliche, verständliche und aktuelle Richtlinien bereitstehen ^[1]. Darauf baut die Vertiefung auf. Das BSI empfiehlt, Schulungsprogramme an Zielgruppen auszurichten und dafür eine Zielgruppenanalyse zu machen ^[1]. Besonders exponierte Personen sollten vertiefende Schulungen erhalten ^[1]. In der Praxis betrifft das zuerst alle, die Zahlungen auslösen oder Bankdaten von Lieferanten pflegen. Für sie gehören Rechnungsbetrug und das Vier-Augen-Prinzip in die Schulung. Die Leitung hat nach dem BSI eine Sonderrolle: Sie muss für Sicherheitsfragen sensibilisiert sein, die Schulungen unterstützen und mit gutem Beispiel vorangehen ^[1].

Formate und Rhythmus

Das BSI hält es für zweckmäßig, Schulungen bei der Ersteinweisung neuer Mitarbeitender durchzuführen und jährlich über Neuerungen zu informieren; Poster oder Kampagnen helfen beim Erinnern ^[3]. In seinen Tipps zur IT-Sicherheits-Awareness rät das BSI, die Sprache der Mitarbeitenden zu sprechen und Bedrohungen wie CEO-Fraud mit einfachen Worten und praktischen Beispielen zu erklären, einschließlich der möglichen Folgen für das Unternehmen ^[8]. Die Inhalte sollen dabei weder über- noch unterfordern ^[8]. Für die Buchhaltung sieht eine gute Schulung deshalb anders aus als für die Entwicklungsabteilung oder das Lager. Besonders greifbar seien echte E-Mails, die im eigenen Unternehmen eingegangen sind; auch Quiz-Formate oder ein Escape Room bringen das Thema spielerisch näher ^[8].

Warum Programme scheitern, beschreibt der Baustein ORP.3: fehlende Unterstützung durch das Management, unklare Ziele, schlechte Planung, mangelnde Erfolgskontrolle, fehlende Kontinuität und zu wenig Geld oder Personal ^[1]. Eine einmalige Pflichtschulung ohne Wiederholung erfüllt viele dieser Punkte gleichzeitig.

Ebenso wichtig ist die Akzeptanz. Das BSI nennt als Gründe, warum Mitarbeitende Vorgaben nicht umsetzen, eine fehlende Sicherheitskultur, eine fehlende Vorbildfunktion der Leitung und übertriebene Sicherheitsanforderungen ^[1]. Es reicht nach dem BSI nicht, Maßnahmen nur anzuordnen; Beschäftigte sollten Bedeutung und Zweck kennen, weil sie die Maßnahmen sonst im Alltag ignorieren könnten ^[1]. Für eine Schulung gegen Betrug heißt das: lieber an einem echten Fall zeigen, wie eine Rückfrage einen Schaden verhindert hätte, als zwanzig Regeln vorzulesen.

Phishing-Simulationen mit Augenmaß

Das BSI nennt die Phishing-Simulation als Mittel, mit dem Beschäftigte lernen, verdächtige E-Mails selbst zu erkennen ^[8]. Wer dabei auswertet, wer klickt, sollte die Mitbestimmung beachten: Nach § 87 Abs. 1 Nr. 6 BetrVG bestimmt der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mit, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen ^[13].

Melden muss leicht sein

Eine Schulung nützt wenig, wenn niemand meldet. Das BSI rät, Beschäftigten das gute Gefühl zu geben, dass eine Rückfrage bei der IT zu einer verdächtigen E-Mail richtig ist und keinen Ärger macht ^[8]. Als Beispiel nennt es die Buchhaltung, die bei fragwürdigen Zahlungsaufforderungen jederzeit bei der Geschäftsleitung nachfragen darf; die Prozesse sollen klar machen, an wen man sich per E-Mail, Messenger oder Telefon wendet ^[8]. Das BKA empfiehlt Unternehmen, Meldeverfahren für CEO-Betrug einzuführen, und Beschäftigten, verdächtige E-Mails oder Anrufe immer der IT-Abteilung zu melden ^[9]. Die Polizei rät außerdem, verdächtige Nachrichten bei Bedarf auch der Polizei zu melden und Mitarbeitende regelmäßig zu schulen ^[10].

Ein Meldeweg funktioniert nur, wenn Meldungen Folgen haben, die Beschäftigte sehen: eine kurze Rückmeldung, ob die Nachricht echt war, und keine Nachteile für Fehlalarme. Damit gefälschte Absender aus der eigenen Domain gar nicht erst durchkommen, hilft technischer Schutz, den der Ratgeber SPF, DKIM und DMARC im Zusammenspiel erklärt.

Erfolg messen und dokumentieren

Nach dem BSI sollten Lernerfolge zielgruppenbezogen gemessen und ausgewertet werden, mit quantitativen und qualitativen Aspekten, und die Ergebnisse sollten in die Verbesserung des Angebots einfließen ^[1]. Die NIS-2-Checkliste sieht vor, den Erfolg der Sensibilisierung regelmäßig anhand objektivierter Kriterien zu überprüfen ^[2]. Maßnahmen sollen zudem fortlaufend angepasst werden, etwa wenn neue IT-Systeme eingeführt werden ^[3].

Messbar sind zum Beispiel die Teilnahme an Schulungen, die Zahl der Meldungen verdächtiger Nachrichten und die Zeit bis zur ersten Meldung bei einer Simulation. Eine sinkende Klickrate allein sagt wenig, wenn gleichzeitig niemand meldet. Für NIS-2-Einrichtungen gehört die Dokumentation der Schulungen zur Pflicht ^[3]; für alle anderen ist sie der Nachweis, dass das Unternehmen gehandelt hat, falls später doch etwas passiert.

1. Behörde ORP.3 Sensibilisierung und Schulung zur Informationssicherheit (IT-Grundschutz-Kompendium, Edition 2023). Bundesamt für Sicherheit in der Informationstechnik. Stand 2023. abgerufen am 29.10.2026
2. Behörde Anforderungen an Grundlegende Schulungen und Sensibilisierungsmaßnahmen gemäß den aktuellen Grundschutz-Praktiken. Bundesamt für Sicherheit in der Informationstechnik. Stand 19.12.2025. abgerufen am 29.10.2026
3. Behörde #nis2know: Grundlegende Schulungen und Sensibilisierungsmaßnahmen. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
4. Gesetz § 30 BSIG: Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
5. Gesetz § 38 BSIG: Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
6. Behörde Cybersicherheitsrecht: NIS-2-Umsetzungsgesetz ab morgen in Kraft. Bundesamt für Sicherheit in der Informationstechnik. Stand 05.12.2025. abgerufen am 29.10.2026
7. Gesetz Art. 39 DSGVO: Aufgaben des Datenschutzbeauftragten. Verordnung (EU) 2016/679, Wiedergabe auf dsgvo-gesetz.de. Stand ohne Datum. abgerufen am 29.10.2026
8. Behörde 3 Tipps für mehr IT-Sicherheits-Awareness. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
9. Behörde CEO/Business E-Mail Betrug (CEO-Betrug). Bundeskriminalamt. Stand ohne Datum. abgerufen am 29.10.2026
10. Behörde Online-Betrug: CEO-Fraud. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
11. Studie The Effectiveness of Providing Fraud Awareness Training (Occupational Fraud 2026). Association of Certified Fraud Examiners. Stand 2026. abgerufen am 29.10.2026
12. Studie Occupational Fraud 2026: A Report to the Nations, Key Findings. Association of Certified Fraud Examiners. Stand 2026. abgerufen am 29.10.2026
13. Gesetz § 87 BetrVG: Mitbestimmungsrechte. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
14. Behörde CEO-Fraud: Betrüger legen Unternehmensmitarbeiter herein. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.