AKADEMIE · SECURITY AWARENESS
Anti-Phishing-Schulung: Pflicht, Formate und Nachweis
Stand Juli 2026
Phishing ist der häufigste Einstiegspunkt für Angriffe auf mittelständische Unternehmen. Eine Anti-Phishing-Schulung ist deshalb kein Pflichttermin, sondern die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung. Sie ist zugleich ein Nachweis, den NIS2 sowie die ISO 27001 ausdrücklich verlangen.
Was muss eine Anti-Phishing-Schulung leisten?
Sie muss das Erkennen echter Angriffsmuster trainieren, nicht Definitionen abfragen. Eine Schulung, die nur erklärt, was Phishing ist, verändert im Ernstfall nichts.
Wirksam wird eine Schulung, wenn sie 3 Dinge zusammenbringt. Erstens aktuelle, realistische Beispiele aus dem eigenen Umfeld: gefälschte Rechnungen, angebliche Passwortabläufe, Nachrichten im Namen der Geschäftsführung. Zweitens einen klaren Meldeweg, damit ein Verdacht ohne Zögern gemeldet wird. Drittens eine Fehlerkultur, in der eine Meldung Anerkennung bringt statt Ärger. Wer für einen versehentlichen Klick Konsequenzen fürchtet, meldet ihn nicht. Genau diese Stunden entscheiden über den Schaden.
Der häufigste Fehler in der Praxis ist die Einmalschulung zum Projektstart. Angriffsmuster ändern sich, Belegschaften auch. Ohne Wiederholung verfällt der Effekt innerhalb weniger Monate.
Welche Formate gibt es und was passt zu welchem Unternehmen?
Die Formate unterscheiden sich in Aufwand und Wirkung deutlich. Sinnvoll ist meist eine Kombination aus einem Grundlagenformat für alle sowie einer vertieften Einheit für exponierte Rollen.
| Format | Aufwand | Wofür es taugt |
|---|---|---|
| E-Learning für alle Mitarbeiter | 20 bis 45 Minuten pro Person | Grundlage und Nachweis. Skaliert gut, erreicht auch Schichtbetrieb sowie Außendienst |
| Präsenz- oder Live-Online-Einheit | 60 bis 90 Minuten je Gruppe | Rückfragen, Diskussion, Bezug auf konkrete Vorfälle im Haus |
| Simulierte Phishing-Mails | laufend, geringer Aufwand je Welle | Misst tatsächliches Verhalten statt Wissen. Nur sinnvoll mit vorheriger Ankündigung des Verfahrens sowie ohne Namensnennung |
| Vertiefung für exponierte Rollen | halber Tag | Buchhaltung, Einkauf, Assistenz sowie IT. Dort zielen Angriffe wie CEO-Fraud besonders häufig hin |
| Schulung der Leitungsorgane | 2 bis 3 Stunden | Eigene gesetzliche Pflicht, siehe unten. Inhalt ist Verantwortung und Aufsicht, nicht Technik |
Zur Phishing-Simulation ein Hinweis aus der Praxis: Sie ist wirksam, aber mitbestimmungspflichtig und datenschutzrelevant. Wer sie ohne Beteiligung des Betriebsrats sowie ohne Auswertungskonzept startet, handelt sich Ärger ein, der den Lerneffekt überlagert. Auswertung immer nur aggregiert, nie personenbezogen.
Wie oft muss geschult werden?
Weder NIS2 noch die ISO 27001 nennen ein festes Intervall. Beide verlangen „regelmäßig“. Die Auslegung in der Prüfpraxis ist ein jährlicher Turnus mit anlassbezogenen Ergänzungen.
Bewährt hat sich: einmal jährlich für alle, zusätzlich bei Eintritt neuer Mitarbeiter sowie nach einem realen Vorfall oder einer neuen Angriffswelle. Der Anlassfall ist dabei der wertvollste Termin, weil die Aufmerksamkeit ohnehin hoch ist.
Was verlangen NIS2 und die ISO 27001 konkret?
Beide Regelwerke verlangen Schulungen ausdrücklich, unterscheiden aber zwischen Belegschaft und Leitungsebene. Für die Leitungsorgane ist die Schulung eine eigene, persönliche Pflicht.
| Regelwerk | Was gefordert ist |
|---|---|
| NIS2-Richtlinie | Artikel 21 Absatz 2 Buchstabe g nennt Cyberhygiene sowie Schulungen im Bereich der Cybersicherheit als Teil der Risikomanagementmaßnahmen. Artikel 20 Absatz 2 verpflichtet die Leitungsorgane, selbst an Schulungen teilzunehmen |
| Österreich, NISG 2026 | § 31 Absatz 2: Die Leitungsorgane müssen an spezifisch für sie gestalteten Cybersicherheitsschulungen teilnehmen. Die Einrichtungen haben den Mitarbeitern regelmäßig entsprechende Schulungen anzubieten. Das Gesetz gilt ab 1. Oktober 2026 |
| Deutschland | Die Schulungspflicht der Geschäftsleitung folgt aus der nationalen Umsetzung im BSI-Gesetz. Inhaltlich entspricht sie der Vorgabe aus Artikel 20 der Richtlinie |
| ISO 27001:2022 | Anhang A, Control 6.3 „Information security awareness, education and training“. Zusätzlich verlangt Abschnitt 7.2 der Norm nachgewiesene Kompetenz sowie Abschnitt 7.3 Bewusstsein bei allen Beteiligten |
Ein Punkt wird dabei regelmäßig übersehen: Die Schulung der Leitungsorgane lässt sich nicht delegieren. Ein geschulter IT-Leiter erfüllt die Pflicht des Geschäftsführers nicht. Wie das im österreichischen Recht im Detail aussieht, steht in unserem Beitrag zum NISG 2026 in Österreich. Den europäischen Rahmen erklärt unsere NIS2-Übersicht.
Schulungspflicht sauber abbilden?
Im Strategiegespräch ordnen wir ein, welche Schulungen für Ihr Unternehmen verpflichtend sind, in welchem Turnus sie fällig werden sowie wie Sie den Nachweis führen, der im Audit trägt.
Wie weisen Sie die Schulung im Audit nach?
Der Nachweis entscheidet, ob die Schulung im Audit zählt. Gefordert ist nicht die Schulung selbst, sondern der Beleg, dass sie stattgefunden hat und wen sie erreicht hat.
Vorzuhalten sind: Teilnehmerlisten mit Datum, die Schulungsinhalte in der jeweils gültigen Fassung, der Nachweis für die Leitungsorgane getrennt von dem der Belegschaft, sowie bei Simulationen die aggregierte Auswertung mit den daraus abgeleiteten Maßnahmen. Wer eine Kennzahl mitführt, etwa die Melderate über die Zeit, zeigt Wirksamkeit statt bloßer Durchführung. Genau das prüft ein Auditor bei der Bewertung nach Abschnitt 9.1 der ISO 27001.
In der Praxis scheitert der Nachweis selten am Inhalt, sondern an der Sammlung. Wer die Belege erst zum Audit zusammensucht, findet Lücken, die sich rückwirkend nicht mehr schließen lassen.
Wie unterstützt Vantarion?
Die Vantarion Akademie liefert die Schulungsinhalte, die Plattform VantarIS führt die Nachweise. Beides greift ineinander, damit aus der Schulung ein prüfbarer Nachweis wird statt einer Teilnehmerliste im Ordner.
Konkret: Schulungen für die Belegschaft sowie eine eigene Einheit für Leitungsorgane, die auf deren Verantwortung zugeschnitten ist. Die Teilnahme wird in VantarIS erfasst und der jeweiligen Anforderung aus NIS2 sowie der ISO 27001 zugeordnet. Im Audit ziehen Sie den Nachweis aus einer Quelle, nicht aus 3 Systemen. Was die Akademie sonst noch abdeckt, zeigt die Übersicht der Vantarion Akademie.
Häufige Fragen zur Anti-Phishing-Schulung
Ist eine Anti-Phishing-Schulung gesetzlich vorgeschrieben?
Nicht als eigener Punkt, wohl aber als Teil der geforderten Schulungen. NIS2 nennt in Artikel 21 Absatz 2 Buchstabe g Cyberhygiene sowie Cybersicherheitsschulungen als Pflichtmaßnahme. Da Phishing der häufigste Angriffsweg ist, gehört es in jede ernst gemeinte Umsetzung. Die ISO 27001 verlangt dasselbe über Anhang A 6.3.
Müssen Geschäftsführer selbst an der Schulung teilnehmen?
Ja. Artikel 20 Absatz 2 der NIS2-Richtlinie verpflichtet die Leitungsorgane persönlich. In Österreich sagt § 31 Absatz 2 NISG 2026 wörtlich, dass sie an spezifisch für sie gestalteten Schulungen teilnehmen müssen. Diese Pflicht lässt sich nicht an die IT delegieren.
Gibt es eine gesetzliche Frist, bis wann die Schulung absolviert sein muss?
Für Österreich nicht. Das NISG 2026 nennt weder in § 31 noch in den Übergangsbestimmungen des § 51 einen Stichtag. Die Pflicht gilt ab dem Geltungsbeginn am 1. Oktober 2026. Wer die Schulung erst deutlich danach ansetzt, riskiert allerdings, bei einer Kontrolle ohne Nachweis dazustehen.
Wie oft sollte geschult werden?
Die Regelwerke sagen „regelmäßig“ ohne festes Intervall. In der Prüfpraxis hat sich ein jährlicher Turnus etabliert, ergänzt um Schulungen bei Eintritt neuer Mitarbeiter sowie nach realen Vorfällen. Der anlassbezogene Termin wirkt erfahrungsgemäß am stärksten.
Sind simulierte Phishing-Mails erlaubt?
Ja, mit Auflagen. Die Simulation ist mitbestimmungspflichtig und datenschutzrelevant. Klären Sie das Verfahren vorher mit dem Betriebsrat sowie dem Datenschutzbeauftragten und werten Sie ausschließlich aggregiert aus. Eine personenbezogene Auswertung beschädigt die Meldebereitschaft nachhaltig.
Reicht ein E-Learning für den Nachweis?
Für die Belegschaft in der Regel ja, sofern Teilnahme und Inhalt dokumentiert sind. Für die Leitungsorgane empfiehlt sich ein eigenes Format, weil dort Verantwortung und Aufsicht im Mittelpunkt stehen und nicht die technische Erkennung.
Was muss ich im Audit vorlegen können?
Teilnehmerlisten mit Datum, die Schulungsinhalte in der gültigen Fassung, einen getrennten Nachweis für die Leitungsorgane sowie bei Simulationen die aggregierte Auswertung mit den abgeleiteten Maßnahmen. Eine Kennzahl zur Wirksamkeit, etwa die Melderate, hebt den Nachweis deutlich.
Gilt das auch für kleine Unternehmen?
Wenn Sie unter NIS2 fallen, ja, unabhängig von der Größe. Auch ohne Betroffenheit fordern viele Kunden den Nachweis inzwischen im Lieferantenfragebogen ein. Ob Sie betroffen sind, klärt unsere NIS2-Übersicht.
Fakten auf einen Blick
| Aspekt | Kurzfakt |
|---|---|
| Rechtsgrundlage EU | NIS2-Richtlinie, Artikel 21 Absatz 2 Buchstabe g sowie Artikel 20 Absatz 2 |
| Österreich | § 31 Absatz 2 NISG 2026, gilt ab 1. Oktober 2026, ohne gesetzlichen Stichtag für die Absolvierung |
| Norm | ISO 27001:2022, Anhang A Control 6.3 sowie Abschnitte 7.2 und 7.3 |
| Turnus | kein festes Intervall vorgeschrieben. Prüfpraxis: jährlich plus anlassbezogen |
| Leitungsorgane | eigene Pflicht, nicht delegierbar, eigener Nachweis |
| Nachweis | Teilnehmerlisten mit Datum, Inhalte, getrennter Nachweis für die Leitung, bei Simulationen aggregierte Auswertung mit abgeleiteten Maßnahmen |
Stand der Auswertung: 28. Juli 2026. Angaben zum österreichischen Recht geprüft am Volltext BGBl. I Nr. 94/2025. Dieser Text informiert und stellt keine Rechtsberatung dar.