Wie oft sollten Mitarbeitende eine Sicherheitsschulung absolvieren? Kurz: nicht einmal im Jahr und nicht jede Woche. Praxis zeigt: ein Rhythmus aus kurzen Modulen (monatlich oder zweiwöchentlich) plus einige Phishing-Simulationen pro Jahr wirkt besser als der klassische Jahreskurs. Aber was ist praktikabel, was sagt das Gesetz, und wie wählen Sie ein Tempo, das passt?
Warum die Jahresschulung nicht mehr genügt
Klassisch: einmal pro Jahr eine Stunde, Häkchen. Für die Buchhaltung okay, für Verhalten längst nicht mehr.
Bedrohungslandschaft zu dynamisch für Jahresupdates. KI-Phishing, Deepfakes, Quishing, MFA-Bypass: 2026 Routine, in Jahreskursen aus 2024 nicht enthalten.
DORA Art. 13 verlangt „regelmäßige“ Schulung mit messbarer Wirksamkeit. Aufsicht liest das zunehmend als mindestens quartalsweise Kontakt.
Was Forschung und Praxis als optimal zeigen
Bewährtes Modell:
- Kurze Module von 4-8 Minuten monatlich, nach Themen aufgeteilt.
- 2-4 Phishing-Simulationen pro Jahr. Vierteljährlich ist gesunde Mitte.
- Jährliche formelle Basisschulung für Compliance.
- Rollenbasierte Vertiefung 1-2x jährlich für Risikofunktionen.
- Direktes Microlearning nach Phishing-Klick.
Branchenunterschiede und Compliance-Takte
Finanzinstitute: DORA Art. 13, monatlich für Risikofunktionen plus halbjährliche Vertiefung.
Gesundheitswesen und öffentliche Hand: Cbw, NEN 7510. Vier Microlearning-Module pro Quartal plus Jahresbasis.
Bildung und KMU: sechs bis zehn Module plus zwei Simulationen pro Jahr meist machbar.
Was vermeiden: Schulungsmüdigkeit und Hollow Completion
Zwei Probleme bei zu hoher Frequenz:
Schulungsmüdigkeit. Wöchentliche Pflichtmodule erzeugen Widerstand. Monatlich oder zweiwöchentlich ist Maximum.
Hollow Completion (gedankenloses Durchklicken). Wenn zu schnell oder zu kurz, lesen Mitarbeitende nicht. Quote bleibt hoch, Verhalten ändert sich nicht.
Gute Messlatte: Meldequote in Simulationen. Steigend = richtiges Tempo.
Wie Sie das im Awareness-Programm verankern
Praxistaugliches Jahresprogramm:
Onboarding: Basismodul (15-20 Min in Microlearning-Blöcken).
Monatsrhythmus: ein Microlearning-Modul, themenabhängig.
Quartalsrhythmus: eine Phishing-Simulation, varierende Form.
Halbjahresrhythmus: rollenspezifische Vertiefung.
Jahresrhythmus: Vorstandstraining Cbw Art. 24.
Nachweisbare Administration auf allen Ebenen.
Entdecken Sie, wie 2LRN4 dieses Thema in ein funktionierendes Programm mit Training, Phishing-Simulation und Management-Reporting überführt.
Zur TrainingsseiteVerwandte Artikel
- Microlearning für Mitarbeiter mit wenig Zeit
- Security-Awareness-Roadmap für 12 Monate
- Wie funktionieren Phishing-Simulationen?
- Muss Sicherheitsschulung verpflichtend sein?
Quellen
FAQ
Wie oft Mitarbeitende schulen?
Monatlich kurze Module plus 2-4 Phishing-Simulationen plus Jahresbasis.
Reicht jährlich für Compliance?
Für DSGVO oft, für Cbw und DORA nicht. Monatliches Microlearning ist Minimum.
Frequenz für Phishing-Simulationen?
2-4 pro Jahr; vierteljährlich ist gesunde Mitte.
Wie Schulungsmüdigkeit vermeiden?
Module kurz halten, Themen abwechseln, zu schlechten Zeitpunkten meiden.
Rhythmus pro Rolle anders?
Ja. Risikofunktionen 1-2x jährlich zusätzliche rollenspezifische Module.
Was sagt DORA zur Frequenz?
Art. 13: regelmäßig mit messbarer Wirksamkeit. Quartalsweise für Risikofunktionen.
Wie messe ich, ob Frequenz passt?
Abschlussquote, Klickquote, Meldequote; Trend über 6-12 Monate.
Externe Quelle: NIST - Security awareness and training