Die Firewall ist konfiguriert.

MFA schützt Benutzerkonten.

EDR überwacht die Clients.

E-Mails werden auf Schadsoftware untersucht.

Das Netzwerk ist segmentiert.

Und dann klingelt das Telefon.

„Hallo, hier ist die IT. Wir haben gerade ein Problem mit Ihrem Benutzerkonto. Ich schicke Ihnen kurz einen Link. Melden Sie sich dort bitte an.“

Der Mitarbeiter klickt.

Die Webseite sieht genauso aus wie das bekannte Microsoft-Login.

Benutzername eingegeben.

Passwort eingegeben.

MFA-Anfrage bestätigt.

Angreifer drin.

Kein Zero-Day.

Keine hochkomplexe Malware.

Keine spektakuläre Firewall-Lücke.

Der Angreifer hat schlicht einen Menschen überzeugt.

Genau deshalb gehören Security Awareness und Mitarbeiterschulungen zu einer funktionierenden Cybersecurity-Strategie.

NIS-2 berücksichtigt ausdrücklich grundlegende Verfahren der Cyberhygiene und Schulungen im Bereich der Cybersicherheit. Auch Leitungsorgane besonders wichtiger und wichtiger Einrichtungen müssen sich mit entsprechenden Schulungen befassen.

Dabei sollte jedoch ein Missverständnis vermieden werden:

Der Mensch ist nicht das Sicherheitsproblem, das technisch beseitigt werden muss.

Gut geschulte Beschäftigte können vielmehr zu einem zusätzlichen Sensor der Sicherheitsorganisation werden.

Ein Mitarbeiter, der eine verdächtige E-Mail innerhalb von zwei Minuten meldet, kann möglicherweise einen Angriff verhindern, bevor das SOC ihn überhaupt technisch erkennt.

1. Was bedeutet Security Awareness?

Security Awareness lässt sich mit Sicherheitsbewusstsein übersetzen.

Das Ziel besteht darin, Beschäftigte in die Lage zu versetzen:

• Bedrohungen zu erkennen,
• Risiken einzuschätzen,
• richtig zu reagieren,
• Sicherheitsvorfälle zu melden,
• Sicherheitsregeln im Alltag anzuwenden.

Dabei geht es nicht darum, aus jedem Mitarbeiter einen IT-Security-Spezialisten zu machen.

Eine Mitarbeiterin in der Personalabteilung muss keine Reverse-Engineering-Analyse einer Malware durchführen können.

Sie sollte aber erkennen können, dass eine angebliche Bewerbung mit einer verdächtigen ausführbaren Datei möglicherweise gefährlich ist.

2. Schulungen müssen zur tatsächlichen Arbeit passen

Eine allgemeine Präsentation mit 70 Folien über Cybersecurity erreicht selten nachhaltige Wirkung.

Security Awareness sollte sich an realen Situationen orientieren.

Beispielsweise:

Buchhaltung

• CEO Fraud,
• manipulierte Rechnungen,
• geänderte Bankverbindungen.

Personalabteilung

• gefälschte Bewerbungen,
• sensible Personaldaten,
• Social Engineering.

IT

• privilegierte Konten,
• Fernwartung,
• Phishing gegen Administratoren,
• Supply-Chain-Angriffe.

Geschäftsführung

• Spear Phishing,
• CEO Fraud,
• Umgang mit vertraulichen Informationen,
• Incident Response.

Helpdesk

• Passwort-Reset,
• Identitätsprüfung,
• Social Engineering.

Damit wird aus abstrakter Security Awareness ein konkreter Bezug zum Arbeitsalltag.

3. Phishing bleibt eine zentrale Bedrohung

Phishing gehört weiterhin zu den wichtigsten Angriffsmethoden.

Eine klassische Phishing-Mail versucht beispielsweise, den Empfänger zu einer Handlung zu bewegen:

• Link anklicken,
• Datei öffnen,
• Zugangsdaten eingeben,
• Zahlung durchführen,
• MFA bestätigen,
• Informationen preisgeben.

Typische Themen sind:

Ihr Passwort läuft heute ab.

Ihre Rechnung ist überfällig.

Ihr Paket konnte nicht zugestellt werden.

Sie haben eine neue Sprachnachricht.

Ihr Microsoft-365-Konto wurde gesperrt.

Bitte bestätigen Sie die neue Bankverbindung.

Angreifer nutzen dabei bewusst Situationen, die Zeitdruck oder Emotionen erzeugen.

4. Typische Warnzeichen einer Phishing-Mail

Mitarbeiter sollten lernen, auf mehrere Merkmale zu achten.

Beispiele:

• ungewöhnlicher Absender,
• leicht veränderte Domain,
• unerwarteter Anhang,
• ungewöhnlicher Link,
• Zeitdruck,
• Drohungen,
• Aufforderung zur Anmeldung,
• ungewöhnliche Zahlungsanweisung,
• Änderung einer Bankverbindung,
• Bitte um vertrauliche Informationen.

Allerdings gilt:

Professionelles Phishing muss keine Rechtschreibfehler enthalten.

Moderne Phishing-Nachrichten können sprachlich hervorragend formuliert sein.

Auch eine fehlerfreie E-Mail kann gefährlich sein.

5. KI verändert Phishing

Generative KI erleichtert Angreifern die Erstellung überzeugender Nachrichten.

Früher waren viele Phishing-Mails leicht an schlechter Sprache zu erkennen.

Heute können Angreifer innerhalb weniger Sekunden:

• grammatikalisch korrekte Texte,
• unterschiedliche Sprachvarianten,
• personalisierte Anschreiben,
• glaubwürdige Geschäftskommunikation

erstellen.

Deshalb sollte Security Awareness weniger auf die Regel:

„Schlechte Grammatik = Phishing“

setzen.

Wichtiger sind Kontext und Verhalten.

Ist die Anfrage plausibel?

Erwarte ich diese Nachricht?

Passt der Kommunikationsweg?

Warum soll ich plötzlich Zugangsdaten eingeben?

6. Social Engineering geht weit über E-Mail hinaus

Phishing ist nur eine Variante des Social Engineering.

Angreifer können Menschen über zahlreiche Kanäle manipulieren:

• Telefon,
• SMS,
• Messenger,
• soziale Netzwerke,
• Videokonferenzen,
• persönliche Gespräche.

Beispiele:

Vishing

Social Engineering per Telefon.

Smishing

Phishing über SMS oder Messenger.

Pretexting

Der Angreifer erfindet eine glaubwürdige Geschichte.

Beispiel:

„Ich bin vom externen IT-Dienstleister. Wir müssen dringend Ihr VPN-Konto überprüfen.“

Tailgating

Eine unberechtigte Person versucht, gemeinsam mit einem berechtigten Mitarbeiter ein gesichertes Gebäude zu betreten.

Social Engineering nutzt weniger technische Schwachstellen.

Es nutzt Vertrauen, Hilfsbereitschaft, Autorität und Zeitdruck.

7. Autorität ist ein mächtiges Werkzeug

Besonders effektiv sind Nachrichten, die angeblich von Vorgesetzten stammen.

Beispiel:

„Ich sitze gerade in einer vertraulichen Sitzung und kann nicht telefonieren. Bitte überweisen Sie sofort 28.500 Euro an folgenden Geschäftspartner. Das muss heute noch raus.“

Der Angreifer erzeugt:

• Autorität,
• Zeitdruck,
• Geheimhaltung.

Diese Kombination ist typisch für CEO Fraud.

Deshalb benötigen besonders Mitarbeiter mit Zahlungsbefugnissen klare Kontrollprozesse.

Beispielsweise:

Änderungen von Bankverbindungen niemals ausschließlich auf Grundlage einer E-Mail durchführen.

Stattdessen kann ein zweiter, bereits bekannter Kommunikationskanal verwendet werden.

8. Deepfakes als Awareness-Thema

Auch synthetische Stimmen und Videos gewinnen für Social Engineering an Bedeutung.

Die bekannte Stimme eines Vorgesetzten am Telefon ist deshalb kein absoluter Identitätsnachweis mehr.

Organisationen sollten für besonders kritische Prozesse zusätzliche Verifikationsmechanismen definieren.

Beispielsweise:

• Rückruf über bekannte Telefonnummer,
• Vier-Augen-Prinzip,
• Freigabe über definierte Systeme,
• persönliche Rückfrage,
• interne Verifikationsverfahren.

Der Grundsatz lautet:

Vertrauen in eine Stimme oder ein Bild allein reicht bei kritischen Transaktionen nicht aus.

9. Passwörter richtig behandeln

Passwortschulungen gehören weiterhin zur Security Awareness.

Dabei sollten veraltete Empfehlungen vermieden werden.

Problematisch sind beispielsweise Regeln wie:

Passwort alle 30 Tage ändern
mindestens ein Großbuchstabe
mindestens ein Sonderzeichen
mindestens eine Zahl

Das Ergebnis lautet dann häufig:

Sommer2026!
Herbst2026!
Winter2026!

Damit wurde die Richtlinie erfüllt.

Die Sicherheit jedoch kaum verbessert.

10. Lange und einzigartige Passwörter

Entscheidender sind:

• ausreichende Länge,
• einzigartige Passwörter,
• keine Wiederverwendung,
• keine leicht erratbaren Informationen.

Passwortmanager können dabei helfen.

Damit muss sich ein Benutzer nicht mehr zwanzig komplizierte Passwörter merken.

Er benötigt ein starkes Hauptpasswort und kann für jeden Dienst ein eigenes zufälliges Passwort verwenden.

Noch wichtiger:

Wo möglich, sollte MFA eingesetzt werden.

11. MFA ist kein Freifahrtschein

Auch Multi-Faktor-Authentifizierung kann angegriffen werden.

Beispielsweise durch:

• MFA Fatigue,
• Phishing-Proxies,
• Social Engineering,
• gestohlene Sessions.

Bei MFA Fatigue bombardiert ein Angreifer einen Benutzer mit Anmeldeanfragen.

Irgendwann denkt der Benutzer:

„Vielleicht muss ich das einfach bestätigen, damit es aufhört.“

Deshalb gehört auch folgende Regel in Schulungen:

Eine unerwartete MFA-Anfrage niemals einfach bestätigen.

Sie kann ein Hinweis darauf sein, dass ein Angreifer bereits das Passwort besitzt.

12. Mobile Geräte absichern

Smartphones und Tablets sind vollwertige IT-Arbeitsplätze.

Sie enthalten:

• E-Mails,
• Kontakte,
• Kalender,
• Dokumente,
• Messenger,
• Authenticator-Apps,
• Cloud-Zugänge.

Deshalb sollten Mitarbeiter auch im sicheren Umgang mit mobilen Geräten geschult werden.

Wichtige Themen:

• Displaysperre,
• Updates,
• Geräteverschlüsselung,
• sichere Apps,
• Verlustmeldung,
• öffentliches WLAN,
• Bluetooth,
• QR-Codes,
• Phishing auf kleinen Displays.

Gerade auf Smartphones sind manipulierte URLs oft schwieriger zu erkennen.

13. Was tun bei verlorenem Smartphone?

Eine der wichtigsten Regeln lautet:

Sofort melden.

Nicht:

„Vielleicht liegt es noch im Auto. Ich suche morgen noch einmal.“

Je früher ein Verlust gemeldet wird, desto schneller können Schutzmaßnahmen greifen.

Beispielsweise:

Gerät verloren
      │
      ▼
IT informieren
      │
      ▼
Gerät sperren
      │
      ▼
Sessions widerrufen
      │
      ▼
Zugänge prüfen
      │
      ▼
ggf. Remote Wipe

Technische Maßnahmen wie Mobile Device Management ergänzen dabei die Schulung.

14. Homeoffice erweitert die Angriffsfläche

Im Büro existieren häufig kontrollierte Rahmenbedingungen:

• Unternehmensnetzwerk,
• physische Zutrittskontrolle,
• IT-Support,
• definierte Arbeitsplätze.

Im Homeoffice sieht die Umgebung anders aus.

Dort können vorhanden sein:

• privater Router,
• Familiengeräte,
• Smart-TV,
• IoT-Geräte,
• private Drucker,
• offene Wohnräume.

Deshalb benötigt Homeoffice eigene Sicherheitsregeln.

15. Sicherheit im Homeoffice

Mitarbeiter sollten beispielsweise wissen:

• dienstliche Geräte nicht mit Familienmitgliedern teilen,
• Bildschirm bei Abwesenheit sperren,
• vertrauliche Unterlagen sicher aufbewahren,
• keine unbekannten USB-Geräte anschließen,
• Unternehmens-VPN verwenden, sofern vorgesehen,
• Sicherheitsupdates nicht blockieren,
• Vorfälle auch aus dem Homeoffice sofort melden.

Auch die physische Umgebung ist wichtig.

Vertrauliche Videokonferenzen sollten nicht unbedingt im gut besuchten Café stattfinden.

16. Öffentliches WLAN

Öffentliche WLAN-Netze sind im Alltag praktisch.

Sie sollten jedoch nicht automatisch als vertrauenswürdig betrachtet werden.

Mitarbeiter sollten verstehen:

• Unternehmens-VPN verwenden, sofern vorgeschrieben,
• automatische WLAN-Verbindungen vermeiden,
• unbekannte Netzwerke kritisch betrachten,
• bei sensiblen Tätigkeiten gegebenenfalls Mobilfunk beziehungsweise einen vertrauenswürdigen Hotspot verwenden.

Ein WLAN mit dem Namen:

Hotel_Free_WiFi

muss nicht zwangsläufig vom Hotel betrieben werden.

17. USB-Sticks und Wechseldatenträger

Der klassische USB-Stick bleibt ein Awareness-Thema.

Ein auf dem Parkplatz gefundener USB-Stick sollte nicht aus Neugier an einen Firmenrechner angeschlossen werden.

Organisationen können zusätzlich technische Maßnahmen einsetzen:

• USB-Geräte einschränken,
• Device Control,
• nur freigegebene Datenträger zulassen,
• automatische Ausführung deaktivieren.

Security Awareness funktioniert am besten, wenn Schulung und Technik zusammenarbeiten.

18. Clean Desk und Clean Screen

Auch physische Informationssicherheit gehört zur Awareness.

Vertrauliche Informationen sollten nicht dauerhaft offen auf Schreibtischen liegen.

Beim Verlassen des Arbeitsplatzes sollte der Bildschirm gesperrt werden.

Unter Windows beispielsweise:

Windows-Taste + L

Eine einfache Tastenkombination – aber eine wirksame Gewohnheit.

19. Sicherheitsvorfälle richtig melden

Ein zentraler Bestandteil jeder Schulung sollte lauten:

Was mache ich, wenn mir etwas verdächtig vorkommt?

Mitarbeiter benötigen einen einfachen Meldeweg.

Beispielsweise:

• Phishing-Meldebutton,
• Service Desk,
• definierte Security-Mailbox,
• interne Telefonnummer.

Der Prozess könnte so aussehen:

Mitarbeiter erkennt etwas
          │
          ▼
       melden
          │
          ▼
Security / Service Desk
          │
          ▼
       Analyse
          │
     ┌────┴────┐
     │         │
 harmlos    Incident

Die Meldung sollte möglichst einfach sein.

20. Fehler dürfen gemeldet werden

Besonders wichtig ist die Unternehmenskultur.

Ein Mitarbeiter klickt auf einen Phishing-Link.

Zehn Sekunden später erkennt er seinen Fehler.

Jetzt gibt es zwei Möglichkeiten.

Kultur A

„Wenn ich das melde, bekomme ich Ärger.“

Also schweigt der Mitarbeiter.

Der Angreifer erhält Zeit.

Kultur B

„Ich melde das sofort. Die IT kann reagieren.“

Das Security-Team sperrt das Konto, widerruft Sessions und untersucht das System.

Der Unterschied kann enorm sein.

Deshalb sollte Security Awareness vermitteln:

Schnelles Melden ist wichtiger als das Verbergen eines Fehlers.

21. Phishing-Simulationen

Viele Organisationen führen simulierte Phishing-Kampagnen durch.

Dabei werden kontrollierte Phishing-Mails an Beschäftigte gesendet.

Gemessen werden beispielsweise:

• Öffnungsrate,
• Klickrate,
• Eingabe von Zugangsdaten,
• Melderate.

Der wichtigste Wert ist dabei häufig nicht die Klickrate.

Besonders interessant ist:

Wie viele Mitarbeiter erkennen und melden den Angriff?

Denn genau diese Personen werden zu menschlichen Security-Sensoren.

22. Phishing-Simulationen dürfen keine Falle sein

Simulationen sollten nicht dazu dienen, Mitarbeiter öffentlich bloßzustellen.

Das Ziel lautet:

Lernen.

Nicht:

Erwischen.

Problematisch wäre beispielsweise eine öffentliche Rangliste:

Top 10 Mitarbeiter,
die auf Phishing geklickt haben

Das erzeugt möglicherweise Angst.

Und Angst führt dazu, dass echte Fehler später nicht gemeldet werden.

Besser ist eine konstruktive Lernkultur.

23. Wiederholungsschulungen sind entscheidend

Eine Security-Schulung am ersten Arbeitstag reicht nicht für die nächsten zehn Jahre.

Bedrohungen verändern sich.

Neue Angriffsmethoden entstehen.

Neue Systeme werden eingeführt.

Mitarbeiter vergessen Inhalte.

Deshalb sollte Awareness kontinuierlich stattfinden.

Ein mögliches Modell:

Onboarding
    │
    ▼
Grundlagenschulung
    │
    ▼
regelmäßige Kurzmodule
    │
    ▼
Phishing-Simulation
    │
    ▼
zielgruppenspezifische Schulung
    │
    ▼
Wiederholung

Kleine, regelmäßige Lernimpulse können wirksamer sein als eine einzige mehrstündige Jahresschulung.

24. Rollenbasierte Schulungen

Nicht jeder benötigt dieselben Inhalte.

Alle Mitarbeiter

• Phishing,
• Passwörter,
• MFA,
• Social Engineering,
• Vorfallmeldung.

Administratoren

Zusätzlich:

• privilegierte Konten,
• PAM,
• sichere Administration,
• Incident Response,
• Logging.

Entwickler

Zusätzlich:

• Secure Coding,
• Dependency Management,
• Secrets Management,
• Software Supply Chain.

Management

Zusätzlich:

• Cyberrisiken,
• Governance,
• Incident Management,
• regulatorische Verantwortung.

Damit wird Schulung zielgerichteter.

25. Schulungen dokumentieren

Für die NIS-2-Umsetzung ist nicht nur entscheidend, Schulungen durchzuführen.

Sie sollten auch nachvollziehbar dokumentiert werden.

Beispielsweise:

Schulung:
Security Awareness Grundlagen

Zielgruppe:
alle Beschäftigten

Datum:
15.06.2026

Teilnehmer:
842

Abschlussquote:
94 %

Inhalte:
Phishing
MFA
Passwörter
Incident Reporting

Wiederholung:
jährlich

Damit kann die Organisation nachweisen, dass Awareness-Maßnahmen tatsächlich umgesetzt werden.

26. Kennzahlen für Security Awareness

Auch Awareness kann gemessen werden.

Mögliche Kennzahlen:

• Schulungsquote,
• Abschlussquote,
• Melderate bei Phishing-Simulationen,
• Klickrate,
• Wiederholungsquote,
• Zeit bis zur Meldung,
• Anzahl gemeldeter verdächtiger E-Mails.

Dabei sollte keine einzelne Kennzahl isoliert betrachtet werden.

Eine sinkende Klickrate ist gut.

Eine steigende Melderate ist möglicherweise noch besser.

27. Security Champions

Größere Organisationen können zusätzlich sogenannte Security Champions etablieren.

Dabei gibt es in verschiedenen Fachbereichen besonders geschulte Ansprechpartner.

Beispielsweise:

Informationssicherheit
        │
        ├── Personal
        │      └── Security Champion
        │
        ├── Finanzen
        │      └── Security Champion
        │
        ├── Vertrieb
        │      └── Security Champion
        │
        └── IT
               └── Security Champion

Diese Personen ersetzen nicht die Informationssicherheitsorganisation.

Sie helfen aber dabei, Sicherheitsbewusstsein in die Fachbereiche zu tragen.

28. Security Awareness als Sicherheitskultur

Das langfristige Ziel ist nicht:

„Alle Mitarbeiter haben die Pflichtschulung abgeschlossen.“

Das ist lediglich eine Kennzahl.

Das eigentliche Ziel lautet:

Sicheres Verhalten wird selbstverständlich.

Ein Mitarbeiter sieht eine verdächtige E-Mail und meldet sie.

Ein Administrator nutzt kein gemeinsames Admin-Konto.

Ein Mitarbeiter bestätigt keine unbekannte MFA-Anfrage.

Die Buchhaltung überprüft eine geänderte Bankverbindung.

Ein verlorenes Smartphone wird sofort gemeldet.

Dann ist Security Awareness nicht mehr nur Schulung.

Sie wird Teil der Unternehmenskultur.

Praktische NIS-2-Checkliste für Mitarbeiterschulungen

Organisation

☐ Existiert ein dokumentiertes Awareness-Konzept?

☐ Sind Verantwortlichkeiten definiert?

☐ Werden alle relevanten Beschäftigten erreicht?

☐ Werden neue Mitarbeiter beim Onboarding geschult?

☐ Werden Schulungen dokumentiert?

Security Awareness

☐ Werden aktuelle Cyberbedrohungen erklärt?

☐ Sind Inhalte praxisnah gestaltet?

☐ Werden unterschiedliche Zielgruppen berücksichtigt?

☐ Werden sichere Verhaltensweisen vermittelt?

Phishing

☐ Können Mitarbeiter typische Phishing-Merkmale erkennen?

☐ Werden moderne, professionell formulierte Phishing-Mails berücksichtigt?

☐ Gibt es einen einfachen Meldeweg?

☐ Werden Phishing-Simulationen sinnvoll eingesetzt?

☐ Wird die Melderate ausgewertet?

Social Engineering

☐ Werden Telefonangriffe behandelt?

☐ Werden CEO Fraud und Zahlungsbetrug erklärt?

☐ Werden Smishing und Messenger-Angriffe berücksichtigt?

☐ Werden Deepfakes thematisiert?

☐ Existieren Verifikationsverfahren für kritische Prozesse?

Passwörter und MFA

☐ Werden starke und einzigartige Passwörter vermittelt?

☐ Werden Passwortmanager unterstützt?

☐ Wird MFA eingesetzt?

☐ Wissen Mitarbeiter, wie sie auf unerwartete MFA-Anfragen reagieren müssen?

Mobile Geräte

☐ Sind Geräte angemessen gesichert?

☐ Werden Verlust und Diebstahl behandelt?

☐ Wissen Mitarbeiter, wie Geräteverluste gemeldet werden?

☐ Werden Risiken öffentlicher WLAN-Netze erklärt?

Homeoffice

☐ Existieren klare Homeoffice-Regeln?

☐ Werden dienstliche Geräte nicht privat geteilt?

☐ Werden Bildschirm und Unterlagen geschützt?

☐ Sind sichere Remote-Zugänge definiert?

Wiederholungsschulungen

☐ Werden Inhalte regelmäßig wiederholt?

☐ Werden neue Angriffsmethoden berücksichtigt?

☐ Gibt es kurze Awareness-Impulse zwischen den Hauptschulungen?

☐ Werden Schulungsmaßnahmen anhand von Kennzahlen verbessert?

Cybersecurity ist keine Aufgabe, die ausschließlich in der IT-Abteilung stattfindet.

Jeder Mitarbeiter arbeitet täglich mit:

• E-Mails,
• Dateien,
• Benutzerkonten,
• Smartphones,
• Cloud-Diensten,
• vertraulichen Informationen.

Damit ist jeder Arbeitsplatz auch Teil der Sicherheitsarchitektur.

NIS-2 berücksichtigt deshalb Cyberhygiene und Security Awareness als wichtigen Bestandteil des Cyber-Risikomanagements.

Dabei sollte Mitarbeiterschulung niemals darauf reduziert werden, einmal jährlich eine Präsentation anzusehen und anschließend fünf Multiple-Choice-Fragen zu beantworten.

Wirksame Security Awareness ist kontinuierlich.

Sie ist praxisnah.

Sie ist zielgruppengerecht.

Und sie schafft eine Kultur, in der verdächtige Vorgänge und eigene Fehler schnell gemeldet werden.

Der erfolgreiche Prozess lautet:

Informieren → Trainieren → Simulieren → Melden → Auswerten → Verbessern → Wiederholen

Technische Schutzmaßnahmen bleiben unverzichtbar.

Aber gut geschulte Beschäftigte ergänzen diese Technik um etwas, das kein Security-Produkt vollständig ersetzen kann:

menschliche Aufmerksamkeit und Kontextverständnis.

Der beste Mitarbeiter ist deshalb nicht derjenige, der angeblich niemals einen Fehler macht.

Sondern derjenige, der eine verdächtige Situation erkennt, richtig reagiert und im Zweifelsfall schnell die Sicherheitsorganisation informiert.

Genau dann wird aus dem vermeintlichen „Faktor Mensch“ ein wichtiger Bestandteil der Cyberabwehr.