Security-Awareness-Programm im KMU aufbauen: Schulung, Meldeweg, Betriebsrat und DSGVO

Viele Angriffe auf kleine und mittlere Unternehmen beginnen mit einer E-Mail. Ein Security-Awareness-Programm wirkt aber erst, wenn es als Organisationsprojekt geführt wird: mit Rückhalt der Geschäftsleitung, eingebundenem Betriebsrat und Datenschutz, einem Meldeweg, einem Schulungsplan und Kennzahlen, die Verhalten verbessern statt Personen vorzuführen. Phishing-Simulationen behandelt diese Anleitung als optionalen Baustein, am Beispiel von Microsoft Defender for Office 365 nur auf Ebene von Lizenz, Portal und Berichten.

Voraussetzungen

Dieser Beitrag ist keine Rechtsberatung. Rechtsstand: 14. Oktober 2026. Lassen Sie Betriebsvereinbarung und Datenschutzinformation von Rechtsberatung oder Datenschutzbeauftragten prüfen. Sie brauchen:

• Auftrag der Geschäftsleitung: schriftlich, mit freigegebener Arbeitszeit für Konzeption und Schulungen.
• Verantwortliche Person: Informationssicherheitsbeauftragte oder IT-Leitung als Projektverantwortung, dazu Personalabteilung und Datenschutzbeauftragte.
• Betriebsrat, falls vorhanden, von Anfang an eingebunden.
• Beschäftigtenliste mit Abteilung und Funktion für die Zielgruppenanalyse.
• E-Mail-System mit Möglichkeit, verdächtige Nachrichten zu melden, etwa Exchange Online mit der Schaltfläche „Melden“ in Outlook oder ein eigenes Meldepostfach.
• Nur für Simulationen mit Microsoft: Lizenz Microsoft Defender for Office 365 Plan 2 oder Microsoft 365 E5 und ein Konto mit der Entra-Rolle „Angriffssimulationsadministrator“.

Schritt 1: Ziele, Zuständigkeiten und Zielgruppen festlegen

Der IT-Grundschutz-Baustein ORP.3 (Edition 2023) verlangt als Basisanforderung, dass die Institutionsleitung für Sicherheitsfragen sensibilisiert ist und das Programm vor dem Start unterstützt (ORP.3.A1). Holen Sie diese Zusage zuerst ein.

Formulieren Sie drei bis fünf Ziele, die sich an Verhalten orientieren. Beispiele: Verdächtige E-Mails werden zeitnah über einen Weg gemeldet. Zahlungsänderungen per E-Mail werden telefonisch über eine bekannte Nummer bestätigt. Ziele wie „niemand klickt mehr“ sind unrealistisch und erzeugen Druck statt Lernbereitschaft.

Führen Sie dann die Zielgruppenanalyse durch, die ORP.3.A4 empfiehlt. In einem KMU reichen meist vier Gruppen:

Zielgruppe	Typische Risiken	Schwerpunkt
Alle Beschäftigten	Zugangsdaten-Phishing, Schadanhänge	Erkennen und Melden
Buchhaltung, Einkauf	Rechnungs- und Zahlungsbetrug	Vier-Augen-Prinzip, Rückruf
Geschäftsleitung, Assistenz	Gezielte Angriffe, Anweisungen „vom Chef“	Exponierte Personen (ORP.3.A9)
IT und Administration	Übernahme privilegierter Konten	MFA, Admin-Konten, Vorfallbehandlung

Halten Sie das in einem kurzen Programmdokument fest. Wichtige und besonders wichtige Einrichtungen nach BSIG müssen Schulungen und Sensibilisierung umsetzen und dokumentieren (§ 30 Abs. 1 und Abs. 2 Nr. 7 BSIG), ihre Geschäftsleitung muss selbst regelmäßig geschult werden (§ 38 Abs. 3 BSIG). Ob Sie betroffen sind, klärt NIS2 im Mittelstand umsetzen.

Verifizieren: Das Programmdokument ist von der Geschäftsleitung freigegeben und nennt Ziele, Zielgruppen, eine verantwortliche Person und den Zeitraum der ersten zwölf Monate.

Schritt 2: Betriebsrat und Datenschutz einbinden

Relevant wird der Datenschutz, sobald ein Werkzeug erfasst, wer eine Schulung abgeschlossen, eine Simulationsnachricht geöffnet oder gemeldet hat. Nach § 87 Abs. 1 Nr. 6 BetrVG hat der Betriebsrat bei der Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, das Verhalten oder die Leistung der Arbeitnehmer zu überwachen. Behandeln Sie Lernplattformen mit Teilnahmeprotokoll und Simulationswerkzeuge deshalb als mitbestimmungspflichtig.

Zur Rechtsgrundlage: Der EuGH hat am 30. März 2023 (C-34/21) entschieden, dass nationale Vorschriften zum Beschäftigtendatenschutz unangewendet bleiben müssen, wenn sie die Vorgaben von Art. 88 Abs. 1 und 2 DSGVO nicht beachten, es sei denn, sie sind eine Rechtsgrundlage im Sinne von Art. 6 Abs. 3 DSGVO. Das Verfahren betraf § 23 HDSIG, dessen Absatz 1 Satz 1 dem § 26 Abs. 1 Satz 1 BDSG entspricht. Stützen Sie das Programm daher nicht allein auf § 26 Abs. 1 BDSG, sondern lassen Sie prüfen, ob Art. 6 Abs. 1 DSGVO trägt, etwa berechtigte Interessen nach Buchstabe f mit dokumentierter Abwägung. Eine Betriebsvereinbarung ist nach § 26 Abs. 4 BDSG eine eigene Grundlage, wenn sie Art. 88 Abs. 2 DSGVO beachtet, also besondere Maßnahmen zu Transparenz und Überwachungssystemen am Arbeitsplatz enthält. Bei einer Einwilligung ist für die Freiwilligkeit insbesondere die Abhängigkeit im Beschäftigungsverhältnis zu berücksichtigen; sie ist schriftlich oder elektronisch einzuholen (§ 26 Abs. 2 BDSG).

Klären Sie in der Betriebsvereinbarung, ohne Betriebsrat in einer dokumentierten internen Richtlinie, mindestens diese Punkte:

• Zweck: ausschließlich Sensibilisierung, keine Leistungs- oder Verhaltenskontrolle, keine arbeitsrechtlichen Folgen aus Simulationsergebnissen.
• Auswertung: Berichte an Geschäftsleitung und Führungskräfte nur aggregiert, etwa je Abteilung ab einer Mindestgröße.
• Zugriff auf Einzelergebnisse: nur namentlich benannte Administratoren, nur für die Zuweisung von Nachschulungen.
• Löschfristen für Einzeldaten und ausgeschlossene Themen, etwa Gehalt, Kündigung oder Gesundheit.
• Vorabinformation: Die Beschäftigten erfahren, dass Simulationen stattfinden, aber nicht wann.

Ergänzen Sie die Datenschutzinformation für Beschäftigte nach Art. 13 DSGVO und das Verzeichnis von Verarbeitungstätigkeiten. Wird ein externer Schulungs- oder Simulationsdienst genutzt, brauchen Sie einen Vertrag zur Auftragsverarbeitung (siehe TOMs und Auftragsverarbeitung).

Verifizieren: Betriebsvereinbarung oder Richtlinie ist unterschrieben, die Datenschutzinformation ist an alle Beschäftigten verteilt und der Eintrag im Verarbeitungsverzeichnis nennt Zweck, Rechtsgrundlage, Empfänger und Löschfrist.

Schritt 3: Meldeweg für verdächtige E-Mails einrichten

Das wichtigste gewünschte Verhalten ist die schnelle Meldung. Legen Sie genau einen Weg fest, der auf allen Geräten funktioniert, dazu eine Telefonnummer für den Fall, dass bereits geklickt wurde. Sagen Sie zu, dass eine Meldung nach einem Klick keine Nachteile hat, sonst schweigen Betroffene genau dann, wenn es zählt.

In Exchange Online legen Sie die Einstellungen im Microsoft Defender-Portal unter Einstellungen > E-Mail und Zusammenarbeit > Vom Benutzer gemeldete Einstellungen fest (direkt: https://security.microsoft.com/securitysettings/userSubmission). Dort bestimmen Sie laut Microsoft Learn, ob Meldungen über die integrierte Schaltfläche „Melden“ in Outlook an ein eigenes Berichterstellungspostfach, an Microsoft oder an beide gehen. Das gilt laut Doku für alle Cloud-Postfächer, nicht erst mit Plan 2. Ohne Microsoft 365 genügt ein eigenes Postfach wie phishing@firma.example, an das verdächtige Nachrichten als Anlage weitergeleitet werden.

Legen Sie fest, wer das Postfach werktäglich prüft, wie schnell Rückmeldung erfolgt und wann der Vorfallprozess startet. Eine kurze Rückmeldung an die meldende Person fördert künftige Meldungen. Den Ablauf für das Team beschreibt Phishing erkennen und melden.

Verifizieren: Eine Testperson meldet eine harmlose interne Nachricht über den festgelegten Weg. Die Meldung erscheint im Meldepostfach bzw. im Defender-Portal unter „Übermittlungen“ auf der Registerkarte für vom Benutzer gemeldete Nachrichten, und die Testperson erhält eine Rückmeldung.

Schritt 4: Schulungsplan für zwölf Monate erstellen

ORP.3.A3 fordert als Basisanforderung, dass alle Beschäftigten und externen Benutzenden in den sicheren Umgang mit IT eingewiesen werden und dafür verbindliche, verständliche und aktuelle Richtlinien bereitstehen. ORP.3.A6 ergänzt, dass die Schulung zu Aufgaben und Verantwortlichkeiten passen soll. Planen Sie kurze, wiederkehrende Einheiten statt einer jährlichen Pflichtveranstaltung.

Zeitraum	Inhalt	Zielgruppe
Monat 1	Auftakt: Warum, Meldeweg, Umgang mit Fehlern	Alle
Monat 2 bis 3	Phishing erkennen: Absender, Links, Anhänge, QR-Codes	Alle
Monat 4	Zahlungsbetrug und Rückrufregel	Buchhaltung, Einkauf, Assistenz
Monat 5 bis 6	Passwörter, Passwortmanager, MFA	Alle
Monat 7	Gezielte Angriffe, Telefonbetrug, soziale Medien	Geschäftsleitung, exponierte Personen
Monat 8 bis 9	Admin-Konten und Vorfallbehandlung	IT
Monat 10 bis 11	Mobiles Arbeiten, Datenträger, aufgeräumter Arbeitsplatz	Alle
Monat 12	Auswertung, Anpassung des Plans	Projektverantwortung, Leitung

Als Grundlage eignen sich Materialien des BSI, etwa die Seite zu Passwortdiebstahl durch Phishing mit Smishing, Quishing und Vishing, ergänzt um bereinigte Beispiele aus Ihrem Meldepostfach. Zu MFA passt Zwei-Faktor-Authentifizierung einführen. Neue Beschäftigte werden in der ersten Woche eingewiesen.

Verifizieren: Der Plan liegt mit Terminen, Verantwortlichen und Zielgruppen vor, die erste Einheit ist im Kalender aller Beschäftigten eingetragen und die Onboarding-Checkliste enthält den Punkt „Sicherheitseinweisung“.

Schritt 5: Simulationen optional planen, am Beispiel Microsoft Defender

Simulationen zeigen, ob Schulungsinhalte im Alltag ankommen. Sie sind kein Pflichtbestandteil und sollten erst starten, wenn Meldeweg, Schulungsauftakt und die Regelung aus Schritt 2 stehen. Ob Sie ein Modul Ihres E-Mail-Anbieters oder einen externen Dienst nutzen, entscheiden Sie nach Datenschutz, Auftragsverarbeitung und Anbindung an den Meldeweg.

Laut Microsoft Learn erfordert das Angriffssimulationstraining eine Lizenz für Microsoft 365 E5 oder Microsoft Defender for Office 365 Plan 2. Kunden mit E3 steht nur ein eingeschränktes Testangebot zur Verfügung. Die Funktion finden Sie im Microsoft Defender-Portal unter E-Mail und Zusammenarbeit > Training zur Angriffssimulation (direkt: https://security.microsoft.com/attacksimulator). Eine neue Kampagne beginnt auf der Registerkarte Simulationen über Simulation starten; ein Assistent führt durch Technik, Inhalt, Zielbenutzer, auszuschließende Benutzer und zugewiesene Trainings. Entsprechende PowerShell-Cmdlets gibt es laut Microsoft nicht; für Automatisierung nennt die Doku die Microsoft Graph API.

„Angriffssimulationsadministrator“ verwaltet Kampagnen, „Sicherheitsleser“ sieht alle Ergebnisse. Vergeben Sie beide Rollen nur an die in der Betriebsvereinbarung benannten Personen. Beschäftigte etwa in Elternzeit schließen Sie im Assistenten unter „Benutzer ausschließen“ aus.

Verifizieren: Die Lizenz ist im Microsoft 365 Admin Center zugewiesen, das Portal öffnet „Training zur Angriffssimulation“ ohne Lizenzhinweis, und nur die benannten Konten besitzen eine der genannten Rollen (prüfbar in Microsoft Entra ID unter „Rollen und Administratoren“).

Schritt 6: Kennzahlen aggregiert auswerten

ORP.3.A8 empfiehlt, den Lernerfolg zielgruppenbezogen, quantitativ und qualitativ zu messen und die Ergebnisse in das Programm zurückzuführen. Stellen Sie die Melderate in den Mittelpunkt, also den Anteil der Empfänger, die eine verdächtige oder simulierte Nachricht gemeldet haben. Eine sinkende Klickrate kann Zufall sein, eine steigende Melderate zeigt das gewünschte Verhalten.

Kennzahl	Aussage	Quelle
Melderate	Wie viele aktiv melden	Meldepostfach, Simulationsbericht
Zeit bis zur ersten Meldung	Wie schnell die IT gewarnt ist	Meldepostfach
Echte Meldungen je Monat	Ob der Meldeweg im Alltag genutzt wird	Meldepostfach
Schulungsabschluss	Reichweite des Plans	Lernplattform, Teilnahmeliste
Klick- bzw. Kompromittierungsrate	Ergänzend, nie allein	Simulationsbericht

Im Microsoft Defender-Portal finden Sie Zusammenfassungen auf den Registerkarten Übersicht und Berichte des Angriffssimulationstrainings, den vollständigen Bericht unter https://security.microsoft.com/attacksimulationreport mit den Registerkarten „Wirksamkeit des Trainings“, „Benutzerabdeckung“, „Trainingsabschluss“ und „Wiederholungstäter“. Wiederholungstäter ist, wer in aufeinanderfolgenden Simulationen kompromittiert wurde (Standard: zwei, änderbar unter „Einstellungen“). Diese Berichte zeigen Ergebnisse je Person. Geben Sie nur aggregierte Auswertungen je Abteilung weiter, ohne Ranglisten; die Wiederholungstäter-Liste dient nur der Zuweisung von Nachschulungen.

Verifizieren: Der Quartalsbericht an die Geschäftsleitung enthält ausschließlich Werte je Abteilung oder für das gesamte Unternehmen, keine Namen, und nennt die Melderate als erste Kennzahl.

Typische Fehler

• Simulation vor der Einigung mit dem Betriebsrat: Das verletzt die Mitbestimmung und beschädigt das Vertrauen. Erst Schritt 2 abschließen.
• Klicks, die niemand gemacht hat: Microsoft beschreibt, dass Sicherheitsprodukte, Outlook-Add-ins oder automatische Playbooks Links in Simulationsnachrichten prüfen und so Klicks oder Kompromittierungen auslösen. Für diese Werkzeuge sind Ausschlüsse nötig; bis dahin sind Klickraten nicht belastbar.
• Melderate bleibt bei null: Meldungen über Werkzeuge anderer Hersteller erscheinen laut Microsoft nicht im Simulationsbericht. Zudem nennt die Doku für Deutschland die Telemetrie gemeldeter E-Mails als noch nicht verfügbar. Zählen Sie Meldungen notfalls im Meldepostfach.
• Einzelne bloßgestellt: Namenslisten an Vorgesetzte widersprechen dem vereinbarten Zweck und senken die Meldebereitschaft.
• Keine Rufnummer für echte Klicks: Wer nicht weiß, wen er anrufen soll, verliert entscheidende Minuten. Die Nummer gehört in jede Schulung.

Häufige Fragen

Brauchen wir ohne Betriebsrat eine Regelung?

Die Mitbestimmung entfällt, die DSGVO gilt trotzdem. Sie benötigen eine Rechtsgrundlage nach Art. 6 DSGVO, eine Datenschutzinformation nach Art. 13 DSGVO und eine dokumentierte Richtlinie zu Zweck, Auswertung und Löschung.

Sind Phishing-Simulationen Pflicht?

Nein. § 30 Abs. 2 Nr. 7 BSIG verlangt für betroffene Einrichtungen grundlegende Schulungen und Sensibilisierungsmaßnahmen, ohne Simulationen vorzuschreiben. ORP.3 fordert Schulung und Messung des Lernerfolgs, nennt aber kein bestimmtes Verfahren.

Dürfen Beschäftigte ihr eigenes Ergebnis erfahren?

Ja, und das ist sinnvoll: Ein sofortiger, freundlicher Lernhinweis nach einem Klick wirkt besser als ein späterer Bericht. Zudem besteht das Auskunftsrecht nach Art. 15 DSGVO.

Wie oft sollte simuliert werden?

Eine gesetzliche Vorgabe gibt es nicht. Vereinbaren Sie die Häufigkeit in der Betriebsvereinbarung und prüfen Sie nur zuvor geschulte Inhalte.

Fazit

Ein Awareness-Programm im KMU gelingt, wenn die Organisation vor dem Werkzeug steht: Rückhalt der Leitung, geklärter Rechtsrahmen, einfacher Meldeweg, zielgruppenorientierter Plan und Kennzahlen, die Melden belohnen. Simulationen ergänzen das, wenn Betriebsrat und Datenschutz einbezogen sind. Beginnen Sie mit Schritt 1 und Schritt 3; beide kosten wenig und wirken sofort.

Weiterführende Anleitungen und Quellen

• Phishing erkennen und melden: Kurzleitfaden fürs Team
• Microsoft Defender for Office 365: Phishing-Schutz einrichten
• DSGVO-Praxis: TOMs dokumentieren und Auftragsverarbeitung regeln
• NIS2 im Mittelstand umsetzen
• BSI: Baustein ORP.3 (Edition 2023)
• BSI: Passwortdiebstahl durch Phishing
• § 87 BetrVG, § 26 BDSG, § 30 BSIG, § 38 BSIG
• DSGVO (Verordnung (EU) 2016/679), Art. 6, 13, 15 und 88
• EuGH, Urteil vom 30. März 2023, C-34/21
• Microsoft Learn: Erste Schritte
• Microsoft Learn: Berichte
• Microsoft Learn: Häufige Fragen
• Microsoft Learn: Gemeldete Nachrichten