Cybersecurity Awareness Month rückt Sicherheit jedes Jahr im Oktober in den Mittelpunkt.

Poster werden aufgehängt. Schulungen werden zugewiesen. Mitarbeitende erhalten Erinnerungen zu Phishing, Passwörtern und verdächtigen Links.

Dann kommt der November.

Und die Angreifer machen einfach weiter.

Genau das ist das Problem, wenn der Cybersecurity Awareness Month als einmalige Aktion behandelt wird. Human Risk verschwindet nicht, sobald die Kampagne endet.

Die eigentliche Chance in diesem Oktober besteht darin, die zusätzliche Aufmerksamkeit zu nutzen: um zu verstehen, wo menschliche Risiken tatsächlich liegen, die aufgedeckten Lücken zu schließen und ein Programm aufzubauen, das sich das ganze Jahr über kontinuierlich verbessert.

Der Oktober ist ein Moment. Human Risk ist ein Dauerthema.

Warum reine Awareness-Kampagnen zu kurz greifen

Security Awareness ist wichtig. Mitarbeitende müssen die Bedrohungen kennen, denen sie ausgesetzt sind, verdächtiges Verhalten erkennen und wissen, wie sie reagieren sollen.

Aber abgeschlossene Schulungen allein sagen nichts darüber aus, ob Ihr Unternehmen tatsächlich sicherer ist.

Mitarbeitende können jeden zugewiesenen Kurs absolvieren und trotzdem:

• auf eine überzeugende Phishing-Mail klicken
• von einem Datenleck betroffene Zugangsdaten haben
• schwache oder kompromittierte Passwörter wiederverwenden
• über privilegierte Zugriffsrechte verfügen, die die möglichen Folgen eines Angriffs vergrößern
• mehrere kleinere Risikofaktoren aufweisen, die in Kombination deutlich schwerer wiegen

Die Frage, die Unternehmen beantworten müssen, lautet deshalb nicht einfach:

„Haben alle ihre Schulung abgeschlossen?“

Sondern:

„Wo bestehen weiterhin menschliche Risiken – und was unternehmen wir dagegen?“

Der Cybersecurity Awareness Month ist ein guter Anlass, um mit der Beantwortung dieser Frage zu beginnen.

Machen Sie den Cybersecurity Awareness Month zu Ihrer Baseline

Eine typische Awareness-Kampagne beginnt mit Inhalten: einen Kurs auswählen, an alle ausrollen, Abschlussquoten verfolgen und das Ergebnis berichten.

Ein risikobasierter Ansatz beginnt mit Erkenntnissen.

Bevor Sie festlegen, was Mitarbeitende brauchen, sollten Sie wissen, was sie bereits können, wie sie auf Bedrohungen reagieren und welche zusätzlichen Risiken in ihrem Umfeld bereits bestehen. Auf dieser Grundlage können IT- und Security-Teams deutlich besser entscheiden, wo Maßnahmen die größte Wirkung entfalten.

1. Finden Sie heraus, was Ihre Mitarbeitenden wirklich wissen

Starten Sie mit einer Wissensanalyse, statt davon auszugehen, dass alle Mitarbeitenden dieselben Lücken haben.

Eine Baseline zeigt, wo Ihre Belegschaft sicher unterwegs ist und wo zusätzliche Unterstützung nötig ist. So richten Sie Schulungen an tatsächlichen Wissenslücken aus, statt allen dieselben Inhalte auszuspielen.

Außerdem erhalten Sie einen wichtigen Vergleichswert für später: den Ausgangspunkt Ihrer Mitarbeitenden.

2. Testen, wie Mitarbeitende auf Phishing reagieren

Die richtige Antwort in einem Kurs zu kennen und einen überzeugenden Angriff im vollen Posteingang zu erkennen, sind zwei völlig verschiedene Dinge.

Phishing-Simulationen zeigen, wie Mitarbeitende auf realistische Social-Engineering-Versuche reagieren. Wer klickt? Wer meldet die Nachricht? Und sind bestimmte Angriffsarten erfolgreicher als andere?

Diese Verhaltensdaten ergänzen das Risikobild um eine weitere Ebene und zeigen, wo zusätzliche Unterstützung nötig sein könnte.

3. Prüfen, ob Zugangsdaten Ihrer Mitarbeitenden bereits offengelegt wurden

Nicht jedes menschliche Risiko beginnt mit einem Fehler einer Mitarbeiterin oder eines Mitarbeiters.

Zugangsdaten können bereits in früheren Datenlecks oder Breaches aufgetaucht sein und Angreifern damit potenziell nützliche Informationen liefern, noch bevor sie überhaupt Kontakt zum Unternehmen aufnehmen.

Wer diese Offenlegung überwacht, erkennt als Security-Team, wo kompromittierte Zugangsdaten existieren, und kann prüfen, welche Maßnahmen erforderlich sind.

4. Über Awareness hinausdenken

Awareness ist nur ein Teil des menschlichen Risikobilds.

Der Human-Risk-Intelligence-Ansatz von usecure verbindet vier Bereiche rund um jede Identität:

Target Value
Wie attraktiv oder wertvoll eine Person für Angreifer sein kann – abhängig von Faktoren wie Rolle, Befugnissen und Sichtbarkeit.

Awareness
Was eine Person über Sicherheit weiß und wie sie auf potenzielle Bedrohungen reagiert.

Hygiene
Sicherheitsverhalten und Offenlegungen, die das Risiko erhöhen können.

Access
Die Systeme, Berechtigungen und Ressourcen, die mit dieser Identität verknüpft sind.

Jedes Signal für sich liefert Hinweise. Gemeinsam ergeben sie ein deutlich aussagekräftigeres Bild davon, wo Risiken bestehen.

Eine Führungskraft kann einen hohen Target Value haben, zugleich aber über ausgeprägtes Sicherheitsbewusstsein und gute Sicherheitshygiene verfügen. Eine andere Person wirkt auf den ersten Blick weniger interessant, hat jedoch offengelegte Zugangsdaten, schwache Ergebnisse bei Phishing-Simulationen und Zugriffsrechte, die einen unmittelbareren Angriffspfad eröffnen.

Entscheidend ist nicht, ob ein einzelnes Signal schlecht aussieht. Entscheidend ist, wie diese Signale bei ein und derselben Person zusammenwirken.

Wenn aus Einzelrisiken Toxic Combinations werden

Menschliches Risiko tritt selten als isoliertes Einzelproblem auf.

Stellen Sie sich eine Person vor, deren Zugangsdaten in einem Datenleck aufgetaucht sind.

Hinzu kommen schwache Ergebnisse bei Phishing-Simulationen.

Dazu privilegierter Zugriff auf ein geschäftskritisches System.

Und schließlich eine Rolle, die diese Person für Angreifer besonders interessant macht.

Jedes Signal ist für sich relevant. In Kombination sagen sie sehr viel mehr aus.

usecure nennt das Toxic Combinations: Human-Risk-Signale, die bei derselben Identität zusammentreffen und einen deutlich kritischeren Angriffspfad entstehen lassen.

Human Risk Intelligence macht genau diese Kombinationen sichtbar. So erkennen IT- und Security-Teams, wo sich Risiken konzentrieren, verstehen, warum das relevant ist, und können entscheiden, worauf sie sich zuerst konzentrieren.

Trainings und Phishing-Simulationen sind dann mehr als isolierte Awareness-Maßnahmen. Sie werden Teil eines umfassenderen Blicks auf das menschliche Risiko.

Ein besserer Ansatz für den Cybersecurity Awareness Month

Betrachten Sie den Oktober nicht als Kampagne mit festem Start- und Enddatum, sondern als Auftakt für einen Prozess, der das ganze Jahr über weiterläuft.

Schritt 1: Beginnen Sie bei Ihren Mitarbeitenden

Binden Sie Ihre Mitarbeitenden über Ihr Verzeichnis oder eine Mitarbeiterliste in Ihr Human-Risk-Programm ein.

Schritt 2: Schaffen Sie eine Ausgangsbasis

Bewerten Sie den aktuellen Wissensstand zur Cybersicherheit und ermitteln Sie, wo Awareness-Lücken bestehen.

Schritt 3: Gefährdung erkennen

Prüfen Sie, ob kompromittierte Zugangsdaten oder andere Signale vorliegen, die das Risiko bereits erhöhen.

Schritt 4: Das gesamte Risikobild verstehen

Betrachten Sie Target Value, Awareness, Hygiene und Access, um zu sehen, wo sich Risiken rund um eine Identität überschneiden.

Schritt 5: Schulen und testen

Setzen Sie passgenaue Security-Awareness-Schulungen gemeinsam mit realistischen Phishing-Simulationen ein, um Lücken zu schließen und das Verhalten der Mitarbeitenden messbar zu machen.

Schritt 6: Kontinuierlich messen

Verfolgen Sie Risikosignale und Fortschritte dauerhaft weiter.

Genau dieser letzte Schritt macht aus dem Cybersecurity Awareness Month eine fortlaufende Human-Risk-Strategie statt einer einmaligen Kampagne.

Der Oktober liefert die Ausgangsbasis. Die folgenden Monate zeigen, ob sich tatsächlich etwas verbessert.

Was können Sie in diesem Oktober umsetzen?

Zum Cybersecurity Awareness Month 2026 erhalten usecure Kunden Zugriff auf eigens für die Kampagne entwickelte Phishing-Simulationen und Schulungsinhalte.

Phishing-Simulationen

Zu den diesjährigen Simulationen gehören:

• Virtual Halloween Costume Contest
• Google Drive Storage Full
• Microsoft OneDrive Inactive Account Alert
• Internal Tech Support Scam
• Fraudulent CEO Office Building Update

Die Szenarien bilden typische Situationen nach, mit denen Angreifer Dringlichkeit erzeugen, vertrauenswürdige Dienste imitieren oder Mitarbeitende zu riskanten Handlungen verleiten.

Unterschiedliche Simulationen geben Mitarbeitenden praktische Erfahrung darin, solche Methoden zu erkennen – und IT-Teams einen besseren Einblick in das tatsächliche Verhalten.

Schulungen zum Cybersecurity Awareness Month

Darüber hinaus stehen drei eigene Kurse zur Verfügung:

• Cybersecurity Awareness Month: Advice & Best Practices
• Cybersecurity Awareness Month: Yearly Roundup
• Cybersecurity Awareness Month: Annual Cleanse

Sie sind eine unkomplizierte Möglichkeit, das Wissen der Mitarbeitenden aufzufrischen, sicheres Verhalten zu festigen und die übrigen Aktivitäten im Oktober zu unterstützen.

Entscheidend ist, was danach passiert: die Erkenntnisse aus diesen Aktivitäten in eine fortlaufende Sicht auf das menschliche Risiko zu überführen.

Bringen Sie das Thema Human Risk ins Gespräch

Cybersicherheitsschulung muss nicht immer ein weiterer Kurs sein.

usecure hat außerdem zwei kostenlose Challenges zum Cybersecurity Awareness Month entwickelt, die Teams ohne Anmeldung spielen und teilen können.

Bei Spot the Toxic Combination geht es darum, verschiedene Human-Risk-Signale miteinander zu verknüpfen und zu erkennen, wo ein ernsthafter Risikopfad entsteht.

In Beat Cyberto treten Mitarbeitende gegen Cyberto an, unseren hauseigenen Betrüger, und müssen gängige Cyberbedrohungen erkennen und sicherere Entscheidungen treffen.

Beides sind schnelle Wege, um Mitarbeitende ins Gespräch über Cybersicherheit zu bringen und dabei Themen einzuführen, mit denen sie sonst nur in formalen Schulungen in Berührung kommen.

Entscheidend ist, was nach dem Oktober passiert

Der Cybersecurity Awareness Month kann Aufmerksamkeit erzeugen. Die eigentliche Herausforderung besteht darin, aus dieser Aufmerksamkeit etwas Dauerhaftes zu machen.

Ein ausgereiftes Programm für Human Risk Management läuft auch nach Ende der Kampagne weiter:

• Das Wissen der Mitarbeitenden wird fortlaufend erhoben
• Schulungen passen sich erkannten Lücken an
• Die Phishing-Resilienz wird weiterhin getestet
• Kompromittierte Zugangsdaten bleiben unter Beobachtung
• Veränderte Risikosignale werden nachverfolgt
• Fortschritte lassen sich über die Zeit messen

Statt den Oktober mit einer Abschlussquote zu beenden, erhalten IT- und Security-Teams ein kontinuierliches Bild davon, wo das menschliche Sicherheitsrisiko liegt, was sich verändert und wo als Nächstes Handlungsbedarf besteht.

Machen Sie den Oktober zum Anfang, nicht zum Abschluss

Der Cybersecurity Awareness Month spielt eine wichtige Rolle dabei, Sicherheit wieder ins Bewusstsein zu rücken.

Sein größter Wert liegt aber womöglich in dem, was er anstößt.

Nutzen Sie den Oktober, um herauszufinden, was Ihre Mitarbeitenden wissen, wie sie reagieren, welche Risiken bereits bestehen – und um eine Baseline für das menschliche Risiko in Ihrem Unternehmen zu schaffen.

Und dann machen Sie weiter.

Schulen Sie dort, wo es nötig ist. Testen Sie die Widerstandsfähigkeit regelmäßig. Beobachten Sie veränderte Risikosignale. Achten Sie auf die Kombinationen, die wirklich relevant sind. Und messen Sie, ob Ihre Maßnahmen das Risiko tatsächlich senken.

So wird aus dem Cybersecurity Awareness Month mehr als nur eine weitere jährliche Sicherheitsaktion.

Belegen statt abhaken.

Starten Sie Ihre 14-tägige kostenlose usecure Testphase – ohne Kreditkarte –, buchen Sie eine Demo, um Ihr menschliches Risiko zu analysieren, oder stöbern Sie in unseren Guides und den kostenlosen Challenges zum Cybersecurity Awareness Month.