Compliance & Sicherheit · Informationssicherheit
Security-Awareness-Schulung
Eine Security-Awareness-Schulung soll Beschäftigte darauf vorbereiten, Phishing-Mails, betrügerische Anrufe und andere Angriffe auf die IT des Unternehmens zu erkennen. Hier steht, wann das Gesetz solche Schulungen verlangt, welche Formen es gibt und welche Anbieter Plattformen oder Trainings dafür anbieten. Gemeint ist Awareness im Sinne der IT-Sicherheit, nicht Awareness-Arbeit gegen Diskriminierung.
Stand: Oktober 2026. Dieser Text ist eine inhaltliche Einordnung und keine Rechtsberatung.
Wie diese Liste entstanden ist
Ausgewählt: Aufgenommen haben wir Anbieter, die Security-Awareness-Schulungen oder Phishing-Simulationen als eigene Leistung auf Deutsch anbieten und ein prüfbares Impressum haben – sowohl Plattformen, die ein Unternehmen selbst betreibt, als auch Dienstleister, die Trainings und Kampagnen durchführen. Schulungen zum Datenschutz nach der DSGVO stehen auf Datenschutzschulung für Mitarbeiter.
Bezahlt hat niemand: Kein Anbieter hat für die Aufnahme oder die Reihenfolge bezahlt. Sollte sich das ändern, kennzeichnen wir eine bezahlte Platzierung unmittelbar am Eintrag als „Anzeige“.
Geprüft im Oktober 2026: Firmierung, Sitz, Leistungen und Preisangaben haben wir im Oktober 2026 an Impressum und Leistungsseiten der Anbieter geprüft. Was sich dort nicht eindeutig belegen ließ, steht als „bei der Prüfung nicht ermittelt“ im Eintrag, statt geschätzt zu werden.
Womit PontoIt Geld verdienen soll: Geplant sind gekennzeichnete Anzeigenplätze und eine Vergütung für vermittelte Anfragen. Beides läuft heute noch nicht. Einzelheiten stehen auf der Seite Transparenz.
Wann das Gesetz Schulungen verlangt
Seit dem 6. Dezember 2025 gilt in Deutschland das Gesetz zur Umsetzung der europäischen NIS-2-Richtlinie. Es hat das BSI-Gesetz (BSIG) neu gefasst. Betroffen sind nach § 28 BSIG „wichtige Einrichtungen“ und „besonders wichtige Einrichtungen“ in den Sektoren, die das Gesetz in seinen Anlagen aufzählt. Als wichtig gilt eine Einrichtung dort in der Regel ab 50 Beschäftigten oder ab einem Jahresumsatz und einer Jahresbilanzsumme von jeweils über 10 Millionen Euro. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) spricht von rund 29.500 betroffenen Unternehmen. Ob Ihr Unternehmen dazugehört, lässt sich mit der Betroffenheitsprüfung des BSI einschätzen; mehr dazu auf NIS2-Umsetzung.
Für diese Einrichtungen gilt zweierlei. Nach § 30 BSIG müssen ihre Maßnahmen zum Risikomanagement zumindest grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der IT-Sicherheit umfassen; die Einhaltung ist zu dokumentieren. Wie oft, in welcher Form und für wen genau, schreibt das Gesetz nicht vor. Ausdrücklich zur persönlichen Teilnahme verpflichtet sind nach § 38 Absatz 3 BSIG die Mitglieder der Geschäftsleitung; sie müssen regelmäßig an Schulungen teilnehmen.
Die Schulungspflichten im BSI-Gesetz
- Belegschaft (§ 30 BSIG). Grundlegende Schulungen und Sensibilisierungsmaßnahmen gehören zu den Mindestmaßnahmen. Inhalt, Intervall und Format sind nicht festgelegt.
- Geschäftsleitung (§ 38 Abs. 3 BSIG). Regelmäßige Teilnahme an Schulungen, um Risiken und Risikomanagementpraktiken erkennen und bewerten zu können. Das BSI verweist darauf, dass nach der Gesetzesbegründung eine Schulung mindestens alle drei Jahre als regelmäßig gilt.
- Nachweis. Die Einhaltung der Maßnahmen nach § 30 ist zu dokumentieren. Als möglichen Nachweis nennt das BSI Belege über Schulungen und Awareness-Maßnahmen.
Quelle: BSI-Gesetz in der Fassung des NIS2-Umsetzungsgesetzes (BGBl. 2025 I Nr. 301), §§ 28, 30, 38, abgerufen auf gesetze-im-internet.de im Oktober 2026; BSI, häufige Fragen zu NIS-2, abgerufen im Oktober 2026.
Und Unternehmen, die nicht unter NIS-2 fallen?
Eine ausdrückliche Pflicht für alle Unternehmen, ihre Belegschaft in IT-Sicherheit zu schulen, enthalten weder das BSI-Gesetz noch die Datenschutz-Grundverordnung. Die DSGVO verlangt in Artikel 32 technische und organisatorische Maßnahmen, die dem Risiko angemessen sind; Schulungen nennt sie dort nicht ausdrücklich. Nach Artikel 39 gehört die Sensibilisierung und Schulung der Beschäftigten zu den Aufgaben des Datenschutzbeauftragten – das betrifft den Datenschutz und ist Thema der Seite Datenschutzschulung. Branchenvorgaben, etwa für Finanzunternehmen, sind auf dieser Seite nicht behandelt.
Als Anhaltspunkt ohne Gesetzeskraft beschreibt das BSI im IT-Grundschutz-Baustein ORP.3 „Sensibilisierung und Schulung zur Informationssicherheit“, wie ein solches Programm aufgebaut und aufrechterhalten werden kann. Unternehmen, die eine Zertifizierung nach ISO 27001 anstreben, begegnet das Thema dort ebenfalls.
Plattform oder Dienstleister: zwei Wege
Die meisten Angebote sind Plattformen: Das Unternehmen bucht Lizenzen, verteilt kurze Lerneinheiten an die Beschäftigten und verschickt simulierte Phishing-Mails, um zu sehen, wer darauf hereinfällt. Auswertungen zeigen, wer welche Einheit abgeschlossen hat. Betrieben wird das Ganze von der eigenen IT oder der Personalabteilung.
Dienstleister übernehmen dagegen die Durchführung, halten Präsenz- oder Online-Trainings, planen Phishing-Kampagnen, werten sie aus und liefern die Nachweise. Manche nutzen dafür eine eigene Plattform, andere die eines Herstellers. Einige Anbieter in der Liste unten bieten beides an.
Was zu einer Awareness-Schulung gehört
- Angriffe erkennen. Phishing-Mails, gefälschte Anrufe und Kurznachrichten, manipulierte Links und Anhänge.
- Üben unter Echtbedingungen. Simulierte Angriffe zeigen, wo die Belegschaft noch unsicher ist.
- Richtig melden. Wer etwas Verdächtiges sieht, weiß, an wen er sich wendet – oft über einen Meldeknopf im Mailprogramm.
- Nachweisen. Teilnahme und Ergebnisse werden festgehalten, etwa für die Dokumentation nach § 30 BSIG oder für ein Audit.
- Wiederholen. Kurze, regelmäßige Einheiten statt einer einmaligen Veranstaltung.
Fünf Fragen, bevor Sie unterschreiben
- Wo liegen die Daten der Beschäftigten? Die Plattform speichert Namen, Lernstände und das Verhalten bei Phishing-Tests. Fragen Sie nach dem Ort der Server, nach Unterauftragnehmern und dem Vertrag zur Auftragsverarbeitung.
- Wie wird ausgewertet? Werden Ergebnisse einzelnen Personen zugeordnet oder nur zusammengefasst? Das ist auch eine Frage für den Betriebsrat, denn Auswertungen über Beschäftigte können mitbestimmungspflichtig sein.
- Welche Sprachen braucht Ihre Belegschaft? Prüfen Sie, ob alle Lerneinheiten und Simulationen in den nötigen Sprachen vorliegen.
- Was bekommen Sie als Nachweis? Lassen Sie sich zeigen, welche Berichte die Plattform ausgibt und ob sie für Ihre Dokumentation genügen.
- Was ist im Preis enthalten? Lizenzen, Phishing-Simulationen, Einrichtung, Live-Trainings und Betreuung werden unterschiedlich gebündelt. Fragen Sie nach Mindestlaufzeit und Mindestzahl der Lizenzen.
Was den Preis bestimmt
Plattformen rechnen meist je Nutzer ab, monatlich oder jährlich, oft mit einer Mindestzahl an Lizenzen und einer Laufzeit von zwölf Monaten. Dienstleister rechnen Trainings und Kampagnen nach Aufwand oder als Paket ab. Den Preis bestimmen vor allem die Zahl der Beschäftigten, der Funktionsumfang und der Anteil an Live-Trainings.
Die veröffentlichten Preise der Anbieter unten: Perseus nennt 490 € jährlich als Grundpreis für Teams bis 20 Mitarbeitende. SECUTAIN nennt je nach Paket 0,61 € bis 2,85 € je Mitarbeiter und Monat zuzüglich Mehrwertsteuer. SoSafe nennt Abonnements ab 625 € im Monat bei jährlicher Abrechnung, mit 50 Lizenzen. KnowBe4 nennt für das Paket Foundation bei drei Jahren Laufzeit Listenpreise ohne Steuern von 2,28 € je Nutzer und Monat bei 25 bis 50 Nutzern und 1,55 € bei 501 bis 1.000 Nutzern. Bei den übrigen Anbietern wurde bei der Prüfung kein Preis ermittelt.
Anbieter im Überblick
Angaben laut den Websites der Anbieter. Links und Preisangaben zuletzt geprüft: 10/2026. Die Reihenfolge ist alphabetisch und keine Rangfolge. Kein Anbieter bezahlt für seinen Eintrag, und wir erhalten derzeit auch keine Vergütung für vermittelte Anfragen. Beides kann sich ändern – bezahlte Platzierungen kennzeichnen wir dann unmittelbar am Eintrag als „Anzeige“, eine Vermittlungsvergütung weisen wir an dieser Stelle aus. Wie wir uns finanzieren, steht auf Transparenz.
| Anbieter | Sitz | Art | Datenhaltung | Preis |
|---|---|---|---|---|
| ADLON Intelligent Solutions GmbH | Ravensburg | Dienstleister, E-Learning über SoSafe | bei der Prüfung nicht ermittelt | bei der Prüfung nicht ermittelt |
| G DATA CyberDefense AG | Bochum | Plattform | bei der Prüfung nicht ermittelt | bei der Prüfung nicht ermittelt |
| Hornetsecurity GmbH | Hannover | Plattform | eigene regionale Rechenzentren | bei der Prüfung nicht ermittelt |
| HvS-Consulting GmbH (IS-FOX) | Garching bei München | Dienstleister und Plattform | Deutschland und Europa | bei der Prüfung nicht ermittelt |
| KnowBe4 Germany GmbH | Berlin | Plattform | wählbar, u. a. Frankfurt | siehe Eintrag |
| Perseus Technologies GmbH | Berlin | Plattform mit Zusatzleistungen | bei der Prüfung nicht ermittelt | 490 € jährlich |
| SECUTAIN (etomer GmbH) | Berlin | Plattform mit Betreuung | bei der Prüfung nicht ermittelt | ab 0,61 € je Mitarbeiter und Monat zzgl. MwSt. |
| SoSafe SE | Köln | Plattform | EU | ab 625 € im Monat |
ADLON Intelligent Solutions GmbH
Sitz Ravensburg · IT-Dienstleister · Trainings und Phishing-Kampagnen
Die ADLON Intelligent Solutions GmbH mit Sitz in Ravensburg bietet Security-Awareness als Dienstleistung an. Die Trainings finden laut Website vor Ort oder live per Fernverbindung statt, eine Sitzung dauert nach Anbieterangabe etwa eine Stunde mit rund 15 Teilnehmenden; Teilnehmerlisten und Nachweise gehören dazu. Für das E-Learning nutzt ADLON nach eigener Angabe die Plattform von SoSafe. Daneben führt der Anbieter gezielte Phishing-Test-Kampagnen durch und wertet sie aus.
Passt, wenn Sie Trainings und Kampagnen von außen durchführen lassen wollen · Datenhaltung: E-Learning über die Plattform von SoSafe, im Übrigen bei der Prüfung nicht ermittelt · Preis: bei der Prüfung nicht ermittelt
G DATA CyberDefense AG
Sitz Bochum · Lernplattform · 14 Sprachen
Die G DATA CyberDefense AG mit Sitz in Bochum bietet über ihre G DATA academy Security-Awareness-Trainings als E-Learning an. Ein Training dauert nach Anbieterangabe im Durchschnitt 15 Minuten; simulierte Phishing-Mails sind Teil des Angebots, ein Modul zu NIS-2 für Geschäftsführer ist zubuchbar. Die Lerninhalte gibt es laut Website in 14 Sprachen, die Plattform lässt sich an bestehende Lernsysteme anbinden. Zum Test bietet der Anbieter einen kostenfreien Zeitraum von 30 Tagen an.
Passt, wenn kurze Lerneinheiten in vielen Sprachen gebraucht werden · Datenhaltung: das Trust Center nennt allgemein Hosting in Deutschland; die Lernplattform stellt nach dem Datenschutzhinweis der Academy die Docebo DACH GmbH (Berlin) bereit, Serverstandort der Lernplattform bei der Prüfung nicht ermittelt, Übermittlungen in Drittländer sind dort in Einzelfällen möglich · Preis: bei der Prüfung nicht ermittelt
Hornetsecurity GmbH
Sitz Hannover (Teil der Proofpoint-Gruppe) · automatisierter Dienst · Phishing-Simulation
Die Hornetsecurity GmbH mit Sitz in Hannover tritt heute als „Hornetsecurity by Proofpoint“ auf; 2022 hat sie die IT-Seal GmbH übernommen. Ihr Security Awareness Service verbindet nach Anbieterangabe E-Trainings mit einer Phishing-Simulation, die sich am Verhalten der einzelnen Beschäftigten ausrichtet. Den Stand der Sensibilisierung misst der Dienst laut Datenblatt mit einem eigenen Kennwert, dem Employee Security Index. Die Lerninhalte sind laut Anbieter mehrsprachig.
Passt, wenn das Training weitgehend automatisch laufen soll · Datenhaltung: nach Anbieterangabe in eigenen regionalen Rechenzentren; Standorte bei der Prüfung nicht ermittelt · Preis: bei der Prüfung nicht ermittelt
HvS-Consulting GmbH (IS-FOX)
Sitz Garching bei München · Kampagnen, Live-Hacking und Plattform
Die HvS-Consulting GmbH mit Sitz in Garching bei München plant und führt Security-Awareness-Kampagnen durch. Dazu gehören laut Website Live-Hacking-Vorführungen, virtuell oder vor Ort, Präsenzschulungen, Online-Seminare und Phishing-Simulationen mit Auswertung. Unter der Marke IS-FOX bietet das Unternehmen außerdem eine Schulungsplattform an, nach Anbieterangabe mit Inhalten auf Deutsch und Englisch und als Einzellösung in weiteren Sprachen. Das Informationssicherheits-Managementsystem ist laut Trust Center nach ISO 27001 zertifiziert.
Passt, wenn Sie Plattform und vor Ort durchgeführte Maßnahmen aus einer Hand suchen · Datenhaltung: laut Trust Center Server in Deutschland und Europa (Microsoft) · Preis: bei der Prüfung nicht ermittelt
KnowBe4 Germany GmbH
Sitz Berlin (deutsche Gesellschaft eines internationalen Konzerns) · Plattform · Phishing-Simulation
Die KnowBe4 Germany GmbH mit Sitz in Berlin vertreibt das Security Awareness Training von KnowBe4. Die Plattform bietet nach Anbieterangabe eine Trainingsbibliothek in mehr als 35 Sprachen und eine Phishing-Simulation, deren Vorlagen im Abonnement Advanced von KI-Funktionen erstellt werden. Für die Geschäftsleitung gibt es laut Website eigene Berichte zur Risikolage. Den Speicherort der Daten können Kunden nach Angabe des Anbieters wählen.
Passt, wenn ein Katalog in vielen Sprachen gebraucht wird · Datenhaltung: laut Anbieter wählbar, unter anderem Rechenzentrum in Frankfurt (AWS) · Preis: Paket Foundation bei drei Jahren Laufzeit: 2,28 € je Nutzer und Monat bei 25 bis 50 Nutzern, 1,55 € bei 501 bis 1.000 Nutzern (Listenpreise ohne Steuern)
Perseus Technologies GmbH
Sitz Berlin · Online-Portal · Schulungen und Phishing-Simulation
Die Perseus Technologies GmbH mit Sitz in Berlin bietet ein Online-Portal für Cybersicherheit mit Online-Schulungen und Phishing-Simulationen an. Dazu gehören laut Website Warnungen vor aktuellen Gefahren und ein Lexikon zur Cybersicherheit. Als zusätzliche Leistungen nennt der Anbieter eine Risikobewertung, eine Notfallhilfe rund um die Uhr und individuelle Phishing-Kampagnen.
Passt, wenn kleine Teams einen festen Jahrespreis suchen · Datenhaltung: Standort des Portals bei der Prüfung nicht ermittelt; für Dienstleistungen und Phishing-Kampagnen nennt die Datenschutzerklärung auch Auftragsverarbeiter in den USA · Preis: 490 € jährlich als Grundpreis für Teams bis 20 Mitarbeitende
SECUTAIN (etomer GmbH)
Sitz Berlin · Plattform mit Awareness-Manager · Pakete nach Umfang
SECUTAIN ist die Awareness-Marke der etomer GmbH mit Sitz in Berlin, die zur teccle group gehört. Die Plattform umfasst nach Anbieterangabe acht Kurse mit mehr als 35 Themen, eine Phishing-Simulation mit über 100 Szenarien, Webinare und einen Meldeknopf für verdächtige Mails. In den größeren Paketen kommen laut Website ein persönlicher Awareness-Manager und Live-Webinare dazu. Die Preise je Mitarbeiter und Monat zuzüglich Mehrwertsteuer: Starter 0,61 €, Grundschutz 1,37 €, Flatrate 1,88 €, Awareness 2,13 €, Resilienz 2,85 €; das Paket 360° auf Anfrage. Die Mindestlaufzeit beträgt laut Produktseite zwölf Monate.
Passt, wenn Sie den Umfang über feste Pakete wählen wollen · Datenhaltung: bei der Prüfung nicht ermittelt · Preis: ab 0,61 € je Mitarbeiter und Monat zzgl. MwSt. (Paket Starter)
SoSafe SE
Sitz Köln · Plattform · 36 Sprachen
Die SoSafe SE mit Sitz in Köln bietet eine Plattform für Awareness-Training und Phishing-Simulation an. Das Paket Core umfasst nach Anbieterangabe mehr als 40 Lektionen, das Paket Advanced mehr als 75 Lektionen und zusätzlich Simulationen per SMS und Telefon. Die Lernplattform ist laut Preisseite in 36 Sprachen verfügbar und liefert Berichte und Nachweise für Audits. Laut Sicherheitsseite ist das Unternehmen nach ISO 27001 zertifiziert.
Passt, wenn eine Plattform mit vielen Sprachen und Audit-Berichten gesucht wird · Datenhaltung: nach Anbieterangabe in der EU gehostet (AWS) · Preis: ab 625 € im Monat bei jährlicher Abrechnung, 50 Lizenzen inklusive
Häufige Fragen
Ist eine Security-Awareness-Schulung Pflicht?
Für Einrichtungen, die unter das BSI-Gesetz in der Fassung des NIS-2-Umsetzungsgesetzes fallen, ja: Grundlegende Schulungen und Sensibilisierungsmaßnahmen gehören dort zu den Mindestmaßnahmen, und die Geschäftsleitung muss regelmäßig selbst an Schulungen teilnehmen. Für alle übrigen Unternehmen enthalten BSI-Gesetz und DSGVO keine ausdrückliche Schulungspflicht zur IT-Sicherheit.
Wie oft muss geschult werden?
Das Gesetz legt für die Belegschaft kein Intervall fest. Für die Geschäftsleitung verlangt es eine regelmäßige Teilnahme; das BSI verweist darauf, dass nach der Gesetzesbegründung mindestens alle drei Jahre als regelmäßig gilt.
Dürfen wir Phishing-Tests ohne Vorwarnung durchführen?
Simulierte Phishing-Mails werten das Verhalten von Beschäftigten aus. Klären Sie vorab mit dem Datenschutzbeauftragten und, wo vorhanden, dem Betriebsrat, wie getestet und ausgewertet wird. Eine Antwort für den Einzelfall gibt diese Seite nicht.
Was ist der Unterschied zur Datenschutzschulung?
Eine Datenschutzschulung erklärt den Umgang mit personenbezogenen Daten nach der DSGVO. Eine Security-Awareness-Schulung soll Angriffe auf die IT abwehren helfen. Viele Plattformen bieten beides an; die Anbieter für Datenschutzschulungen stehen auf einer eigenen Seite.
Was kostet eine Awareness-Schulung?
Die veröffentlichten Preise in der Liste oben beginnen bei 0,61 € je Mitarbeiter und Monat für ein kleines Paket; andere Anbieter nennen Jahrespreise oder Abonnements ab 625 € im Monat für 50 Lizenzen. Vergleichbar sind die Zahlen nur zusammen mit dem Leistungsumfang, der Laufzeit und der Zahl der Beschäftigten.
Passenden Anbieter anfragen
Schreiben Sie uns, wie viele Beschäftigte geschult werden sollen und ob Sie eine Plattform zum Selbstbetrieb oder durchgeführte Trainings suchen. Wir sehen uns Ihre Anfrage an und geben sie an die Anbieter aus dem Verzeichnis weiter, die fachlich dazu passen – es können sich also mehrere bei Ihnen melden. Kostenlos und unverbindlich.
Vielen Dank für deine Antwort. ✨
Wie wir mit Ihren Daten umgehen, steht in unserer Datenschutzerklärung.
Sie bieten Security-Awareness-Schulungen an? Der Eintrag in dieser Übersicht ist kostenlos. Wie Sie aufgenommen werden, steht auf Gelistet bei PontoIt.
Weitere Themen: NIS2-Umsetzung · Datenschutzschulung für Mitarbeiter · ISO 27001 Beratung · Externer Datenschutzbeauftragter · KI-Schulung für Mitarbeiter · IT-Sicherheitsbeauftragter Ausbildung · Phishing-Simulation