Awareness-Kampagne planen: Von Analyse bis Rollout

Viele Unternehmen starten ihre Security-Awareness-Aktivitäten mit dem zweiten Schritt: Sie kaufen ein Schulungstool, verschicken ein paar Phishing-Tests und ein E-Learning-Modul — und wundern sich, warum die Wirkung verpufft. Das Problem ist nicht das Werkzeug, sondern das Fehlen einer durchdachten Kampagne. Eine Awareness-Kampagne planen heißt, von der nüchternen Ist-Analyse über klare Ziele bis zur kontinuierlichen Messung einen roten Faden zu spannen, der Verhalten tatsächlich verändert.

Awareness ist kein Projekt mit Enddatum, sondern ein Programm. Trotzdem braucht es einen klaren Anfang: eine erste Kampagne, die Sie sauber aufsetzen, durchführen und auswerten — und aus der heraus Sie iterieren. Dieser Leitfaden führt Sie durch die fünf Phasen, die wir bei welabs in der Praxis nutzen, übersetzt aus der Methodik großer Sicherheitsorganisationen auf die Realität mittelständischer Unternehmen.

Merksatz
Eine Awareness-Kampagne ohne Baseline ist wie eine Diät ohne Waage: Sie können nicht sagen, ob sie wirkt.

Phase 1: Ist-Analyse und Baseline

Bevor Sie eine einzige Schulung ausrollen, müssen Sie wissen, wo Sie stehen. Diese Baseline ist das Fundament der gesamten Kampagne — sie liefert den Vergleichswert, an dem Sie später jeden Fortschritt messen. Ohne sie bleibt Awareness eine Glaubensfrage.

Die Baseline besteht aus mehreren Komponenten:

• Eine erste Phishing-Simulation, die ohne Vorankündigung läuft. Sie liefert die ehrliche Ausgangsklickrate — den Anteil der Mitarbeitenden, die auf einen simulierten Angriff klicken, sowie die Quote derer, die ihn korrekt melden. Wichtig: Diese erste Messung dient nicht der Bewertung Einzelner, sondern allein der Standortbestimmung.
• Eine Bestandsaufnahme bestehender Maßnahmen: Welche Schulungen gab es bisher? Existieren Richtlinien, kennt sie jemand? Gibt es einen Meldeweg für verdächtige Mails — und wird er genutzt?
• Eine Einschätzung der Risikolandschaft: Welche Abteilungen sind besonders exponiert (Buchhaltung, Geschäftsführung, Vertrieb)? Welche Daten und Prozesse sind besonders schützenswert?

Mit unserem Produkt WePhish lässt sich diese erste Baseline-Simulation datenschutzkonform und ohne großen Aufwand aufsetzen. Entscheidend ist die saubere Dokumentation der Ausgangswerte: Klickrate, Meldequote, Zeit bis zur ersten Meldung. Diese Zahlen werden Sie über die gesamte Kampagne begleiten. Welche Kennzahlen darüber hinaus sinnvoll sind, vertiefen wir im Artikel zu Awareness-KPIs messen.

Ein häufiger Fehler in dieser Phase ist die voreilige Interpretation der ersten Zahlen. Eine Baseline-Klickrate von 30 Prozent ist kein Grund zur Panik und kein Beleg für eine „dumme" Belegschaft — sie ist schlicht der Normalzustand untrainierter Organisationen und damit eine wertvolle, ehrliche Standortbestimmung. Widerstehen Sie auch der Versuchung, aus einer einzigen Simulation weitreichende Schlüsse zu ziehen. Erst die Wiederholung über mehrere Runden macht aus einer Momentaufnahme einen belastbaren Trend. Halten Sie die Baseline-Ergebnisse schriftlich fest, idealerweise aufgeschlüsselt nach Abteilung und Szenario-Typ — diese Granularität zahlt sich in der späteren Zielgruppen-Definition aus.

Phase 2: Ziele und Zielgruppen definieren

Mit der Baseline in der Hand können Sie konkrete, messbare Ziele formulieren. „Die Mitarbeitenden sollen vorsichtiger werden" ist kein Ziel — „Wir senken die Klickrate innerhalb von zwölf Monaten von 28 auf unter 10 Prozent und erhöhen die Meldequote auf über 40 Prozent" schon. Gute Awareness-Ziele sind spezifisch, terminiert und an die Baseline gekoppelt.

Mindestens ebenso wichtig wie das Ziel ist die Differenzierung der Zielgruppen. Eine Kampagne, die alle gleich behandelt, ist für niemanden optimal. In der Praxis bewähren sich Cluster wie diese:

• Hochrisiko-Funktionen wie Buchhaltung, Finanzwesen und Geschäftsführungs-Assistenz — die primären Ziele von BEC und CEO-Fraud. Sie brauchen spezifische Inhalte zu Rechnungs- und Zahlungsbetrug.
• Administratoren und IT — privilegierte Konten sind besonders wertvoll und verlangen Inhalte zu Credential-Phishing und MFA-Diebstahl.
• Die breite Belegschaft — solide Grundlagen zu Phishing-Erkennung, Meldewegen und sicherem Umgang mit Daten.
• Führungskräfte — nicht nur als Zielgruppe, sondern als Multiplikatoren. Ihr sichtbares Mitmachen entscheidet über die Akzeptanz der gesamten Kampagne.

Praxis-Tipp
Holen Sie früh den Betriebsrat und den Datenschutzbeauftragten ins Boot. Phishing-Simulationen verarbeiten Verhaltensdaten von Beschäftigten — wer das transparent und mit klarer Zweckbindung (keine Einzelbewertung) aufsetzt, vermeidet späteren Gegenwind und schafft Vertrauen.

Definieren Sie pro Zielgruppe zudem, was Erfolg konkret bedeutet. Für die breite Belegschaft mag eine halbierte Klickrate das Ziel sein, für die Buchhaltung zusätzlich die fehlerfreie Erkennung manipulierter Rechnungen, für Administratoren der reflexartige Umgang mit unerwarteten MFA-Anfragen. Diese differenzierten Ziele verhindern, dass die Kampagne in der Mitte versandet, und geben jedem Cluster einen erkennbaren eigenen Nutzen. Halten Sie die Ziele bewusst überschaubar — zwei bis drei pro Zielgruppe genügen. Wer zu viele Kennzahlen gleichzeitig optimieren will, verliert den Fokus und damit die Wirkung.

Phase 3: Inhalte, Kanäle und Storyline

Jetzt geht es um das Wie. Die größte Gefahr in dieser Phase ist die Reizüberflutung: zu viele Inhalte auf einmal, die niemand verarbeitet. Eine wirksame Kampagne dosiert. Sie folgt einer Storyline — einem erzählerischen Bogen, der über Wochen und Monate ein konsistentes Thema entwickelt, statt unzusammenhängende Einzelmaßnahmen abzufeuern.

Inhalte: kurz, relevant, wiederholt

Setzen Sie auf das Prinzip „weniger, aber öfter". Mikro-Lerneinheiten von wenigen Minuten, die ein einzelnes Konzept vermitteln, wirken nachhaltiger als ein einstündiges Pflichtvideo, das einmal im Jahr abgesessen wird. Verknüpfen Sie die Inhalte mit realen, aktuellen Bedrohungen — etwa den im Artikel zu Phishing-Angriffen 2026 beschriebenen Methoden. Relevanz entsteht, wenn Mitarbeitende erkennen: Das könnte mir genau so passieren.

Kanäle: dort, wo die Menschen sind

• Phishing-Simulationen als Herzstück — sie sind die praktische Übung, nicht die Strafe.
• E-Learning und Mikro-Module für die Wissensvermittlung.
• Just-in-time-Hinweise: Wer auf eine simulierte Phishing-Mail klickt, erhält sofort eine kurze, freundliche Lernseite — der wirksamste Lernmoment überhaupt, weil er direkt an die eigene Handlung anknüpft.
• Begleitende Kommunikation über Intranet, Teams-Kanäle, Poster oder kurze Beiträge im Team-Meeting, um das Thema präsent zu halten.

Storyline: roter Faden statt Einzelaktionen

Strukturieren Sie die Kampagne thematisch. Ein Beispiel über ein Quartal: Monat eins „Phishing erkennen", Monat zwei „Sicher mit Passwörtern und MFA", Monat drei „Betrug am Telefon und per Rechnung". Jede Simulation, jedes Modul und jede Kommunikation zahlt auf das jeweilige Monatsthema ein. So entsteht ein Zusammenhang, der hängenbleibt.

Phase 4: Rollout und Timing

Der beste Plan scheitert am falschen Zeitpunkt. Beim Rollout entscheiden Tempo und Sequenz über Erfolg oder Frust.

Starten Sie mit einer Ankündigung — aber nicht der Simulationen. Kommunizieren Sie das Awareness-Programm offen: Warum es das gibt, was die Mitarbeitenden erwartet und — ganz wichtig — dass es nicht um Überwachung oder Bestrafung geht, sondern ums gemeinsame Lernen. Die einzelnen Phishing-Tests bleiben natürlich unangekündigt, sonst messen Sie nichts Reales.

Beachten Sie das Timing der Simulationen. Vermeiden Sie offensichtliche Fallen wie den Versand am Freitagnachmittag oder direkt vor Feiertagen, wenn Sie eine faire Messung wollen. Verteilen Sie den Versand zudem über mehrere Stunden oder Tage, damit sich Mitarbeitende nicht gegenseitig warnen und das Ergebnis verfälschen.

Steigern Sie den Schwierigkeitsgrad bewusst. Beginnen Sie mit erkennbaren Szenarien, um Erfolgserlebnisse zu schaffen, und erhöhen Sie über die Monate die Raffinesse — bis hin zu den schwer erkennbaren, kontextbezogenen Templates. Eine konstant niedrige Klickrate bei immer leichteren Tests sagt wenig aus; aussagekräftig wird sie erst gegen anspruchsvolle Szenarien.

Planen Sie Ressourcen für Rückfragen ein. Eine gute Kampagne erzeugt Aufmerksamkeit — und damit Fragen und Meldungen. Stellen Sie sicher, dass der IT-Support oder ein benannter Ansprechpartner gemeldete verdächtige Mails zügig bearbeitet. Nichts demotiviert eine Meldekultur stärker als ein Reporting-Button, hinter dem niemand antwortet.

Behalten Sie die Frequenz im Blick. Zu seltene Simulationen lassen den Lerneffekt verblassen, zu häufige erzeugen Ermüdung und Genervtheit. In der Praxis hat sich ein Rhythmus von monatlich bis quartalsweise bewährt — abhängig von Unternehmensgröße und Risikoprofil. Wichtig ist die Regelmäßigkeit: Ein berechenbarer, fairer Takt schlägt sporadische Großaktionen. Dokumentieren Sie außerdem jede Runde sauber — welches Szenario, welche Zielgruppe, welches Ergebnis. Diese Historie ist später nicht nur für die Iteration wertvoll, sondern auch als Nachweis kontinuierlicher Maßnahmen gegenüber Auditoren.

Phase 5: Messung und Iteration

Awareness ist ein Kreislauf, kein gerader Weg. Nach der ersten Kampagnenrunde werten Sie aus und justieren nach. Die zentralen Kennzahlen:

• Klickrate — der Anteil der Klicks auf simulierte Phishing-Mails, idealerweise mit fallender Tendenz über die Zeit.
• Meldequote — der Anteil der Mitarbeitenden, die verdächtige Mails aktiv melden. Diese Kennzahl ist oft aussagekräftiger als die Klickrate, weil sie aktives, richtiges Verhalten misst statt nur das Ausbleiben falschen Verhaltens.
• Time-to-Report — wie schnell die erste Meldung eingeht. Bei einem echten Angriff zählt jede Minute.
• Wiederholungsklicker — eine kleine Gruppe verursacht oft einen Großteil der Klicks. Sie verdient gezielte, faire Förderung statt pauschaler Maßnahmen.

Aus diesen Daten ziehen Sie konkrete Konsequenzen: Welche Abteilung braucht mehr Unterstützung? Welches Szenario hat besonders gut getäuscht und sollte vertieft werden? Wo läuft die Meldekultur noch nicht? Die Antworten fließen direkt in die nächste Kampagnenrunde. So entsteht über Quartale ein messbarer, dokumentierter Reifegrad — ein Nachweis, der auch in ISO-27001-Audits und im Rahmen von NIS2 gefordert ist. Wie Sie die richtigen Kennzahlen sauber erheben und interpretieren, lesen Sie vertiefend im Artikel zu Awareness-KPIs messen.

Kernaussage
Die Meldequote ist die unterschätzte Königskennzahl. Ein Mitarbeitender, der eine Phishing-Mail meldet, schützt das gesamte Unternehmen — nicht nur sich selbst.

Wie welabs Sie bei der Kampagnenplanung unterstützt

welabs begleitet mittelständische Unternehmen von der ersten Baseline bis zum etablierten, kontinuierlichen Awareness-Programm — mit Methodik aus der Konzernwelt, aber ohne Konzern-Overhead:

• Baseline-Analyse mit unserem eigenen Simulationsprodukt WePhish — datenschutzkonform, betriebsratstauglich und mit aussagekräftigen Ausgangswerten.
• Kampagnenkonzeption inklusive Zielgruppen-Clustering, Storyline und realistischer Szenarien, die zu Ihrer Branche und Bedrohungslage passen.
• Begleitung von Rollout und Timing — von der internen Kommunikation bis zur Steigerung des Schwierigkeitsgrads über die Zeit.
• Reporting und Iteration mit klaren KPIs, die Sie der Geschäftsführung und Auditoren vorlegen können.

Alle Details finden Sie auf unserer Seite zu Security Awareness & Phishing-Simulation. Sie wollen Ihre erste Kampagne sauber aufsetzen? Vereinbaren Sie ein unverbindliches Erstgespräch.

Fazit

Eine Awareness-Kampagne planen bedeutet, fünf Phasen sauber zu durchlaufen: ehrliche Baseline, klare Ziele und Zielgruppen, dosierte Inhalte entlang einer Storyline, ein durchdachter Rollout und eine konsequente Messung mit anschließender Iteration. Wer diese Reihenfolge einhält, verwandelt punktuelle Aktionen in ein wirksames Programm — und Awareness von einer Compliance-Pflichtübung in einen echten Schutzfaktor.

Der wichtigste Hebel ist dabei die Haltung: weg von Kontrolle und Bestrafung, hin zu Lernen und einer positiven Meldekultur. Eine gut geplante Kampagne misst nicht, wer Fehler macht, sondern macht das ganze Unternehmen über die Zeit messbar widerstandsfähiger. Genau diesen roten Faden — von der Analyse bis zum Rollout — sollten Sie von Beginn an im Blick haben.