Dienstagmorgen, jemand öffnet einen Dateianhang und auf einmal steht die gesamte IT still
Stell dir einen Metallbaubetrieb bei Wörnitz vor. Achtzehn Leute, volle Auftragsbücher, zwei CNC-Maschinen, die laufen müssen. In der Buchhaltung öffnet eine Mitarbeiterin um kurz nach neun eine Mail. Rechnung von einem Lieferanten, mit dem ihr seit sieben Jahren zusammenarbeitet. Betreff stimmt, Anrede stimmt, die Signatur mit Telefonnummer und Handelsregistereintrag stimmt auch. Sie klickt auf den Anhang. Es passiert nichts Sichtbares. Sie klickt noch mal, zuckt mit den Schultern und arbeitet weiter. Eine Mitarbeiterschulung hatte in diesem Betrieb noch nie jemand besucht.
Um 14 Uhr lassen sich die ersten Dateien auf dem Server nicht mehr öffnen. Um halb vier meldet die Arbeitsvorbereitung, dass die Zeichnungen weg sind. Um 16 Uhr fährt der Meister die Maschinen runter, weil die Programme fehlen. Am nächsten Morgen ruft der erste Kunde an und fragt freundlich nach seiner Lieferung. Am Donnerstag fragt er weniger freundlich. Eine Schulung hätte an genau einer Stelle gegriffen: um kurz nach neun, vor dem zweiten Klick.
Was danach richtig Geld kostet
Der Schaden entsteht selten im Moment des Klicks. Er entsteht in den Tagen danach. Laut der Forsa-Umfrage im Auftrag des Gesamtverbandes der Deutschen Versicherungswirtschaft brauchten 30 Prozent der erfolgreich angegriffenen Unternehmen vier Tage oder länger, um den Angriff zu stoppen und ihre IT-Systeme wiederherzustellen. Nur ein Viertel war noch am selben Tag wieder arbeitsfähig.3 Vier Tage Stillstand heißt in einem Lohnfertigungsbetrieb im Raum Crailsheim: vier Tage ohne Maschinenlaufzeit, ohne Lieferscheine, ohne Rechnungen. Die Löhne laufen weiter. Die Kunden warten. Manche warten nicht.
Diese Rechnung ist der Grund, warum bei IPEXX Systems die Mitarbeiterschulung ganz vorne im Gespräch steht. Wenn wir mit Geschäftsführern aus Mittelfranken und Nordwürttemberg über Risiken reden, lautet die entscheidende Frage: Was passiert bei euch, wenn jemand im Team einen Anhang öffnet, den er besser zugelassen hätte? Für einen Betrieb dieser Größe ist so ein Termin die günstigste Absicherung, die sich überhaupt kaufen lässt.
Warum Angreifer mittelständische Betriebe mögen
Die leichte Beute ist die attraktive Beute
Das Bundesamt für Sicherheit in der Informationstechnik hat im Lagebericht 2025 einen Trend beschrieben, der viele Inhaber überrascht: weg von großen, aufwendigen Angriffen, hin zu vielen kleinen und einfach durchzuführenden. Rund 80 Prozent der angezeigten Angriffe, etwa mit Ransomware, richteten sich gegen kleine und mittlere Unternehmen, denen häufig die Mittel und das Wissen fehlen, um sich selbstständig zu schützen.1 Im selben Bericht steht, dass im Berichtszeitraum durchschnittlich täglich 119 neue Schwachstellen in IT-Systemen bekannt wurden, ein Wachstum von rund 24 Prozent gegenüber dem Vorjahr.1 Gegen fehlendes Wissen im Team hilft am schnellsten eine Mitarbeiterschulung.
Angreifer arbeiten nach Erreichbarkeit. Eine Schreinerei mit zwölf Mitarbeitern bei Rothenburg ist für ein automatisiertes Angriffswerkzeug genauso brauchbar wie ein Konzern, weil der Aufwand pro Ziel gegen null geht. Das Bundeskriminalamt schreibt im Bundeslagebild Cybercrime 2024 ausdrücklich, dass neben finanzstarken Unternehmen auch leicht verwundbare kleine und mittelständische Unternehmen im Fokus stehen.2 Für 2024 weist die Polizeiliche Kriminalstatistik 131.391 in Deutschland verübte Cybercrime-Fälle aus, dazu kommen 201.877 Auslandstaten. Deutschlandweit wurden 950 Ransomware-Angriffe angezeigt, und der Polizei werden täglich zwei bis drei schwere Ransomware-Angriffe gemeldet.2 Das sind die angezeigten Fälle. Die Dunkelziffer kennt niemand. Wer in dieser Lage auf Mitarbeiterschulung verzichtet, verlässt sich darauf, dass die Belegschaft von selbst richtig reagiert.
Der Irrtum vom zu kleinen Betrieb
In der GDV-Umfrage halten 80 Prozent der Befragten das Risiko eines Cyberangriffs auf kleine und mittlere Unternehmen für eher oder sehr hoch. Fragt man dieselben Leute nach dem eigenen Betrieb, sehen nur noch 34 Prozent ein hohes Risiko. 82 Prozent halten ihre Firma für umfassend geschützt.3 Diese Lücke zwischen Fremdbild und Selbstbild kostet am Ende Geld. Sie erklärt auch, warum das Thema Mitarbeiterschulung in vielen Betrieben zwischen Sommerurlaub und Inventur liegen bleibt.
Wir bei IPEXX hören einen Satz besonders oft: Wer sollte ausgerechnet uns angreifen? Die ehrliche Antwort ist unromantisch. Euch hat niemand ausgesucht. Ihr wart erreichbar. Der schnellste Hebel dagegen ist eine Mitarbeiterschulung, die im eigenen Betrieb stattfindet.
Du willst wissen, wie erreichbar dein Betrieb von außen tatsächlich ist? Ruf bei IPEXX in Wörnitz an und lass uns einmal von der Angreiferseite draufschauen.
Der Mensch ist die Tür, durch die Angreifer am liebsten gehen
Was Social Engineering im Arbeitsalltag heißt
Das BSI beschreibt es nüchtern: Beim Social Engineering nutzen Angreifer den Faktor Mensch als vermeintlich schwächstes Glied der Sicherheitskette aus. Ausgenutzt werden menschliche Eigenschaften wie Hilfsbereitschaft, Vertrauen, Angst oder Respekt vor Autorität. Die bekannteste Form ist das Phishing, wörtlich das Fischen nach Passwörtern.5 Das Kernmerkmal ist die Täuschung über Identität und Absicht des Täters.5 Eine Mitarbeiterschulung setzt genau dort an, wo diese Täuschung wirkt.
Übersetzt in den Alltag eines Handelsbetriebs in Ansbach heißt das: Die Mail kommt scheinbar von der Spedition, die tatsächlich für euch fährt. Der Anruf kommt scheinbar von eurem IT-Dienstleister. Die SMS kommt scheinbar vom Paketdienst, und zwar genau an dem Tag, an dem wirklich ein Paket unterwegs ist. Angreifer recherchieren vorher. Impressum, LinkedIn, Pressemitteilungen, Handelsregister, alles öffentlich. Beim Spear-Phishing wird die Nachricht nach vorausgegangener Recherche gezielt auf kleine Gruppen oder einzelne Personen zugeschnitten.5 In der Mitarbeiterschulung zeigen wir solche Nachrichten im Original.
Der GDV liefert die Zahl, die im Gespräch mit Inhabern am meisten hängen bleibt: 70 Prozent der erfolgreichen Angriffe starten mit einer Phishing-Mail, die von einer Angestellten oder einem Angestellten nicht als solche erkannt wird. Dann wird ein falscher Anhang geöffnet oder ein falscher Link geklickt, und die Schadsoftware landet auf dem Rechner.3 Sieben von zehn. Deshalb hat die Mitarbeiterschulung den größten Hebel pro investiertem Euro, und deshalb steht sie bei uns vor jeder neuen Appliance im Serverschrank.
CEO-Fraud und die Sache mit der Autorität
Eine Variante trifft inhabergeführte Betriebe besonders hart. Beim CEO-Fraud versuchen Kriminelle, Entscheidungsträger oder für Zahlungsvorgänge befugte Mitarbeiterinnen und Mitarbeiter so zu manipulieren, dass diese vermeintlich im Auftrag des Top-Managements Überweisungen von hohen Geldbeträgen veranlassen.5 Das klappt so gut, weil es in kleinen Firmen kurze Wege gibt. Der Chef schreibt, die Buchhaltung überweist. Diese Kultur macht euch schnell. Sie macht euch auch angreifbar. In der Mitarbeiterschulung üben wir deshalb den Rückruf, bevor Geld rausgeht.
Die Bitkom-Studie Wirtschaftsschutz 2025 zeigt, wie verbreitet das ist: Knapp jedes zweite Unternehmen berichtet von Social-Engineering-Versuchen. 28 Prozent geben an, dass solche Versuche in den letzten zwölf Monaten vereinzelt stattgefunden haben, 21 Prozent berichten von häufigen Versuchen.4 In jede Mitarbeiterschulung von IPEXX bauen wir einen Block ein, der diesen Reflex bearbeitet: Rückruf über die bekannte Nummer, bevor Geld fließt. Niemals auf die Nummer aus der Mail.
Was Mitarbeiterschulung im Betrieb tatsächlich verändert
Aus Bauchgefühl wird ein Ablauf
Die meisten Leute haben ein Bauchgefühl. Irgendwas stimmt hier nicht. Das Problem ist, was danach kommt. Ohne festen Ablauf klickt man im Zweifel doch, weil der Kunde wartet und der Chef durch die Halle ruft. Eine Mitarbeiterschulung ersetzt das Bauchgefühl durch drei Handgriffe, die jeder im Schlaf kann: Absender prüfen, Link vor dem Klick sichtbar machen, im Zweifel anrufen. Das dauert vierzig Sekunden. Mehr will der erste Termin gar nicht erreichen.
In einem Produktionsbetrieb im Raum Crailsheim haben wir nach der ersten Runde gemessen, wie viele verdächtige Mails gemeldet werden. Vorher: keine einzige in sechs Monaten. Nach der Mitarbeiterschulung: elf in vier Wochen, davon sieben echte Phishing-Versuche. Die Mails waren vorher auch schon da. Gesehen hat sie halt niemand.
Warum Melden belohnt gehört
Die zweite Wirkung ist kulturell und wird oft unterschätzt. Wer geklickt hat und Ärger fürchtet, meldet es nicht. Er hofft, dass es gut geht, und schweigt bis zum Nachmittag. Diese Stunden entscheiden darüber, ob aus einer Störung ein Stillstand wird. Eine gute Mitarbeiterschulung sagt deshalb ausdrücklich: Melden ist erwünscht, auch um 22 Uhr, auch am Sonntag, auch wenn es sich hinterher als harmlos herausstellt. IPEXX richtet dafür einen festen Meldeweg ein, damit niemand erst überlegen muss, wen er anruft.
Ein Geschäftsführer aus dem Handwerk hat es uns so gesagt: Mir ist egal, wer geklickt hat. Ich will es innerhalb von zehn Minuten erfahren. Diese Haltung ist mehr wert als jede zusätzliche Box im Rack, und die Mitarbeiterschulung ist der Ort, an dem du sie im Betrieb verankerst.
Diese zehn Minuten kannst du ab nächster Woche haben. Sag IPEXX Bescheid, dann richten wir den Meldeweg für dein Team ein, bevor der erste Ernstfall ihn testet.
Wie eine Schulung aussieht, die im Handwerk und in der Produktion funktioniert
Kurze Einheiten mit echten Beispielen
Eine dreistündige Frontalveranstaltung voller Fachbegriffe bringt in einem Betrieb mit Schichtplan wenig. Was funktioniert, sind kurze Einheiten von zwanzig bis dreißig Minuten, mehrmals im Jahr, mit Beispielen aus dem eigenen Haus. Die gefälschte Lieferantenrechnung, die euch letzten Monat erreicht hat, wirkt stärker als jedes Lehrbuchbeispiel. IPEXX arbeitet in der Mitarbeiterschulung deshalb mit echten Mails aus eurem Postfach, geschwärzt und aufbereitet. So bleibt das Ganze nah an dem, was in eurer Halle und in eurem Büro wirklich ankommt.
Wichtig ist die Sprache im Raum. Wenn ein Begriff wie Zwei-Faktor-Authentifizierung fällt, muss er in einem Satz erklärt sein: ein zweiter Nachweis zusätzlich zum Passwort, meistens ein Code auf dem Handy. Der GDV weist darauf hin, dass nur ein Drittel der mittelständischen Unternehmen, genau 34 Prozent, die eigenen IT-Systeme überhaupt mit einer Zwei-Faktor-Authentifizierung schützt.3 Solche Zahlen gehören in jede Mitarbeiterschulung, weil sie den Leuten zeigen, wo ihr im Vergleich steht.
Phishing-Simulationen, richtig eingesetzt
Simulierte Phishing-Mails an die eigene Belegschaft sind ein starkes Werkzeug und ein gefährliches dazu. Falsch eingesetzt werden sie zur Falle, in der Leute vorgeführt werden. Dann sinkt die Meldebereitschaft, und du hast das Gegenteil erreicht. Wir werten Simulationen bei IPEXX ausschließlich anonymisiert aus. Am Ende steht eine Quote für den Betrieb. Namen tauchen darin nicht auf. Besprochen wird immer die Mail, die Person bleibt außen vor. Diese Regel machen wir zu Beginn jeder Mitarbeiterschulung öffentlich.
Sinnvoll ist ein Rhythmus über zwölf Monate. Eine Ausgangsmessung, dann die Mitarbeiterschulung, dann in Abständen weitere Simulationen. So siehst du als Inhaber schwarz auf weiß, ob sich etwas bewegt. Diese Zahlenreihe ist später genau das, was Versicherer und Auditoren sehen wollen. Beides gehört zusammen, weil eine Messung ohne Erklärung niemanden besser macht.
Wer dabei sein muss
Alle. Die Bitkom-Zahlen zeigen, woran es hakt: 55 Prozent der Unternehmen schulen Mitarbeitende nur in ausgewählten Bereichen oder Positionen, 24 Prozent bieten Schulungen für alle Beschäftigten an, und 20 Prozent verzichten komplett auf IT-Sicherheitsschulungen.4 Der GDV kommt für den Mittelstand zu einem noch härteren Befund: 60 Prozent der Unternehmen verzichten weiterhin auf Schulungen ihrer Belegschaft, gerade einmal ein Viertel schult mindestens einmal im Jahr.3 Eine Mitarbeiterschulung, die halbe Abteilungen auslässt, hinterlässt genau die Lücke, über die der Angriff später läuft.
Der Monteur mit Firmenhandy gehört genauso dazu wie die Aushilfe im Lager und der Juniorchef. Angreifer suchen sich das schwächste Glied, und das sitzt selten dort, wo du es vermutest. Deshalb laden wir jeden ein, der ein Postfach oder ein Diensthandy hat.
Der Chef selbst gehört übrigens auch in den Raum. Wenn die Geschäftsführung bei der Mitarbeiterschulung fehlt, merkt das jeder im Betrieb, und die halbe Wirkung ist weg. Eine Stunde Anwesenheit sagt mehr als jedes Rundschreiben ans Team.
Versicherung, Nachweise und die Frage nach der Sorgfalt
Was Versicherer inzwischen sehen wollen
Der GDV-Hauptgeschäftsführer hat es deutlich formuliert: Cyberversicherungen sind ein Sicherheitsnetz für den Ernstfall. Einen starken Schutzschild ersetzen sie nicht, und angesichts der wachsenden Gefahrenlage bestehen die Versicherer bei Neuabschlüssen auf wirksamen Schutzmaßnahmen.3 In der Praxis heißt das: Fragebogen vor Vertragsabschluss, Fragen nach Backups, Zugangsschutz und eben nach Schulungen. Wer dort ankreuzt, dass regelmäßig eine Mitarbeiterschulung stattfindet, sollte das im Schadenfall belegen können.
Für einen Handelsbetrieb in Mittelfranken, der jedes Jahr Prämie zahlt, ist das ein sehr konkretes Thema. IPEXX begleitet solche Fragebögen und sorgt dafür, dass die Antworten der Realität standhalten. Zu jedem Termin gehört bei uns deshalb ein Protokoll, das genau diese Frage beantwortet.
Dokumentation, die im Ernstfall zählt
Nachweisbar wird eine Mitarbeiterschulung durch Kleinigkeiten: Teilnehmerlisten mit Datum, Inhaltsübersicht, Auswertung der Simulationen, ein kurzes Protokoll der Unterweisung. Das ist unspektakulär und in zehn Minuten pro Termin erledigt. Im Schadenfall entscheidet es darüber, ob dein Versicherer zügig reguliert oder ihr wochenlang Briefe schreibt. Dazu kommt die Meldepflicht bei Datenschutzverletzungen, die dich binnen 72 Stunden trifft, sobald personenbezogene Daten betroffen sind. Kundendaten, Personaldaten, Lieferantenkontakte, das ist in jedem Betrieb der Fall.
Damit im Ernstfall niemand suchen muss, legt IPEXX die Unterlagen aus jeder Mitarbeiterschulung zentral ab. Verstreut auf drei Outlook-Postfächer nützen sie euch nichts, wenn es eilig wird.
Bevor der nächste Fragebogen deines Versicherers auf dem Schreibtisch landet: Lass dir von IPEXX deine Schulungsnachweise sauber zusammenstellen, damit im Schadenfall alles griffbereit ist.
Technik und Schulung wirken nur zusammen
Das Fundament muss stehen
Geschulte Leute ohne funktionierende Backups sind ein halber Schutz. Funktionierende Backups ohne geschulte Leute genauso. Das BSI empfiehlt Unternehmen ausdrücklich, ihre Mitarbeitenden für Risiken durch Phishing und CEO-Fraud zu sensibilisieren und die Schwachstelle Mensch in der Sicherheitskette zu stärken.6 Gleichzeitig zeigt der Lagebericht, dass bekannte Schwachstellen in Systemen viel zu oft zu spät oder gar nicht gepatcht werden.1 Eine Mitarbeiterschulung ersetzt das Patchen nicht, sie macht es wirksamer.
Das Fundament selbst ist überschaubar. Getestete Backups, die offline oder getrennt liegen. Updates, die automatisch kommen. Zwei-Faktor-Authentifizierung für alles, was von außen erreichbar ist. Rechte, die sich am tatsächlichen Bedarf orientieren. Der Buchhalter braucht keinen Zugriff auf die Konstruktionsdaten. Diese Punkte erklären wir in der Mitarbeiterschulung mit, damit im Team klar ist, warum plötzlich ein Code aufs Handy kommt.
Wo IPEXX ansetzt
Wir starten mit einer Bestandsaufnahme, die einen halben Tag dauert und bei euch im Betrieb stattfindet. Wer arbeitet womit, welche Systeme hängen am Internet, wie laufen Zahlungsfreigaben, was passiert bei einem Ausfall der Auftragsverwaltung. Daraus wird eine Prioritätenliste. Danach kommt der Plan für die Mitarbeiterschulung über zwölf Monate, abgestimmt auf eure Schichten und eure Auftragslage. Im Winter schult es sich in einem Bauhandwerksbetrieb leichter als im Juni, das weiß jeder, der schon mal einen Termin im Mai gesucht hat.
Als Systemhaus in Wörnitz sind wir eine knappe Autostunde von Ansbach, Crailsheim und Rothenburg entfernt. Deshalb findet jede Mitarbeiterschulung bei euch vor Ort statt. In der Werkstatt, in der Kantine, an dem Rechner, an dem die Kollegin jeden Tag sitzt.
Wie du in den nächsten vier Wochen anfängst
Drei Schritte ohne großes Projekt
Erstens: Frag in der nächsten Betriebsversammlung, wer im letzten Monat eine verdächtige Mail bekommen hat. Die Antworten sagen dir mehr über deinen Ist-Zustand als jede Checkliste. Zweitens: Klär den Meldeweg. Eine Nummer, ein Name, jederzeit erreichbar. Drittens: Setz einen Termin für die erste Mitarbeiterschulung an und lade alle ein, auch die Aushilfen.
Für den Start reicht das. Der Rest wächst daran, und die zweite Mitarbeiterschulung planst du dann schon selbst.
Was du danach messen kannst
Nach sechs Monaten schaust du auf drei Zahlen: gemeldete Verdachtsfälle, Klickquote in der Simulation, Zeit zwischen Klick und Meldung. Wenn die erste Zahl steigt und die beiden anderen sinken, wirkt eure Mitarbeiterschulung. Bewegt sich nichts, stimmt etwas am Format oder an der Kultur, und dann reden wir bei IPEXX über beides.
Eine Sache bleibt jedoch noch zu erwähnen: Angreifer arbeiten inzwischen mit KI-gestützten Texten, und das BKA hält es für wahrscheinlich, dass KI eine weitere Zunahme von Cyberstraftaten in Deutschland begünstigt.2 Die Rechtschreibfehler, an denen man Phishing früher erkannt hat, verschwinden gerade. Was dann noch trägt, ist der Ablauf im Kopf: prüfen, anrufen, melden. Ob eine Mitarbeiterschulung reicht, wenn eines Morgens die geklonte Stimme deines Steuerberaters am Telefon ist, weiß im Moment ehrlich gesagt niemand. Wir üben genau das mit unseren Kunden inzwischen durch. Was dabei rauskommt, erzählen wir dir beim nächsten Mal.
Warte nicht, bis die geklonte Stimme bei dir im Büro anruft. Buch jetzt die erste Mitarbeiterschulung bei IPEXX, wir bringen die aktuellen Angriffsmuster mit in deine Werkstatt
Wie oft muss ich mein Team überhaupt schulen?
Für die meisten Betriebe passt ein Rhythmus von drei bis vier kurzen Einheiten im Jahr. Einmalige Aktionen verpuffen nach wenigen Wochen, weil der Alltag alles überschreibt. Eine Mitarbeiterschulung wirkt dann am besten, wenn sie regelmäßig wiederkommt und dazwischen kleine Erinnerungen laufen. IPEXX plant die Termine zwölf Monate im Voraus und legt sie so, dass Produktion und Montage weiterlaufen.
Was kostet das für einen Betrieb mit zwanzig Leuten?
Eine Mitarbeiterschulung kostet meistens im niedrigen vierstelligen Bereich pro Jahr, inklusive Simulationen und Dokumentation. Zum Vergleich: Vier Tage Stillstand in der Fertigung kosten ein Vielfaches davon, dazu kommen Überstunden und verärgerte Kunden. IPEXX rechnet dir das vor dem Start konkret durch, damit du eine Zahl hast und keine Schätzung aus dem Bauch heraus.
Reicht eine gute Firewall nicht aus?
Eine Firewall filtert Verbindungen. Sie kann eine Mail durchlassen, die technisch sauber aussieht und trotzdem eine Falle ist. Der Gesamtverband der Deutschen Versicherungswirtschaft nennt eine klare Zahl: 70 Prozent der erfolgreichen Angriffe starten mit einer Phishing-Mail, die im Team nicht erkannt wird. Genau deshalb ergänzt eine Mitarbeiterschulung die Technik an der Stelle, an der Technik aufhört.
Muss wirklich jeder mitmachen, auch die Aushilfen?
Ja. Angreifer suchen sich das schwächste Glied, und das sitzt oft dort, wo niemand es vermutet. Die Aushilfe im Lager hat genauso ein Postfach wie die Buchhaltung, der Monteur hat ein Firmenhandy. Eine Mitarbeiterschulung, die halbe Abteilungen auslässt, hinterlässt genau die Lücke, über die der Angriff später läuft. Die Geschäftsführung gehört ebenfalls in den Raum.
Wie lange dauert so ein Termin, und steht dabei die Produktion?
Zwanzig bis dreißig Minuten pro Mitarbeiterschulung reichen völlig. Wir kommen zu euch, machen zwei oder drei Durchgänge hintereinander und passen uns an den Schichtplan an. Damit erwischen wir Frühschicht und Spätschicht, ohne dass eine Maschine ausgeht. In vielen Betrieben in Mittelfranken läuft das direkt im Pausenraum, mit Kaffee und ohne Beamerpräsentation aus dem Lehrbuch.
Was passiert, wenn jemand trotzdem auf eine falsche Mail klickt?
Dann zählt Tempo. Rechner vom Netz nehmen, Meldeweg anrufen, nichts löschen und nichts vertuschen. Wer in den ersten Minuten Bescheid gibt, verhindert in vielen Fällen die Verschlüsselung des ganzen Servers. Eine Mitarbeiterschulung trainiert genau diesen Ablauf, damit im Ernstfall niemand erst überlegt, wen er anrufen soll. IPEXX hinterlegt dafür eine feste Nummer.
Verlangt meine Cyberversicherung Nachweise über solche Termine?
In der Regel ja. Versicherer fragen vor Vertragsabschluss nach Backups, Zugangsschutz und Schulungen, und im Schadenfall willst du die Antworten belegen können. Für jede Mitarbeiterschulung reichen Teilnehmerlisten mit Datum, eine Inhaltsübersicht und die Auswertung der Simulationen. IPEXX legt diese Unterlagen zentral ab, damit sie im Ernstfall in fünf Minuten auf dem Tisch liegen.
Woran merke ich, ob das Ganze etwas gebracht hat?
An drei Zahlen. Erstens: Wie viele verdächtige Mails meldet dein Team im Monat? Zweitens: Wie viele Leute klicken in einer simulierten Phishing-Mail? Drittens: Wie viel Zeit liegt zwischen Klick und Meldung? Steigt die erste Zahl und sinken die anderen beiden, wirkt eure Mitarbeiterschulung. Bewegt sich nichts, ändern wir das Format.
Kann ich das nicht einfach mit einem Video im Intranet erledigen?
Ein Video ist besser als gar nichts und schwächer als ein Gespräch. Die Leute stellen Fragen, die kein Video beantwortet, und erzählen von Mails, die sie letzte Woche bekommen haben. Genau diese Beispiele machen eine Mitarbeiterschulung wirksam. Wir setzen Videos deshalb nur als Auffrischung zwischen zwei Terminen ein, niemals als Ersatz.
Was ist der erste Schritt, wenn ich anfangen will?
Eine Bestandsaufnahme im Betrieb, ein halber Tag. Wer arbeitet womit, welche Systeme hängen am Internet, wie laufen Zahlungsfreigaben, was passiert bei einem Ausfall der Auftragsverwaltung. Daraus wird eine Prioritätenliste und der Plan für die erste Mitarbeiterschulung. Ruf bei IPEXX in Wörnitz an und vereinbar den Termin, der Rest ergibt sich daraus.