--- id: CP-389 slug: dauerhaft-merken-verteilte-wiederholung-quiz lang: de title: "Dauerhaft merken: verteilte Wiederholung und Quiz" description: Warum eine nur einmal besuchte Schulung nicht genügt und was NIST, ENISA und NCSC zu kontinuierlicher Sensibilisierung sagen. canonical_url: https://startbrain.io/cyberpedia/de/articles/dauerhaft-merken-verteilte-wiederholung-quiz/ markdown_url: https://startbrain.io/cyberpedia/de/articles/dauerhaft-merken-verteilte-wiederholung-quiz.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, „Dauerhaft merken: verteilte Wiederholung und Quiz“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/dauerhaft-merken-verteilte-wiederholung-quiz/ (CC BY 4.0)" wing: 6 theme: learn_with_brain reflex: air-009 schema: G2 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/dauerhaft-merken-verteilte-wiederholung-quiz/ fr: https://startbrain.io/cyberpedia/fr/articles/memorisation-durable-repetition-espacee-quiz/ en: https://startbrain.io/cyberpedia/en/articles/lasting-memory-spaced-repetition-quizzes/ es: https://startbrain.io/cyberpedia/es/articles/memorizacion-duradera-repeticion-espaciada-cuestionarios/ sources: - "n": 1 title: Building a Cybersecurity and Privacy Learning Program publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/50/r1/ipd published: "2023-08-28" accessed: "2026-11-03" - "n": 2 title: Awareness and Cyber Hygiene publisher: ENISA url: https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene accessed: "2026-11-03" - "n": 3 title: Cybersecurity Awareness Month publisher: CISA url: https://www.cisa.gov/cybersecurity-awareness-month accessed: "2026-11-03" - "n": 4 title: A Role-Based Model for Federal Information Technology/Cybersecurity Training publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/16/r1/2pd accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: "Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity" publisher: ENISA url: https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity published: "2019-04-16" accessed: "2026-11-03" - "n": 7 title: Addressing Skills Shortage and Gap Through Higher Education publisher: ENISA url: https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education published: "2021-11-24" accessed: "2026-11-03" --- # Dauerhaft merken: verteilte Wiederholung und Quiz Eine Cybersicherheitsschulung, die nur einmal besucht wird, hinterlässt wenig Spuren, wenn danach nichts mehr daran erinnert. Dieser Beitrag stellt drei Methoden vor, damit gute Reflexe erhalten bleiben: zeitlich verteilte Erinnerungen, Fragen, bei denen die Antwort aus dem Gedächtnis abgerufen werden muss (das Quiz), und Übungen in Situationen, die dem realen Arbeitsalltag nahekommen. Der Beitrag stützt sich auf Texte von Behörden und Agenturen: NIST, ENISA, CISA und NCSC. Diese Texte handeln von fortlaufenden Programmen, von Kultur und von Verhalten. Keines der gelesenen Dokumente beschreibt die Funktionsweise des Gedächtnisses, und keines misst das Vergessen nach einer einzelnen Sitzung. Der Beitrag hält sich deshalb an das, was die Agenturen schreiben, und weist darauf hin, was sie nicht sagen. ## In 30 Sekunden - Wo es vorkommt: in jedem Sensibilisierungsprogramm, ob es aus einer jährlichen Sitzung oder aus kurzen, regelmäßigen Erinnerungen besteht. - Was die Agenturen sagen: Ein Lernprogramm wird als Zyklus fortlaufender Verbesserungen angelegt [1]. - Der Reflex: Kurze Erinnerungen nutzen, wenn sie eintreffen, Quizfragen beantworten, ohne die Antwort nachzuschlagen, und eine verdächtige Nachricht melden, statt sie zu ignorieren. - Falls Sie schon geschult wurden: Eine früher besuchte Sitzung ersetzt die Erinnerungen nicht. ENISA und CISA führen im Oktober Kampagnen durch, und die CISA bietet ein Toolkit für 2026 an [2][3]. ## Direkte Fragen ### Warum wird eine nur einmal besuchte Schulung vergessen? Die hier zitierten Quellen beantworten diese Frage nicht. Sie enthalten weder eine Messung des Vergessens noch eine Studie zum Gedächtnis. Was sie zeigen, ist indirekt: Die Agenturen verstehen Sensibilisierung als einen Prozess, der andauert. Das NIST stellt in seinem Richtlinienentwurf ein Lebenszyklusmodell vor, „that allows for ongoing, iterative improvements“, das heißt fortlaufende und wiederholte Verbesserungen [1]. ### Was sind verteilte Wiederholung, Quiz und Übung in realitätsnahen Situationen? Verteilte Wiederholung bedeutet, einen Inhalt in Abständen erneut durchzugehen, zum Beispiel in wenigen Minuten pro Durchgang. Beim Quiz muss man die Antwort abrufen, statt sie noch einmal zu lesen. Bei der Übung in realitätsnahen Situationen steht der Beschäftigte vor einem Fall, der seiner Arbeit nahekommt. Diese drei Methoden werden in den hier zitierten Quellen nicht benannt: Sie dienen hier als Raster, um die Empfehlungen der Agenturen zu lesen, ohne ihnen Ansichten zuzuschreiben, die sie nicht äußern. ### Was ändert sich für mich gegenüber einer jährlichen Sitzung? Eine jährliche Sitzung findet einmal statt, an einem festgelegten Termin. Kurze Erinnerungen kehren im Lauf des Jahres wieder. Die Agenturen schaffen genau solche wiederkehrenden Anlässe: Der Oktober ist der Europäische Monat der Cybersicherheit, getragen von der ENISA und der Europäischen Kommission [2], und der Oktober ist in den Vereinigten Staaten zugleich der Monat der Cybersicherheitssensibilisierung, mit vier Grundmaßnahmen, die jeder umsetzen kann [3]. ### Was wird über Beschäftigte gesagt, die ihre Verantwortung nicht kennen? Das NIST schreibt in einem Entwurf von 2013, dass jede Person, die Informationen besitzt, nutzt, sich auf sie stützt oder sie verwaltet, „must fully understand their specific security responsibilities“ [4]. Dieser Text ist ein Entwurf für rollenbasierte Schulung, der inzwischen durch eine spätere Fassung ersetzt wurde [4]. ## Was sich für Beschäftigte ändert Für Beschäftigte betrifft die Veränderung die Häufigkeit und die Form. Statt eines langen Moduls, das einmal absolviert wird, sieht ein als Zyklus angelegtes Programm regelmäßige Wiederholungen vor. Das NIST beschreibt seinen Ansatz als ein Modell, das Änderungen erlaubt, „to accommodate cybersecurity, privacy, and organization-specific events“, also eines, das sich an Ereignisse anpasst, die für die jeweilige Organisation typisch sind [1]. Die Agenturen betonen auch Gewohnheiten. Die ENISA führt Kampagnen durch, die bewährte Praktiken und einen Verhaltenswandel fördern, mit der Verbesserung der digitalen Hygiene als zentraler Achse: Menschen sollen „the knowledge and habits“ erhalten, die nötig sind, um alltägliche Risiken zu erkennen und zu verringern [2]. Die CISA hebt eine konkrete Handlung hervor: Unter vier Grundmaßnahmen steht, Phishing-Nachrichten zu vermeiden und zu melden [3]. Das britische NCSC gibt an, dass das Melden einer betrügerischen Nachricht kostenlos ist und eine Minute dauert [5]. Es führt aus, dass Melden dazu beiträgt, die Zahl der erhaltenen betrügerischen Nachrichten zu senken und andere zu schützen [5]. ## Was sich für die Geschäftsleitung ändert Für die Geschäftsleitung sprechen die gelesenen Texte von Programm, Zyklus und Messung. Der NIST-Entwurf nennt unter seinen Zielen, Lernprogramme in die Ziele der Organisation zum Umgang mit Risiken einzubinden, eine auf die Beschäftigten ausgerichtete Cybersicherheitskultur anzubieten und die Schwierigkeit anzugehen, die Wirkung von Programmen zu messen [1]. Er schlägt zudem Kennzahlen und Bewertungsmethoden vor, damit das Programm regelmäßig verbessert wird [1]. Die ENISA wiederum strebt ein Ökosystem an, in dem gute digitale Hygiene in allen Sektoren „embedded as a standard practice“ ist [2]. Sie veröffentlicht Werkzeuge für Organisationen, darunter eine aktualisierte Fassung von „Awareness Raising in a Box“, erschienen am 10. April 2024 [2]. Die CISA stellt ein Toolkit bereit, mit dem Organisationen eigene Kampagnen aufbauen können [3]. Ein ENISA-Bericht von 2019 behandelt die menschlichen Aspekte der Cybersicherheit, unter anderem aus Psychologie, Soziologie, Anthropologie und Verhaltensökonomie [6]. ## Was der Text sagt Keine der hier zitierten Quellen ist ein verbindlicher Rechtstext zu verteilter Wiederholung, Quiz oder Übung in realitätsnahen Situationen. Es handelt sich um Leitlinien, Kampagnenseiten und Berichte. Der Entwurf NIST SP 800-50 Rev. 1, veröffentlicht am 28. August 2023, soll US-Bundesbehörden und anderen Organisationen helfen, ein Lernprogramm für Cybersicherheit und Datenschutz nach einem Lebenszyklusansatz aufzubauen [1]. Er richtet sich an große und kleine Organisationen und an unterschiedliche Gruppen von Beschäftigten [1]. Die erste Fassung dieses Leitfadens stammt von 2003 [1]. NIST SP 800-16 Rev. 1 beschreibt in seiner zweiten Arbeitsfassung vom Oktober 2013 eine rollenbasierte Schulungsmethode für Personal mit wichtigen Aufgaben in der IT-Sicherheit [4]. Auf europäischer Seite erklärt die ENISA, dass ihre Kampagnen auf einen Wandel von Verhalten und Kultur zielen [2]. Ein ENISA-Bericht zu Cybersicherheitskompetenzen, veröffentlicht am 24. November 2021, analysiert das Angebot an Kompetenzen in Europa und die politischen Maßnahmen der Mitgliedstaaten zur Stärkung ihrer Fachkräfte [7]. ## Stand der Umsetzung Der Entwurf NIST SP 800-50 Rev. 1 von 2023 wurde ersetzt: Die Seite gibt an, dass er mit der Endfassung am 12. September 2024 obsolet wurde [1]. Die öffentliche Kommentierungsfrist ist beendet [1]. Der Inhalt der Endfassung steht nicht in den hier zitierten Quellen. Bei NIST SP 800-16 Rev. 1 ist die zweite Arbeitsfassung seit dem 14. März 2014 obsolet und durch eine dritte ersetzt [4]. Zu NIS 2 geben die hier zitierten Quellen weder den Stand der Umsetzung noch Schulungspflichten an. Nur eine Information kommt dem nahe: Die ENISA-Seite verweist auf ein Dokument vom 26. Juni 2025, erstellt nach den Artikeln 6 und 10 der Verordnung zur Cybersicherheit, zu den Kompetenzen und Rollen der Cybersicherheitsfachleute, die wesentliche und wichtige Einrichtungen im Sinne von NIS 2 benötigen [7]. Der Text dieses Dokuments wurde nicht gelesen. Er erlaubt nicht die Aussage, dass NIS 2 verteilte Erinnerungen, Quiz oder Übungen in realitätsnahen Situationen vorschreibt. Schließlich veröffentlicht das NCSC Gesamtzahlen: Im September 2026 waren es mehr als 59,6 Millionen eingegangene Meldungen und 263.700 entfernte Betrugsmaschen auf 466.300 Adressen [5]. ## Quellen 1. NIST, „Building a Cybersecurity and Privacy Learning Program“, 28. August 2023. https://csrc.nist.gov/pubs/sp/800/50/r1/ipd (abgerufen am 3. November 2026) 2. ENISA, „Awareness and Cyber Hygiene“. https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene (abgerufen am 3. November 2026) 3. CISA, „Cybersecurity Awareness Month“. https://www.cisa.gov/cybersecurity-awareness-month (abgerufen am 3. November 2026) 4. NIST, „A Role-Based Model for Federal Information Technology/Cybersecurity Training“. https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (abgerufen am 3. November 2026) 5. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them“, 26. November 2021. https://www.ncsc.gov.uk/collection/phishing-scams (abgerufen am 3. November 2026) 6. ENISA, „Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity“, 16. April 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (abgerufen am 3. November 2026) 7. ENISA, „Addressing Skills Shortage and Gap Through Higher Education“, 24. November 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/dauerhaft-merken-verteilte-wiederholung-quiz/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.