Dauerhaft merken: verteilte Wiederholung und Quiz
Warum eine nur einmal besuchte Schulung nicht genügt und was NIST, ENISA und NCSC zu kontinuierlicher Sensibilisierung sagen.
In 30 Sekunden
- Wo es vorkommt
- In jedem Sensibilisierungsprogramm, ob es aus einer jährlichen Sitzung oder aus kurzen, regelmäßigen Erinnerungen besteht.
- Was die Agenturen sagen
- Ein Lernprogramm wird als Zyklus fortlaufender Verbesserungen angelegt1.
- Der Reflex
- Kurze Erinnerungen nutzen, wenn sie eintreffen, Quizfragen beantworten, ohne die Antwort nachzuschlagen, und eine verdächtige Nachricht melden, statt sie zu ignorieren.
Worum es geht
Eine Cybersicherheitsschulung, die nur einmal besucht wird, hinterlässt wenig Spuren, wenn danach nichts mehr daran erinnert. Dieser Beitrag stellt drei Methoden vor, damit gute Reflexe erhalten bleiben: zeitlich verteilte Erinnerungen, Fragen, bei denen die Antwort aus dem Gedächtnis abgerufen werden muss (das Quiz), und Übungen in Situationen, die dem realen Arbeitsalltag nahekommen.
Der Beitrag stützt sich auf Texte von Behörden und Agenturen: NIST, ENISA, CISA und NCSC. Diese Texte handeln von fortlaufenden Programmen, von Kultur und von Verhalten. Keines der gelesenen Dokumente beschreibt die Funktionsweise des Gedächtnisses, und keines misst das Vergessen nach einer einzelnen Sitzung. Der Beitrag hält sich deshalb an das, was die Agenturen schreiben, und weist darauf hin, was sie nicht sagen.
Direkte Fragen
Warum wird eine nur einmal besuchte Schulung vergessen?
Die hier zitierten Quellen beantworten diese Frage nicht. Sie enthalten weder eine Messung des Vergessens noch eine Studie zum Gedächtnis. Was sie zeigen, ist indirekt: Die Agenturen verstehen Sensibilisierung als einen Prozess, der andauert. Das NIST stellt in seinem Richtlinienentwurf ein Lebenszyklusmodell vor, „that allows for ongoing, iterative improvements“, das heißt fortlaufende und wiederholte Verbesserungen1.
Was sind verteilte Wiederholung, Quiz und Übung in realitätsnahen Situationen?
Verteilte Wiederholung bedeutet, einen Inhalt in Abständen erneut durchzugehen, zum Beispiel in wenigen Minuten pro Durchgang. Beim Quiz muss man die Antwort abrufen, statt sie noch einmal zu lesen. Bei der Übung in realitätsnahen Situationen steht der Beschäftigte vor einem Fall, der seiner Arbeit nahekommt. Diese drei Methoden werden in den hier zitierten Quellen nicht benannt: Sie dienen hier als Raster, um die Empfehlungen der Agenturen zu lesen, ohne ihnen Ansichten zuzuschreiben, die sie nicht äußern.
Was ändert sich für mich gegenüber einer jährlichen Sitzung?
Eine jährliche Sitzung findet einmal statt, an einem festgelegten Termin. Kurze Erinnerungen kehren im Lauf des Jahres wieder. Die Agenturen schaffen genau solche wiederkehrenden Anlässe: Der Oktober ist der Europäische Monat der Cybersicherheit, getragen von der ENISA und der Europäischen Kommission2, und der Oktober ist in den Vereinigten Staaten zugleich der Monat der Cybersicherheitssensibilisierung, mit vier Grundmaßnahmen, die jeder umsetzen kann3.
Was wird über Beschäftigte gesagt, die ihre Verantwortung nicht kennen?
Das NIST schreibt in einem Entwurf von 2013, dass jede Person, die Informationen besitzt, nutzt, sich auf sie stützt oder sie verwaltet, „must fully understand their specific security responsibilities“4. Dieser Text ist ein Entwurf für rollenbasierte Schulung, der inzwischen durch eine spätere Fassung ersetzt wurde4.
1Was sich für Beschäftigte ändert1 min
Für Beschäftigte betrifft die Veränderung die Häufigkeit und die Form. Statt eines langen Moduls, das einmal absolviert wird, sieht ein als Zyklus angelegtes Programm regelmäßige Wiederholungen vor. Das NIST beschreibt seinen Ansatz als ein Modell, das Änderungen erlaubt, „to accommodate cybersecurity, privacy, and organization-specific events“, also eines, das sich an Ereignisse anpasst, die für die jeweilige Organisation typisch sind1.
Die Agenturen betonen auch Gewohnheiten. Die ENISA führt Kampagnen durch, die bewährte Praktiken und einen Verhaltenswandel fördern, mit der Verbesserung der digitalen Hygiene als zentraler Achse: Menschen sollen „the knowledge and habits“ erhalten, die nötig sind, um alltägliche Risiken zu erkennen und zu verringern2.
Die CISA hebt eine konkrete Handlung hervor: Unter vier Grundmaßnahmen steht, Phishing-Nachrichten zu vermeiden und zu melden3. Das britische NCSC gibt an, dass das Melden einer betrügerischen Nachricht kostenlos ist und eine Minute dauert5. Es führt aus, dass Melden dazu beiträgt, die Zahl der erhaltenen betrügerischen Nachrichten zu senken und andere zu schützen5.
2Was sich für die Geschäftsleitung ändertGeschäftsleitung1 min
Für die Geschäftsleitung sprechen die gelesenen Texte von Programm, Zyklus und Messung. Der NIST-Entwurf nennt unter seinen Zielen, Lernprogramme in die Ziele der Organisation zum Umgang mit Risiken einzubinden, eine auf die Beschäftigten ausgerichtete Cybersicherheitskultur anzubieten und die Schwierigkeit anzugehen, die Wirkung von Programmen zu messen1. Er schlägt zudem Kennzahlen und Bewertungsmethoden vor, damit das Programm regelmäßig verbessert wird1.
Die ENISA wiederum strebt ein Ökosystem an, in dem gute digitale Hygiene in allen Sektoren „embedded as a standard practice“ ist2. Sie veröffentlicht Werkzeuge für Organisationen, darunter eine aktualisierte Fassung von „Awareness Raising in a Box“, erschienen am 10. April 20242. Die CISA stellt ein Toolkit bereit, mit dem Organisationen eigene Kampagnen aufbauen können3.
Ein ENISA-Bericht von 2019 behandelt die menschlichen Aspekte der Cybersicherheit, unter anderem aus Psychologie, Soziologie, Anthropologie und Verhaltensökonomie6.
3Was der Text sagtAmtlicher Text1 min
Keine der hier zitierten Quellen ist ein verbindlicher Rechtstext zu verteilter Wiederholung, Quiz oder Übung in realitätsnahen Situationen. Es handelt sich um Leitlinien, Kampagnenseiten und Berichte.
Der Entwurf NIST SP 800-50 Rev. 1, veröffentlicht am 28. August 2023, soll US-Bundesbehörden und anderen Organisationen helfen, ein Lernprogramm für Cybersicherheit und Datenschutz nach einem Lebenszyklusansatz aufzubauen1. Er richtet sich an große und kleine Organisationen und an unterschiedliche Gruppen von Beschäftigten1. Die erste Fassung dieses Leitfadens stammt von 20031.
NIST SP 800-16 Rev. 1 beschreibt in seiner zweiten Arbeitsfassung vom Oktober 2013 eine rollenbasierte Schulungsmethode für Personal mit wichtigen Aufgaben in der IT-Sicherheit4.
Auf europäischer Seite erklärt die ENISA, dass ihre Kampagnen auf einen Wandel von Verhalten und Kultur zielen2. Ein ENISA-Bericht zu Cybersicherheitskompetenzen, veröffentlicht am 24. November 2021, analysiert das Angebot an Kompetenzen in Europa und die politischen Maßnahmen der Mitgliedstaaten zur Stärkung ihrer Fachkräfte7.
4Stand der Umsetzung1 min
Der Entwurf NIST SP 800-50 Rev. 1 von 2023 wurde ersetzt: Die Seite gibt an, dass er mit der Endfassung am 12. September 2024 obsolet wurde1. Die öffentliche Kommentierungsfrist ist beendet1. Der Inhalt der Endfassung steht nicht in den hier zitierten Quellen. Bei NIST SP 800-16 Rev. 1 ist die zweite Arbeitsfassung seit dem 14. März 2014 obsolet und durch eine dritte ersetzt4.
Zu NIS 2 geben die hier zitierten Quellen weder den Stand der Umsetzung noch Schulungspflichten an. Nur eine Information kommt dem nahe: Die ENISA-Seite verweist auf ein Dokument vom 26. Juni 2025, erstellt nach den Artikeln 6 und 10 der Verordnung zur Cybersicherheit, zu den Kompetenzen und Rollen der Cybersicherheitsfachleute, die wesentliche und wichtige Einrichtungen im Sinne von NIS 2 benötigen7. Der Text dieses Dokuments wurde nicht gelesen. Er erlaubt nicht die Aussage, dass NIS 2 verteilte Erinnerungen, Quiz oder Übungen in realitätsnahen Situationen vorschreibt.
Schließlich veröffentlicht das NCSC Gesamtzahlen: Im September 2026 waren es mehr als 59,6 Millionen eingegangene Meldungen und 263.700 entfernte Betrugsmaschen auf 466.300 Adressen5.
Merkblatt
- Kennung
- CP-389
- Flügel
- 6. Governance und GRC
- Brain-Kompetenz
- Mit BRAIN lernen (learn_with_brain)
- Brain-Reflex
- air-009
- Schema
- G2 · Mythos gegen Realität
- Sprachen
- de, en, fr
- Quellen
- 7 Quellen geprüft am 3. November 2026
Quellen7 Quellen
- NIST, „Building a Cybersecurity and Privacy Learning Program“, 28. August 2023. https://csrc.nist.gov/pubs/sp/800/50/r1/ipd (abgerufen am 3. November 2026)
- ENISA, „Awareness and Cyber Hygiene“. https://www.enisa.europa.eu/topics/awareness-and-cyber-hygiene (abgerufen am 3. November 2026)
- CISA, „Cybersecurity Awareness Month“. https://www.cisa.gov/cybersecurity-awareness-month (abgerufen am 3. November 2026)
- NIST, „A Role-Based Model for Federal Information Technology/Cybersecurity Training“. https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (abgerufen am 3. November 2026)
- NCSC (Royaume-Uni), „Phishing scams: how to spot and report them“, 26. November 2021. https://www.ncsc.gov.uk/collection/phishing-scams (abgerufen am 3. November 2026)
- ENISA, „Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity“, 16. April 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (abgerufen am 3. November 2026)
- ENISA, „Addressing Skills Shortage and Gap Through Higher Education“, 24. November 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (abgerufen am 3. November 2026)
Diesen Artikel zitieren
Brain, „Dauerhaft merken: verteilte Wiederholung und Quiz“, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp389_de_2026,
author = {Brain},
title = {Dauerhaft merken: verteilte Wiederholung und Quiz},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/de/articles/dauerhaft-merken-verteilte-wiederholung-quiz/},
note = {CC BY 4.0}
}