--- id: CP-388 slug: ebbinghaus-vergessenskurve-jahrliche-schulung lang: de title: Die Vergessenskurve von Ebbinghaus description: "Warum eine einzige Schulung im Jahr nicht genügt: Was ENISA, NIST, NCSC und CISA zu Gestaltung und Messung von Awareness-Programmen sagen." canonical_url: https://startbrain.io/cyberpedia/de/articles/ebbinghaus-vergessenskurve-jahrliche-schulung/ markdown_url: https://startbrain.io/cyberpedia/de/articles/ebbinghaus-vergessenskurve-jahrliche-schulung.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Die Vergessenskurve von Ebbinghaus“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/ebbinghaus-vergessenskurve-jahrliche-schulung/ (CC BY 4.0) wing: 6 theme: learn_with_brain reflex: cr-015 schema: G2 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/ebbinghaus-vergessenskurve-jahrliche-schulung/ fr: https://startbrain.io/cyberpedia/fr/articles/courbe-oubli-ebbinghaus-formation-annuelle/ en: https://startbrain.io/cyberpedia/en/articles/ebbinghaus-forgetting-curve-annual-training/ es: https://startbrain.io/cyberpedia/es/articles/curva-olvido-ebbinghaus-formacion-anual/ sources: - "n": 1 title: "Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity" publisher: ENISA url: https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity published: "2019-04-16" accessed: "2026-11-03" - "n": 2 title: Addressing Skills Shortage and Gap Through Higher Education publisher: ENISA url: https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education published: "2021-11-24" accessed: "2026-11-03" - "n": 3 title: Building a Cybersecurity and Privacy Learning Program publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/50/r1/final published: "2024-09-12" accessed: "2026-11-03" - "n": 4 title: A Role-Based Model for Federal Information Technology/Cybersecurity Training publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/16/r1/2pd published: "2013-10-24" accessed: "2026-11-03" - "n": 5 title: "Phishing scams: how to spot and report them" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/phishing-scams published: "2021-11-26" accessed: "2026-11-03" - "n": 6 title: Cybersecurity Awareness Month publisher: CISA url: https://www.cisa.gov/cybersecurity-awareness-month accessed: "2026-11-03" --- # Die Vergessenskurve von Ebbinghaus Hinterlässt eine einstündige Sensibilisierungsveranstaltung, die nur einmal im Jahr stattfindet, bleibende Spuren? Die Vergessenskurve von Ebbinghaus dient diesem Beitrag als Ausgangspunkt, um daran zu zweifeln. Der Beitrag zieht daraus einen einfachen Gedanken: Kurze, wiederholte Erinnerungen sind besser als eine große, einzelne Veranstaltung. Vorab eine Klarstellung. Die für diesen Beitrag herangezogenen Seiten sind Leitfäden und Orientierungsseiten von ENISA, NIST, dem britischen NCSC und der CISA. Keine davon beschreibt die Ebbinghaus-Kurve oder beziffert, was Beschäftigte nach einigen Wochen noch behalten. Der Beitrag nennt daher keinen Prozentwert für das Vergessen. Er beschränkt sich auf das, was diese Stellen zur Gestaltung und Begleitung von Sensibilisierungsprogrammen sagen. ## In 30 Sekunden - Wo es vorkommt: in jeder Organisation, die die Sensibilisierung auf eine jährliche Veranstaltung beschränkt. - Was Sie mitnehmen sollten: Der NIST-Leitfaden beschreibt einen Lebenszyklusansatz mit Bewertungsmethoden, um das Programm regelmäßig zu verbessern und zu aktualisieren [3]. - Der Reflex: Melden Sie eine verdächtige Nachricht sofort, ohne auf die nächste Schulung zu warten. - Wenn es schon passiert ist: Wenn Sie auf eine zweifelhafte Nachricht geantwortet haben, informieren Sie umgehend Ihr Sicherheitsteam. Das NCSC, der britische Dienst, veröffentlicht eine Seite dazu, wie man eine verdächtige Nachricht meldet und was nach der Antwort auf eine Betrugs-E-Mail zu tun ist [5]. ## Direkte Fragen ### Was besagt die Vergessenskurve von Ebbinghaus? Keine der hier zitierten Quellen beschreibt sie. Der Beitrag kann deshalb ihre Werte nicht wiedergeben. Ihr Zusammenhang mit der jährlichen Schulung bleibt eine Arbeitshypothese dieses Beitrags und ist kein Ergebnis, das die herangezogenen Seiten belegen. ### Genügt eine Schulung pro Jahr? Die herangezogenen Seiten sagen es nicht in diesen Worten. Das NIST beschreibt jedoch einen Lebenszyklusansatz, der Sensibilisierung, Schulung und Bildung gemeinsam steuert, mit Bewertungsmethoden, um das Programm regelmäßig zu verbessern und zu aktualisieren [3]. Man kann daraus ableiten, ohne dass die Quelle es sagt, dass ein solches Programm über eine Veranstaltung pro Jahr hinausgeht. ### Was erwarten die Leitfäden von einem Sensibilisierungsprogramm? Das NIST schreibt: „The program should encourage behavior change as part of risk management and lead to developing a privacy and security culture in the organization.“ [3] Das erklärte Ziel ist also eine Verhaltensänderung. ### Gibt es einen europäischen Leitfaden zur Sicherheitskultur? Ja. Die ENISA hat am 16. April 2019 einen Bericht zu den menschlichen Aspekten der Cybersicherheit veröffentlicht. Er behandelt Psychologie und Soziologie, aber auch Ethnografie, Anthropologie, Humanbiologie und Verhaltensökonomie [1]. ## Was sich für Beschäftigte ändert Für Beschäftigte kommt es praktisch darauf an, nicht von einer Erinnerung abzuhängen. Eine einmal besuchte Veranstaltung ersetzt keinen einfachen Handgriff, der jederzeit verfügbar ist. Das NCSC nennt ein Beispiel: das Melden einer Phishing-Nachricht. Laut seiner Seite ist das Melden kostenlos und dauert nur eine Minute: „Reporting a scam is free and only takes a minute.“ [5] Das NCSC erklärt, dass solche Meldungen die Zahl der erhaltenen betrügerischen Nachrichten verringern, einen zum schwierigeren Ziel machen und andere schützen [5]. Der Dienst gibt außerdem an, befugt zu sein, betrügerische Adressen und Websites zu untersuchen und entfernen zu lassen [5]. Das NCSC nennt zudem eine Gewohnheit, für die keine Schulung nötig ist: Kriminelle nutzen online verfügbare Informationen, auch aus sozialen Netzwerken, um ihre Nachrichten überzeugender zu machen. Wer überlegt, was er veröffentlicht, und seine Datenschutzeinstellungen überprüft, verringert das Risiko, zum Ziel zu werden [5]. Die CISA fasst die Grundregeln in vier Punkten zusammen, die im Oktober im Cybersecurity Awareness Month vorgestellt werden: Phishing vermeiden und melden, starke Passwörter verwenden, die Multifaktor-Authentifizierung mit einem Passwortmanager aktivieren, Software aktualisieren [6]. Jede Erinnerung (ein Plakat, eine interne Nachricht, eine kurze Teambesprechung) kann nur einen davon aufgreifen. ## Was sich für die Geschäftsleitung ändert Für die Geschäftsleitung weisen die herangezogenen Quellen eher in Richtung Messung als in Richtung einer bloßen Zählung der Teilnehmenden. Das NIST gibt an, dass sein Leitfaden vorgeschlagene Kennzahlen und Bewertungsmethoden enthält, um das Programm regelmäßig zu verbessern [3]. Es stellt außerdem klar, dass die Empfehlungen anpassbar sind, für große wie für kleine Organisationen, auch für solche, die ein Programm von Grund auf aufbauen [3]. Das NIST stellt sein Programm als einen Prozess dar, der Sensibilisierung, Schulung und Bildung für eine vielfältige Gruppe von Zielgruppen unter den Bundesbeschäftigten steuert [3]. Ein zweiter öffentlicher Entwurf von 2013, der inzwischen ersetzt wurde, beschrieb ein rollenbasiertes Schulungsmodell für Personen mit erheblicher Verantwortung in der IT oder der Cybersicherheit [4]. In diesem Beitrag wird daraus abgeleitet, dass ein für alle gleiches jährliches Modul dieser Vielfalt der Zielgruppen schlecht gerecht wird, aber keine Quelle behauptet das. Die CISA bietet ihrerseits ein Toolkit für den Cybersecurity Awareness Month 2026 an, mit Grafiken und Präsentationen, die Organisationen für ihre eigenen Kampagnen nutzen können [6]. Die ENISA beschreibt die Politiken der Mitgliedstaaten der Union nach vier Zielen: Sensibilisierung, Schulung, Herausforderungen und Übungen [2]. Die Sensibilisierung ist dort ein Ziel unter mehreren, neben Schulung und Übungen. Keine dieser Seiten legt einen Schwellenwert für die Häufigkeit fest, etwa eine Zahl von Erinnerungen pro Jahr. Der Beitrag nennt daher keinen. ## Was der Text sagt Das wichtigste herangezogene Dokument ist die NIST-Publikation SP 800-50 Revision 1 mit dem Titel „Building a Cybersecurity and Privacy Learning Program“. Sie gibt US-Bundesbehörden und Organisationen Orientierung für den Aufbau eines Lernprogramms zu Cybersicherheit und Datenschutz nach einem Lebenszyklusansatz [3]. Sie stützt sich auf weithin anerkannte Normen, Vorschriften, Gesetzestexte und bewährte Verfahren [3]. Diese Publikation ersetzt die SP 800-50 von 2003 und die SP 800-16 von 1998 [3]. Die Seite nennt den Cybersecurity Enhancement Act und das OMB-Rundschreiben A-130 unter den zugehörigen Gesetzen und Vorschriften [3]. Eine frühere Fassung der SP 800-16 Revision 1 vom Oktober 2013 beschreibt ein rollenbasiertes Schulungsmodell. Sie hält fest, dass jede Person, die Informationen besitzt, nutzt oder verwaltet, ihre Sicherheitsverantwortung gut verstehen muss [4]. Diese Fassung ist ein zweiter öffentlicher Entwurf, und die Seite gibt an, dass sie am 14. März 2014 durch einen dritten Entwurf ersetzt wurde [4]. Der ENISA-Bericht von 2021 formuliert seinerseits fünf Empfehlungen zum Mangel an Cybersicherheitskompetenzen in der Union. Die herangezogenen Seiten führen deren Inhalt nicht aus [2]. ## Stand der Umsetzung Die herangezogenen Dokumente sind Leitfäden. Die Seiten erwähnen keine gesetzliche Pflicht für ein privates Unternehmen, seine Beschäftigten in einer bestimmten Häufigkeit zu schulen, und der Beitrag behauptet keine. Auf amerikanischer Seite stammt die Endfassung der SP 800-50 Revision 1 vom September 2024, nach zwei Entwürfen, die im September 2021 und im August 2023 veröffentlicht wurden [3]. Sie richtet sich an Bundesbehörden und Organisationen [3]. Auf europäischer Seite ordnet die ENISA-Seite zur Cybersicherheitskultur ihren Bericht von 2019 den Inhalten zu, die für den Privatsektor geschrieben wurden [1]. Sie listet auch Termine auf: eine dritte europäische Konferenz zur Sensibilisierung, geplant für den 11. November 2026 [1]. Die Seiten sagen nicht, welche Organisationen diese Leitfäden anwenden und mit welchen Ergebnissen. Der zentrale Gedanke dieses Beitrags muss noch in einer eigens dafür geeigneten Quelle überprüft werden. Eine Messung des tatsächlichen Verhaltens, etwa der Meldequote verdächtiger Nachrichten, steht im Einklang mit den Orientierungen des NIST. Keines der herangezogenen Dokumente beziffert sie. ## Quellen 1. ENISA, „Cybersecurity Culture Guidelines: Behavioural Aspects of Cybersecurity“, 16. April 2019. https://www.enisa.europa.eu/publications/cybersecurity-culture-guidelines-behavioural-aspects-of-cybersecurity (abgerufen am 3. November 2026) 2. ENISA, „Addressing Skills Shortage and Gap Through Higher Education“, 24. November 2021. https://www.enisa.europa.eu/publications/addressing-skills-shortage-and-gap-through-higher-education (abgerufen am 3. November 2026) 3. NIST, „Building a Cybersecurity and Privacy Learning Program“, 12. September 2024. https://csrc.nist.gov/pubs/sp/800/50/r1/final (abgerufen am 3. November 2026) 4. NIST, „A Role-Based Model for Federal Information Technology/Cybersecurity Training“, 24. Oktober 2013. https://csrc.nist.gov/pubs/sp/800/16/r1/2pd (abgerufen am 3. November 2026) 5. NCSC (Royaume-Uni), „Phishing scams: how to spot and report them“, 26. November 2021. https://www.ncsc.gov.uk/collection/phishing-scams (abgerufen am 3. November 2026) 6. CISA, „Cybersecurity Awareness Month“. https://www.cisa.gov/cybersecurity-awareness-month (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/ebbinghaus-vergessenskurve-jahrliche-schulung/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.