Die Vergessenskurve von Ebbinghaus

Für Beschäftigte kommt es praktisch darauf an, nicht von einer Erinnerung abzuhängen. Eine einmal besuchte Veranstaltung ersetzt keinen einfachen Handgriff, der jederzeit verfügbar ist.

Das NCSC nennt ein Beispiel: das Melden einer Phishing-Nachricht. Laut seiner Seite ist das Melden kostenlos und dauert nur eine Minute: „Reporting a scam is free and only takes a minute.“⁵ Das NCSC erklärt, dass solche Meldungen die Zahl der erhaltenen betrügerischen Nachrichten verringern, einen zum schwierigeren Ziel machen und andere schützen⁵. Der Dienst gibt außerdem an, befugt zu sein, betrügerische Adressen und Websites zu untersuchen und entfernen zu lassen⁵.

Das NCSC nennt zudem eine Gewohnheit, für die keine Schulung nötig ist: Kriminelle nutzen online verfügbare Informationen, auch aus sozialen Netzwerken, um ihre Nachrichten überzeugender zu machen. Wer überlegt, was er veröffentlicht, und seine Datenschutzeinstellungen überprüft, verringert das Risiko, zum Ziel zu werden⁵.

Die CISA fasst die Grundregeln in vier Punkten zusammen, die im Oktober im Cybersecurity Awareness Month vorgestellt werden: Phishing vermeiden und melden, starke Passwörter verwenden, die Multifaktor-Authentifizierung mit einem Passwortmanager aktivieren, Software aktualisieren⁶. Jede Erinnerung (ein Plakat, eine interne Nachricht, eine kurze Teambesprechung) kann nur einen davon aufgreifen.

Für die Geschäftsleitung weisen die herangezogenen Quellen eher in Richtung Messung als in Richtung einer bloßen Zählung der Teilnehmenden. Das NIST gibt an, dass sein Leitfaden vorgeschlagene Kennzahlen und Bewertungsmethoden enthält, um das Programm regelmäßig zu verbessern³. Es stellt außerdem klar, dass die Empfehlungen anpassbar sind, für große wie für kleine Organisationen, auch für solche, die ein Programm von Grund auf aufbauen³.

Das NIST stellt sein Programm als einen Prozess dar, der Sensibilisierung, Schulung und Bildung für eine vielfältige Gruppe von Zielgruppen unter den Bundesbeschäftigten steuert³. Ein zweiter öffentlicher Entwurf von 2013, der inzwischen ersetzt wurde, beschrieb ein rollenbasiertes Schulungsmodell für Personen mit erheblicher Verantwortung in der IT oder der Cybersicherheit⁴. In diesem Beitrag wird daraus abgeleitet, dass ein für alle gleiches jährliches Modul dieser Vielfalt der Zielgruppen schlecht gerecht wird, aber keine Quelle behauptet das.

Die CISA bietet ihrerseits ein Toolkit für den Cybersecurity Awareness Month 2026 an, mit Grafiken und Präsentationen, die Organisationen für ihre eigenen Kampagnen nutzen können⁶. Die ENISA beschreibt die Politiken der Mitgliedstaaten der Union nach vier Zielen: Sensibilisierung, Schulung, Herausforderungen und Übungen². Die Sensibilisierung ist dort ein Ziel unter mehreren, neben Schulung und Übungen.

Keine dieser Seiten legt einen Schwellenwert für die Häufigkeit fest, etwa eine Zahl von Erinnerungen pro Jahr. Der Beitrag nennt daher keinen.

Das wichtigste herangezogene Dokument ist die NIST-Publikation SP 800-50 Revision 1 mit dem Titel „Building a Cybersecurity and Privacy Learning Program“. Sie gibt US-Bundesbehörden und Organisationen Orientierung für den Aufbau eines Lernprogramms zu Cybersicherheit und Datenschutz nach einem Lebenszyklusansatz³. Sie stützt sich auf weithin anerkannte Normen, Vorschriften, Gesetzestexte und bewährte Verfahren³.

Diese Publikation ersetzt die SP 800-50 von 2003 und die SP 800-16 von 1998³. Die Seite nennt den Cybersecurity Enhancement Act und das OMB-Rundschreiben A-130 unter den zugehörigen Gesetzen und Vorschriften³.

Eine frühere Fassung der SP 800-16 Revision 1 vom Oktober 2013 beschreibt ein rollenbasiertes Schulungsmodell. Sie hält fest, dass jede Person, die Informationen besitzt, nutzt oder verwaltet, ihre Sicherheitsverantwortung gut verstehen muss⁴. Diese Fassung ist ein zweiter öffentlicher Entwurf, und die Seite gibt an, dass sie am 14. März 2014 durch einen dritten Entwurf ersetzt wurde⁴.

Der ENISA-Bericht von 2021 formuliert seinerseits fünf Empfehlungen zum Mangel an Cybersicherheitskompetenzen in der Union. Die herangezogenen Seiten führen deren Inhalt nicht aus².

Die herangezogenen Dokumente sind Leitfäden. Die Seiten erwähnen keine gesetzliche Pflicht für ein privates Unternehmen, seine Beschäftigten in einer bestimmten Häufigkeit zu schulen, und der Beitrag behauptet keine.

Auf amerikanischer Seite stammt die Endfassung der SP 800-50 Revision 1 vom September 2024, nach zwei Entwürfen, die im September 2021 und im August 2023 veröffentlicht wurden³. Sie richtet sich an Bundesbehörden und Organisationen³.

Auf europäischer Seite ordnet die ENISA-Seite zur Cybersicherheitskultur ihren Bericht von 2019 den Inhalten zu, die für den Privatsektor geschrieben wurden¹. Sie listet auch Termine auf: eine dritte europäische Konferenz zur Sensibilisierung, geplant für den 11. November 2026¹. Die Seiten sagen nicht, welche Organisationen diese Leitfäden anwenden und mit welchen Ergebnissen.

Der zentrale Gedanke dieses Beitrags muss noch in einer eigens dafür geeigneten Quelle überprüft werden. Eine Messung des tatsächlichen Verhaltens, etwa der Meldequote verdächtiger Nachrichten, steht im Einklang mit den Orientierungen des NIST. Keines der herangezogenen Dokumente beziffert sie.