Warum Security Awareness nach dem ersten Jahr stagniert

Security Awareness stagniert nach dem ersten Jahr, weil die meisten Programme darauf ausgelegt sind, schnelle Anfangserfolge zu erzielen und nicht auf kontinuierliche Verhaltensänderung. Simulationen werden vorhersehbar, der Schwierigkeitsgrad bleibt konstant und das Engagement lässt nach, sobald die Dynamik des Rollouts abklingt. Um die Stagnation zu durchbrechen, braucht es einen adaptiven Schwierigkeitsgrad, realistische und abwechslungsreiche Simulationen sowie die Messung von Verhaltensänderung statt reiner Trainingsaktivität.

Die meisten Awareness-Teams kennen das Muster: ein starkes erstes Jahr, dann verharren Fehlerquoten, Meldequoten und Engagement auf konstantem Niveau, während sich dieselben Verhaltensweisen Quartal für Quartal wiederholen. An mangelndem Einsatz des Teams liegt es dabei nur selten.

Im Folgenden wird aufgeschlüsselt, warum Security Awareness Training nach dem ersten Jahr häufig ins Stocken gerät, welche strukturellen Fehler dahinterstecken und was ausgereifte Programme anders machen, um das Sicherheitsverhalten von Mitarbeitenden dauerhaft zu verbessern. Jede dieser Maßnahmen ist ein Baustein, um ein Human-Risk-Management-Programm aufzubauen, das sich auch über das erste Jahr hinaus weiterentwickelt.

Woran lässt sich erkennen, dass ein Security-Awareness-Programm stagniert?

Stagnation tritt meist nicht plötzlich ein, sondern zeigt sich schleichend in den Kennzahlen.

Im ersten Jahr eines Security-Awareness-Rollouts sind die Fortschritte in der Regel gut sichtbar. Klickraten sinken schnell, die Meldequote steigt und Mitarbeitende beginnen, offensichtliche Phishing-Versuche zu erkennen.

Nach diesem anfänglichen Fortschritt bewegen sich die Kennzahlen jedoch kaum noch und wirken flach. Das kann die Fehlerquote betreffen, die Meldequote oder das allgemeine Engagement mit dem Training.

In dieser Phase kann das Programm an der Oberfläche noch gesund erscheinen und Abschlussquoten können weiterhin stark aussehen – doch unter diesen Aktivitätskennzahlen hat sich die Verhaltensänderung verlangsamt oder ist zum Stillstand gekommen.

Typische Anzeichen für die Stagnation eines Programms sind:

• ‍Fehlerquoten, die sich nach einem anfänglichen Rückgang nicht mehr verbessern
• Meldequoten, die auf konstantem Niveau verharren, statt weiter zu steigen
• Nachlassendes Trainings-Engagement nach dem ersten Rollout
• Dieselben Nutzenden, die wiederholt an Simulationen scheitern
• Mitarbeitende, die Simulationen erkennen – statt Bedrohungen

Treten diese Muster gemeinsam auf, liegt das Problem meist nicht am fehlenden Einsatz des Awareness-Teams. Es ist eine strukturelle Grenze des Programmdesigns.

Die meisten klassischen Awareness-Programme sind darauf optimiert, frühe Verbesserungen anzustoßen – und nicht auf langfristige Verhaltensänderung. Sobald Mitarbeitende die Grundlagen gelernt haben, hört das Programm oft auf, sie herauszufordern, und der Fortschritt verlangsamt sich zwangsläufig.

Was zeigen die Daten nach dem ersten Jahr?

Bei einem statischen Programm ist die Stagnation real. Bei einem adaptiven Programm zahlt sich auch das zweite Jahr aus: Im Hoxhunt Phishing Trends Report 2026 (50 Millionen Datenpunkte, 4 Millionen Nutzende, 125 Länder) sinkt die Fehlerquote bei Simulationen weiter – von 3,4 % nach einem Jahr auf 2,3 % nach zwei Jahren. Die Meldequote steigt von 64,3 % auf 65,2 %, und die pro Person gemeldeten echten Bedrohungen nehmen von 0,28 auf 0,34 zu. Der Anteil der Mitarbeitenden, die mindestens eine echte Bedrohung erkannt haben, wächst von 64 % nach zwölf Monaten auf 71 % nach 24 Monaten.

Die Stagnation ist kein Naturgesetz des Awareness-Trainings. Sie ist eine Eigenschaft von Programmen, die aufhören, sich weiterzuentwickeln. Der Rest dieses Beitrags handelt davon, welche Design-Entscheidungen die beiden Kurven voneinander trennen.

Warum das Engagement nach dem ersten Rollout nachlässt

Security-Awareness-Programme starten oft mit viel Schwung.

Das erste Jahr umfasst in der Regel einen großen Rollout: neue Trainings, neue Phishing-Simulationen, interne Kommunikationskampagnen und Rückhalt aus der Führungsebene. Mitarbeitende werden stärker als je zuvor mit dem Thema konfrontiert, und das Engagement ist meist hoch.

Ist die Rollout-Phase vorbei, wechseln viele Programme in ein routinierteres Muster. Das sieht typischerweise so aus: periodische Trainingsmodule, geplante Phishing-Simulationen und gelegentliche Erinnerungen vom Security-Team. Mit der Zeit beginnt die Erfahrung, sich zu wiederholen.

‍Ein Teil des Problems: Klassische Awareness-Programme sind auf Informationsvermittlung ausgelegt statt auf nachhaltige Verhaltensänderung. Sie gehen davon aus, dass die Wiederholung derselben Inhalte die Lektion festigt, sobald Mitarbeitende die Grundlagen einmal gelernt haben.

In der Realität schalten Menschen schnell ab, wenn Inhalte vorhersehbar wirken oder für die tägliche Arbeit irrelevant erscheinen.

Deshalb beobachten viele Awareness-Teams nach dem ersten Jahr ein vertrautes Muster:

• Trainingsabschlüsse lassen sich schwerer aufrechterhalten
• Mitarbeitende schenken Simulationen weniger Aufmerksamkeit
• Die Teilnahme an optionalen Lernangeboten sinkt
• Sicherheitsbotschaften gehen im Hintergrundrauschen unter

An diesem Punkt haben Mitarbeitende nicht aufgehört, sich für Sicherheit zu interessieren. Das Programm hat aufgehört, ihnen neue Herausforderungen oder neue Gründe zum Mitmachen zu bieten.

Ohne Abwechslung, Realismus oder steigenden Schwierigkeitsgrad verlieren selbst gut konzipierte Programme irgendwann die Fähigkeit, Aufmerksamkeit zu halten.

Der Hafen von Antwerpen-Brügge hat genau diese Verfallskurve durchlebt: Mit dem vorherigen Tool startete die Teilnahme bei knapp 90 % und erodierte binnen zwei Jahren auf 50 % – vier generische Kampagnen pro Jahr trainierten den Mitarbeitenden still bei, das Programm zu ignorieren. Nach dem Umbau hin zu kontinuierlichem, personalisiertem Training stieg die Awareness wieder über 90 % und hält sich dort seit mehr als einem Jahr (Case Study Hafen Antwerpen-Brügge).

Phishing-Simulationen verlieren ihre Wirkung, sobald sie vorhersehbar werden

Phishing-Simulationen gehören zu den wirksamsten Instrumenten der Security Awareness. Zu Beginn eines Programms konfrontieren Simulationen Mitarbeitende mit Bedrohungen, denen sie zuvor womöglich nie begegnet sind. Nutzende lernen, innezuhalten, Nachrichten genauer zu prüfen und typische Phishing-Signale zu erkennen.

Deshalb sinken die Fehlerquoten im ersten Jahr oft schnell.

Mit der Zeit beginnen Mitarbeitende jedoch, die Simulation selbst zu erkennen – anstatt die Nachricht so zu analysieren, wie sie es bei einem echten Angriff tun würden.

Sobald Nutzende die Muster verinnerlicht haben, funktioniert die Übung nicht mehr als realistischer Sicherheitstest. Statt sich zu fragen „Ist das ein echter Angriff?", fragen Mitarbeitende dann „Ist das schon wieder eine Trainings-E-Mail?". An diesem Punkt stärkt die Simulation nicht länger die Erkennungsfähigkeiten für die Praxis; sie testet nur noch, ob Mitarbeitende das Trainingssystem erkennen.

Deshalb sehen viele Awareness-Teams ein frustrierendes Muster: Die Fehlerquote bei Phishing-Simulationen sinkt weiter, doch echte Phishing-Vorfälle gehen nicht im selben Tempo zurück. Das Programm produziert weiterhin Kennzahlen, aber die Simulationen fordern Mitarbeitende nicht mehr so heraus, wie echte Angreifende es tun.

Um ihren Lernwert zu behalten, müssen Simulationen sich weiterentwickeln: abwechslungsreicher, realistischer und schwerer vorhersehbar.

Training-Fatigue: Wenn Awareness zum Hintergrundrauschen wird

Ein weiterer Grund für die Stagnation von Awareness-Programmen ist Training-Fatigue. Viele Programme setzen Jahr für Jahr auf dasselbe Muster: verpflichtende Module, periodische Phishing-Tests und gelegentliche Erinnerungs-E-Mails vom Security-Team.

Anfangs funktioniert das gut. Mitarbeitende lernen neue Konzepte und begegnen Bedrohungen, die sie zuvor nicht gesehen haben. Mit der Zeit beginnt die Erfahrung jedoch, sich zu wiederholen.

Lange Trainingsmodule werden zu etwas, das Mitarbeitende nur noch schnell durchklicken, um es abzuschließen; Simulationen fühlen sich wie ein weiterer zu bestehender Test an; und Sicherheitsbotschaften verschwimmen im Hintergrund eines ohnehin vollen Arbeitstags.

Wenn sich Training wie eine Compliance-Pflichtübung anfühlt statt wie etwas Nützliches, sinkt das Engagement zwangsläufig.

Ein Teil des Problems: Klassisches Awareness-Training ist darauf ausgelegt, Wissen zu vermitteln und nicht, Gewohnheiten aufzubauen. Mitarbeitende erinnern sich direkt nach dem Training womöglich an die Kernpunkte, doch ohne regelmäßige Auffrischung verblassen diese Lektionen schnell. Monate später sind viele Details bereits vergessen.

So entsteht ein Kreislauf, in dem die Organisation jedes Jahr dieselben Awareness-Inhalte wiederholt, um ein Grundwissen aufrechtzuerhalten. Doch die Wiederholung desselben Trainings verbessert das Verhalten nur selten, sobald Mitarbeitende die Grundlagen bereits beherrschen.

Deshalb hören viele Awareness-Teams irgendwann dasselbe Feedback von Mitarbeitenden:

• „Dieses Training haben wir doch schon gemacht."
• „Es sind jedes Jahr dieselben Phishing-Beispiele."
• „Ich weiß, wie Phishing aussieht."

An diesem Punkt hat sich das Problem von Awareness zu Engagement verschoben.

Ohne Abwechslung, kürzere Lernschleifen oder relevantere Szenarien verliert selbst gut gemeintes Training irgendwann die Fähigkeit, Verhalten zu beeinflussen.

‍

Fatigue ist ein Design-Ergebnis, kein unabwendbares Schicksal: Das Programm von Uber steigerte in den späteren Jahren sein Engagement, statt es zu verlieren. Die Abschlussquote im Training stieg von 60 % auf über 90 %, und das Engagement im Cybersecurity Awareness Month wuchs über eine Belegschaft von 40.000 Personen um 50 % gegenüber dem Vorjahr (Case Study Uber).

Compliance-getriebenes Training stößt an eine natürliche Grenze

Viele Security-Awareness-Programme beginnen als Compliance-Anforderung. Organisationen müssen nachweisen, dass Mitarbeitende Sicherheitsschulungen absolviert, Richtlinien bestätigt und an periodischen Phishing-Simulationen teilgenommen haben. Entsprechend sind Programme oft zuerst darauf ausgelegt, diese Anforderungen zu erfüllen.

In der Anfangsphase kann dieser Ansatz durchaus echte Verbesserungen bringen. Mitarbeitende lernen die Grundlagen zu Phishing, Passwort-Hygiene und sicherem Umgang mit Daten, und die Organisation etabliert ein grundlegendes Awareness-Niveau.

Doch Compliance-Programme sind nicht darauf ausgelegt, kontinuierliche Verbesserung anzutreiben. Sobald Mitarbeitende das vorgeschriebene Training absolviert und die Grundregeln verstanden haben, hat das Programm sein ursprüngliches Ziel weitgehend erreicht. Dieselben Module jedes Jahr zu wiederholen, festigt vielleicht Wissen, führt aber selten zu bedeutsamen Verhaltensänderungen.

Hier stoßen viele Awareness-Teams auf die Stagnation. Die Abschlussquote im Training bleibt hoch, Simulationen laufen weiter und Berichte zeigen weiterhin Aktivität. Doch die Verhaltensweisen, die das Risiko tatsächlich senken (Bedrohungen erkennen, verdächtige Nachrichten melden und schnell reagieren), verbessern sich nicht mehr.

Ein Teil des Problems: Compliance-Kennzahlen belohnen Teilnahme statt Ergebnisse.

Häufig gemessen werden:

• Abschlussquoten im Training
• Kursbewertungen
• Anzahl versendeter Simulationen

Diese Kennzahlen belegen, dass Training stattgefunden hat, zeigen aber nicht zwangsläufig, ob Mitarbeitende besser darin werden, echte Angriffe zu erkennen. Mit der Zeit wird das Programm sehr gut darin, Compliance aufrechtzuerhalten, macht aber kaum zusätzliche Fortschritte bei der Reduzierung menschlicher Risiken.

Diese Grenze zu durchbrechen erfordert meist, den Fokus des Programms von der Trainings-Abschlussquote hin zur Verhaltensänderung zu verschieben und zu messen, wie Mitarbeitende tatsächlich auf Bedrohungen reagieren.

Adaptiver Schwierigkeitsgrad hält den Lernprozess in Gang

Ein Grund für die Stagnation von Awareness-Programmen ist, dass sich das Training nicht mit den Menschen weiterentwickelt, die es durchlaufen. In der Anfangsphase lernen die meisten Mitarbeitenden die Grundlagen: wie Phishing aussieht, wie Angreifende Dringlichkeit erzeugen und wo sich verdächtige Nachrichten melden lassen. Einfache Simulationen und einführende Trainings funktionieren in dieser Phase gut, weil die Konzepte neu sind.

Sobald Mitarbeitende diese Grundlagen verstanden haben, treibt die Wiederholung desselben Schwierigkeitsgrads keine Verbesserung mehr an. Für erfahrenere Nutzende werden Simulationen zu leicht. Sie erkennen die offensichtlichen Signale schnell und ziehen weiter, ohne viel über die Nachricht nachzudenken.

Bei Mitarbeitenden, die noch Schwierigkeiten haben, kann das Gegenteil passieren. Simulationen wirken womöglich verwirrend oder frustrierend, was das Engagement mindert und das Lernen weniger wirksam macht.

Erhalten alle dasselbe Training, unabhängig vom Kenntnisstand, verlangsamt sich der Fortschritt irgendwann für beide Gruppen.

Ein adaptiver Schwierigkeitsgrad löst das, indem er das Anspruchsniveau daran anpasst, wie Mitarbeitende tatsächlich abschneiden.

Zum Beispiel:

• Mitarbeitende, die konsequent Bedrohungen melden, erhalten möglicherweise realistischere Simulationen
• Nutzende, die mit bestimmten Szenarien Schwierigkeiten haben, erhalten gezieltes Micro-Training
• Risikoreichere Rollen lassen sich mit Angriffen testen, die dem entsprechen, was sie bei der Arbeit tatsächlich erleben

So bleibt die Lernerfahrung im richtigen Anspruchsniveau.

Ist das Training zu leicht, langweilen sich Mitarbeitende. Ist es zu schwer, schalten sie ab.

Doch wenn der Schwierigkeitsgrad mit dem Kenntnisstand der Mitarbeitenden wächst, kann das Programm das Verhalten weit über das erste Jahr hinaus verbessern.

Altisource senkte seine Fehlerquote von über 46 % im Jahr 2020 auf 8,5 % im Jahr 2021 und 3,5 % Anfang 2022. Das genaue Gegenteil einer Stagnation (Case Study Altisource).

Realistische Simulationen werden nach dem ersten Jahr wichtiger

Mit zunehmender Trainingserfahrung werden offensichtliche Beispiele und einfache Simulationen weniger nützlich.

Echte Angreifende versenden selten E-Mails voller Rechtschreibfehler oder mit eindeutig verdächtigen Domains. Moderne Phishing-Angriffe sind darauf ausgelegt, sich in die normale Geschäftskommunikation einzufügen. Sie imitieren häufig interne Abläufe, Lieferantenbeziehungen oder alltägliche Kollaborationstools. (*Weiter unten sind einige der alarmierenden Muster zu sehen, die im Phishing Trends Report 2026 aufgedeckt wurden.)

Deshalb wird Realismus nach dem ersten Programmjahr deutlich wichtiger. Realistischere Simulationen fordern Mitarbeitende dazu heraus, Nachrichten so zu analysieren, wie sie es im echten Leben tun würden.

Ausgereifte Awareness-Programme simulieren beispielsweise zunehmend Angriffe wie:

• Rechnungsanfragen von Lieferanten oder Änderungen von Zahlungsdaten
• Nachrichten mit vorgetäuschter Chef-Identität (CEO-Fraud)
• Benachrichtigungen aus HR oder zu Sozialleistungen
• Anfragen zum Teilen von Dokumenten
• Interne Kollaborationsnachrichten über Tools wie Teams oder Slack

Solche Szenarien zwingen Mitarbeitende dazu, sich auf ihr Urteilsvermögen zu verlassen statt auf reine Mustererkennung.

Realistische Simulationen führen auch die psychologischen Auslöser ein, die Angreifende nutzen: Dringlichkeit, Autorität, Neugier und Vertrautheit. Zu lernen, innezuhalten und diese Signale zu hinterfragen, gehört zu den wichtigsten Gewohnheiten, die Security-Awareness-Programme aufbauen wollen.

Mit zunehmender Reife der Programme hilft steigender Realismus dabei, die Lernkurve aufrechtzuerhalten. Mitarbeitende erkennen dann nicht mehr nur offensichtliche Phishing-Hinweise, sondern üben, Nachrichten zu bewerten, die echten Angriffen sehr viel näherkommen.

Wie durchbrechen ausgereifte Awareness-Programme die Stagnation?

Wenn Awareness-Programme stagnieren, liegt das Problem selten daran, dass Mitarbeitende aufgehört haben zu lernen. Häufiger hat das Programm selbst aufgehört, sich weiterzuentwickeln.

Viele klassische Awareness-Initiativen funktionieren als Trainingszyklus: Training starten, Phishing-Simulationen durchführen, Ergebnisse messen und den Prozess im Folgejahr wiederholen. Dieses Modell eignet sich gut, um ein Awareness-Grundniveau zu etablieren – doch sobald Mitarbeitende die Grundlagen verstanden haben, bringt die Wiederholung desselben Zyklus immer kleinere Verbesserungen.

Ausgereifte Programme gehen das Problem anders an. Statt Awareness als periodische Trainingsaktivität zu betreiben, behandeln sie es als fortlaufendes Verhaltenssystem, das die Erkennungsfähigkeiten der Mitarbeitenden kontinuierlich weiterentwickelt.

In diesem Modell besteht das Ziel nicht einfach darin, die Fehlerquote bei Simulationen zu senken. Das Ziel ist, die menschliche Erkennungsfähigkeit der Organisation im Zeitverlauf zu stärken.

Das bedeutet, sich auf Signale zu konzentrieren wie:

• Wie oft Mitarbeitende verdächtige Nachrichten melden
• Wie schnell Bedrohungen an das Security-Team gemeldet werden
• Wie konsistent Mitarbeitende auf unbekannte Situationen reagieren

Verbessern sich diese Verhaltensweisen, agieren Mitarbeitende zunehmend weniger als passive Trainingsempfangende und mehr als aktive Erkennungsebene innerhalb der Organisation.

Diesen Ansatz verfolgen wir bei Hoxhunt. Statt isolierte Trainingskampagnen durchzuführen, passt das System Simulationen und Micro-Training kontinuierlich daran an, wie Mitarbeitende auf Bedrohungen reagieren. Jede Interaktion – ob Klick oder Meldung – fließt in die Trainingsumgebung zurück und hilft dem Programm, die Fähigkeit der Mitarbeitenden zur Erkennung echter Angriffe schrittweise zu stärken.

Dieser kontinuierliche Feedback-Loop erlaubt es Awareness-Programmen, sich weit über das erste Trainingsjahr hinaus zu verbessern und macht Mitarbeitende zu einem verlässlichen Frühwarnsystem für Phishing und Social Engineering.

Das eigentliche Ziel von Security Awareness ist Verhaltensänderung

Security-Awareness-Programme werden oft an den Aktivitäten gemessen, die sie erzeugen: wie viele Mitarbeitende ein Training abgeschlossen haben, wie viele Phishing-Simulationen versendet wurden, wie stark die Klickrate während der Tests gesunken ist und so weiter.

Diese Kennzahlen belegen Aktivität. Und Aktivität ist genau das, wovon ein stagnierendes Programm noch reichlich hat; über die Frage, ob das menschliche Risiko weiter sinkt, sagen sie nichts aus. Der eigentliche Zweck von Security Awareness ist, zu beeinflussen, wie Mitarbeitende sich verhalten, wenn eine verdächtige Nachricht im Postfach landet.

• Halten sie inne, bevor sie reagieren?
• Hinterfragen sie unerwartete Anfragen?
• Melden sie die Bedrohung, damit das Security-Team ermitteln kann?

Wenn Awareness-Programme stagnieren, liegt es meist daran, dass der Fokus auf der Vermittlung von Training bleibt statt auf der Stärkung dieser Verhaltensweisen. Sobald Mitarbeitende die Grundlagen verstanden haben, hängt der Fortschritt davon ab, die Gewohnheiten kontinuierlich zu festigen, die ihnen helfen, Bedrohungen zu erkennen und zu melden.

Deshalb wenden sich die wirksamsten Programme irgendwann von statischen Trainingszyklen ab und Systemen zu, die Mitarbeitenden helfen, Erkennungsfähigkeiten immer wieder über die Zeit zu üben.

Wenn das geschieht, ist Awareness keine jährliche Compliance-Pflichtübung mehr, sondern etwas weit Wertvolleres: *eine Belegschaft, die aktiv dabei hilft, Angriffe zu erkennen und aufzudecken, bevor sie sich ausbreiten.*

Und wenn Mitarbeitende verdächtige Aktivitäten konsequent bemerken und melden, läuft Security Awareness nicht mehr nur als Programm. Sie funktioniert als Teil des Verteidigungssystems der Organisation.

Häufige Fragen von Verantwortlichen, wenn die Ergebnisse nicht mehr besser werden

Eine Stagnation wird meist an dem Tag dringlich, an dem die Führungsebene sie bemerkt: Budgets geraten genau dann unter Rechtfertigungsdruck, wenn die Kennzahlen sich nicht mehr bewegen. Die ehrliche Antwort ist die, auf die dieser Beitrag hingearbeitet hat: Aktivitätskennzahlen würden ohnehin irgendwann flach verlaufen, und das Programm stellt nun auf Kennzahlen um, die Verhalten abbilden. Steht dieses Gespräch im Kalender, empfiehlt sich als Einstieg der Beitrag dazu, wie sich der Erfolg von Security Awareness nachweisen lässt. Die Kennzahlen, die einer Prüfung durch die Geschäftsleitung standhalten, unterscheiden sich von jenen, die stagniert sind.

Key Takeaways: Woran erkennt man, dass ein Security-Awareness-Programm stagniert?

An Kennzahlen, die sich nach anfänglichem Fortschritt nicht mehr bewegen: Fehlerquoten, die nach einem ersten Rückgang stehen bleiben, Meldequoten, die verharren statt weiter zu steigen, nachlassendes Trainings-Engagement sowie Mitarbeitende, die Simulationen erkennen statt Bedrohungen. Die Abschlussquoten können dabei weiterhin hoch aussehen, während die tatsächliche Verhaltensänderung zum Stillstand gekommen ist.

Warum lässt das Engagement nach dem ersten Jahr nach?

Weil klassische Programme auf Informationsvermittlung ausgelegt sind statt auf nachhaltige Verhaltensänderung. Nach dem anfänglichen Rollout wechseln viele Programme in ein routiniertes Muster aus wiederkehrenden Modulen und vorhersehbaren Simulationen. Sobald Inhalte vorhersehbar oder irrelevant wirken, schalten Mitarbeitende ab. Nicht aus mangelndem Interesse, sondern weil das Programm keine neuen Herausforderungen mehr bietet.

Wie lässt sich die Stagnation durchbrechen?

Durch adaptiven Schwierigkeitsgrad, der mit dem Kenntnisstand der Mitarbeitenden wächst; durch realistische, abwechslungsreiche Simulationen, die moderne Angriffe abbilden; durch häufiges Micro-Learning statt langer Jahressitzungen; und durch die kontinuierliche Festigung von Erkennungs- und Meldeverhalten. Entscheidend ist, Verhaltensänderung zu messen statt reiner Trainingsaktivität.

Ist Stagnation unvermeidlich?

Nein. Die Daten zeigen, dass adaptive Programme sich auch im zweiten Jahr weiter verbessern – Fehlerquoten sinken weiter, Meldequoten steigen und mehr Mitarbeitende erkennen echte Bedrohungen. Stagnation ist eine Eigenschaft von Programmen, die aufhören, sich weiterzuentwickeln, kein Naturgesetz des Awareness-Trainings.

Das Wichtigste in Kürze

Warum Security Awareness nach dem ersten Jahr stagniert

Security-Awareness-Programme verbessern sich im ersten Jahr oft schnell und geraten dann ins Stocken, sobald Mitarbeitende die Grundlagen gelernt haben. Das Engagement sinkt, Simulationen werden vorhersehbar und sich wiederholendes Training treibt keine neue Verhaltensänderung mehr an. Die Stagnation liegt meist nicht am fehlenden Einsatz. Sie ist ein Zeichen dafür, dass das Programm aufgehört hat, sich weiterzuentwickeln.

Warum Programme stagnieren

• Die Anfangsdynamik des Rollouts klingt ab
• Training beginnt sich zu wiederholen
• Simulationen werden vorhersehbar
• Mitarbeitende werden nicht mehr sinnvoll gefordert

Was schiefläuft

• Compliance-Aktivität wird mit Fortschritt verwechselt
• Einfache Simulationen vermitteln nichts Neues mehr
• Training-Fatigue senkt das Engagement
• Statische Programme passen sich dem wachsenden Kenntnisstand nicht an

Was die Stagnation durchbricht

• Adaptiver Schwierigkeitsgrad, der mit dem Kenntnisstand wächst
• ‍Realistische Simulationen, die moderne Angriffe abbilden
• Häufiges Micro-Learning statt langer Jahressitzungen
• Kontinuierliche Festigung von Erkennungsverhalten

Kurz gesagt: Awareness-Programme stagnieren, wenn sie Training immer wieder wiederholen, statt die Erkennungsfähigkeiten der Mitarbeitenden kontinuierlich weiterzuentwickeln.