Was ist KI-adaptives Security-Awareness-Training?
KI-adaptives Security-Awareness-Training ist Schulung, die nach gemessenem Verhalten zugewiesen wird statt nach Kalender. Jede Person wird laufend auf den Kanälen getestet, die Angreifer tatsächlich nutzen; jedes Ergebnis aktualisiert ihren Human Risk Score, und dieser Score – kein Compliance-Termin – entscheidet, welche Schulung als Nächstes kommt, wie schwer die nächste Simulation wird und ob überhaupt geschult werden muss.
Wie verhaltensbasierte Schulung funktioniert
Was der CISO sieht
Fünf Reiter. Zwei Ansichten beantworten die Frage, an der jedes Awareness-Programm bisher gescheitert ist: Welches Modul hat das Klicken tatsächlich verringert?
Champions-Bestenliste
Personenansicht · sortiert nach Risiko, nicht nach AktivitätDie Anerkennung leitet sich aus dem Risikoscore ab und gewichtet das Melden: Champion-Score = (100 − Risikoscore) × 0,6 + Meldegewicht; der Meldeanteil ist gedeckelt, er hebt an, dominiert aber nie.
| Mitarbeiter | Champion-Score | Risikoscore | Meldungen |
|---|---|---|---|
| 1Mitarbeiter 1 | 41,6 | 44 | 12 |
| 2Mitarbeiter 2 | 39,2 | 38 | 3 |
| 3Mitarbeiter 3 | 37,4 | 40 | 5 |
Individueller Export
Abschnitte wählbar, mit Ihrem Branding.
Zertifikate
Jedes hat eine öffentliche Prüfseite, sodass jeder, der es vorliegen hat, es verifizieren kann.
Audit-Log
In Ihr SIEM exportierbar.
Abschlussintegrität, serverseitig gemessen
Deshalb erfasst NOUSEC das nicht als Nachweis. Jeder Abschluss wird nach der Verweildauer im Verhältnis zur erwarteten Moduldauer eingestuft, und der Videoabschluss ist eine gemessene Größe, kein Klick.
Vier Arten, eine zugewiesene Minute zu verbringen
- Übersprungen< 30 %
- Schnellklicker30 – 70 %
- Engagiert70 – 130 %
- Tief engagiert> 130 %
100 % der erwarteten Dauer liegt im Bereich „Engagiert“.
Ein Video gilt erst als abgeschlossen, wenn neunzig Prozent seiner einzelnen Sekunden angesehen wurden – serverseitig berechnet. Ist der Tab verborgen oder das Video pausiert, ruht die Zählung.
Wer ans Ende zieht und weggeht, bleibt nahe null: kein Abschluss, kein Zertifikat. Ein gescheiterter Durchlauf lässt die Einschreibung offen.
Der Abschlussnachweis wird vom Server ausgestellt, nicht vom Client angefordert. Passives Video erhält keinen erfundenen Score – das Zertifikat nennt das Abschlussdatum und die tatsächliche Dauer, sonst nichts.
Die Compliance-Scorecard weist beide Quoten aus
Eine rohe Abschlussquote und eine prüfungsbereinigte Quote, die Abschlüsse ohne Anzeichen echter Beschäftigung abzieht. Prüfer sehen die Lücke dazwischen – die Zahl, die tatsächlich etwas aussagt.
Was Mitarbeitende tatsächlich erhalten
Vierzehn Formate auf drei Auslieferungswegen – und fünf Dinge darin, die anders gebaut sind als im Rest der Kategorie.
Forensisches Feedback
Jede falsche Antwort benennt das erkennbare Signal, das den Angriff verrät. Genau diese Konkretheit ist die Lektion.
Ein Escape Room, kein Punktesystem
Asynchron, für eine Person, im Browser. Kein Termin, keine Moderation, keine Punkte als Ersatz für ein Spiel.
Deepfake-Stimmen erkennen
Echte und synthetische Audiopaare im Bankkontext, mit forensischer Nachbesprechung zu jedem Clip.
15Richtlinienvorlagen
Im Branding der Kundenorganisation und mit einem Trainingsmodul verknüpft. Bei einer neuen Version wird die Bestätigung erneut angefordert, die bisherige Historie bleibt erhalten.
Lokalisiert, nicht übersetzt
Pro Sprache ändern sich Figurennamen, Firmennamen und kultureller Kontext – nicht nur die Texte. Arabisch läuft von rechts nach links, und jede Sprache erhält ein eigenes SCORM-Paket und eigene Untertitel.
Eine Sprache, die nur auf einer Preisseite existiert, ist keine Sprache.
Die lernende Person bekommt einen neuen Namen statt Untertiteln. Firmennamen und Szenariokontext ändern sich mit.
Warum jährliche Security-Awareness-Schulungen scheitern
Wir haben die Plattform so gebaut, weil die veröffentlichte Forschung zur Alternative eindeutig ist. Drei Befunde haben das Design bestimmt.
Jährliche Schulungen senkten die Phishing-Fehlerquote nicht
Eine randomisierte Studie mit über 19.500 Beschäftigten über acht Monate fand keinen signifikanten Zusammenhang zwischen einer kürzlich absolvierten Pflichtschulung und dem Scheitern an einer Phishing-Simulation. Eingebettete Schulung nach einem Fehler veränderte die Klickwahrscheinlichkeit um etwa 2 Prozentpunkte.
Ho et al., IEEE Symposium on Security & Privacy, 2025Der Effekt ist verpufft, bevor der nächste Kurs ansteht
In Abständen erneut getestet, erkannten Beschäftigte Phishing vier Monate nach einem Kurs noch signifikant besser (d′ 1,60, p = 0,034). Nach sechs Monaten war die Verbesserung statistisch nicht mehr signifikant (d′ 1,46, p = 0,123). Ein Zwölfmonatszyklus lässt etwa das halbe Jahr ungeschützt.
Reinheimer et al., USENIX SOUPS 2020Kontinuierliches Messen bewegt die Zahl
Über 42 Millionen Simulationen in 64.000 Organisationen sank der durchschnittliche Anteil der Beschäftigten, die an einem Phishing-Test scheitern, von 33,2 % zu Beginn auf 20,1 % nach 90 Tagen und 4,2 % nach zwölf Monaten kontinuierlicher Tests und Schulungen.
KnowBe4 Phishing by Industry Benchmarking Report, 2026Alle drei Zahlen stammen aus der Forschung, nicht aus NOUSEC-Ergebnissen.
Zur vollständigen Studienlage →Herkömmliches Awareness-Training und NOUSEC
Der Unterschied liegt nicht in der Qualität der Inhalte. Er liegt darin, was entscheidet, wer wann geschult wird – und wie man erkennt, ob es gewirkt hat.
Prüfnachweise für NIS2, DORA, ISO 27001 und PCI DSS
Security-Awareness-Training: häufige Fragen
Was ist KI-adaptives Security-Awareness-Training?
KI-adaptives Security-Awareness-Training ist Schulung, die nach gemessenem Verhalten zugewiesen wird statt nach Kalender. Jede Person wird laufend auf den Kanälen getestet, die Angreifer tatsächlich nutzen; jedes Ergebnis aktualisiert ihren Human Risk Score, und dieser Score – kein Compliance-Termin – entscheidet, welche Schulung als Nächstes kommt, wie schwer die nächste Simulation wird und ob überhaupt geschult werden muss.
Verringert Security-Awareness-Training Phishing wirklich?
In der Form, wie die meisten Organisationen es betreiben, nicht. Eine randomisierte Studie von 2025 mit über 19.500 Beschäftigten (Ho et al., IEEE Symposium on Security & Privacy) fand keinen signifikanten Zusammenhang zwischen einer kürzlich absolvierten jährlichen Pflichtschulung und dem Scheitern in der Simulation. Was die Zahl bewegt, ist kontinuierliches Testen zusammen mit Schulung: Über 42 Millionen Simulationen sank die durchschnittliche Phish-Prone-Quote von 33,2 % zu Beginn auf 20,1 % nach 90 Tagen und 4,2 % nach 12 Monaten (KnowBe4 2026). Entscheidend sind Häufigkeit und Messung, nicht die Qualität der Inhalte.
Wie messen Sie die sekundengenaue Sehabdeckung?
Ein Video gilt erst als abgeschlossen, wenn 90 % seiner einzelnen Sekunden angesehen wurden – berechnet auf dem Server, nicht vom Browser gemeldet. Ist der Tab verborgen oder das Video pausiert, ruht die Zählung; wer ans Ende spult und weggeht, bleibt nahe null: kein Abschluss, kein Zertifikat. Eine gefälschte Abschlussanfrage erhält 403.
Was ist eine prüfungsbereinigte Abschlussquote?
Die Compliance-Scorecard weist zwei Quoten aus: die rohe Abschlussquote und eine prüfungsbereinigte Quote, die Abschlüsse ohne Anzeichen echter Beschäftigung abzieht. Prüfer sehen die Lücke dazwischen – die Zahl, die tatsächlich etwas aussagt. Abschlüsse werden nach der Verweildauer im Verhältnis zur erwarteten Moduldauer eingestuft: Übersprungen unter 30 %, Schnellklicker 30–70 %, Engagiert 70–130 %, Tief engagiert über 130 %.
Welche Regelwerke verlangen Security-Awareness-Training?
NIS2 verpflichtet die Mitglieder der Leitungsorgane, an Cybersicherheitsschulungen teilzunehmen (Art. 20(2)), und nennt Cyberhygiene und Schulungen als verpflichtende Risikomanagementmaßnahme (Art. 21(2)(g)). DORA verlangt Programme zum IKT-Sicherheitsbewusstsein als Pflichtmodule für alle Beschäftigten und die Geschäftsleitung (Art. 13(6)). ISO/IEC 27001:2022 behandelt das Thema in Anhang A, Maßnahme 6.3. PCI DSS v4.0 verlangt Schulungen bei Einstellung und mindestens alle 12 Monate, ausdrücklich einschließlich Phishing und Social Engineering (Anforderungen 12.6.3 und 12.6.3.1). Diese Übersicht ist keine Rechtsberatung.
Wo werden unsere Daten gespeichert?
In der EU, in Frankfurt. NOUSEC ist DSGVO-konform; es braucht weder einen Endpoint-Agent noch eine Softwareinstallation. Schulungsinhalte gibt es in der Sprache der Mitarbeitenden: 9 Sprachen sind heute verfügbar, 21 weitere entstehen auf Anfrage nach demselben vierstufigen Lokalisierungsprozess.
In 20 Minuten lassen wir bewusst eine Simulation scheitern und zeigen Ihnen genau, was die Plattform danach tut.
Demo anfragen