NOUSEC ist eine Plattform für Human Risk Management, die bei Finanzdienstleistern, im Gesundheitswesen, in der öffentlichen Verwaltung sowie in Industrie und Energie eingesetzt wird. Die Plattform ist in jeder Branche dieselbe – Phishing-Simulation über acht Kanäle, adaptive Schulung mit serverseitiger Abschlussprüfung und ein einziger Human Risk Score von 0–100 mit veröffentlichter Methodik. Was sich je Branche unterscheidet, sind die Nachweise, die Sie erbringen müssen, die Menschen, die Sie erreichen müssen, und der Kanal, den der Angreifer nutzt. Finanzdienstleister haben die Pflichtmodule der DORA und Zahlungsbetrug mit geklonten Stimmen; im Gesundheitswesen ist der Fehler per E-Mail ein ebenso großes menschliches Risiko wie die Täuschung; die öffentliche Verwaltung hat den höchsten Anteil des menschlichen Faktors und die schwerste Nachweislast; Industrie und Energie haben die höchste Beteiligung Dritter im Verizon DBIR.
Drei Dinge ändern sich. Die Plattform gehört nicht dazu.
Jeder Anbieter verkauft Ihnen eine Branchenseite. Hier steht, was sich darunter tatsächlich unterscheidet.
Was Sie nachweisen müssen
NIS2 macht Cyberhygiene und Schulung zur verpflichtenden Mindestmaßnahme für wesentliche und wichtige Einrichtungen. DORA geht für Finanzunternehmen weiter und nennt Awareness-Schulungen ausdrücklich als Pflichtmodul. Einer öffentlichen Stelle droht vielleicht weder ein Bußgeld noch ein Tätigkeitsverbot für die Leitung – den Prüfer muss sie trotzdem überzeugen.
Wen Sie erreichen müssen
Ein Handelsraum liest den ganzen Tag E-Mails. Eine Pflegekraft im Nachtdienst nicht. Ein Maschinenbediener hat vielleicht überhaupt keinen Arbeitsplatzrechner. Reichweite ist zuerst eine Frage von Format und Kanal, erst dann von Schulung.
Was der Angreifer tatsächlich nutzt
Phishing ist im Finanzsektor, im Gesundheitswesen und in der öffentlichen Verwaltung gleichermaßen der zweithäufigste Erstzugang – aber der Vorwand unterscheidet sich, und im verarbeitenden Gewerbe führt der Weg hinein häufiger über einen Lieferanten als über ein Postfach.
Vier Branchen im direkten Vergleich
Jede Zahl unten stammt aus dem jeweiligen Branchenabschnitt des genannten Berichts. Nichts ist gemittelt, geglättet oder geschätzt.
| Finanz- und Versicherungswesen (52) | Gesundheitswesen (62) | Öffentliche Verwaltung (92) | Verarbeitendes Gewerbe (31–33) | |
|---|---|---|---|---|
| Datenschutzverletzungen mit menschlichem Faktor | 65 % | 54 % | 69 % | 56 % |
| Phishing als Erstzugang | 20 % | 14 % | 20 % | 13 % |
| Externe Akteure | 88 % | 81 % | 56 % | 95 % |
| Interne Akteure | 12 % | 19 % | 44 % | 5 % |
| Motiv Spionage | 3 % | 2 % | 33 % | 15 % |
| Beteiligung Dritter | 34 % | 32 % | 36 % | 61 % |
| Die drei häufigsten Muster decken ab | 81 % der Fälle | 81 % | 80 % | 91 % |
| Menschliche Muster unter diesen drei | Social Engineering | Misc. Errors, Social Engineering | Misc. Errors, Privilege Misuse | Social Engineering |
Verizon 2026 Data Breach Investigations Report, Branchenabschnitt, S. 84[1]. Datenbasis: über 31.000 Vorfälle, über 22.000 bestätigte Datenschutzverletzungen, 145 Länder, Okt. 2024 – Nov. 2025. Der DBIR ist eine Gelegenheitsstichprobe eingebrachter Fälle, keine repräsentative Stichprobe aller Datenschutzverletzungen; Branchenabschnitte dienen der Priorisierung, nicht der Vorhersage. Ein Punkt markiert den höchsten Wert einer Zeile; die beiden unteren Zeilen sind keine Rangfolge. Die Musternamen bleiben im Original.
Fangen Sie dort an, wo Ihre Aufsicht anfängt.
Finanzdienstleister
Ihre Kontrollen haben gehalten. Die Stimme, die die Zahlung freigab, war geklont. DORA nennt Awareness-Schulungen als Pflichtmodul, und das Leitungsorgan hat zusätzlich eine eigene Pflicht.
Gesundheitswesen
Fehler stehen im Gesundheitswesen neben Social Engineering unter den drei häufigsten Mustern. Und eine Ärztin zwischen zwei Schichten sitzt keine zwanzig Minuten vor einem Modul.
Öffentliche Verwaltung
Der meistangegriffene Sektor der EU, mit dem höchsten Anteil des menschlichen Faktors und dem höchsten Anteil interner Akteure der vier. Das Schwierige ist nicht die Schulung – es ist der Nachweis.
Industrie und Energie
Die höchste Beteiligung Dritter aller Branchen im DBIR und Angreifer, die Betriebspersonal direkt mit Vorwänden bearbeiten. Viele der gefährdeten Menschen haben keinen festen Arbeitsplatz.
Welche Regel Schulung tatsächlich nennt.
Vier Regelwerke, vier verschiedene Anforderungen. Die Artikelnummern zählen mehr als die Abkürzungen.
„Grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“ sind eine verpflichtende Mindestmaßnahme des Risikomanagements – ohne den Zusatz „gegebenenfalls“.
Art. 20 Abs. 2 ist die Pflicht der Leitung und empfiehlt Schulungen der Beschäftigten nur. Der durchsetzbare Anknüpfungspunkt für Beschäftigte ist Art. 21 Abs. 2 Buchst. g.
Leitungsorgane müssen die Maßnahmen billigen und ihre Umsetzung überwachen und können für Verstöße haftbar gemacht werden.
Das vorübergehende Verbot von Leitungsfunktionen nach Art. 32 Abs. 5 gilt nur für wesentliche Einrichtungen und nicht für die öffentliche Verwaltung.
Programme zur Sensibilisierung für IKT-Sicherheit und Schulungen zur digitalen operationalen Resilienz als Pflichtmodule der Personalschulung, für alle Beschäftigten und die Geschäftsleitung.
Art. 5 Abs. 4 verpflichtet das Leitungsorgan zusätzlich, sein eigenes Wissen über IKT-Risiken aktuell zu halten.
Sensibilisierung und Schulung der Beschäftigten gehören zur Überwachungsaufgabe des Datenschutzbeauftragten.
Ein Sicherheitsversagen nach Art. 32 fällt in die Stufe 2 % / 10 Mio. €, nicht 4 % / 20 Mio. €.
Kompetenz, Bewusstsein und die Maßnahme „Informationssicherheitsbewusstsein, -ausbildung und -schulung“.
Zertifizierungsprüfer verlangen Belege für Wirksamkeit, nicht für Anwesenheit.
Geschrieben für die Aufsicht, an die Sie tatsächlich berichten.
Europäische Union
NIS2 über 18 Sektoren in den Anhängen I und II; DORA seit dem 17. Januar 2025; DSGVO; der Maßnahmenkatalog der ISO 27001:2022. Datenhaltung in Frankfurt.
Gruppen mit Standorten außerhalb der EU
SOC 2 und ISO 27701 pro Mandant auswählbar, vollständiges White-Label und automatische Währungsbehandlung.
Fragen
Was Einkäufer fragen, bevor sie eine Branchenseite wählen.
Jede Zahl auf dieser Seite und woher sie stammt
Titel, Herausgeber, Ausgabejahr, Link und wofür jede Quelle verwendet wurde. Steht eine Zahl nicht hier, steht sie nicht auf der Seite.
Zuletzt geprüft: 21. Oktober 2026. Die Rechtszitate werden bei jeder Prüfung mit der konsolidierten Fassung auf EUR-Lex abgeglichen.
- 2026 Data Breach Investigations ReportVerizon Business – Branchenteil, S. 84 für Finanz- und Versicherungswesen (NAICS 52). Datenbasis: über 31.000 Vorfälle, über 22.000 bestätigte Datenpannen, 145 Länder, Okt. 2024 – Nov. 2025 · 2026Verwendet für: Branchenvergleich und die vier Branchenkarten – Werte zu menschlichem Faktor, Phishing, Akteuren, Motiven, Beteiligung Dritter und den drei häufigsten Mustern für Finanz- und Versicherungswesen (52), Gesundheitswesen (62), öffentliche Verwaltung (92) und verarbeitendes Gewerbe (31–33). Datenbasis: über 31.000 Vorfälle und über 22.000 bestätigte Datenschutzverletzungen in 145 Ländern, Okt. 2024 – Nov. 2025.
- Threat Landscape 2025ENISA – 13. Ausgabe, v1.2, 4.875 Vorfälle, 1. Juli 2024 – 30. Juni 2025 · 2025Verwendet für: Die öffentliche Verwaltung als meistangegriffener Sektor der EU. 4.875 Vorfälle, 1. Juli 2024 – 30. Juni 2025.
- Directive (EU) 2022/2555 (NIS2)Amtsblatt der Europäischen Union, ABl. L 333, 27.12.2022 · 2022Verwendet für: Art. 2, 3, 20, 21 Abs. 2 Buchst. g, 32 Abs. 5 und 34; Anhänge I und II.
- Regulation (EU) 2022/2554 (DORA)Amtsblatt der Europäischen Union – anwendbar ab 17. Januar 2025 · 2022Verwendet für: Art. 5 Abs. 4 und Art. 13 Abs. 6.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022Internationale Organisation für Normung (ISO) – 3. Ausgabe · 2022Verwendet für: Abschnitte 7.2 und 7.3; Titel der Anhang-A-Maßnahme 6.3.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024US-Gesundheitsministerium (HHS), Office for Civil Rights – S. 8–14 · 2024Verwendet für: Branchenkarte Gesundheitswesen – 663 große Datenpannen, davon 164 per E-Mail.