Phishing-Mails erkennen: Was § 30 BSIG verlangt — und was bei 19.500 Beschäftigten wirkte

Das Wort „Phishing“ kommt im BSI-Gesetz kein einziges Mal vor. Im deutschen Volltext der NIS2-Richtlinie steht es genau einmal — in Erwägungsgrund 89, einem nicht bindenden Teil. Im verbindlichen Anhang der Durchführungsverordnung (EU) 2024/2690 steht es überhaupt nicht. Trotzdem ist die Schulung Ihrer Beschäftigten zum Erkennen von Phishing-Mails eine dokumentationspflichtige Maßnahme — über § 30 Absatz 2 Satz 2 Nummer 7 BSIG, in Kraft nach Artikel 30 des NIS2-Umsetzungsgesetzes seit dem 6. Dezember 2025 [1]. Wer diese Ableitung nicht kennt, kann im Audit nicht begründen, warum sein Programm genau so aussieht, wie es aussieht. Dieser Leitfaden klärt die Rechtsgrundlage, die Erkennungsmerkmale des BSI und die Studienlage dazu, welche Form von Schulung messbar wirkt — die letzte Antwort ist für Ihre Budgetplanung die wichtigste.

Wo die Phishing-Pflicht im deutschen Recht wirklich steht

Kurzfassung: Verbindlich ist eine allgemein formulierte Schulungs- und Sensibilisierungspflicht. Phishing wird erst durch nicht bindende Erwägungsgründe und BSI-Aufsichtsmaterial konkret. Sie füllen den Inhalt selbst aus — und müssen die Ausfüllung begründen können.

Wir haben die maßgeblichen Primärtexte selbst durchgezählt:

Rechtstext	Treffer für „Phishing“	Wo genau	Bindend?
BSIG, geltende Fassung, Textnachweis ab 06.12.2025 (195.148 Zeichen)	0	—	—
NIS2-Richtlinie, deutsche Amtsblattfassung (309.721 Zeichen)	1	Erwägungsgrund 89	Nein — Auslegungshilfe
DVO (EU) 2024/2690, deutsche Fassung (133.693 Zeichen)	2	beide in Erwägungsgrund 20	Nein — der bindende Anhang nennt es nicht
BSI-Baustein ORP.3 (Edition 2023)	0	— („Social Engineering“ 4-mal)	Stand der Technik, kein Gesetz
BSI-Infopaket #nis2know zu Nummer 7	ja, an erster Stelle	Aufsichtsmaterial	Nein — aber die Aufsicht prüft danach

Verbindlich ist allein der Wortlaut von § 30 Absatz 2 Satz 2 Nummer 7 BSIG: „grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik“ [1]. Das ist eine von zehn Pflichtmaßnahmen — den vollständigen Katalog behandelt unser Überblick zu den zehn Risikomanagementmaßnahmen nach § 30 BSIG. Die europäische Vorlage in Artikel 21 Absatz 2 Buchstabe g lautet parallel „grundlegende Verfahren im Bereich der Cyberhygiene und Schulungen im Bereich der Cybersicherheit“ [4]. Phishing steht in keinem der beiden Sätze.

Erst Erwägungsgrund 89 der Richtlinie nennt es: Einrichtungen sollten „Schulungen für ihre Mitarbeiter organisieren und das Bewusstsein für Cyberbedrohungen, Phishing oder Social-Engineering-Techniken schärfen“ [4]. Erwägungsgrund 20 der Durchführungsverordnung ergänzt „einen sicheren Umgang mit E-Mails“ sowie „den Schutz vor Phishing und Social Engineering“ [5]. Erwägungsgründe erklären die Absicht des Gesetzgebers, sie begründen keine Pflicht. Wer schreibt, „die DVO verlangt Phishing-Schulungen“, zitiert falsch.

Ein zweiter Punkt, den der deutschsprachige Markt fast durchgängig übersieht: Der Anhang der DVO 2024/2690 bindet in Deutschland nicht alle Einrichtungen. § 30 Absatz 3 BSIG gibt dem Durchführungsrechtsakt Vorrang ausdrücklich nur „für die vorgenannten Einrichtungsarten“ und zählt genau elf digitale Typen auf — von DNS-Diensteanbietern und Cloud-Anbietern über MSP und MSSP bis zu Vertrauensdiensteanbietern [1]. Für alle anderen Sektoren ist der Anhang kein Gesetz, sondern der beste verfügbare EU-Maßstab. Diese Unterscheidung entscheidet darüber, ob eine Lücke ein Rechtsverstoß oder eine dokumentierte Entscheidung ist — mehr dazu in unserem Leitfaden zur Durchführungsverordnung CIR 2024/2690.

Zwei Pflichten, zwei getrennte Nachweise

Kurzfassung: Beschäftigte werden nach § 30 geschult, die Geschäftsleitung nach § 38. Das sind zwei Rechtsgrundlagen, zwei Zielgruppen und zwei Nachweisakten. Das BSI sagt das ausdrücklich.

Der häufigste Fehler in deutschen NIS2-Schulungskonzepten ist, beide Pflichten in ein Dokument zu werfen. Das BSI stellt in seinem Infopaket zu Nummer 7 klar, dass „die … Anforderungen aus § 30 Absatz 2 Satz 2 Nummer 7 BSIG getrennt von dieser Schulungspflicht zu sehen sind“ — gemeint ist die Geschäftsleitungsschulung nach § 38 Absatz 3 BSIG [7]. Wer nur ein Teilnahmeprotokoll für alle vorlegt, hat für eine der beiden Pflichten keinen Nachweis. Dieser Artikel behandelt die Beschäftigtenseite; die Pflichten der Geschäftsleitung samt Turnus und Nachweis stehen im Detail in unserem Beitrag zur NIS2-Schulung für Geschäftsführer.

Dabei ist die deutsche Fassung strenger als die europäische. Artikel 20 Absatz 2 der Richtlinie ist asymmetrisch formuliert: Mitgliedstaaten stellen sicher, dass Leitungsorgane „an Schulungen teilnehmen müssen“, und sie „fordern … Einrichtungen auf, allen Mitarbeitern regelmäßig entsprechende Schulungen anzubieten“ [4]. Die Mitarbeiterschulung ist dort also nur eine Aufforderung — Deutschland hat sie deshalb nicht über Artikel 20 umgesetzt, sondern als bindende Maßnahme in § 30 Absatz 2 Satz 2 Nummer 7 verankert. Und § 38 Absatz 1 BSIG geht über Artikel 20 Absatz 1 hinaus: Wo die Richtlinie vom „Billigen“ der Maßnahmen spricht, verpflichtet das BSIG die Geschäftsleitung, sie „umzusetzen und ihre Umsetzung zu überwachen“ [2].

Zielgruppe	Rechtsgrundlage	Was verlangt wird	Turnus im Gesetz
Alle Beschäftigten, interne und externe Nutzende von Systemen	§ 30 Abs. 2 S. 2 Nr. 7 BSIG	Grundlegende Schulungen und Sensibilisierungsmaßnahmen	Keines; Verhältnismäßigkeit nach § 30 Abs. 1 S. 2
Geschäftsleitung	§ 38 Abs. 3 BSIG	Eigene Teilnahme, um Risiken „erkennen und bewerten“ zu können	„regelmäßig“ — kein Intervall
Direkte Anbieter und Diensteanbieter	DVO-Anhang 8.1.1/8.1.2 (bindend nur für die elf Typen aus § 30 Abs. 3)	Einbeziehung in das Sensibilisierungsprogramm, soweit angemessen	„zeitlich so geplant, dass die Maßnahmen wiederholt werden“

Der Umfang der Zielgruppe wird oft zu eng gefasst. Das BSI definiert Mitarbeitende ausdrücklich als „die internen und externen Nutzenden von Systemen und Anwendungen innerhalb der betroffenen Einrichtung“ [7], und der Baustein ORP.3 formuliert es als Basis-Anforderung mit MUSS: „Alle Mitarbeitenden und externen Benutzenden MÜSSEN … eingewiesen und sensibilisiert werden, soweit dies für ihre Arbeitszusammenhänge relevant ist“ [8]. Wer Werkstudenten, Zeitarbeitskräfte oder den externen IT-Dienstleister mit Postfachzugang nicht erfasst, hat eine Lücke, die im Audit sichtbar wird. Wie das ins Gesamtbild passt, beschreibt unser Hub zu den NIS2-Schulungsanforderungen.

Die Merkmale, die das BSI selbst nennt — und was 2026 neu dazugekommen ist

Kurzfassung: Das BSI veröffentlicht konkrete Verdachtsmerkmale. Sie sind ein guter Kern, stammen aber aus der Verbraucheraufklärung und decken den heutigen Angriffsmix nicht ab.

Die folgenden Merkmale nennt das BSI auf seiner Seite zum Erkennen von Phishing sowie in der gemeinsam mit der Polizeilichen Kriminalprävention herausgegebenen Checkliste [9][10]. Beide Dokumente richten sich an Verbraucherinnen und Verbraucher — als Schulungsinhalt brauchbar, als Nachweis eines rollenbezogenen Programms nicht.

Merkmal (BSI)	Warum es funktioniert	Was zu tun ist
Dringender Handlungsbedarf („Daten gehen unwiederbringlich verloren“)	Zeitdruck unterdrückt die Absenderprüfung	Die Dringlichkeit selbst als Warnsignal behandeln
Drohung, etwa Kontosperrung	Verlustangst wirkt stärker als Gewinnaussicht	Über einen selbst gewählten Kanal zurückfragen
Aufforderung, vertrauliche Daten einzugeben	Der Angriff braucht die Eingabe — ohne sie hat er nichts	Merksatz des BSI: Bank, Diensteanbieter und Behörden bitten „niemals per E-Mail“ um Passwortänderung über einen Link
URL mit Institutionsnamen plus ungewöhnlichen Zeichen (BSI-Beispiel: „www.135x-Bank.de“)	Das Auge liest den bekannten Namen und überliest den Rest	Domain von rechts nach links lesen — der Teil vor dem Länderkürzel entscheidet
Anhänge mit .exe oder .scr, auch Doppelendungen wie „Dokument.pdf.exe“	Windows blendet die bekannte Endung aus, sichtbar bleibt „.pdf“	Endungsanzeige zentral erzwingen statt der Aufmerksamkeit überlassen
Bekannter Absender, ungewöhnliches Anliegen	Vertrauen in den Namen überträgt sich auf die Bitte	Rückruf über eine selbst ermittelte Nummer, nie über die aus der Mail

Zwei neuere Angriffsmuster fehlen in dieser Liste. ClickFix: Die ENISA beschreibt für den Zeitraum bis Juni 2025 Kampagnen, die gefälschte CAPTCHA- und Verifizierungsdialoge in kompromittierte Websites einbetten und Nutzende dazu bringen, den Schadcode selbst auszuführen — allein in der ClearFake-Kampagne 9.300 bestätigte Infektionen mit den Zugangsdaten-Stehlern Lumma und Vidar [11]. Die E-Mail ist hier nur der Türöffner, der Angriff passiert im Browser. Industrialisierung: ENISA dokumentiert Phishing-as-a-Service-Plattformen, die Anmeldeseiten automatisiert klonen; die Plattform Darcula imitierte mehr als 200 Organisationen [11]. Rechtschreibfehler und plumpe Anreden, auf die ältere Schulungen abzielen, sind damit kein verlässliches Merkmal mehr. Das BSI beschreibt im Monatsbericht für Juli 2026 dieselbe Bewegung: „eine Verschiebung der Angriffe von herkömmlichen Malware-Anhängen hin auf Angriffe, die auf Identitäten/Zugangsdaten abzielen (Phishing-Kits, Phishing-as-a-Service)“ [12].

Der Aufwand lohnt: Nach dem ENISA Threat Landscape 2025, ausgewertet über 4.875 Vorfälle, ist Phishing einschließlich Vishing, Malspam und Malvertising mit rund 60 Prozent der Fälle der häufigste Erstzugang — vor der Ausnutzung von Schwachstellen mit 21,3 Prozent und Botnetzen mit 9,9 Prozent [11].

Was Schulung messbar bringt: 19.500 Beschäftigte, acht Monate, echte Kontrollgruppe

Kurzfassung: Die größte kontrollierte Studie zum Thema findet für die jährliche Awareness-Schulung keinen messbaren Effekt und für eingebettetes Phishing-Training rund zwei Prozentpunkte. Ein verbreitetes Format verschlechtert die Ergebnisse sogar. Das ändert nicht die Rechtspflicht — aber die Frage, wofür Sie Geld ausgeben.

Auf dem 46. IEEE Symposium on Security and Privacy 2025 haben Ho, Mirian, Luo und Kollegen ein achtmonatiges randomisiertes Experiment mit zehn simulierten Phishing-Kampagnen und über 19.500 Beschäftigten eines großen Klinikbetreibers vorgestellt — mit einer echten Kontrollgruppe ohne Training [6]:

Untersuchtes Format	Ergebnis	Bedeutung
Jährliche Awareness-Schulung	Kein signifikanter Zusammenhang mit dem Durchfallen einer Simulation (OR 0,998 je 30 Tage; 95 %-KI 0,996–1,000; P = 0,06)	Wie lange die letzte Pflichtschulung zurücklag, machte keinen messbaren Unterschied
Eingebettetes Training nach dem Klick	9,5 % relativ weniger Fehlklicks (OR 0,905; 95 %-KI 0,863–0,950; P < 0,001), absolut jedoch nur rund 2 Prozentpunkte	Statistisch belegt, praktisch klein — die besten Gruppen lagen 1–4 Punkte unter der Kontrollgruppe
Mehrere statische Trainingseinheiten	Je zusätzliche abgeschlossene Einheit 18,5 % höhere Wahrscheinlichkeit durchzufallen (OR 1,185; 95 %-KI 1,110–1,266)	Das am weitesten verbreitete Format korreliert mit schlechteren Ergebnissen
Abgeschlossenes interaktives Training	Rund 19 % relative Verbesserung (OR 0,809; 95 %-KI 0,730–0,896)	Das einzige Format mit klarem Vorzeichen — die Autoren nennen selbst eine mögliche Selbstselektion

Den Mechanismus liefert dieselbe Studie: Die Mehrheit verbrachte weniger als 30 Sekunden mit dem Trainingsmaterial, über die Hälfte aller Sitzungen endete innerhalb von zehn Sekunden, und weniger als 24 Prozent schlossen das Material formal ab [6]. Ein Programm, das niemand liest, kann keine Wirkung entfalten — die Zahlen messen nicht das Wissen, sondern die Zumutbarkeit des Formats. Das Fazit der Autoren: Organisationen sollten „von jährlicher Awareness-Schulung und eingebettetem Phishing-Training in ihrer heute üblichen Form keine großen Effekte erwarten“.

Zur Einordnung gehört die Einschränkung der Autoren: Die Daten stammen aus einer einzigen Organisation des Gesundheitswesens. Die Richtung deckt sich allerdings mit zwei weiteren randomisierten Studien in anderen Branchen — und das BSI führt „Unwirksame Aktivitäten zur Sensibilisierung und Schulung“ im Baustein ORP.3 selbst als Gefährdung, mit „mangelnder Erfolgskontrolle“ und „fehlender Kontinuität“ unter den Ursachen [8].

Ein Programm, das beides trägt: die Pflicht und die Evidenz

Kurzfassung: Die Pflicht erfüllen Sie durch ein dokumentiertes, wiederkehrendes, rollenbezogenes Programm, dessen Wirksamkeit bewertet wird. Die Evidenz sagt Ihnen, wie Sie das Geld darin verteilen: weniger statische Wiederholung, mehr interaktive Formate, und der größere Teil des Budgets in Technik, die den Fehlklick entwertet.

Der Anhang der DVO 2024/2690 unterscheidet dabei präziser, als es meist wiedergegeben wird. Nummer 8.1.3 verlangt, dass das Sensibilisierungsprogramm „— soweit angemessen — in geplanten Zeitabständen im Hinblick auf seine Wirksamkeit getestet“ wird. Nummer 8.2.3 sagt zur rollenbezogenen Sicherheitsschulung dagegen ohne jeden Vorbehalt: „ihre Wirksamkeit ist zu bewerten“ [5]. Der Wirksamkeitsnachweis für Fachrollen ist damit strenger gefasst als der für die Breitenkampagne.

Hinzu kommt, wie gemessen werden soll: ORP.3.A8 verlangt, dass Lernerfolge zielgruppenbezogen gemessen werden und die Messungen „sowohl quantitative als auch qualitative Aspekte“ berücksichtigen [8]. Eine Klickrate ist rein quantitativ. Ein Dashboard, das nur sie zeigt, erfüllt den Maßstab der eigenen Behörde nicht — und misst nach der Studienlage ohnehin vor allem, wie schwer die letzte Simulation war. Belastbarer ist die Kombination aus Melderate, Zeit bis zur ersten Meldung und einer qualitativen Auswertung, warum die Meldung ausblieb.

Für die Verteilung des Budgets liefert das Gesetz das Argument. § 30 Absatz 1 Satz 2 BSIG nennt als Faktoren der Verhältnismäßigkeit ausdrücklich „das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen“ [1]. Die Umsetzungskosten sind damit ein zulässiges Abwägungskriterium — keine Erlaubnis, eine Maßnahme weglassen zu dürfen, aber die Grundlage, zwischen zwei Maßnahmen desselben Katalogs zu gewichten. Nummer 10 verlangt die „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“ [1] — und genau dahin zeigt die Studie: Ihre Autoren empfehlen technische Gegenmaßnahmen, namentlich hardwarebasierte MFA und Passwortmanager, die Zugangsdaten „nur auf der korrekten Domain“ einsetzen, mit dem Hinweis, dass dies „bestimmte Klassen“ von Phishing-Angriffen adressiert und operative wie Usability-Hürden mitbringt [6]. Entscheidend ist der Mechanismus: Ein Passwortmanager füllt auf der Fälschung nichts aus, weil die Domain nicht passt — er ersetzt eine menschliche Erkennungsleistung durch einen Abgleich, der nicht müde wird. Welche Anforderungen gelten, behandelt unser Beitrag zur MFA nach NIS2.

Dass die technische Schicht die Hauptlast trägt, zeigen die Zahlen der Aufsicht: In den Netzen des Bundes lag die Spam-Quote im Juli 2026 bei 52 Prozent, und 91 Prozent der erkannten Spam-Mails — die Kategorie umfasst ausdrücklich Phishing-Mails — wurden zentral blockiert, bevor sie eine Behörde erreichten [13]. Schulung ist die Maßnahme für den Rest; sie so zu planen, als müsste sie den ganzen Strom auffangen, verteilt das Budget falsch.

Wenn der Klick passiert: Ist das ein meldepflichtiger Sicherheitsvorfall?

Kurzfassung: Meist ja — aber nicht automatisch, und die deutsche Definition ist enger als die europäische. Klären Sie das vor dem Vorfall, nicht während der 24-Stunden-Frist.

§ 32 BSIG knüpft die Meldepflicht an einen „erheblichen Sicherheitsvorfall“, die Erstmeldung an 24 Stunden [14]. Vorgeschaltet ist die Frage, ob überhaupt ein Sicherheitsvorfall vorliegt — und hier weicht die deutsche Umsetzung vom Unionstext ab. Artikel 6 Nummer 6 der NIS2-Richtlinie definiert ihn über vier Eigenschaften: „die Verfügbarkeit, Authentizität, Integrität oder Vertraulichkeit“ von Daten oder Diensten [4]. § 2 Nummer 40 BSIG nennt drei — „die Verfügbarkeit, Integrität oder Vertraulichkeit“ [3]. Die Authentizität fehlt; im gesamten BSIG kommt das Wort genau einmal vor, bei kritischen Komponenten, nicht in der Vorfalldefinition. Eine Phishing-Mail ist ihrem Wesen nach ein Angriff auf die Authentizität, nämlich eine gefälschte Absenderidentität.

Wie weit diese Auslassung trägt, ist ungeklärt — Rechtsprechung oder eine Aussage des BSI liegen nicht vor, die Einordnung ist eine Lesart des Wortlauts, keine gesicherte Rechtslage. Praktisch dürfte sie selten entscheidend sein, weil ein erfolgreicher Zugangsdaten-Phish fast immer zusätzlich die Vertraulichkeit berührt. Gewicht bekommt der Unterschied bei reinen Täuschungsfällen ohne Systemzugriff, etwa einer umgeleiteten Zahlung nach einer gefälschten Lieferantenmail. Dass § 2 Nummer 11 BSIG „finanzielle Verluste für die betreffende Einrichtung“ als Erheblichkeitskriterium führt, spricht dafür, solche Fälle nicht vorschnell auszuschließen [3]. Legen Sie die Zuordnung im Vorfallverfahren vorab fest — 24 Stunden sind zu kurz für eine Auslegungsdebatte; die Bewertungsschritte im Detail stehen in unserem Leitfaden zu den Meldepflichten bei Sicherheitsvorfällen.

Was Sie dokumentieren müssen

Kurzfassung: Ohne Dokumentation existiert die Maßnahme aufsichtsrechtlich nicht. Das ist keine Auslegung, sondern steht im Gesetz und wird vom BSI ausdrücklich so formuliert.

§ 30 Absatz 1 Satz 3 BSIG ist knapp: „Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren“ [1]. Das BSI wird in seinem Infopaket zu Nummer 7 noch deutlicher und nennt die „Dokumentation über die Durchführung der Maßnahmen eine notwendige Bedingung zur Erfüllung der Anforderung“ [7]. Eine durchgeführte, aber nicht belegte Schulung ist keine erfüllte Maßnahme. Was in die Akte gehört:

• Programm und Zielgruppenanalyse — ORP.3.A4 verlangt ein zielgruppenorientiertes Programm auf Basis einer Zielgruppenanalyse [8], DVO-Anhang 8.2.2 Kriterien für den Schulungsbedarf je Rolle [5]
• Durchführungsnachweise — Teilnehmende mit Funktion, Datum, Dauer, Inhalte mit Bezug zur Rechtsgrundlage
• Onboarding-Nachweis — das BSI hält „im Rahmen der Ersteinweisung“ Schulungen plus „jährliche Information über aktuelle Neuerungen“ für zweckmäßig [7]
• Wirksamkeitsbewertung — für Fachrollen ohne Vorbehalt nach 8.2.3, für die Breitenkampagne „soweit angemessen“ nach 8.1.3 [5]; quantitativ und qualitativ nach ORP.3.A8 [8]
• Getrennte Akte für die Geschäftsleitung — § 38 Absatz 3 BSIG, nicht im Mitarbeiterprotokoll [2][7]
• Begründung der Ausfüllung — warum diese Inhalte, dieser Turnus, diese Formate; weil kein Rechtstext ein Intervall vorgibt, ist die Begründung der eigentliche Nachweis
• Exponierte Rollen — ORP.3.A9 sieht bei erhöhtem Schutzbedarf vertiefende Schulungen für „besonders exponierte Personen“ vor [8]; Finanzbuchhaltung, Vorstandsassistenz und Einkauf sind die typischen Kandidaten

Häufige Fragen

Wie oft müssen wir schulen? Kein Rechtstext nennt ein Intervall. § 38 Absatz 3 BSIG sagt für die Geschäftsleitung nur „regelmäßig“ [2], § 30 Absatz 2 Satz 2 Nummer 7 sagt nichts dazu [1]. Das BSI hält Ersteinweisung plus jährliche Information über Neuerungen für zweckmäßig [7]. Verbindlich ist nur, dass Sie Ihren Turnus begründen und dokumentieren können.

Sind Phishing-Simulationen Pflicht? Nein. Weder das BSIG noch der DVO-Anhang nennen Simulationen; im BSIG kommt das Wort nicht vor. Verlangt wird nach DVO-Anhang 8.1.3 und 8.2.3, dass Wirksamkeit getestet beziehungsweise bewertet wird [5] — eine Simulation ist ein zulässiger Weg dorthin, aber nicht der einzige und nach der Studienlage nicht der wirksamste.

Müssen wir externe Dienstleister mitschulen? Das BSI zählt externe Nutzende von Systemen und Anwendungen ausdrücklich zur Zielgruppe [7], ORP.3.A3 formuliert es als MUSS, soweit für die Arbeitszusammenhänge relevant [8]. Für die elf digitalen Einrichtungsarten aus § 30 Absatz 3 BSIG verlangt DVO-Anhang 8.1.1 zusätzlich, direkte Anbieter und Diensteanbieter einzubeziehen [1][5].

Reicht unser bestehendes ISO-27001-Awareness-Programm? Als Grundlage ja, als Deckungsnachweis nein. Es fehlen die Zuordnung zu § 30 Absatz 2 Satz 2 Nummer 7 BSIG, die getrennte Geschäftsleitungsakte nach § 38 Absatz 3 und die Dokumentation nach § 30 Absatz 1 Satz 3.

Haftet die Geschäftsführung persönlich, wenn ein Phishing-Angriff erfolgreich ist? Nicht für den Angriff. § 38 Absatz 2 BSIG knüpft die Haftung an die Verletzung der Pflichten aus Absatz 1 — Umsetzung und Überwachung der Maßnahmen nach § 30 — als Innenhaftung gegenüber der eigenen Einrichtung nach dem jeweiligen Gesellschaftsrecht [2]. Maßstab ist das Programm, nicht der einzelne Klick.

Rechtlicher Hinweis

Dieser Artikel enthält allgemeine Informationen und stellt keine Rechts- oder Compliance-Beratung dar. Die Anforderungen können je nach Rechtsordnung, Sektor und Organisationsform abweichen. Für eine auf Ihre Situation zugeschnittene Bewertung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder an eine Compliance-Fachkraft.

Quellen

1. § 30 BSIG — Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen, gesetze-im-internet.de.
2. § 38 BSIG — Umsetzungs-, Überwachungs- und Schulungspflicht für Geschäftsleitungen, gesetze-im-internet.de.
3. § 2 BSIG — Begriffsbestimmungen, gesetze-im-internet.de.
4. Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), deutsche Fassung, EUR-Lex, ABl. L 333/80.
5. Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17. Oktober 2024, EUR-Lex.
6. Ho, Mirian, Luo u. a., „Understanding the Efficacy of Phishing Training in Practice“, 46th IEEE Symposium on Security and Privacy, 2025.
7. #nis2know: Grundlegende Schulungen und Sensibilisierungsmaßnahmen, BSI.
8. ORP.3 Sensibilisierung und Schulung zur Informationssicherheit (Edition 2023), BSI IT-Grundschutz-Kompendium.
9. Phishing: Checkliste für den Ernstfall, BSI gemeinsam mit der Polizeilichen Kriminalprävention der Länder und des Bundes.
10. Wie erkenne ich Phishing in E-Mails und auf Webseiten?, BSI.
11. ENISA Threat Landscape 2025, ENISA, Oktober 2025.
12. Monatsbericht zur Lage der Cybernation — Bedrohungen (Juli 2026), BSI.
13. Monatsbericht zur Lage der Cybernation — Gefährdungen (Juli 2026), BSI.
14. § 32 BSIG — Meldepflichten, gesetze-im-internet.de.