Im Gespräch mit Theresia Gierull, Leiterin Lernlabor Cybersicherheit der Fraunhofer Academy

Theresia Gierull ist Leiterin des Lernlabor Cybersicherheit der Fraunhofer Academy. Seit 2017 beschäftigt sie sich in diesem Rahmen damit, wie Wissen aus der IT-Sicherheitsforschung in wirksame Weiterbildungsangebote für Wirtschaft und Gesellschaft übersetzt werden kann. Zuvor war sie als Managerin für Training und Konzeption mit Schwerpunkt E-Learning sowie in Kommunikations- und Medienprojekten für Unternehmen und Organisationen tätig. Mit ihr sprachen wir über die aktuellen Anforderungen zu Weiterbildung im Bereich Cybersicherheit.

Anwendungsnahes Lernen in realistischen Szenarien

Wie definieren Sie die Unterschiede zwischen einer Akademie mit Security Awareness Trainings (SAT) und einem „Lernlabor“? Bin ich der Einzige, der dabei an „Dr. Bunsenbrenner“ denkt – oder an Schlaflaboratorien? Oder anders gefragt: wird in Labors nicht typischerweise geforscht und nicht gelernt/trainiert?

Ich kann diesen Gedanken gut verstehen. Bei „Lernlabor“ haben viele zunächst ein Bild von Reagenzgläsern oder Forschung im klassischen Sinne im Kopf. Tatsächlich ist der Begriff für uns aber sehr passend: Wir schaffen eine Umgebung, in der Cybersicherheit nicht nur erklärt, sondern auf Basis der neuesten Forschungsergebnisse gezielt gelernt, geübt und angewendet wird. Und das unterscheidet uns von klassischen Security-Awareness-Trainings: Im Lernlabor Cybersicherheit geht es nicht um reine Wissensvermittlung, sondern um anwendungsnahes Lernen in realistischen Szenarien. Teilnehmende setzen sich mit konkreten Angriffssituationen, Entscheidungsdruck und typischen Schwachstellen im Arbeitsalltag auseinander. Kurz gesagt: eine SAT-Akademie erklärt Dir, was Du tun solltest. Im Lernlabor kannst du es selbst ausprobieren.

Forschung und Trainings befruchten sich gegenseitig

Apropos Forschung: ziehen Sie systematisch Erkenntnisse aus den Trainings? – Wie werden diese ausgewertet?

Ja, in den Trainings werden, je nach Format, Erkenntnisse systematisch erfasst und ausgewertet, etwa durch Simulationen oder auch Wissensprüfungen. Die Ergebnisse daraus fließen sowohl in individuelles Feedback für die Teilnehmenden ein als auch in die kontinuierliche Weiterentwicklung der Trainingsinhalte und -formate, um uns hier immer weiter zu verbessern. Das Gros der Trainingsinhalte stammt natürlich aus Forschung und Forschungsprojekten. Insights aus Inhouse-Schulungen werden bei uns streng vertraulich behandelt und Branchenwissen wird anonymisiert verwendet.

Es gibt Erhebungen, die ein skeptisches Fazit bezüglich der Erfolgsaussichten mit SAT ziehen. Wie schätzen Sie das ein und können/wollen Sie Interessenten quantitative/qualitative Ergebnisse (z. B. „Nach erfolgreich absolviertem Training bei uns klickt ihr Mitarbeiter zu 89 Prozent weniger wahrscheinlich auf eine Phishing-Mail“) zusagen?

Wir teilen die Kritik, wo Awareness auf einmalige passive Schulungen und vereinfachte Kennzahlen reduziert wird. Der Nutzen zeigt sich nicht in pauschalen Wirkversprechen, sondern daran, ob Menschen sicherheitsrelevante Situationen besser erkennen, einordnen und angemessen darauf reagieren können. Genau darauf ist unser Lernlabor-Ansatz ausgerichtet, mit realitätsnahen Szenarien und Simulationen. Damit liefern wir kontextbezogene qualitative und quantitative Rückmeldungen mit wissenschaftlicher Aussagekraft.

Transfer in den Arbeitsalltag als Erfolgskriterium

Wie sehen die Lernstands-Überprüfungen im Lernlabor aus?

Nicht jedes Lernformat im Lernlabor arbeitet mit klassischen Prüfungen. Wo Zertifizierungen dazugehören, gibt es natürlich auch entsprechende Leistungsnachweise. Grundsätzlich ist unser Ansatz aber stärker anwendungsorientiert: Denn uns geht es vielmehr darum, ob die Teilnehmenden sicherheitsrelevante Situationen erkennen, einordnen und in der Praxis angemessen bewältigen können. Der eigentliche Lernerfolg zeigt sich für uns deshalb vor allem im Transfer in den Arbeitsalltag.

Lernportal und Online-Sprechstunde

Nehmen die Teilnehmenden Dokumentationen mit zurück in ihr Unternehmen? Gibt es die Möglichkeit, nicht optimal gelernte Dinge auch später noch online nachzuarbeiten oder zu vertiefen?

Unsere Teilnehmenden erhalten in der Regel Kursunterlagen, bei einigen Weiterbildungen auch weiterführendes Material oder einen Online-Zugang zu einem Portal, insbesondere im Bereich IT-Forensik. Bei einigen Weiterbildungen gibt es auch das Angebot einer Online-Sprechstunde mit der Trainerin oder dem Trainer im Nachgang. Wichtig ist uns dabei, dass das Lernen nicht mit dem Training endet. Die Materialien sollen helfen, die Inhalte zu vertiefen, sie im Arbeitsalltag wieder aufzugreifen und bei Bedarf gezielt nachzuarbeiten.

Moderne Formate wie Simulationen

Hand auf‘s Herz: Ist klassische Weiterbildung in der Cybersicherheit nicht viel zu langsam für eine Bedrohungslage, die sich täglich verändert?

Cybersicherheit lässt sich nicht mehr durch eine starre, einmalige Weiterbildung erreichen. Gerade weil sich die Bedrohungslage ständig verändert, muss Lernen heute kontinuierlich und flexibel sein. Zwar wandeln sich Angriffswerkzeuge und Technologien laufend, doch die grundlegenden Prinzipien der Cybersicherheit bleiben weitgehend gleich – von der Risikobewertung über Zugriffskontrollen bis hin zu den Schutzzielen Vertraulichkeit, Integrität und Verfügbarkeit. Entscheidend ist deshalb nicht, ob die Weiterbildung schnell genug ist, sondern ob sie ein solides Fundament mit der Fähigkeit verbindet, neues Wissen kontinuierlich einzuordnen und anzuwenden. Moderne Formate, wie Simulationen, praxisnahe Szenarien und modulare Lernangebote, ermöglichen genau das.

Gezielte Angebote für das Management

Cybersicherheit gilt als Chefsache – oder sollte es sein. Wie hoch ist der Anteil an Führungskräften in Ihren Weiterbildungsprogrammen? Reicht das aus?

Mehr Führungskräfte mit einem guten Verständnis für Cybersicherheit wären definitiv sinnvoll. Deshalb haben wir auch gezielte Angebote, die sich an Entscheiderinnen und Entscheider und das Management richten, etwa das „Software Security Training für Product Owner & Führungskräfte“, „Cybersicherheit nach NIS-2: Weiterbildung für Geschäftsführungen und Entscheider“ oder Kurse zur strategischen Gestaltung von IT-Sicherheitsrichtlinien. Wir haben kein Executive-Programm, aber dennoch viele Führungskräfte unter den Teilnehmenden. Doch es ist eindeutig noch Luft nach oben.

Was muss passieren, damit Unternehmen Cybersicherheit wirklich zur Chefsache machen – und nicht erst nach einem Angriff?

Cybersicherheit wird dann zur echten Chefsache, wenn Unternehmen sie nicht als IT-Problem, sondern als strategisches Geschäfts- und Risikothema begreifen. Dafür braucht es Transparenz über reale Bedrohungsszenarien und ein klares Verständnis für konkrete Auswirkungen auf Produktion, Lieferfähigkeit, Haftung oder Renommee. Der wichtigste Baustein ist dabei aus meiner Sicht, dass genau diese Erkenntnis im Unternehmen vorhanden ist: Cybersicherheit ist keine technische Nebensache, sondern eine Führungsaufgabe.

Zertifizierungen = Momentaufnahmen

Warum sollten sich gerade die Spezialisten auf diesem Gebiet – die Cybersicherheitsexperten – regelmäßig fortbilden? Sind die Zertifizierungen, die sie benötigen, nicht ausreichend?

Mit einem Zertifikat wie T.I.S.P., CISSP, CGRC, ISSMP etc., weisen Menschen durch standardisierte Prüfungen nach, dass sie spezifisches Wissen und Fähigkeiten erworben haben. Zertifizierungen sind allerdings eine Momentaufnahme. Cybersicherheit ist jedoch ein Feld, das sich technologisch und regulatorisch permanent weiterentwickelt. Deshalb müssen auch erfahrene Expertinnen und Experten ihr Wissen kontinuierlich aktualisieren – von neuen Angriffsmethoden über KI bis hin zu regulatorischen Anforderungen. Und auch angesichts des Fachkräftemangels in Deutschland und Europa können es sich Unternehmen nicht leisten, vorhandene Kompetenzen nicht kontinuierlich weiterzuentwickeln.

Rasanter Fortschritt

Warum halten Sie Weiterbildungen für nötig, auch wenn Mitarbeitende bereits über viel Erfahrung verfügen?

Da schließe ich gerne an meine Antwort von oben an: Erfahrung ist in der Cybersicherheit enorm wertvoll, aber sie ersetzt keine kontinuierliche Weiterbildung. Der technologische Fortschritt ist so rasant, dass Wissen über Sicherheitsmaßnahmen schnell veralten kann. Wissensaneignung darf also nicht einmalig passieren, sondern muss als fortlaufender Prozess verstanden werden.

Welche Themen sind derzeit besonders gefragt? Welche Themen wird es zukünftig geben?

Das Lernlabor Cybersicherheit entstand 2016 aus der Erkenntnis, dass Unternehmen mehr benötigen als technische Sicherheitslösungen: Sie brauchen Menschen mit den passenden Kompetenzen. Seitdem beobachten wir, wie sich die Anforderungen kontinuierlich verändern. Aktuell werden Trainings zu strategischen Bedrohungen und regulatorischen Anforderungen, wie Sicherheitsfaktor Mensch, NIS-2, IT-Forensik und Incident Response nachgefragt. Künftig werden insbesondere KI-Sicherheit, Post-Quanten-Sicherheit und die Absicherung vernetzter IT- und OT-Umgebungen an Bedeutung gewinnen.

Typische Schwachstellen

Welche Rolle spielt inzwischen KI im Lernlabor?

KI spielt im Lernlabor in doppelter Hinsicht eine Rolle: Zum einen nutzen wir sie zur Weiterentwicklung unserer Trainings, etwa für realistische Bedrohungssimulationen und die schnelle Integration neuer Angriffsmuster. Zum anderen ist KI selbst ein zentrales Weiterbildungsthema. In vielen Trainings behandeln wir, wie KI die Bedrohungslage verändert und zugleich sinnvoll eingesetzt werden kann, wie beispielsweise beim Erkennen und Abwehren KI-gestützter Angriffe, für den sicheren Einsatz von Large Language Models oder bei der Identifikation KI-basierter Bild- oder Videomanipulation. Teilnehmende lernen dabei sowohl die Funktionsweise moderner KI-Systeme als auch typische Schwachstellen, Angriffsszenarien und Schutzmechanismen kennen.

Gibt es typische Denkfehler, die Unternehmen beim Thema Cybersicherheit bzw. bei Schulungen für Cybersicherheit machen?

Ein häufiger Denkfehler ist die Annahme, dass allein technische Maßnahmen oder einmalige Schulungen ausreichen. Cybersicherheit ist außerdem nicht ausschließlich Sache der IT, sondern betrifft auch Verhalten, Entscheidungen und Routinen im Arbeitsalltag. Gleichzeitig veraltet Wissen sehr schnell, Aufmerksamkeit lässt nach und Routinen führen dazu, dass Warnsignale übersehen werden. Cybersicherheit muss deshalb als fortlaufender Lernprozess verstanden werden.

Industrie- und OT-Umfeld

Gerade im Industrie- und OT-Umfeld, wo IT und operative Technologien zusammenwachsen, hält sich zudem oft die Vorstellung. dass Einzelmaßnahmen, wie Virenscanner oder sporadische Penetrationstests, ausreichend seien. Diese können zwar Symptome erkennen, beheben aber nicht die Ursachen. Wirksame Sicherheit entsteht nur, wenn sie von Beginn an im Maschinen- und Systemdesign verankert wird. „Security by Design“ ist hier entscheidend.

Stichpunkt „Social Engineering“: Warum scheitern so viele Sicherheitsmaßnahmen am „Faktor Mensch“ und wie lässt sich das in der Praxis ändern?

Ich möchte hier bewusst differenzieren: Wenn Sicherheitsmaßnahmen am sogenannten Faktor Mensch scheitern, sind die Nutzerinnen und Nutzer nicht automatisch die Schuldigen. Social Engineering nutzt sehr gezielt psychologische Mechanismen, wie Vertrauen, Hilfsbereitschaft oder Zeitdruck, und umgeht so technische Schutzmaßnahmen.

Problematische Sicherheitsmaßnahmen

Gleichzeitig zeigt sich in der Forschung und in der Praxis, dass auch Sicherheitsmaßnahmen selbst ein Teil des Problems sein können, nämlich dann, wenn sie nicht gut zur Arbeitsrealität passen. Entscheidend ist deshalb nicht, Menschen pauschal verantwortlich zu machen, sondern sie nachhaltig und praxisnah dafür zu sensibilisieren, kritische Situationen im Alltag zu erkennen. Außerdem sollten Sicherheitsvorgaben so gestaltet sein, dass sie verständlich sind, akzeptiert werden und mit den alltäglichen Arbeitszielen vereinbar sind.

Spielen auch physische Aspekte der Cybersicherheit eine Rolle in Ihren Lernangeboten? Gibt es z. B. Rollenspiele zum Thema „Zutritt verschaffen“, „präparierte USB-Sticks platzieren“?

Rollenspiele und andere Szenario-basierte Formate spielen bei uns eine wichtige Rolle. Ein gutes Beispiel sind unsere Planspiele und Krisensimulationen, etwa zu Cyberangriffen im Krankenhaus. Dabei erleben Teilnehmende einen realistischen Angriff auf ihre
eigene Infrastruktur, sie aktivieren Notfallprozesse und müssen unter Zeitdruck Entscheidungen treffen. Genau dadurch wird sichtbar, ob Rollen, Abläufe und Kommunikation im Ernstfall tatsächlich funktionieren. Je nach Format und Inhouse-Setting können dabei auch physische oder organisatorische Aspekte von Social Engineering einbezogen werden.

Auch kleinere Formate, zum Beispiel Demonstratoren zu Spear-Phishing (stark personalisierte Angriffe) oder Betrugsmaschen über Voice Cloning, können sehr eindrücklich zeigen, wie einfach und schnell sich Angriffe vorbereiten und durchführen lassen. Entscheidend ist, dass Teilnehmende Angriffslogiken verstehen und Handlungssicherheit für den Arbeitsalltag gewinnen.

Wie erreicht man in Schulungen nicht nur die IT-Abteilung, sondern auch die Mitarbeitenden aus Marketing, Controlling oder der Produktion?

Das Wichtigste ist, dass Schulungen zielgruppengerecht und praxisnah gestaltet werden. Jeder Fachbereich arbeitet mit unterschiedlichen Abläufen, Anforderungen und auch unterschiedlichem Vorwissen. Deshalb sollten reale Szenarien aus dem jeweiligen Arbeitsalltag im Fokus stehen. Im Controlling etwa geht es um CEO-Fraud oder manipulierte Zahlungsanweisungen unter Zeitdruck, im Marketing um Social Engineering und Kommunikationsprozesse, in der Produktion eher um IT-/OT-Schnittstellen und Betriebssicherheit. Cybersicherheit wird dann relevant, wenn Mitarbeitende erkennen: Das betrifft genau meine Rolle und meinen Alltag.

Gibt es einen Moment in Ihrer Arbeit, der Sie hinsichtlich Cybersicherheit besonders beeindruckt oder wachgerüttelt hat?

Ehrlich gesagt gibt es nicht den einen Moment, sondern viele. Ich bin immer wieder beeindruckt und zum Teil auch erschrocken darüber, wie eindrücklich die Kolleginnen und Kollegen reale Bedrohungen sichtbar machen. Das zeigt sich beispielsweise mit Demonstratoren zu Spear-Phishing, bei denen man mit wenigen Klicks nachvollziehen kann, wie täuschend echt Angriffe heute vorbereitet werden können. Oder Fälle aus unserer IT-Forensik, über die teilweise später in der Presse berichtet wird. Ich erinnere mich auch gut daran, wie mir ein Kollege seinen Hack in einen E-Scooter zeigte. Gerade weil im Lernlabor aktuelle Forschung und Weiterbildung so eng zusammenkommen, erlebe ich immer wieder, wie real und wie nah Cyberbedrohungen sind.