Thema · Allgemein

Unterweisung IT-Sicherheit kompakt – Rechtliche Pflicht für Arbeitgeber erfüllen

Rechtssicher · Barrierefrei · Mit Zertifikat

Kostenfreies Strategiegespräch vereinbaren Themenübersicht

UWC-Nr. 5502 ca. 14 Minuten Lernzeit

Beschäftigte absolviert am Laptop eine Online-Unterweisung

Steckbrief

Dauer
ca. 14 Minuten, jederzeit unterbrechbar
Bereiche
Allgemein · Datenschutz · IT Schulungen
Nachweis
Zertifikat automatisch als PDF
Sprachen
Deutsch, Englisch, Französisch und weitere
Kennung
UWC-Nr. 5502

Ihre Vorteile

Warum Unterweisungscenter?

  • Rechtssicher

    ArbSchG-konform

  • Mehrsprachig

    DE, EN, FR u. a.

  • Zertifikat

    Automatisch als PDF

  • Ein Klick

    Keine Registrierung

  • KISS

    Kurz und bündig

  • Barrierefrei

    WCAG 2.2 AA

Auf dieser Seite
In kaum einem Unternehmensbereich ändern sich Gefährdungen so schnell wie in der IT. Phishing-Mails täuschen täglich Tausende Beschäftigte, Passwörter werden unsicher gewählt und Datenträger gehen verloren. Die Folgen: Bußgelder nach DSGVO, Betriebsunterbrechungen, Imageschäden. Die gesetzliche Pflicht zur Unterweisung in IT-Sicherheit ist deshalb zwingend. Mit der kompakten Online-Schulung „IT Sicherheit“ erfüllen Personalverantwortliche und Sicherheitsbeauftragte in nur 45 Minuten alle arbeits- und datenschutzrechtlichen Vorgaben – praxisnah, nachvollziehbar und sofort dokumentierbar.

Abschnitt 1

Rechtliche Grundlagen

Die rechtliche Verankerung der IT-Sicherheitsunterweisung ergibt sich aus mehreren Vorschriften: ArbSchG § 3 („Sicherheit und Gesundheitsschutz der Beschäftigten“) verlangt eine wirksame Gefährdungsbeurteilung, die auch informationstechnische Risiken einschließt. ArbSchG § 12 schreibt vor, dass Arbeitgeber ihre Mitarbeitende über alle Gefährdungen und die entsprechenden Schutzmaßnahmen regelmäßig zu unterweisen haben. Hinzu kommt BetrSichV § 3, die eine Beurteilung von Arbeitsmitteln – hierzu zählen Hard- und Software – fordert. IT-Sicherheit wird zudem von der DGUV Vorschrift 1 „Grundsätze der Prävention“ abgedeckt. Dort heißt es in § 4, dass Betriebe geeignete Informationen und Unterweisungen zur Verfügung stellen müssen, die Gefährdungen durch fehlerhafte Bedienung oder Manipulation IT-gestützter Systeme reduzieren. Für Behörden und öffentliche Betriebe verweist BSI-G § 8a auf die Notwendigkeit, Mitarbeitende regelmäßig zu sensibilisieren. Auch die DSGVO Art. 32 fordert geeignete technische und organisatorische Maßnahmen, zu denen die Schulung der Personen mit Datenzugriff zählt.

Abschnitt 2

Pflichten des Arbeitgebers

Arbeitgeber müssen gemäß ArbSchG § 12 eine Unterweisung aller Beschäftigten mindestens einmal jährlich durchführen und diese dokumentieren. Die Unterweisung ist konkret auf die jeweilige Tätigkeit abzustimmen – ein Büroangestellter benötigt andere Inhalte als ein Mitarbeiter in der Produktions-IT. Die Dokumentation muss mindestens folgende Angaben enthalten: Thema, Inhalt, Dauer, Teilnehmende, Namen der Lehrkraft und Datum. Aufbewahrungsfrist: fünf Jahre (§ 22 ArbSchG). Die Gefährdungsbeurteilung (ArbSchG § 5) bildet die Grundlage: Sie identifiziert IT-spezifische Risiken (z. B. unverschlüsselte Datenträger, unsichere WLAN-Zugänge) und leitet daraus konkrete Schutzmaßnahmen ab. Wird die Beurteilung aktualisiert, muss ebenfalls eine Nachunterweisung erfolgen.

Abschnitt 3

Inhalte der Unterweisung

1. Grundlagen IT-Sicherheit und Datenschutz

Die Schulung beginnt mit einer Einführung in die Begrifflichkeiten: Was ist ein Informationssicherheits­managementsystem (ISMS)? Welche Rolle spielt der Datenschutz im IT-Risikomanagement? Anhand von Beispielen wie dem Datenschutz-Fall „Google Analytics“ wird verdeutlicht, welche Konsequenzen eine mangelnde Sensibilisierung haben kann.

2. Passwortsicherheit und Authentifizierung

Starker Fokus liegt auf der Passwortsicherheit. Die Teilnehmenden lernen:

  • die Mindestanforderungen gemäß BSI-Leitlinie (12 Zeichen, Groß-/Kleinschreibung, Ziffern, Sonderzeichen)
  • die Nutzung von Passwort-Managern als sinnvolle Hilfe
  • die Bedeutung von Multi-Faktor-Authentifizierung (MFA)
Ein Live-Demo zeigt, wie ein schwaches Passwort innerhalb von Sekunden geknackt wird.

3. Phishing- und Social-Engineering-Erkennung

Die Teilnehmenden erhalten konkrete Handlungsanleitungen:

  • Erkennung typischer Phishing-Merkmale (Fehler in der Absender-Domain, Druck durch Zeitlimit)
  • Verhalten bei Verdachtsfällen: „Stop – Check – Inform“-Regel
  • Meldestelle im Betrieb kontaktieren, nicht selbst weiterleiten
Ein interaktives Quiz lässt die Mitarbeitenden echte und gefälschte Mails unterscheiden.

4. Sicherer Umgang mit sensiblen Daten

Praxisnahe Tipps für den Alltag:

  • Verschlüsselte E-Mail nur für personenbezogene Daten verwenden
  • Laptops immer mit BitLocker oder FileVault sichern
  • USB-Sticks nur mit Freigabe durch IT nutzen
  • Papierdokumente sofort nach Gebrauch in Datenschutz­vernichter entsorgen
Ein kurzer Blick auf die „Cloud-Security“ zeigt, welche Punkte vor der Nutzung von Dropbox & Co. geprüft werden müssen.

5. Update- und Patch-Management

Die Teilnehmenden erfahren, warum regelmäßige Updates wichtig sind und wie sie diese veranlassen: Automatische Updates aktivieren, nicht auf „Später klicken“ und kritische Sicherheitslücken sofort an die IT melden. Ein Ausblick auf Zero-Day-Lücken macht die Dringlichkeit deutlich.

6. Verhalten bei Verlust oder Sicherheitsvorfall

Notfallnummern und Meldepflichten werden transparent:

  • Wer ist Ansprechpartner IT-Sicherheit?
  • Wann muss die Datenschutzbeauftragte informiert werden (72-Stunden-Regel)?
  • Wie wird ein Vorfall dokumentiert?
Ein kurzer Lageplan „Was tun, wenn der Laptop weg ist?“ komplettiert den Abschnitt.

Abschnitt 4

Gefährdungen & Schutzmaßnahmen

Aus Sicht des Arbeitsschutzes lassen sich IT-Risiken nach dem TOP-Prinzip bekämpfen: Technisch: Installation von Virenschutz, Firewalls, Verschlüsselung Organisatorisch: Regelarbeitsplätze, Zugriffsrechte nach Rollen vergeben, „Sauber-Desk“-Policy Personell: Regelmäßige Schulungen, Sensibilisierungs-Kampagnen, Phishing-Tests Typische Gefährdungen sind:
  • Phishing-E-Mails mit Schadsoftware (Ransomware)
  • Unbefugter Zugriff via offene WLAN-Netze
  • Verlust von Datenträgern ohne Verschlüsselung
  • Mangelnde Updates führen zu Sicherheitslücken
Die Schutzmassnahmen werden in der Gefährdungsbeurteilung konkretisiert und in der Unterweisung erklärt.

Abschnitt 5

Zielgruppen & Branchen

Die Schulung ist branchenübergreifend relevant, besonders aber für:
  • Büro- und Verwaltungsbereiche (viele personenbezogene Daten)
  • Finanzdienstleister (höhere Schadenspotenziale bei Datenlecks)
  • Gesundheitswesen (besondere Schutzwürdigkeit sensibler Gesundheitsdaten)
  • Industrie und produzierendes Gewerbe (IT-Systeme in der Produktion)
Sondergruppen wie Home-Office-Mitarbeitende erhalten zusätzliche Module zum sicheren Heimarbeitsplatz.

Abschnitt 6

Intervalle & Dokumentation

Die regelmäßige Unterweisung muss mindestens einmal jährlich erfolgen (ArbSchG § 12). Bei wesentlichen Änderungen (neue Software, neue Phishing-Wellen, neue Rechtslage) ist eine Nachunterweisung innerhalb von vier Wochen erforderlich. Die Dokumentation enthält: Schulungsdatum, Themen, Dauer, Teilnehmerliste, Unterschrift oder digitale Bestätigung. Aufbewahrungsfrist: fünf Jahre ab Erstellung. Die Online-Plattform archiviert automatisch und erstellt Bescheinigungen nach DGUV-I 113-004.

In der Praxis

Was Verantwortliche wissen müssen

Checkliste

Das sollten Sie prüfen

  • Phishing- und Social-Engineering-Check: Erkennen Mitarbeitende verdächtige Mails?
  • Passwort-Policy umgesetzt: Mindestlänge 12 Zeichen, MFA aktiv?
  • Update-Status geprüft: Alle Betriebssysteme und Anwendungen gepatcht?
  • Verschlüsselung mobiler Geräte: Laptop, Smartphone und USB-Sticks?
  • Notfallplan vorhanden: Telefonnummern IT-Security und Datenschutz sichtbar?
  • Zugriffsrechte rollenbasiert vergeben: Prinzip „Need-to-Know“ angewendet?
  • Home-Office-Policy kommuniziert: Sicheres WLAN, VPN-Zwang, sauberer Schreibtisch?
  • Schulungsnachweise archiviert: Mind. 5 Jahre aufbewahrt?

Häufige Fehler

Das geht oft schief

  1. Nur einmalige Schulung
    Viele Unternehmen bilden ihre Mitarbeitenden nur bei Einstellung aus. Neue Bedrohungen (KI-Deepfakes, QR-Phishing) werden verpasst.
  2. Keine praxisnahen Beispiele
    Abstrakte Vorträge ohne reale Fälle führen zu geringerem Lernerfolg.
  3. Fehlende Dokumentation
    Schulung war erfolgreich, aber Nachweise fehlen – Bußgeld bei Prüfung.
  4. Nicht angepasste Inhalte
    Produktionsmitarbeiter erhalten denselben Kurs wie Office-Angestellte. Relevanz sinkt, Akzeptanz auch.
  5. „Ich klicke später“-Syndrom
    Updates werden aufgeschoben, obwohl klar ist, dass Sicherheitslücken bestehen.
  6. Veraltete Notfallnummern
    Die Hotline der IT-Security wurde vor drei Jahren geändert – steht aber noch in alten Notfallplänen.

Sonderfälle

Das gilt zusätzlich

  • Home-Office-Kräfte
    erhalten zusätzliche Inhalte zum sicheren privaten WLAN („keine Standard-Passwörter“), zum Umgang mit Familienmitgliedern und zum sicheren Verwahren von Hardware. Für Aushilfs- und Zeitarbeitnehmer wird ein verkürztes Modul mit Fokus auf „Bring-Your-Own-Device“ und Meldepflichten bereitgestellt. Mitarbeitende in sensiblen Bereichen (z. B. Entwicklung, Controlling) durchlaufen ein erweitertes Kapitel „Source-Code-Sicherheit“ und „Verschlüsselter Datenaustausch“.

Häufige Fragen

Fragen zur Unterweisung IT Sicherheit kompakt

Muss die Schulung wirklich jährlich wiederholt werden?

Ja, gemäß ArbSchG § 12 muss die Unterweisung regelmäßig – mindestens einmal jährlich – erfolgen. Neue Risiken wie KI-Generierte Deepfakes erfordern regelmäßige Aktualisierungen.

Frage: Darf die Schulung online stattfinden oder nur Präsenz?
Antwort: Online-Formate sind ausdrücklich erlaubt, solald sie interaktiv sind und eine Teilnahmebestätigung dokumentiert wird. Die DGUV-I 113-004 bestätigt dies.

Frage: Was müssen wir dokumentieren?
Antwort: Datum, Uhrzeit, Thema, Inhalte, Dauer, Namen der Teilnehmenden und des Dozenten. Automatische Zertifikate erfüllen diese Anforderungen.

Frage: Gilt die Pflicht auch für 5-Köpfige Betriebe?
Antwort: Ja, der ArbSchG § 12 gilt unabhängig von der Betriebsgröße. Auch kleine Betriebe müssen Mitarbeitende schulen.

Frage: Müssen externe Dienstleister geschult werden?
Antwort: Werden externe Personen (z. B. Reinigungskräfte) im Betrieb eingesetzt, die Zugriff auf IT-Systeme haben, muss der Arbeitgeber die Schulung veranlassen oder Nachweise verlangen.

Frage: Was passiert bei Verstößen?
Antwort: Verwaltungsbehörden können Bußgelder bis 20.000 € nach ArbSchG § 25 verhängen. Zusätzlich drohen DSGVO-Bußgelder bei Datenschutzverstößen.

Weiterlesen

Jetzt rechtssicher online unterweisen

Mit der kompakten Online-Unterweisung „IT-Sicherheit“ erfüllen Sie Ihre Pflichten nach ArbSchG § 12 und DSGVO in nur 45 Minuten – ohne Schulungsraum, ohne Papierkram. Automatische Dokumentation, sofortige Zertifikate und jederzeit abrufbare Nachweise machen Ihr Leben einfach.

Kostenfreies Strategiegespräch vereinbaren