Für IT-Leitung und Personalabteilung
Security-Awareness-Training, das Ihre Belegschaft selbst spielt
90 Minuten, in denen Ihr Team einen Angriff auf das eigene Haus abwehrt und dabei zwölf Sicherheitsthemen erlebt – vom Phishing bis zum falschen Backup. Vor Ort in München und 100 km Umkreis, per Post deutschlandweit und nach Österreich.
Ein Trainingstermin mit Auswertung und Nachweis
Das Training heißt Cyber Breach und läuft auf physischen Spielboxen. Es endet mit Unterlagen für die Teilnehmenden und einem Beleg für Ihre Personalabteilung.
-
90 Minuten Ernstfall
Bis zu acht Personen je Box, alle Boxen gleichzeitig, ein Countdown für den ganzen Raum. Vorwissen ist nicht nötig.
-
Die Mail trägt Ihren Namen
Logo, Abteilungen und die Geschäftsführung als Absender. Das gesamte Spiel wird vor dem Termin auf Ihr Haus gebrandet.
-
Punktestand statt Abschlussquote
Der Live-Highscore zeigt, welches Team eine Falle durchschaut hat, und zwar in derselben Minute.
-
Auswertung an jede Person
Per Mail: eigene Entscheidungen, gebrandetes Teamfoto, Faktenseite mit dokumentierten Fällen und sechs Merksätze.
-
Teilnahmebestätigung für die Akte
Automatisch per Mail, mit Datum, Namen und den behandelten Themen. Kein Zertifikat, keine Prüfung.
-
Vor Ort oder per Post
Im Umkreis von München bauen wir auf, sonst reisen die Boxen an jede Adresse in Deutschland. So läuft der Versandweg.
- 90 Minuten
- 13 Stationen
- 4 Fallen
- Deutsch oder Englisch, ohne Aufpreis
- ohne Steckdose, Akku 14 Stunden
Sagen Sie uns Teamgröße, Standort und Wunschtermin. Das Angebot liegt innerhalb eines Werktags bei Ihnen.
Zwölf Themen, die niemand absitzt
Jedes Thema steckt im Spiel als Situation. Nichts wird angekündigt. Es passiert in dem Moment, in dem das Team gerade etwas anderes im Kopf hat.
-
Phishing und CEO-Fraud
Die Mail von oben, kurz vor Feierabend, mit Zeitdruck. Woran die Absender-Domain kippt.
-
Zwei-Faktor-Authentifizierung
Warum ein gestohlenes Passwort allein keine Tür mehr öffnen darf.
-
Passwörter aus dem Privatleben
Hochzeitstag, Kindername, Kennzeichen – und wohin Zugangsdaten stattdessen gehören.
-
Besitz und Biometrie
Was „etwas, das ich habe“ im Alltag bedeutet, wenn das Passwort schon weg ist.
-
Fremde USB-Sticks
Der Datenträger, den niemand bestellt hat, mit einem Werkzeug darauf, das angeblich hilft.
-
QR-Codes als Angriffsweg
Ein Bild verbirgt sein Ziel. „Scan mich“ verdient dieselbe Vorsicht wie ein Link.
-
Social Engineering am Telefon
Die ruhige Stimme, die nur kurz einen Freigabecode braucht. Rückruf über die offizielle Nummer.
-
Offene WLAN-Netze
Ein Netz mit vertrautem Namen, aber ohne Schloss. Wer so etwas aufspannen kann.
-
Backups und der richtige Stand
Der jüngste Wiederherstellungspunkt kann den Angriff bereits enthalten.
-
Erst trennen, dann bereinigen
Netzsegmentierung als gekaufte Zeit, wenn der Befall schon läuft.
-
Kritische Systemdialoge
Jede gefährliche Aktion fragt nach. Unter Zeitdruck wird sie nur noch bestätigt.
-
Zugänge und Mehr-Augen-Prinzip
Warum kein einzelner Ausweis das ganze Haus öffnen sollte.
Sieben Stationen, an denen es ernst wird
Die Kette hat 13 Stationen. Diese sieben zeigen, was im Spiel passiert. Alle 13 stehen auf der Produktseite von Cyber Breach.
-
01Zwei-Faktor
Der Bestätigungsknopf im Dauerfeuer
Ein zweiter Faktor hält nur, solange niemand ihn im Reflex wegdrückt. Angreifer schicken so lange Anmeldeanfragen, bis jemand aus Genervtheit bestätigt, und melden sich nebenbei als Support.
Uber, 2022: Ein Dienstleisterkonto wurde mit gestohlenem Passwort und einer Flut von Anmeldeanfragen übernommen. Als jemand eine davon bestätigte, stand das interne Netz offen. Quelle: Bleeping Computer, 19.09.2022
Jeder Fernzugang bekommt einen zweiten Faktor. Eine Anfrage, die niemand ausgelöst hat, wird abgelehnt und gemeldet.
-
02Besitz und Biometrie
Wenn nur das Passwort dazwischensteht
Wer privat und dienstlich dasselbe Passwort nutzt, hängt das Firmenkonto an das nächste beliebige Datenleck. Angreifer probieren geleakte Listen automatisiert bei anderen Diensten durch.
23andMe, 2023: Über Zugangsdaten aus fremden Datenlecks gelangten Angreifer in etwa 14.000 Konten des Gen-Analyse-Dienstes. Von dort aus lasen sie Daten von Millionen weiteren Menschen. Quelle: heise online, 04.12.2023
Wissen allein genügt nicht. Erst Besitz oder Biometrie machen ein erbeutetes Passwort wertlos.
-
07Datenträger
Post mit Beigabe
Angriffe kommen auch mit dem Paketdienst. Ein präparierter Stick meldet sich beim Anstecken als Tastatur an und führt Befehle aus, ohne dass jemand eine Datei öffnet.
FIN7, 2020 bis 2022: Die Gruppe verschickte USB-Sticks als angebliche Geschenkkarte und als Behördensendung an US-Firmen. Das FBI warnte Unternehmen mit einer eigenen Meldung davor. Quelle: Bleeping Computer, 07.01.2022
Kein Datenträger aus unbestellter Post. Im Zweifel unangesteckt an die IT geben.
-
08QR-Codes
Gescannt ist geklickt
Der QR-Code umgeht die Prüfung, die jeder bei einem Link vornimmt. Die Adresse wird erst nach dem Öffnen sichtbar, und dann auf einem kleinen Bildschirm.
Parkautomaten in Deutschland, 2024: Aufgeklebte QR-Codes leiteten auf nachgebaute Bezahlseiten. Die Polizei warnte öffentlich vor der Masche. Quelle: heise online, 29.11.2024
Nach dem Scan die Adresse lesen, bevor irgendwelche Daten eingegeben werden.
-
10Backups
Wenn nichts mehr läuft
Eine Verschlüsselung trifft nicht die Technik, sondern den Betrieb. Ohne saubere Sicherung und ohne geübte Wiederherstellung dauert der Stillstand Wochen statt Stunden.
Universitätsklinikum Düsseldorf, 2020: Nach dem Angriff steuerten Rettungswagen andere Häuser an. Die Zahl der Operationen sank von bis zu 120 auf höchstens 15 am Tag. Quelle: heise online, 15.09.2020
Sicherungen getrennt aufbewahren und die Rückspielung regelmäßig testen.
-
12Phishing
Eine Mail, die zum Alltag passt
Gefährlich ist nicht die holprig geschriebene Mail, sondern die unauffällige: richtiger Name, passender Anlass, eine Absenderdomain mit einem Zeichen Unterschied.
Deutscher Bundestag, 2015: Abgeordnete bekamen Mails mit gefälschter Absenderadresse der Vereinten Nationen. Der Link führte auf eine präparierte Seite, danach war das Parlamentsnetz betroffen. Quelle: heise online, 12.09.2015
Erst den Absender prüfen, dann den Link ansehen, dann melden.
-
13Anrufe
Wenn Stimme und Gesicht nichts beweisen
Am Telefon und in der Videokonferenz zählt weder Aussehen noch Stimme als Nachweis. Zahlungen und Zugriffe gehören auf einen zweiten, selbst gewählten Kanal.
Arup, 2024: In einer Videokonferenz im Hongkonger Büro waren alle weiteren Teilnehmenden künstlich erzeugt. Der Mitarbeiter veranlasste Zahlungen von rund 25 Millionen US-Dollar. Quelle: Fortune, 17.05.2024
Rückruf über die bekannte Nummer, Freigabe nach dem Vier-Augen-Prinzip.
Vierzig Personen, fünf Boxen, ein Countdown
Die Buchhaltung bekommt dieselbe Mail wie die Entwicklung. Genau darum geht es.
Warum gelernt wird, wenn jemand selbst entscheidet
Was in einer Awareness-Schulung steht, ist richtig. Es kommt nur nicht dort an, wo es gebraucht wird: in der Sekunde, in der die Mail aufgeht.
Klickstrecke im Lernportal
Bearbeitet wird am Arbeitsplatz, zwischen den übrigen Aufgaben
Die Beispiele stammen aus fremden Firmen
Am Ende steht eine Abschlussquote, kein Verhalten
Gefragt wird nach Wissen, nicht nach einer Entscheidung unter Zeitdruck
Training als Escape Game
90 Minuten am Stück, mit einem Countdown, der läuft
Die gefälschte Mail trägt den Namen Ihrer Geschäftsführung
Wer hereinfällt, merkt es in derselben Minute am Punktestand
Vier Fallen, in die man tatsächlich hineinlaufen kann
Die Auflösung verknüpft jede Station mit einem echten Fall
Entscheidung an der Box 
Ein Team je Spielbox 
Tasten statt Mausklicks 
Die Box vor dem Start
Was der Freistaat für 2025 gemeldet hat
Am 31.08.2026 hat der Freistaat den Bericht zur Cybersicherheit in Bayern 2026 vorgestellt. Vier Zahlen daraus betreffen jedes mittelständische Haus unmittelbar.
Erfasst für das Jahr 2025.
Quelle: Bericht zur Cybersicherheit in Bayern 2026, LKA Bayern230 Fälle nach 195 ein Jahr zuvor.
Quelle: Bericht zur Cybersicherheit in Bayern 2026Gezählt im Jahr 2025.
Quelle: Bericht zur Cybersicherheit in Bayern 2026Rund zehn Prozent mehr als im Jahr davor.
Quelle: Bericht zur Cybersicherheit in Bayern 2026Drei Fälle, die im Debriefing wiederkommen
Veröffentlichte Vorfälle. Jeder steht neben der Station, die dieselbe Masche spielt.
Zwei Jahre lang gingen Rechnungen einer Firma ein, die nur dem Namen nach der echte Zulieferer war. Bezahlt wurden zusammen über 100 Millionen US-Dollar.
Methode: CEO Fraud · Quelle: NBC News, 25.03.2019Die Angreifer riefen den Helpdesk an und gaben sich als Mitarbeiter aus, dessen Daten sie auf LinkedIn gefunden hatten. Nach zehn Minuten hatten sie Zugang. Das bereinigte Betriebsergebnis sank um rund 100 Millionen US-Dollar.
Methode: Vishing · Quelle: heise online, 06.10.2023Ein Netz ohne Verbindung nach außen schützt nicht vor dem, was jemand hineinträgt. Schätzungen zufolge beschädigte die eingeschleppte Software rund 1.000 Zentrifugen.
Methode: Datenträger von außen · Quelle: Institute for Science and International Security, 22.12.2010Ein Termin deckt zwölf Themen ab
Nennen Sie Teilnehmerzahl, Standort und Wunschtermin. Sie bekommen ein Angebot innerhalb eines Werktags, vor Ort mit Anlieferung, Aufbau, Technik und Abbau.
Fünf Schritte von der Anfrage bis zur Bestätigung
Vor Ort dauert der Termin rund zwei Stunden. Vorbereiten müssen Sie nichts: Das Branding recherchieren wir selbst.
Anfrage
Teilnehmerzahl, Standort, Wunschtermin. Daraus ergibt sich die Zahl der Spielboxen. Angebot innerhalb eines Werktags.
Branding aus öffentlichen Quellen
Logo, Domain, Abteilungen und den Namen der Geschäftsführung nehmen wir von Ihrer Website, aus dem Impressum und der Karriereseite. Wir fragen dafür nichts an.
Der Termin
Wir bauen auf und bleiben als Ansprechpartner. Das Spiel läuft automatisch: Erzählung über die Lautsprecher, Registrierung am eigenen Handy, 90 Minuten Spiel, danach Highscore und Auflösung im Raum.
Auswertung
Debriefing-Mail an jede registrierte Person mit Teamfoto, eigenen Entscheidungen, Faktenseite und sechs Merksätzen.
Nachweis
Teilnahmebestätigung automatisch per Mail an die Teilnehmenden, mit Datum, Namen und den behandelten Themen.
| Merkmal | Vor Ort | Per Post |
|---|---|---|
| Gebiet | München und 100 km Umkreis | deutschlandweit und nach Österreich |
| Wir dabei | Aufbau, Ansprechpartner, Abbau | Hilfe aus der Ferne, Spielleiter-Tablet im Paket |
| Auflösung | persönlich im Anschluss | Auswertung per Mail |
| Mehrere Standorte | im Einzugsgebiet parallel, gegeneinander | am selben Termin, eine Wertung |
| Spielzeit | 90 Min | 90 Min |
| Sprache | Deutsch oder Englisch, ohne Aufpreis | Deutsch oder Englisch, ohne Aufpreis |
Wofür dieses Training nicht taugt
Die Abgrenzung in vier Punkten
- Kein Zertifikat. Die Teilnahmebestätigung nennt Datum, Namen und Themen. Sie ersetzt keine zertifizierte Schulung und bescheinigt keine bestandene Prüfung.
- Keine Pflichtschulung. Eine gesetzliche Nachweispflicht erfüllt das Training für sich genommen nicht. Als Baustein einer Reihe passt es, siehe NIS2 und Mitarbeiterschulung.
- Keine Phishing-Simulation auf echten Systemen. Wir schicken keine Testmails in Ihre Postfächer. Der Vergleich steht unter Phishing-Simulation oder Training.
- Kein Audit, keine Beratung. Wir sehen Ihre Systeme nicht und bewerten Ihre Technik nicht. Wir arbeiten am Verhalten, siehe IT-Sicherheitsschulung für Mitarbeiter.
Was die IT-Leitung vorher wissen will
Brauchen die Teilnehmenden IT-Kenntnisse?
Nein. Entscheidend ist, wer aufmerksam liest und im richtigen Moment misstrauisch wird. Vorwissen ist kein Vorteil, Aufmerksamkeit schon.
Welche Daten brauchen Sie von uns?
Keine. Logo, Firmenname und Domain, den Namen der Geschäftsführung und die Abteilungsbezeichnungen nehmen wir aus öffentlichen Quellen: Website, Impressum, Karriereseite. Keine Zugangsdaten, keine echten Systeme, keine echten Mailadressen. Das Spiel ist zu keinem Zeitpunkt live und von außen nicht erreichbar, es läuft in einem geschlossenen System vor Ort.
Wer bekommt die Ergebnisse zu sehen?
Die persönliche Auswertung geht per Mail nur an die spielende Person. Im Raum zählt der Punktestand je Team, nicht je Kopf. Eine namentliche Liste an die Leitung gibt es nicht. Alles, was an Ihrem Termin entsteht – Namen, Punktestände und Fotos –, bleibt vertraulich und wird nach dem Termin gelöscht. In der Auflösung zeigen wir öffentlich dokumentierte Fälle, nie Firmen, die bei uns gespielt haben.
Wie groß darf die Gruppe sein?
Bis zu acht Personen je Spielbox, und so viele Boxen, wie Ihre Belegschaft braucht. Alle spielen gleichzeitig: bis zu 160 an einem Ort, standortübergreifend bis zu 200.
Passt das in einen Tag, der ohnehin stattfindet?
Und wenn unsere Standorte weit auseinanderliegen?
Dann reisen die Boxen deutschlandweit und nach Österreich, ein Paket je acht Personen plus die Controllingbox, Rücksendung mit beiliegendem Aufkleber. Gespielt wird zur selben Stunde. Mehr unter Cyber Breach per Post.
Was kostet das Training?
Das hängt an der Zahl der Spielboxen und daran, ob wir kommen oder schicken. Sie bekommen innerhalb eines Werktags ein Angebot.
Ihr Angebot in 24 Stunden
Sagen Sie uns Anlass, Gruppengröße und Wunschtermin – Sie bekommen ein konkretes Angebot innerhalb eines Werktags. Vor Ort sind Anlieferung, Aufbau, Technik, Spielleitung und Abbau darin enthalten.
- München und 100 Kilometer drumherum
- Cyber Breach auch per Post: deutschlandweit und nach Österreich
- Angebot in 24 Stunden, mit allem drin
Lieber telefonisch? 0151 5908 8694, täglich 8:00 bis 20:00 Uhr.