
Für Geschäftsführung, IT-Leitung und Personalwesen in München und 100 km Umkreis
IT-Sicherheitsschulung für Mitarbeiter: die ganze Belegschaft spielt sie an einem Nachmittag
Wir stellen Spielboxen in Ihren Raum, und Ihr Team wehrt 90 Minuten lang einen Angriff auf die eigene Firma ab. Zwölf Sicherheitsthemen, 13 Stationen, bis zu acht Personen je Box, bis zu 160 an einem Ort. Danach bekommt jede Person ihre Auswertung und automatisch eine Teilnahmebestätigung per Mail.
Was Ihre Belegschaft an diesem Nachmittag bekommt
Keine Klickstrecke im Lernportal, sondern Hardware auf dem Tisch. Alle Boxen starten zur selben Minute, der Punktestand läuft für den ganzen Raum sichtbar mit.
Im Termin
90 Minuten Angriff auf Ihr Haus
Ihr Logo auf den Bildschirmen, Ihre Abteilungen im Postfach, der Name Ihrer Geschäftsführung als Absender der gefälschten Mail. Vier der 13 Stationen sind Fallen. IT-Kenntnisse braucht dafür niemand.
Direkt danach
Auflösung im Raum, Auswertung per Mail
Station für Station wird besprochen, woran die Falle zu erkennen war. Jede Person bekommt danach eine Mail mit den eigenen Entscheidungen, dem gebrandeten Teamfoto, sechs Merksätzen und einer Faktenseite mit dokumentierten Fällen.
Für das Personalwesen
Teilnahmebestätigung automatisch per Mail
Mit Datum, Namen und den behandelten Themen. Sie belegt, dass sich Ihre Belegschaft an diesem Tag mit IT-Sicherheit befasst hat. Sie ist kein Zertifikat und keine bestandene Prüfung.
- vor Ort in Ihren Räumen
- per Post deutschlandweit und nach Österreich
- Live-Punktestand je Team
- keine Zugangsdaten, keine echten Systeme
Zwölf Themen, die im Spiel wirklich vorkommen
Jedes Thema steckt in einer Station und in einer Entscheidung, nicht in einer Folie.
-
Phishing erkennen
Absenderadresse Zeichen für Zeichen prüfen, Link vor dem Klick anzeigen lassen.
-
Der Meldeweg
Melden statt löschen. Erst die Meldung sperrt ein Konto und beendet die Sitzungen.
-
Zweiter Faktor
Ein gestohlenes Passwort allein bringt einen Angreifer nicht weiter.
-
Passwörter aus dem Privatleben
Hochzeitstag, Kennzeichen, Geburtsjahr – Zahlen, die im Kalender stehen, sind keine Codes.
-
Zugangskarten
Kritische Zugänge hängen nie an einer einzigen Person und einem einzigen Ausweis.
-
Fremde Datenträger
Ein unaufgefordert geliefertes Paket mit einem USB-Stick ist ein Angriffsweg, keine Hilfe.
-
QR-Codes
Ein Bild verbirgt sein Ziel. „Scan mich“ aus unbekannter Quelle bleibt ungescannt.
-
Offene Netze
Ein Netz mit dem Namen der eigenen Firma kann jeder aufspannen.
-
Netzwerksegmentierung
Bei aktivem Befall ist die schnelle physische Trennung der wirksamste Hebel.
-
Backup und Wiederherstellungspunkt
Das jüngste Backup ist nicht das sicherste, wenn es schon verschlüsselte Dateien enthält.
-
Kritische Systemdialoge
Erst lesen, dann bestätigen. Wer Warnfenster wegklickt, erzeugt den nächsten Schaden selbst.
-
Anrufe mit Freigabebitte
Höflichkeit ist keine Authentifizierung. Rückruf über die selbst recherchierte Nummer.
Der Platz richtet sich bei diesem Training nach der Zahl der Spielboxen, nicht nach der Zahl der Köpfe. Nennen Sie uns Raumgröße und Teilnehmerzahl, wir melden uns innerhalb eines Werktags.
Woran Ihre Leute an diesem Nachmittag wirklich üben
Die Geschichte: Ein übermüdeter Administrator klickt um 16:55 Uhr auf eine Mail vom Chef. Nachts um 02:14 Uhr melden sich die Angreifer mit seinen Zugangsdaten an, am Morgen läuft auf jedem Bildschirm ein Erpresserschreiben.
[02:14:07] BLACKVEIL Anmeldung t.admin von unbekannter Adresse
> Ausbreitung stoppen. Patient Null finden.
-
01Zwei-Faktor
Der Zugang, den niemand mehr auf dem Zettel hat
Alte Fernzugänge, Testkonten und Dienstleisterzugänge überleben jede Umstellung. Fehlt dort der zweite Faktor, genügt ein einziges gestohlenes Passwort für den Weg ins Netz.
Change Healthcare, 2024: Über ein Fernzugriffsportal ohne zweiten Faktor kamen Angreifer mit gestohlenen Zugangsdaten herein. Neun Tage später verschlüsselten sie die Systeme. Quelle: Bleeping Computer, 30.04.2024
Jeder Fernzugang bekommt einen zweiten Faktor. Auch der alte, den angeblich niemand mehr braucht.
-
02Besitz und Biometrie
Das Passwort aus dem alten Leck
Gestohlene Zugangsdaten werden nicht einzeln ausprobiert, sondern in großer Menge automatisiert. Ohne zweiten Faktor genügt dann ein Treffer aus einer geleakten Liste.
23andMe, 2023: Der Anbieter bestätigte, dass Angreifer Zugangsdaten aus anderen Diensten verwendet hatten. Rund 14.000 Konten fielen direkt aus, Millionen weitere Datensätze wurden mitgelesen. Quelle: heise online, 04.12.2023
Wissen allein genügt nicht. Erst Besitz oder Biometrie machen ein erbeutetes Passwort wertlos.
-
07Datenträger
Der Stick aus dem Paket
Ein Stick muss nicht gefunden werden, er wird auch zugestellt. Beim Anstecken meldet er sich als Eingabegerät und tippt Befehle, schneller als jemand reagieren kann.
FIN7, 2020 bis 2022: Die Gruppe verschickte präparierte USB-Sticks in Paketen, die wie Werbegeschenke oder Behördenpost aussahen. Das FBI wandte sich mit einer Warnung an Unternehmen. Quelle: Bleeping Computer, 07.01.2022
Unbestellte Datenträger werden nicht angesteckt, sondern gemeldet.
-
08QR-Codes
Der Code, der über dem echten klebt
QR-Codes stehen an Automaten, auf Rechnungen und in Briefen. Weil das Ziel unsichtbar bleibt, ersetzt ein Aufkleber die echte Adresse, ohne dass es auffällt.
Parkautomaten in Deutschland, 2024: Über die echten Codes klebten Täter eigene, dahinter lag eine nachgebaute Bezahlseite mit Abfrage der Kartendaten. Die Polizei warnte öffentlich davor. Quelle: heise online, 29.11.2024
Aufkleber erkennen, Adresse nach dem Scan prüfen, für Zahlungen die offizielle App nutzen.
-
10Backups
Sicherung ohne Wiederherstellung
Eine Sicherung ist erst dann eine, wenn sie sich zurückspielen lässt und den Angriff nicht enthält. Sonst beginnt nach der Verschlüsselung eine Rückkehr, die Monate dauert.
Landkreis Anhalt-Bitterfeld, 2021: Der Landkreis rief nach einer Verschlüsselung den ersten Cyber-Katastrophenfall in Deutschland aus. Sieben Monate lang lief die Verwaltung eingeschränkt. Quelle: heise online, 10.03.2024
Drei Kopien, zwei Medien, eine außer Haus, dazu einmal im Jahr eine echte Rückspielprobe.
-
11Offene Netze
Das falsche Netz am Bahnhof
Ein Netzname sagt nichts über den Betreiber. Wer ein offenes WLAN mit vertrautem Namen aufstellt, sieht jede ungeschützte Verbindung und jede eingegebene Anmeldung.
Australien, 2024: Ermittler fanden bei einem Reisenden ein tragbares Funkgerät. Er hatte an Flughäfen und an Bord WLANs im Namen der Fluggesellschaft betrieben und Zugangsdaten gesammelt. Quelle: Bleeping Computer, 01.07.2024
Fremde Netze nur über das Firmen-VPN, sonst über Mobilfunk.
-
13Anrufe
Die Konferenz, in der niemand echt ist
Vertrautheit ist kein Nachweis. Wer am Telefon oder in einer Videokonferenz zu einer Zahlung oder einer Freigabe gedrängt wird, prüft über einen zweiten Weg nach.
Arup, 2024: Ein Mitarbeiter des Ingenieurbüros führte eine Videokonferenz mit lauter künstlich erzeugten Kollegen. Danach gingen Zahlungen von rund 25 Millionen US-Dollar hinaus. Quelle: Fortune, 17.05.2024
Auflegen, offizielle Nummer selbst suchen, Freigaben nach dem Vier-Augen-Prinzip.
Warum eine Schulung dieses Jahr auf der Tagesordnung steht
Am 31.08.2026 hat der Freistaat den Bericht zur Cybersicherheit in Bayern 2026 vorgestellt. Vier Zahlen daraus.
Gezählt wurden 1,7 Prozent mehr Taten als 2024.
Quelle: Bericht zur Cybersicherheit in Bayern 2026, LKA Bayern230 Fälle im Jahr 2025, ein Jahr davor waren es 195.
Quelle: Bericht zur Cybersicherheit in Bayern 2026Die Spur endet häufig weit außerhalb der eigenen Zuständigkeit.
Quelle: Bericht zur Cybersicherheit in Bayern 2026So viele fingen die Filter bayerischer Behörden 2025 ab.
Quelle: Bericht zur Cybersicherheit in Bayern 2026, LSIDrei Fälle, die dieselben Wege genommen haben
Veröffentlichte Vorfälle. Im Debriefing stehen sie neben der Station, die dieselbe Masche spielt.
Ein Telefonat von rund zehn Minuten genügte, um den Helpdesk zum Zurücksetzen eines Zugangs zu bewegen. Den Effekt auf das bereinigte Betriebsergebnis bezifferte der Konzern auf rund 100 Millionen US-Dollar.
Methode: Vishing · Quelle: heise online, 06.10.2023Die Schadsoftware kam über einen Wechseldatenträger in eine Anlage ohne Netzverbindung. Schätzungen zufolge fielen dort rund 1.000 Zentrifugen aus.
Methode: Datenträger von außen · Quelle: Institute for Science and International Security, 22.12.2010Der Konzern musste seine Systeme weltweit neu aufsetzen. Den eigenen Schaden bezifferte er auf 200 bis 300 Millionen US-Dollar.
Methode: Lieferkette · Quelle: heise online, 16.08.2017
Acht Personen je Box, bis zu 160 an einem Ort
Weil alle Boxen gleichzeitig laufen, wächst die Dauer mit der Belegschaft nicht mit. 20 Boxen à 8 Personen spielen zusammen, standortübergreifend sind es bis zu 200.
So verteilt sich Ihre Belegschaft auf parallele Boxen
Gerechnet wird mit acht Personen je Spielbox. Alle Teams spielen dieselbe Geschichte gleichzeitig und gegeneinander, mit einem gemeinsamen Punktestand.
| Personen | Spielboxen | Was im Raum passiert |
|---|---|---|
| 20 | 3 | Drei Teams, ein Punktestand, eine Auflösung im Anschluss |
| 50 | 7 | Sieben Teams nebeneinander, Rangliste auf der Leinwand |
| 100 | 13 | Ein Saal oder zwei Räume, alle starten zur selben Minute |
| mehrere Standorte | je Standort eigene Boxen | Die Standorte spielen gegeneinander, die Wertung läuft zusammen |
Anfrage
Personenzahl, Standort und Wunschtermin genügen. Das Angebot liegt innerhalb eines Werktags vor.
Vorbereitung
Logo, Abteilungsnamen und den Absender der gefälschten Mail nehmen wir aus öffentlichen Quellen. Sie müssen uns dafür nichts schicken.
Der Termin
Briefing, 90 Minuten Spiel, Auflösung im Raum. Das Spiel läuft automatisch; wir bauen auf, bleiben als Ansprechpartner und bauen ab.
Auswertung
Eine Mail je Person mit den eigenen Entscheidungen, dem Teamfoto und einer Faktenseite.
Nachweis
Die Teilnahmebestätigung kommt automatisch per Mail, mit Datum, Namen und Themen.
Teilnahmebestätigung, Auswertung und die Grenze dazwischen
Die Teilnahmebestätigung geht automatisch per Mail an alle registrierten Personen. Darauf stehen Datum, Name und die behandelten Themen. Sie ist der Beleg fürs Personalwesen und ist kein Zertifikat und keine bestandene Prüfung.
Die persönliche Auswertung ist etwas anderes: Sie nennt Teamname, Teamfoto, Punkte, Platzierung und die eigenen Entscheidungen an den vier Fallen, dazu eine Faktenseite und sechs Merksätze. Sie geht ausschließlich an die spielende Person.
Führungskräfte bekommen sie nicht, und wir werten sie nicht aus. Es gibt keine namentliche Liste, wer an welcher Station wie entschieden hat, und wir erstellen auch keine auf Nachfrage. Namen, Punktestände und Fotos aus Ihrem Termin bleiben vertraulich; nach dem Termin werden sie gelöscht. Die Auflösung arbeitet mit veröffentlichten Vorfällen, nicht mit Kunden von uns.
Für einen Betriebsrat ist das der entscheidende Punkt: Eine Auswertung wäre zur Leistungs- und Verhaltenskontrolle geeignet, und nach § 87 Abs. 1 Nr. 6 BetrVG genügt bereits diese Eignung. Im Raum zählt deshalb nur der Punktestand je Team.



Tastenfeld, Schächte und Sicherungsfeld auf einen Blick 
Tasten, kein Browserfenster 
Entschieden wird laut und gemeinsam
Ein Termin, der die ganze Belegschaft erreicht
Nennen Sie Belegschaftsgröße, Standort und Wunschtermin. Das Angebot kommt innerhalb eines Werktags, vor Ort mit Anlieferung, Aufbau, Technik und Abbau.
Vier Dinge, die wir nicht liefern
- Keine Zertifizierung. Die Teilnahmebestätigung nennt Datum, Namen und Themen. Sie ersetzt keine zertifizierte Schulung und belegt keine bestandene Prüfung.
- Keine gesetzliche Pflichtschulung. Der Termin erfüllt für sich genommen keine Nachweispflicht. Als Baustein einer Reihe ist er möglich, siehe NIS2 und Mitarbeiterschulung.
- Keine Phishing-Simulation auf Ihren Systemen. Die gefälschte Mail liegt im Spiel, nicht in echten Postfächern. Der Vergleich steht unter Phishing-Simulation oder Training.
- Keine Beratung, kein Audit, kein Penetrationstest. Wir sehen Ihre Systeme nicht. Wir sind der Teil, der das Verhalten betrifft.
Was die Geschäftsführung vorher wissen will
Wir haben keine eigene IT-Abteilung. Passt das trotzdem?
Ja. Das Training richtet sich an alle, die ein Postfach und ein Telefon haben. Buchhaltung, Vertrieb und Empfang bekommen dieselbe gefälschte Mail wie die Technik. Vorwissen ist kein Vorteil, Aufmerksamkeit schon.
Wie viel Arbeitszeit kostet uns das je Person?
Rund zwei Stunden, inklusive Briefing und Auflösung. Weil alle Boxen gleichzeitig laufen, brauchen 50 Personen denselben Nachmittag wie acht.
Müssen wir jemanden dafür abstellen?
Vor Ort nicht. Wir liefern an, bauen auf, bleiben als Ansprechpartner und bauen ab; durch die 90 Minuten führt das Spiel selbst. Von Ihnen brauchen wir einen Raum und eine Ansprechperson für den Gebäudezugang. Zelt oder Freigelände gehen ebenfalls, auf Wunsch mit Silent-Disco-Kopfhörern. Eine Steckdose ist nicht nötig, die Akkus in den Spielboxen reichen für bis zu 14 Stunden Spielgeschehen. Für die Abdunkelung sorgen Sie mit Jalousien oder Vorhängen.
Bekommen Führungskräfte die Einzelergebnisse?
Nein. Die persönliche Auswertung geht per Mail nur an die betreffende Person. An Ihr Haus gehen der Punktestand je Team und die Teilnahmebestätigungen, keine namentliche Bewertung.
Auf welcher Sprache läuft das Training?
Deutsch oder Englisch, ohne Aufpreis. Innerhalb eines Durchlaufs gilt eine Sprache, zwischen den Runden ist sie wechselbar. Sie sagen uns je Runde, welche es sein soll.
Unsere Belegschaft sitzt an drei Standorten.
Liegen alle drei im Einzugsgebiet, bauen wir überall parallel auf, und die Häuser treten gegeneinander an. Für weitere Wege geht die Technik in den Versand, siehe Cyber Breach per Post.
Was kostet eine IT-Sicherheitsschulung bei Ihnen?
Das hängt an der Zahl der Spielboxen und daran, ob wir kommen oder schicken. Nennen Sie uns Datum, Personenzahl und Ort, dann liegt Ihr Angebot innerhalb eines Werktags vor.
Passt der Termin in eine Veranstaltung, die wir ohnehin haben?
Das ist gut möglich. Ein Teamtag oder ein Kick-off steht ohnehin im Kalender, und 90 Minuten passen als Programmpunkt hinein. Welche Themen dabei abgedeckt werden, steht im Security-Awareness-Training.
Ihr Angebot in 24 Stunden
Sagen Sie uns Anlass, Gruppengröße und Wunschtermin – Sie bekommen ein konkretes Angebot innerhalb eines Werktags. Vor Ort sind Anlieferung, Aufbau, Technik, Spielleitung und Abbau darin enthalten.
- München und 100 Kilometer drumherum
- Cyber Breach auch per Post: deutschlandweit und nach Österreich
- Angebot in 24 Stunden, mit allem drin
Lieber telefonisch? 0151 5908 8694, täglich 8:00 bis 20:00 Uhr.

