Ethical Hacking und Sicherheitsbewusstsein

Ethical Hacking kann mehr sein als technisches Pentesting — es ist ein wirkungsvolles Werkzeug zur Sensibilisierung. Wer einer Abteilung live zeigt, wie ein Phishing-Angriff abläuft oder wie ein unsicheres Passwort geknackt wird, erzeugt Lerneffekte, die keine Richtlinie ersetzen kann. Dieser Kurs richtet sich an IT-Sicherheitsfachkräfte und Awareness-Trainer, die Hacking-Techniken nicht primär offensiv einsetzen wollen, sondern als didaktisches Mittel zur Stärkung des Sicherheitsbewusstseins in Unternehmen. Ergänzt wird das Curriculum durch Grundlagen des Azure-KI-Ökosystems (AI-900), um KI-gestützte Analysemöglichkeiten in Awareness-Programme einzubinden.

Modul 1 — Grundlagen des Sicherheitsbewusstseins und Bedrohungsverständnis Wer Awareness-Schulungen glaubwürdig durchführen will, muss selbst verstehen, wie Angreifer denken. Dieser Block legt die konzeptionelle Basis für alle folgenden Awareness-Aktivitäten — mit Bezug auf CompTIA Security+.

• Bedrohungslandschaft verstehen: aktuelle Angriffstypen und ihre Auswirkungen auf Mitarbeitende
• CompTIA-Security+-Grundlagen: Terminologie, Konzepte und Risikobewertung für Nicht-Spezialisten übersetzen
• Einführung in Bedrohungsmodelle (Threat Modeling): Wie identifiziere ich relevante Risiken für meine Organisation?
• Soziale Manipulation (Social Engineering): Psychologische Mechanismen hinter Phishing, Pretexting und Vishing
• Wirkung realer Vorfälle: Fallbeispiele und ihre Lernbotschaften für Mitarbeitende

Modul 2 — Ethical Hacking als Sensibilisierungsinstrument (CEH-Methodik) CEH-Techniken werden hier nicht zur Kompromittierung, sondern zur Demonstration eingesetzt — in kontrollierten Trainingsumgebungen, mit explizitem Fokus auf Lerneffekt statt Exploit-Tiefe.

• CEH-Methodenphasen im Awareness-Kontext: Was sollen Mitarbeitende über Angreifer verstehen?
• Aufbau und Durchführung von Phishing-Simulationen: Tools, Szenarien und ethische Grenzen
• Demonstration eines simulierten Angriffs auf ein Mitarbeiterkonto in der Trainingsumgebung
• Wireless-Security-Demonstration: Wie einfach ist ein schlecht gesichertes WLAN angreifbar?
• Authentisierungsangriffe anschaulich machen: Passwort-Hygiene praktisch demonstrieren
• Rechtliche Anforderungen an Awareness-Hacking: Was ist erlaubt, was nicht?

Modul 3 — Awareness-Kampagnen konzipieren und umsetzen Einmalige Schulungen verpuffen schnell. Dieser Block vermittelt, wie Sicherheitsbewusstsein als kontinuierlicher Prozess geplant, umgesetzt und gemessen wird.

• Zielgruppenanalyse: Wer braucht welche Botschaft — Buchhaltung, Führungskraft, IT-Mitarbeitende?
• Kampagnenkonzeption: Themen, Kanäle, Zeitplanung und Frequenz
• Entwicklung zielgruppengerechter Lerninhalte: von kurzen Video-Nudges bis zum Workshop
• Phishing-Simulationsprogramm langfristig aufsetzen: Häufigkeit, Feedback, Verbesserungsschleifen
• Interaktive Methoden: Rollenspiele, Gamification-Elemente und Gruppenübungen wirkungsvoll einsetzen
• Erfolgsmessung: Wie messe ich, ob eine Kampagne das Verhalten verändert hat?

Modul 4 — Sicherheitskultur im Unternehmen verankern Sicherheitsbewusstsein ist keine IT-Angelegenheit allein. Dieses Modul vermittelt, wie Sicherheitskultur in die Organisationsstruktur eingebettet wird — von Richtlinien über Führungskräfte bis zu täglichen Routinen.

• Sicherheitsrichtlinien verständlich formulieren und kommunizieren
• Führungskräfte als Sicherheitsmultiplikatoren gewinnen und einbinden
• Richtlinien und Verhaltensregeln in den Arbeitsalltag integrieren (Patchwork-Ansatz vermeiden)
• Aufbau eines kontinuierlichen Meldewesens: Mitarbeitende zum Melden ermutigen, ohne Angst zu erzeugen
• Sicherheitskultur messen: Indikatoren jenseits von Klick-Raten auf Phishing-Mails
• Changemanagement im Sicherheitskontext: Widerstände identifizieren und konstruktiv adressieren

Modul 5 — KI-gestützte Unterstützung von Awareness-Programmen (AI-900) Künstliche Intelligenz erweitert die Möglichkeiten im Sicherheitsmonitoring und in der Verhaltensanalyse. Dieser Block gibt einen strukturierten Überblick über das Azure-KI-Grundlagenframework (AI-900) mit konkretem Bezug auf Awareness-Anwendungsfälle.

• Grundlagen des Azure-KI-Ökosystems (AI-900): Konzepte, Dienste und Einsatzbereiche
• KI-gestützte Musteranalysen: Wie erkennen Algorithmen unsicheres Nutzerverhalten?
• Anomalie-Erkennung im Netzwerk: KI als Frühwarnsystem für ungewöhnliche Aktivitäten
• Automatisierte Unterstützung bei Phishing-Erkennung und Alert-Management
• Grenzen und Risiken von KI im Sicherheitskontext: Was KI nicht kann und wo menschliches Urteil bleibt

Praxis-Block — Szenarien aus dem Awareness-Alltag Die Kursmodule werden in durchgängigen Praxisszenarien angewendet, die reale Anforderungen von Sicherheits- und Awareness-Verantwortlichen widerspiegeln.

• Konzeption eines vollständigen Awareness-Programms für eine fiktive Organisation
• Planung und Durchführung einer Phishing-Simulation in der Trainingsumgebung
• Entwicklung von Workshop-Materialien für eine konkrete Zielgruppe
• Demonstration eines Social-Engineering-Angriffs für Schulungszwecke
• Erstellen einer Sicherheitsrichtlinie in verständlicher, nicht-technischer Sprache
• Aufbau einer Feedback-Schleife nach einer Awareness-Kampagne
• Rollenspielsimulation: Sicherheitsbeauftragter überzeugt skeptische Führungskraft
• Präsentation eines Kampagnenergebnisses an ein Führungsgremium
• Analyse einer realen Datenpanne aus Awareness-Trainingsperspektive

Dieser Kurs ist explizit nicht für Pentesting-Profis konzipiert, die Systeme offensiv angreifen wollen — dafür gibt es spezialisierte technische Kurse. Hier stehen Personen im Fokus, die Hacking-Wissen als Vermittlungsgrundlage nutzen.

• IT-Sicherheitsbeauftragte und Datenschutzbeauftragte, die Awareness-Programme leiten
• Trainer und Ausbilder in der IT-Weiterbildung mit Fokus auf Sicherheitsthemen
• HR-Fachkräfte, die unternehmensinterne Sicherheitsschulungen konzipieren und umsetzen
• Compliance-Verantwortliche, die Mitarbeitende für Datenschutz- und Sicherheitsanforderungen sensibilisieren müssen
• IT-Fachkräfte, die eine ergänzende Perspektive auf Awareness und Sicherheitskultur entwickeln wollen

Der Kurs verbindet Wissensblöcke mit praxisnahen Übungsszenarien. Rollenspielen und Simulationen kommt besondere Bedeutung zu, weil Awareness-Arbeit selbst auf interaktiven Methoden basiert. Das Combined-Learning-Format erlaubt die Kombination aus angeleiteten Lernphasen und eigenverantwortlichem Vertiefen. Kurszeiten laufen überwiegend in Vollzeit, bieten aber auch Teilzeitvarianten.

Genaue Kursdauer und Stundenzahl gehen aus dem jeweiligen Angebot hervor. Das inhaltliche Spektrum umfasst fünf eigenständige Module, entsprechend ist ein substanzieller Zeitrahmen einzuplanen.

Nach Kursabschluss wird eine qualifizierte Teilnahmebescheinigung ausgestellt. Der Kurs bereitet inhaltlich auf Teile relevanter Prüfungen vor (CompTIA Security+, CEH, AI-900), die separat bei den jeweiligen Zertifizierungsstellen abgelegt werden können.

Technische Schutzmaßnahmen allein reichen nicht aus — der Mensch bleibt das meistgenutzte Einfallstor für Angriffe. Fachkräfte, die Sicherheitsbewusstsein professionell gestalten können, sind in Unternehmen aller Größen gefragt: von der mittelständischen Produktionsfirma, die ISO-27001-Anforderungen erfüllen muss, bis zum Konzern mit globalen Compliance-Programmen. Wer diesen Kurs abschließt, kann nicht nur Schulungen durchführen, sondern auch erklären, warum bestimmte Angriffe funktionieren — und diese Erklärung wirkungsvoll in Lernszenarien übersetzen. Das ist ein wesentlicher Unterschied zu allgemeinen Sensibilisierungskursen, die Hacking nur abstrakt beschreiben, ohne es zu demonstrieren. Die Erweiterung durch KI-Grundlagen (AI-900) positioniert Teilnehmende zudem für die Zukunft: KI-gestützte Anomalieerkennung und automatisierte Phishing-Analyse verändern, wie Sicherheitsteams arbeiten. Awareness-Verantwortliche, die diese Werkzeuge einschätzen und in ihre Konzepte einbinden können, sind für ihre Organisationen langfristig wertvoller.