Schulen, simulieren, nachweisen.
Ein Awareness-Programm für einen Betrieb in Deutschland, Österreich oder der Schweiz muss drei Dinge leisten. Es braucht Inhalte auf Deutsch, die Mitarbeitende wirklich ansehen. Es braucht simulierte Phishing-Mails, die zeigen, wer klickt. Und es braucht einen Nachweis, den man dem Versicherer, dem Kunden oder dem Prüfer vorlegen kann. Dazu gehört, dass die Inhalte aktuell bleiben, denn die Maschen wechseln. Das BSI beschreibt für 2025 eine neue Phishing-Welle, bei der sich die Absender als Online-Händler ausgeben. Dazu beschreibt es vermehrt Schäden durch QR-Code-Phishing.3
Der DWC-Marktkompass zählt, was der Hersteller dazu benennt und dokumentiert. „Regelmäßig aktualisierte Inhalte" zählt nicht. Ein benannter Rhythmus oder eine datierte Änderungsliste zählt.
5 Merkmale, jedes an der Dokumentation belegt.
Gezählt wird, was der Hersteller selbst zur bewerteten Lösung dokumentiert. Je Merkmal gilt: erfüllt, wenn die Dokumentation eine benannte Funktion oder Angabe führt.
- Schulungsinhalte auf Deutsch. Die Inhalte liegen dokumentiert auf Deutsch vor. Einschränkungen wie „nicht alle Inhalte in allen Sprachen" werden ausgewiesen.
- Phishing-Simulation. Eine benannte Funktion, mit der der Betrieb eigene Test-Phishing-Kampagnen an Mitarbeitende versendet.
- Auswertung je Nutzer oder Kampagne. Ein benanntes Reporting je Nutzer oder Kampagne: Dashboard, Klickquote, Score.
- Exportierbarer Bericht oder Teilnahmezertifikat. Ein exportierbarer Bericht oder ein Teilnahmezertifikat, das sich Dritten vorlegen lässt.
- Regelmäßige Aktualisierung der Inhalte, mit Intervall oder datierter Liste belegt. Monatlich, quartalsweise oder eine datierte Änderungsliste der Inhalte. „Regelmäßig" ist keine Angabe.
Was das Gebiet nicht misst: ob die Schulung bei den Mitarbeitenden wirkt. Das lässt sich aus öffentlichen Quellen nicht prüfen.
Kein ausgewertetes Institut vergleicht Schulungen.
Keines der ausgewerteten Testinstitute prüft Awareness-Programme in einer Form, die sich über Anbieter hinweg vergleichen ließe. Das Gebiet bleibt beim Kriterium Unabhängige Testevidenz deshalb außen vor und geht ausschließlich über die Merkmalszählung in die Bewertung ein. Das steht in der Methodik offen so da.
So geht Awareness in die Gesamtnote ein.
Die Merkmalszählung gehört zum Kriterium Schutzumfang in den vier Gebieten (8 Prozent der Gesamtnote). Eine eigene Note je Gebiet gibt es nicht; veröffentlicht werden je Anbieter die Platznummer, die Gesamtnote und die acht Kriteriumsnoten. Ob ein Anbieter das Gebiet mit eigener Leistung abdeckt, steht als Tatsache dabei und wird nicht benotet.
Anbieter mit eigener Awareness-Leistung
Platz und Note stammen aus der Gesamtrangfolge über alle acht Kriterien. Eine eigene Note für dieses Gebiet gibt es nicht. Aufgeführt sind die Anbieter, die das Gebiet mit einem eigenen Produkt abdecken.
| Platz | Lösung | Produkt in diesem Gebiet | Gesamtnote |
|---|---|---|---|
| 1 | Bitdefender GravityZone | Phishing Simulation Service, eigenständiger Service außerhalb der Konsole | 4,41 |
| 2 | ESET PROTECT | Cybersecurity Awareness Training | 4,26 |
| 3 | Securepoint | Awareness Next | 4,19 |
| 3 | Sophos Central | Phish Threat | 4,19 |
| 5 | Fortinet | Security Awareness and Training Service, eigenes Portal | 3,97 |
| 6 | G DATA | Security Awareness Training | 3,96 |
| 7 | TrendAI (Trend Micro) | Security Awareness | 3,89 |
| 8 | Microsoft Defender | Attack Simulation Training | 3,61 |
| 9 | Trellix | Phishing Simulator, an Email Security gebunden | 3,57 |
| 10 | BarracudaONE | Security Awareness Training | 3,46 |
Securepoint und Sophos haben auf zwei Nachkommastellen dieselbe Gesamtnote und teilen sich Platz 3; Platz 4 entfällt.
TrendAI, Awareness. Bei TrendAI ist im Gebiet Awareness das Merkmal „Phishing-Simulation" erfüllt. Die Dokumentation begrenzt die Simulation auf 12 Kampagnen im Jahr mit höchstens 200 Empfängern, solange kein Upgrade erfolgt.
Fortinet, Awareness. Bei Fortinet ist im Gebiet Awareness das Merkmal „Schulungsinhalte auf Deutsch" erfüllt; Deutsch steht in der Sprachliste des Herstellers. Dieselbe Seite schränkt ein: Nicht alle Inhalte sind in allen Sprachen der Oberfläche verfügbar.
Die vollständige Methodik mit allen acht Kriterien, Gewichten, Stichtagen und der Prüfkette steht auf der Hauptseite.
Weiter zu den anderen Gebieten.
Woher die Aussagen stammen.
- Bitkom, Wirtschaftsschutz 2025, Studienbericht (Bitkom Research, 1.002 Unternehmen ab 10 Beschäftigten), Abschnitt 3.5: „Knapp jedes zweite Unternehmen berichtet von Versuchen, mit Hilfe von »Social Engineering« Angriffe wie Datendiebstahl, Industriespionage oder Sabotage vorzubereiten." Typische Mittel laut Bericht: „gefälschte E-Mails, Anrufe oder manipulierte Webseiten, die Mitarbeitende zur Herausgabe von Zugangsdaten oder zur Ausführung schädlicher Aktionen bringen". bitkom.org (PDF), abgerufen 07.09.2026.
- Bitkom, ebenda, Abschnitt 5.3: „55 Prozent schulen Mitarbeitende nur in ausgewählten Bereichen oder Positionen. Weitere 24 Prozent bieten solche Schulungen für alle Beschäftigten an. 20 Prozent der Unternehmen verzichten komplett auf IT-Sicherheitsschulungen."
- BSI, Die Lage der IT-Sicherheit in Deutschland 2025, Kapitel Bedrohungen: „Anfang 2025 gab es eine neue Phishing-Welle, die Online-Händler als Absender vortäuschte und damit Streamingdienste ein- und überholte. QR-Code-Phishing (Quishing) verursachte vermehrt finanzielle Schäden." medien.bsi.bund.de, abgerufen 07.09.2026.
- Merkmale: Methodik des DWC-Marktkompass, Kriterium „Schutzumfang in den vier Gebieten" (Hauptseite). Keines der ausgewerteten Testinstitute (AV-TEST, AV-Comparatives, SE Labs, Virus Bulletin) prüft Awareness-Programme vergleichbar.