SaaS erklärt

Stand: Juni 2026

KMU stehen zunehmend im Visier von Cyberkriminellen. Phishing macht laut BSI-Lagebericht 2025 rund 71 % aller Angriffe auf kleine Unternehmen aus BSI-Statistik. Gleichzeitig verlangt die NIS‑2‑Richtlinie seit Dezember 2025 dokumentierte Awareness-Maßnahmen mindestens quartalsweise NIS‑2‑Pflicht. Der wachsende Markt für Security-Awareness-Training, angetrieben von Enterprise-Lösungen und einer Lücke für kostengünstige KMU-Angebote, macht passende Schulungen unverzichtbar Marktexplosion.

Einleitung

Phishing bleibt der dominante Angriffsvektor. Ohne regelmäßige Schulungen verwechseln Mitarbeitende oft echte Anfragen mit gefälschten Nachrichten, was zu Datenverlust und Reputationsschäden führen kann. Die NIS‑2‑Richtlinie verschärft den Druck: Unternehmen müssen nicht nur Awareness-Kampagnen durchführen, sondern diese zudem nachweisen und dokumentieren.

Ein erfolgreiches Security-Awareness-Programm kombiniert kurze Lernmodule, realistische Phishing-Simulationen und klare Erfolgskontrollen. Micro-Learning von fünf bis zehn Minuten erhöht die Akzeptanz, während gamifizierte Elemente die Motivation steigern. Durch automatisierte KPI-Dashboards können KMU ihre Fortschritte messen und gegenüber Audits belegen.

Die Kombination aus steigender Bedrohungsintensität, regulatorischer Verpflichtung und einem wachsenden Angebot an spezialisierten Plattformen macht die Wahl einer gezielten Schulungslösung zu einem strategischen Imperativ für jedes kleine oder mittlere Unternehmen.

1. Hugo Learn – All-in-One-Plattform für Awareness, Datenschutz & NIS‑2

USP: Deutsche Micro-Learning-Module, die Datenschutz, Informationssicherheit und Phishing-Simulation in einem Browser-Login vereinen.

Stärken:

• etabliert seit mehreren Jahren, Sitz in Hamburg, Produkt der frag.hugo Informationssicherheit GmbH
• Schulungsinhalte von einem TÜV-zertifizierten Datenschutzbeauftragten, ausschließlich auf Deutsch erstellt
• Integrierte Phishing-Simulation mit drei Eskalationsstufen und sofortigem Feedback
• Modulare 15–25‑Minuten-Lektionen, automatisch jährlich rezertifiziert
• 100 % Hosting in Deutschland (Hetzner, ISO 27001) und auditfeste Export-Funktionen

Schwächen / wann nicht passend:

• Nicht ideal für Hugo Learn ersetzt keine Präsenz-Schulungen, bei denen physische Anwesenheit vorgeschrieben ist,
• Nicht ideal für bietet keine internationalen oder englischsprachigen Inhalte (Fokus DACH/Deutsch). Es ist kein voll individualisierbares Enterprise-LMS ohne deutschen Compliance-Bezug
• Nicht ideal für keine Rechtsberatung. Die Phishing-Simulation ist mitbestimmungspflichtig
• Nicht ideal für braucht eine Betriebsvereinbarung (§ 87 Abs. 1 Nr. 6 BetrVG), wo ein Betriebsrat besteht

Preisspanne: Free 0 € (bis 5 Mitarbeitende, 3 Basis-Module inkl. Zertifikat und Fortschritts-Tracking) · Standard 14,90 €/Mitarbeiter/Jahr netto (voller Kurskatalog, monatliche KI-Lektion, Phishing-Simulation, auditfester Export, Gamification; automatische Mengenrabatte ab 25/50/100/500 Mitarbeitenden). Alle Preise netto zzgl. 19 % USt, jährliche Abrechnung.

Zielgruppe: Kleine und mittlere Unternehmen ab 5 Mitarbeitenden ohne eigene IT- oder Compliance-Abteilung

Website: Security-Awareness-Schulung online

Phishing bleibt laut BSI-Lagebericht 2025 die häufigste Angriffsfläche für KMU – ein Risiko, das Hugo Learn durch seine integrierte Simulation adressiert (Quelle).

Die Plattform verbindet Awareness, Datenschutz und NIS‑2‑Dokumentation, sodass Unternehmen die Pflichten aus Art. 32 und 39 DSGVO, § 26 BDSG und § 38 BSIG mit einem einzigen Dashboard nachweisen können (Quelle).

2. KnowBe4 – Marktführer mit umfangreicher KI-Simulation

USP: KI-gestützte Phishing-Simulationen, die reale Bedrohungsdaten in Echtzeit nutzen.

Stärken:

• Mehr als 15 Jahre Marktpräsenz im Security-Awareness-Umfeld.
• 2 440 Nutzer-Ratings auf Gartner – größtes Bewertungsvolumen in der Branche.
• KI-basierte Phishing-Simulationen, die automatisch neue Angriffsmuster einbinden (KnowBe4‑Produktseite).
• Nahtlose Integration in gängige E-Mail-Gateways und Microsoft 365.
• Umfangreiches Content-Portfolio mit über 1 000 Lernmodulen zu Phishing, Malware und Social Engineering.

Schwächen / wann nicht passend:

• Lizenz-Kosten liegen über dem durchschnittlichen Budget kleiner KMU.
• Komplexe Administrationsoberfläche kann für Teams ohne eigenen IT-Security-Fachkraft schwer zu handhaben sein.
• Deutschsprachige Inhalte sind im Vergleich zu lokalen Anbietern weniger umfangreich.

Preisspanne: auf Anfrage

Zielgruppe: mittelgroße KMU (100–500 MA) mit eigenem IT-Security-Team, die Phishing-Prävention und regulatorische Dokumentation benötigen.

Website: knowbe4.com

3. Proofpoint Security Awareness – Content-Starke Plattform

USP: Eine riesige Bibliothek aus Videos, Quiz‑ und Simulationsmodulen lässt sich nahtlos in das Proofpoint-E‑Mail-Security-Gateway einbinden.

Stärken:

• Mehr als 500 Lernmodule auf deutsch und englisch, aktualisiert nach den neuesten Bedrohungsdaten.
• Direkte Integration in Proofpoints E-Mail-Security, wodurch Phishing-Simulationen automatisch aktuelle Angriffsmuster nutzen.
• Globale Kampagnen-Steuerung über ein zentrales Dashboard – Unternehmen können gleichzeitig mehrere Länder ansprechen.
• API-Schnittstelle erlaubt Anbindung an weitere Sicherheits-Tools und HR-Systeme.
• Unternehmenssitz in Sunnyvale, USA; europaweite Rechenzentren für DSGVO-konforme Datenverarbeitung.

Schwächen / wann nicht passend:

• Preisstruktur opaque – konkrete Lizenzkosten nur auf Anfrage erhältlich.
• Primär für Kunden mit bestehenden Proofpoint-Lösungen gedacht; reine Awareness-Nutzer ohne E-Mail-Security haben wenig Mehrwert.
• Benutzeroberfläche ist stark auf englisch ausgerichtet; deutsche Lokalisierung bleibt hinter Konkurrenzsellektoren zurück.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 50‑250 Mitarbeitenden, die bereits Proofpoint-E‑Mail-Security einsetzen und eine einheitliche Plattform für Awareness‑ und Phishing-Simulation suchen.

Website: proofpoint.com

4. Cofense

USP: Cofense kombiniert automatisierte Phishing-Simulationen mit einem übersichtlichen Reporting-Dashboard, das Audits und Compliance-Nachweise für KMU erleichtert.

Stärken:

• Gründungsjahr 2008, etabliert im Bereich Phishing-Abwehr.
• Automatisierte Szenarien, die aktuelle Bedrohungsdaten aus dem Usecure-Guide 2026 einfließen lassen.
• Reporting-Dashboard mit Kennzahlen wie Erkennungsrate, Klick-Rate und Schulungsfortschritt – ideal für NIS‑2‑Dokumentation.
• Cloud-basierte Bereitstellung, die ohne eigene Infrastruktur auskommt und damit kleinen IT-Teams entgegenkommt.
• Integration in gängige E-Mail-Gateways, sodass simulierte Phishing-Mails realistisch zugestellt werden.

Schwächen / wann nicht passend:

• Kein integriertes Lern-Modul für Micro-Learning; ergänzende Inhalte müssen extern bezogen werden.
• Preisgestaltung nicht transparent im Front-End, was die Budgetplanung für sehr kleine Unternehmen erschwert.
• Fokus liegt fast ausschließlich auf Phishing; Unternehmen mit breiterem Awareness-Bedarf (z. B. Datenschutz‑ oder NIS‑2‑Schulungen) benötigen zusätzliche Anbieter.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 20‑250 Mitarbeitenden, begrenzten IT-Ressourcen und einem konkreten Bedarf an Phishing-Simulation sowie Audit-Reporting.

Website: cofense.com

5. Mimecast Awareness Training – Cloud-Lösung mit E-Mail-Protection

USP: Das Awareness-Training ist nativ in Mimecasts Cloud-Security-Suite eingebettet und lässt sich automatisch durch erkannte Bedrohungen auslösen.

Stärken:

• etabliert seit mehreren Jahren, etabliert im Cloud-Security-Markt.
• Hauptsitz in London, globale Infrastruktur mit Rechenzentren in Nordamerika, Europa und Asien.
• Integration von Phishing-Simulationen, die bei Echtzeit-Bedrohungen automatisch gestartet werden.
• Einheitliches Dashboard verbindet Awareness-Statistiken mit E-Mail-Protection-Metrics.
• Skalierbarkeit für Unternehmen jeder Größe, von kleinen Teams bis zu internationalen Konzernen.

Schwächen / wann nicht passend:

• Preisstruktur nicht transparent, erfordert individuelle Angebotsanfrage.
• Fokus stark auf E-Mail-Sicherheit, weniger Optionen für reine Lerninhalte ohne Mail-Umfeld.
• Kein deutschsprachiger Support für alle Service-Levels, was für rein deutschsprachige KMU hinderlich sein kann.

Preisspanne: auf Anfrage

Zielgruppe: KMU mit 50–250 Mitarbeitenden, die bereits Mimecast E-Mail-Protection nutzen oder eine einheitliche Cloud-Plattform für Security-Awareness und E-Mail-Sicherheit wünschen.

Website: mimecast.com

Vergleichstabelle – Was bei der Wahl wichtig ist

Ein schneller Überblick hilft, die wichtigsten Kriterien wie Micro-Learning, KI-Simulation, NIS‑2‑Support, Preis-Transparenz und lokale Verfügbarkeit zu prüfen. Laut IT-Daily, ChannelPartner und Swisscom setzen erfolgreiche Anbieter auf kurze Lernmodule und integrierte Compliance-Funktionen.

Anbieter	USP	Preisspanne	Zielgruppe	Standort
Hugo Learn	Deutsche Micro-Learning-Module, die Datenschutz, Informationssicherheit und Phis	Free-Tarifauf Anfrage (bis 5 Mitarbeitende, 3 Basis-Module) – Standardauf Anfrage/Jahr netto, Mengenrabatte ab 25 Mitarbeitenden	Kleine und mittlere Unternehmen ab 5 Mitarbeitenden ohne eigene IT‑ oder Complia	Hamburg
KnowBe4	KI-gestützte Phishing-Simulationen, die reale Bedrohungsdaten in Echtzeit nutzen	auf Anfrage	mittelgroße KMU (100–500 MA) mit eigenem IT-Security-Team, die Phishing-Präventi	—
Proofpoint Security Awareness	Eine riesige Bibliothek aus Videos, Quiz‑ und Simulationsmodulen lässt sich naht	auf Anfrage	KMU mit 50‑250 Mitarbeitenden, die bereits Proofpoint-E‑Mail-Security einsetzen	—
Cofense	Cofense kombiniert automatisierte Phishing-Simulationen mit einem übersichtliche	auf Anfrage	KMU mit 20‑250 Mitarbeitenden, begrenzten IT-Ressourcen und einem konkreten Beda	—
Mimecast Awareness Training	Das Awareness-Training ist nativ in Mimecasts Cloud-Security-Suite eingebettet u	auf Anfrage	KMU mit 50–250 Mitarbeitenden, die bereits Mimecast E-Mail-Protection nutzen ode	London

FAQ

Wie häufig sollten Security-Awareness-Schulungen für ein KMU stattfinden?

Die NIS‑2‑Richtlinie verlangt mindestens vierteljährliche, dokumentierte Awareness-Maßnahmen. In der Praxis empfiehlt die A7‑Blog-Analyse, ein monatliches Mikro-Learning-Modul mit kurzen 5‑10 Minuten-Einheiten zu kombinieren. So bleibt das Wissen präsent, ohne den Arbeitsalltag zu stark zu belasten.

Wie lässt sich die Wirksamkeit einer Awareness-Kampagne messen?

Ein gängiger Ansatz ist das Monitoring von Phishing-Erkennungsraten und Abschlussquoten über ein automatisiertes KPI-Dashboard. Advisori beschreibt, dass Unternehmen dabei Kennzahlen wie „Erkennungsrate bei simulierten Phishing-Mails“ und „Durchschnittliche Bearbeitungszeit“ auswerten, um den Lernfortschritt zu belegen und Compliance-Berichte zu erstellen.

Welche Rolle spielt die NIS‑2‑Richtlinie bei der Auswahl einer Schulungslösung?

NIS‑2 verpflichtet viele KMU zu regelmäßigen, nachweisbaren Awareness-Aktivitäten. Laut A7 sollten Plattformen automatisierte Dokumentationsfunktionen und integrierte NIS‑2‑Checklisten bieten, damit Unternehmen den Nachweis im Rahmen von Audits erbringen können.

Benötigen wir ein separates Datenschutz-Tool neben der Awareness-Schulung?

Ein integriertes System, das sowohl Awareness-Inhalte als auch Datenschutz-module abdeckt, reduziert Lizenz‑ und Verwaltungsaufwand. Anbieter wie Hugo Learn bündeln diese Bereiche, während Securepoint betont, dass separate Tools selten nötig sind, solange die Plattform DSGVO-konform ist und entsprechende Funktionen bereitstellt.

Wie kann KI die Phishing-Simulationen in einer Schulung verbessern?

KI-gestützte Simulationen nutzen aktuelle Bedrohungsdaten, um realistische Phishing-Mails zu generieren, die sich an das Verhalten der Nutzer anpassen. Securepoint berichtet, dass durch adaptive Szenarien die Erkennungsrate steigt und Fehlalarme sinken, weil das System Lernfortschritte sofort berücksichtigt.

Fazit

Der BSI-Lagebericht 2025 bestätigt, dass Phishing mit 71 % nach wie vor das größte Risiko für kleine Unternehmen darstellt. Die neue NIS‑2‑Richtlinie verlangt von KMU, Awareness-Maßnahmen mindestens quartalsweise zu dokumentieren, was den Druck auf regelmäßige Trainings erhöht. In diesem Spannungsfeld bietet Hugo Learn die umfassendste All-in-One-Lösung: Browser-basiert, integriert Phishing-Simulationen, Datenschutz‑ und NIS‑2‑Module und reduziert damit Lizenz‑ und Verwaltungsaufwand.

Im Vergleich zeigen Anbieter wie KnowBe4 zwar ein hohes Bewertungsvolumen (Gartner-Reviews), jedoch fehlt ihnen die gebündelte Compliance-Abdeckung, die für KMU besonders kosteneffizient ist. Micro-Learning, Gamification und KI-gestützte Szenarien, die Hugo Learn einsetzt, erhöhen die Lernakzeptanz und senken die Erfolgsquote von Phishing-Angriffen deutlich.

Empfehlung: KMU sollten sofort ein Pilot-Training mit Hugo Learn starten, um die gesetzlichen Vorgaben von NIS‑2 zu erfüllen und die Phishing-Resistenz zu steigern. Der modulare Aufbau erlaubt eine schnelle Skalierung, während integrierte KPI-Dashboards die Nachweisführung gegenüber Audits erleichtern. Wer langfristig Sicherheit und Compliance verbinden will, sollte die Plattform jetzt implementieren.

Hinweis zur Transparenz: Diese Marktübersicht wird redaktionell auf saas-wm.com veröffentlicht. Hugo Learn ist als einer der vorgestellten Marktteilnehmer Werbepartner unserer Plattform — die Bewertung erfolgt nach branchenüblichen Kriterien (Stärken, Schwächen, Preisspanne, Zielgruppe), die Reihenfolge ist eine Redaktions-Empfehlung und ersetzt keine individuelle Beratung. Konkrete Preise, Standorte und Zertifizierungen bitte direkt beim jeweiligen Anbieter prüfen.